Informática forense · OSINT
Investigación OSINT tras un incidente de ransomware
Nach einem Ransomware-Vorfall liefert die Recherche öffentlich verfügbarer Informationen wichtige Zusatzerkenntnisse: Welcher Gruppe lassen sich Erpressernotiz und Werkzeuge zuordnen? Welche Vorgehensweisen sind von ihr bekannt? Werden Unternehmensdaten auf einer Leak-Seite angekündigt? Diese Recherche ergänzt die technische Untersuchung, ersetzt sie aber nicht.
En las investigaciones OSINT, este aspecto es especialmente importante, ya que el alcance, la calidad y la fiabilidad de la información de acceso público pueden variar considerablemente en función de la cuestión que se plantee, de la persona u organización en cuestión y de la plataforma utilizada. Una investigación sobre una empresa, un análisis de infraestructuras y la verificación de un contenido concreto en redes sociales no deben tratarse siguiendo el mismo esquema. La fuente, la actualidad, la verificabilidad y el marco jurídico determinan qué información es fiable y qué método de investigación es el adecuado.
Además, comprobamos si las direcciones de pago en criptomonedas exigidas en el marco de un posible chantaje pueden relacionarse públicamente con otros incidentes.
Antecedentes técnicos
Gruppen hinterlassen wiedererkennbare Merkmale: Aufbau der Erpressernotiz, Dateiendungen, Kontaktportale, Tor-Adressen, Werkzeuge. Sicherheitsforscher und Behörden veröffentlichen dazu Indikatoren (IOCs) und Berichte. Zahlungsadressen auf öffentlichen Blockchains lassen sich analysieren, Zuordnungen zu Personen aber nur begrenzt treffen.
Pistas y fuentes de datos relevantes
- Erpressernotiz, Dateiendungen und Kontaktadressen
- Öffentliche Threat-Intelligence-Berichte und IOC-Listen
- Leak-Seiten der Gruppe (Beobachtung und Dokumentation)
- Wallet-Adressen und Transaktionsverläufe
¿Por qué LanCologne?
LanCologne führt OSINT-Recherchen nicht nach einem pauschalen Standardschema durch, sondern anhand der konkreten Beweisfrage, der verfügbaren öffentlichen Quellen sowie des jeweiligen rechtlichen Rahmens. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.
Así es como procedemos
- Sicherung der Erpressernotiz und technischer Merkmale.
- Abgleich mit öffentlichen Quellen und Ableitung von Prüfpunkten für die Forensik.
- Dokumentation der Quellen mit Zeitpunkt und Bewertung der Verlässlichkeit.
Fronteras
- OSINT identifiziert in der Regel keine Täter als Personen.
- Angaben von Gruppen (z. B. auf Leak-Seiten) können unzutreffend oder übertrieben sein.
Posibles resultados
- Wahrscheinliche Gruppenzuordnung mit Begründung
- Bekannte Vorgehensweisen als Prüfliste für die Forensik
- Dokumentation von Leak-Ankündigungen
Ámbitos de aplicación habituales
¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?
Tras un incidente de ransomware, la búsqueda de información de acceso público sobre el software malicioso utilizado y la infraestructura de los atacantes puede complementar de manera útil la investigación técnica del incidente.
El valor forense no reside únicamente en la cantidad de información encontrada, sino en su procedencia y fiabilidad. Una sola publicación en redes sociales, una entrada en un registro o una indicación sobre la infraestructura técnica pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo puede haberse generado una información, qué explicaciones alternativas existen y qué otras fuentes respaldan el hallazgo.
Además, comprobamos si las direcciones de pago en criptomonedas exigidas en el marco de un posible chantaje pueden relacionarse públicamente con otros incidentes.
Además, precisamente en las investigaciones OSINT, el intento de llevar a cabo una verificación completa puede toparse con obstáculos si los contenidos en línea han sido eliminados, se han convertido en privados o se han diseñado de forma deliberadamente engañosa. La falta de verificabilidad, las plataformas cerradas y los contenidos que cambian rápidamente ponen de manifiesto por qué es tan importante documentar con prontitud y comunicar de forma transparente las limitaciones existentes antes de proceder a la evaluación propiamente dicha. Las omisiones en esta fase no siempre pueden subsanarse posteriormente.
Preguntas frecuentes
LanCologne – Informática forense y OSINT en Colonia
¿Necesita una investigación OSINT profesional sobre „Investigación OSINT tras un incidente de ransomware"? LanCologne le ayuda a realizar un análisis estructurado y documentado de fuentes digitales de acceso público en el marco de cuestiones relacionadas con la informática forense, el ámbito jurídico o el ámbito empresarial. Lo fundamental no es obtener el mayor número posible de resultados, sino recabar información técnicamente fiable y verificable.