IT-forensik – Windows

Forensisk analys av Windows papperskorgen ($Recycle.Bin) – Återställa raderade filer

Windows-papperskorgen är ett viktigt bevisobjekt inom Windows-forensik. När filer raderas via papperskorgen skapas metadata som kan ge ledtrådar om den ursprungliga lagringsplatsen, tidpunkten för raderingen och ytterligare filinformation. Denna information kan vara ett viktigt bidrag till rekonstruktionen av händelseförloppet.

I aktuella Windows-versioner finns papperskorgen i den dolda systemkatalogen $Recycle.Bin. Beroende på Windows-version kan metadata som den ursprungliga lagringsplatsen, filstorleken och tidpunkten för raderingen rekonstrueras därifrån. I utvärderingen inkluderas även eventuella volymskuggkopior.

Begär en icke-bindande offert

Inom ramen för en professionell IT-forensisk undersökning analyseras papperskorgen aldrig isolerat. Först genom att korrelera den med andra artefakter, såsom Master File Table (MFT), USN-journalen, Windows-registret, händelseloggar och LNK-filer, blir det möjligt att göra en tillförlitlig teknisk bedömning.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Vi analyserar objekt i papperskorgen, rekonstruerar raderingsprocesser och kopplar samman resultaten med andra digitala spår. Alla steg i utredningen dokumenteras på ett överskådligt sätt.

Typiska användningsområden

•Återställning av raderade filer
•Datastöld
•Utredning av anklagelser om manipulation
•Incidenthantering
•Förfaranden enligt arbetsrätten
•Rättsliga utlåtanden

Så här går en teknisk undersökning av papperskorgen till

Efter att en forensisk avbildning har skapats analyseras de relevanta artefakterna i papperskorgen. Därefter görs en korrelation med ytterligare Windows-artefakter för att kunna placera raderingshändelserna i tid och ur teknisk synvinkel.

Varför är papperskorgen viktig ur ett kriminaltekniskt perspektiv?

De metadata som lagras i papperskorgen kan ge värdefulla ledtrådar om raderingsprocesser. Deras informativitet framgår dock först genom en samlad utvärdering av alla relevanta artefakter i det undersökta systemet.

Vanliga frågor

Vilken information finns i papperskorgen i Windows?+
Bland annat metadata om den ursprungliga lagringsplatsen, filstorleken och tidpunkten för raderingen.
Kommer det ursprungliga systemet att undersökas?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Kan papperskorgar som redan har tömts undersökas?+
Beroende på vilka data som finns tillgängliga kan ytterligare artefakter eller spår i filsystemet ge ytterligare ledtrådar.
Räcker det med en analys av papperskorgen för att utfärda ett utlåtande?+
Nej. Den utvärderas alltid tillsammans med andra Windows-artefakter.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows-papperskorgen eller andra Windows-artefakter? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett rättsligt godtagbart sätt samt med att objektivt utvärdera komplexa Windows-system.

Kontakta oss nu