👣 Форензика: Ваш цифровой след

• В этой статье мы поговорим о методах поиска информации в операционной системе #Windows — с целью выявления различных инцидентов. Это сведения о пользователях и входах, базовой информации системы, сетевом подключении, а также о восстановлении удаленных файлов, просмотрe открывавшихся документов, выявлении подключавшихся к компьютеру флешек и т. д. — данные, позволяющие установить факты нарушения безопасности или несанкционированного доступа. Затронем также тему этики при проведении экспертиз такого рода:

➡ Читать статью [17 min].

#Форензика

🔎 Форензика.

• Любая наука склонна делиться на более мелкие темы. Давайте прикинем, на какие классификации делится форензика, а в самом конце поста Вы найдете ссылки на два полезных репозитория, которые содержат в себе учебный материал для изучения каждого направления:

1⃣ Computer forensics — к ней относится все, что связано с поиском артефактов взлома на локальной машине: анализ RAM, HDD, реестра, журналов ОС и так далее;

2⃣ Network forensics — как понятно из названия, имеет отношение к расследованиям в области сетевого стека — например, дампу и парсингу сетевого трафика для выявления таких интересных вещей, как RAT, reverse shell, backdoor-туннели и тому подобное;

3⃣ Forensic data analysis — посвящена анализу файлов, структур данных и бинарных последовательностей, оставшихся после атаки или использовавшихся при вторжении.

4⃣Mobile device forensics — занимается всем, что касается особенностей извлечения данных из Android и iOS.

5⃣ Hardware forensic — экспертиза аппаратного обеспечения и технических устройств. Это направление наименее популярно и наиболее сложно. Сюда входит разбор данных на низком уровне (микроконтроллера, прошивки или BIOS), ресерч специфических особенностей работы устройства, к примеру диапазона частот работы Wi-Fi-передатчика или внутреннего устройства скиммера, устанавливаемого на банкоматы.

• Для изучения данной науки я предлагаю обратить внимание на несколько репозиториев, в которых собраны инструменты, книги, руководства и другой полезный материал:

- Adversary Emulation;
- All-In-One Tools;
- Books;
- Communities;
- Disk Image Creation Tools;
- Evidence Collection;
- Incident Management;
- Knowledge Bases;
- Linux Distributions;
- Linux Evidence Collection;
- Log Analysis Tools;
- Memory Analysis Tools;
- Memory Imaging Tools;
- OSX Evidence Collection;
- Other Lists;
- Other Tools;
- Playbooks;
- Process Dump Tools;
- Sandboxing/Reversing Tools;
- Scanner Tools;
- Timeline Tools;
- Videos;
- Windows Evidence Collection.

➡ https://github.com/mikeroyal/Digital-Forensics-Guide
➡ https://github.com/Correia-jpv/fucking-awesome-incident-response

#Форензика

👨‍💻 Attack methods for Windows Active Directory.

• Этот репозиторий содержит информацию о методах, которые используются для атак Windows Active Directory. Материал постоянно обновляется и поддерживается автором в актуальном состоянии. Обязательно добавляйте в закладки и используйте на практике:

• Pre-requisites;
• PowerShell AMSI Bypass;
• PowerShell Bypass Execution Policy;
• Evasion and obfuscation with PowerShellArmoury;
• Windows Defender;
• Remote Desktop;
- Enable Remote Desktop;
- Login with remote desktop;
- Login with remote desktop with folder sharing;
• Enumeration;
- Users Enumeration;
- Domain Admins Enumeration;
- Computers Enumeration;
- Groups and Members Enumeration;
- Shares Enumeration;
- OUI and GPO Enumeration;
- ACLs Enumeration;
- Domain Trust Mapping;
- Domain Forest Enumeration;
- User Hunting;
- Enumeration with BloodHound;
- Gui-graph Queries;
- Console Queries;
• Local Privilege Escalation;
• Lateral Movement;
• Persistence;
- Golden Ticket;
- Silver Ticket;
- Skeleton Key;
- DCSync;
• Privilege Escalation;
- Kerberoast;
- Targeted Kerberoasting AS REPs;
- Targeted Kerberoasting Set SPN;
- Kerberos Delegation;
- Unconstrained Delegation;
- Printer Bug;
- Constrained Delegation;
- Child to Parent using Trust Tickets;
- Child to Parent using Krbtgt Hash;
- Across Forest using Trust Tickets;
- GenericAll Abused;
• Trust Abuse MSSQL Servers;
• Forest Persistence DCShadow.

#Пентест #AD

👩‍💻 Win11Debloat.

• Очень полезный PowerShell скрипт, который поможет вырезать весь мусор и ускорить Ваш Windows. Возможности:

— Удалить все бесполезные приложения, которые замедляют ОС;
— Отключить рекламу в меню Пуск;
— Вернуть панель задач из Windows 10;
— Вырубить телеметрию и сбор данных;
— Убрать бессмысленные опции в контекстном меню;
— Вырезать Кортану, Copilot и Bing.

• Работает на Windows 11 и 10. Если какие-то изменения не подходят — их легко откатить. Забираем с GitHub:

➡️ https://github.com/Raphire/Win11Debloat

#PowerShell #Windows

• the art of command line - невероятно полезный гайд по использованию командной строки в Linux, к которому приложили руку множество авторов и переводчиков. Еще здесь есть разделы про Windows и macOS, а также универсальные советы, применимые для операционных систем на базе UNIX. Подходит как для новичков, так и для опытных специалистов. Гайд опубликован на разных языках, включая русский.

➡Описание;
➡Основы;
➡Ежедневное использование;
➡Процессинг файлов и информации;
➡Системный дебаггинг;
➡В одну строчку;
➡Сложно, но полезно;
➡MacOS only;
➡Windows only;
➡Больше информации по теме;
➡Дисклеймер.

➡️ https://github.com/jlevy/the-art-of-command-line

#Linux #CLI

• Приходилось ли вам устанавливать современные версии Windows? Если да, то вам точно знаком установщик, каждый этап которого прогружается несколько секунд, и который яростно навязывает вам использование аккаунта Microsoft, с каждым обновлением делая использование локального аккаунта всё труднее и труднее.

• Но существует альтернативный способ установить Windows — более быстрый, не требующий подключения к интернету и не навязывающий никаких сервисов — ручная установка с использованием CMD.

• Если описать кратко, процесс состоит из следующих частей:

➡Загрузка с установочного носителя;
➡Ручная разметка диска;
➡Применение WIM-образа;
➡Установка загрузчика;
➡Шаманство с реестром;
➡Первая перезагрузка, запуск с жёсткого диска;
➡Запуск процесса «развёртывания» (deploy) системы;
➡Создание пользователя;
➡Ещё немного возни с реестром и две перезагрузки;
➡PROFIT!

• Этот способ может показаться сложным, но, на самом деле, если сравнить его с установкой через графический интерфейс, окажется, что он требует выполнения даже меньшего количества действий и времени, чем «нормальная» установка. Также этот способ можно легко автоматизировать при помощи, например, bat - файлов, не прибегая к изучению сложного синтаксиса файла unattend.xml

➡️ https://habr.com/ru/articles/922666/

#Разное #Windows

• Представьте, что вам нужно быстро перебросить файлы (фильмы, софт, игры, рабочие файлы) с компьютера на телефоны и планшеты. Хранилище телефона можно использовать как резервный внешний диск или как «беспроводную» флешку, которая работает по Wi-Fi. Да, вы можете это сделать через различные веб-сервисы или отправить себе в телегу, но этот процесс можно ускорить и избавиться от подключения к интернету. То есть файлы будут передаваться напрямую между устройствами, как Apple AirDrop, только лучше.

• LocalSend - эта тулза создана как раз для этого: передачи файлов и сообщений между устройствами в локальной сети без использования интернета. Есть версии под Windows, macOS, Linux, Android (Play Store, F-Droid, APK) и iOS. Большой набор поддерживаемых платформ и способов распространения — одно из главных преимуществ программы. То есть тулза поддерживает прямую передачу файлов даже между смартфонами iPhone и Android, на что не способен стандартный AirDrop.

• Что касается безопасности, то вся коммуникация осуществляется по проприетарному протоколу LocalSend Protocol v2.1 через REST API, все данные передаются по HTTPS, для каждого устройства на лету генерируется сертификат TLS/SSL.

• Кроме отдельных файлов, поддерживается отправка целиком папки, текста или содержимого буфера обмена. Скорость передачи ограничена максимальной скоростью сетевых интерфейсов в локальной сети на маршруте передачи (сетевая карта ПК — маршрутизатор — смартфон), а также дополнительными настройками. Есть опция рассылки на несколько устройств в локальной сети (смартфоны, планшеты, ноутбуки), что очень удобно, если у вас большая семья, а вы хотите быстро поделиться файлами со всеми.

➡️ https://github.com/localsend/localsend

#Tools

• Вот вам немного занимательного оффтопа: Рэймонд Чен, инженер‑ветеран Microsoft, более трёх десятилетий участвующий в развитии Windows, с 2003 года ведёт популярный технический блог The Old New Thing. Чен регулярно публикует в нём короткие истории о внутренней кухне Windows.

• На этот раз он объяснил, почему Microsoft перешла на обозначения «H1» и «H2» в названиях полугодовых релизов Windows. Если честно, то я никогда даже не задумывался на эту тему...

• Наверняка вы понимаете, что «H» означает «half» (половина). Однако до 2019 года обновления называли «весенними» и «осенними», к примеру 2017 Fall Creators Update или 2018 Spring Update. Зачем было менять?

• А всё дело в том, что не везде сначала идёт весна, а затем осень. В Южном полушарии Земли всё наоборот, не так, как у нас: в декабре начинается лето, в марте — осень, ну а в июне будет зима, за которой следует весенний сезон с сентября по ноябрь. Поэтому сразу возникает вопрос: «весеннее обновление» — это когда?

• Это очень базовый географический факт, но вопрос вообще интересный. Если задуматься, то вся основная современная цивилизация развилась именно в Северном полушарии — отсюда и нормы речи. Более того, про южнополушарцев легко забыть и без этого: там живёт всего 10–12 % мирового населения, поскольку там меньше пятой части суши, и значительную площадь занимают океаны.

• В Microsoft про такие базовые соображения о географии вспомнили далеко не сразу. На одном из общекорпоративных собраний топ-менеджер задал вопрос о возможных бессознательных предубеждениях. Один из коллег Чена поднял руку. Имя Рэймонд не приводит, но замечает, что этот сотрудник вырос в Южном полушарии Земли. Разработчик озвучил факт о северополушарной предвзятости.

• «Сезонные» названия заменили на нейтральные «H1» и «H2» уже на следующий день.

➡️ https://devblogs.microsoft.com/oldnewthing

#Оффтоп #Разное #Windows

• Немного занимательного оффтопа: я уже рассказывал вам про Рэймонда Чена, инженера из Microsoft, который более трёх десятилетий участвует в развитии Windows! В его блоге вышла интересная статья, в которой описано, почему WinHelp в Windows 3.0 называли «онлайн-справкой», хотя она работала офлайн.

• Скажу честно, я иногда действительно задавался этим вопросом, особенно когда случайно нажимал на эту кнопку, но не до такой степени, чтобы гуглить ответ. Однако, несколько дней назад, в блоге Рэймонда появилась информация, которая как раз и раскрывает причину такого названия:

• Дело в том, что «онлайн-справка» в Windows 3.0 появилась раньше, чем интернет стал общедоступным, и работала, даже если компьютер не был подключён к какой-либо другой сети.

• Термин «онлайн» сперва означал «доступный на компьютере в данный момент». Таким образом, «онлайн»-файлами считались все, к которым можно получить доступ прямо сейчас, а «офлайн»-файлы — это те, которые были заархивированы на ленте, и для доступа к которым потребовалось бы некоторое время. Термин «онлайн-справка» означает, что файлы справки находятся в свободном доступе на компьютере пользователя.

• Тем временем компьютер, к которому можно было подключиться через сеть или другое удалённое соединение, обычно называли «включённым» и «доступным в автономном режиме». Второй термин поначалу может показаться непонятным, но он описывает состояние компьютера по отношению к другим системам в сети и указывает на то, что он доступен для запросов на подключение от других ПК. Это объясняет парадокс фразы «онлайн-справка доступна офлайн» — термины «онлайн» и «офлайн» относятся к разным вещам. Во фразе «онлайн-справка» речь идёт о файлах, к которым легко получить доступ на компьютере, а фраза «доступно офлайн» относится к самому компьютеру. Буквально это означает «компьютер не подключен к сети (по отношению к другим компьютерам), а служба поддержки доступна (на компьютере пользователя)».

• Теперь, когда многие системы перенесли файлы справки на веб-сайты, у пользователей есть онлайн-справка, которая недоступна в автономном режиме. Такие вот дела...

➡️ https://devblogs.microsoft.com/WinHelp

#Оффтоп #Разное #Windows

• Сегодня, 14 октября 2025 года, Microsoft официально прекратила поддержку всех редакций Windows 10 (Home, Pro, Enterprise и Education), кроме LTSC. Также в этот день заканчивается поддержка MS Office 2016 и MS Office 2019 на всех операционных системах.

• Microsoft Windows 10 вышла 29 июля 2015 года. Дата окончания поддержки Windows 10 стала известна ещё в июне 2021 года. Последней версией Windows 10 стала версия 22H2, выпущенная в сентябре 2022 года.

• Ушла эпоха... 🫡

#Windows #Разное

• Нашел интересную историю от Реймонда Чена (разработчика из Microsoft). Оказывается, что в Microsoft была специальная "тележка смерти" с USB-устройствами, вызывающими ВSoD, для тестирования и доработки ранних версий Windows.

• Сама тележка включала более 60 последовательно подключённых USB-устройств разных типов и функций. Как правило, ПК после подключения к ней выдавали «синий экран смерти».

• Чен отметил, что с появлением USB и поддержки стандарта в Windows было важно обеспечить надёжность работы технологии. Тестовая тележка включала три мыши, четыре клавиатуры, принтеры, диски и различные USB-периферийные устройства.

• Тележку привозили в офис разработчика и подключали к тестируемому компьютеру. При этом ПК либо сразу выдавал ВSoD, либо ошибка возникала при случайном подключении и отключении тележки. После этого разработчики занимались отладкой упавших компьютеров.

• Вероятнее всего, такая тележка была придумана после презентации Windows 98. Когда Win 98 все еще находилась в разработке, но до релиза оставалось несколько недель. Компания привезла тестовую сборку OC на выставку COMDEX, где соучредитель и генеральный директор Microsoft Билл Гейтс и его помощник Крис Капоссела демонстрировали возможности новой системы. Тогда Гейтс и Капоссела начали показывать работу функции Plug and Play (простое подключение периферийных устройств к ПК), но что-то пошло не так и система выдала "синий экран смерти". Билл и Крис не растерялись и начали шутить, глава Microsoft сказал:

«Должно быть, поэтому мы еще не выпустили Windows 98».

➡️ https://www.reddit.com/windows_crashes

#Windows #Разное

⚙️ Оказывается, что пользователи Ubuntu имеют возможность запустить виртуальную машину с Ubuntu практически с помощью одной команды. Реализовано это в рамках проекта Multipass (облегчённый менеджер виртуальных машин).

• Выглядит максимально просто и удобно, особенно с учётом того, что работает и в Linux, и в Windows, и в MacOS, с использованием KVM и Hyper-V соответственно. Сами виртуалки, при необходимости, можно сконфигурировать с помощью cloud-init.

• Кстати, ранее Multipass был опубликован под лицензией GNU GPLv3, но не весь инструмент был опубликован с открытым исходным кодом. Были некоторые части кода для Windows и macOS, которые до этого момента были проприетарными, но теперь интегрированы в открытую кодовую базу Multipass.

➡️ GitHub.
➡️ Сайт проекта.

#Linux #Windows #macOS #Multipass

⚙️ Mido - очень простой скрипт, который позволяет скачать образ Windows используя api Microsoft. Пригодится для ситуаций, когда образ системы нужен, а разбираться с регистрацией, поиском нужной загрузки и вот этим вот всем не хочется...

➡️ https://github.com/ElliotKillick/Mido

#Windows

• Sophia Script for Windows - самый мощный PowerShell-модуль, который содержит более 150 уникальных функций для тонкой настройки Windows с использованием официально задокументированных методов Microsoft без вреда системе. Каждая настройка имеет соответствующую функцию для восстановления значений по умолчанию.

• Проект с полностью открытым исходным кодом. Более 1.1 млн. скачиваний и 9000 звёзд на GitHub.

➡️ Подробное описание и вся необходимая документация написаны на русском языке.

#Tools #Windows

🪟 Windows 2000.

• 26 лет назад, 17 февраля 2000 года, Microsoft официально выпустила операционную систему, которую до сих пор многие ИТ-специалисты и энтузиасты вспоминают с особой теплотой - Windows 2000. Кстати, для кого-то это первая серьезная система, которую довелось администрировать, ведь именно в ней впервые появилась Active Directory. Но, обо всем по порядку...

• В то время пользователи домашних ОС постоянно мучались с синими экранами Windows 98 и мистическими ошибками Windows Mе, эта система предлагала нечто революционное - стабильность. В свое время она не только стала спасательным кругом для бизнеса, но и заложила тот самый фундамент, на котором сегодня стоит современная "винда".

• Чтобы по-настоящему оценить феноменальную стабильность Windows 2000, нужно вспомнить, с чем ей пришлось конкурировать. Синий экран в Windows 98 был не какой-то досадной ошибкой, а чем-то абсолютно бытовым, обыденным, таким же привычным элементом интерфейса, как кнопка "Пуск". Перезагрузки по три раза на дню, конфликты dll, необходимость регулярно переустанавливать систему с нуля - всё это было привычно пользователю Windows того времени.

• Апофеозом нестабильности до сих пор считается Windows Me, выпущенная всего через несколько месяцев после "двухтысячной". Ее критиковали все - обозреватели, айтишники и обычные пользователи. Называли перегруженной, медленной и чудовищно капризной.

• На этом фоне Windows 2000 выглядела оплотом стабильности, работая при этом на том же самом железе, что и ее глючные собратья. В то время Microsoft отлично понимала, что продает не просто ОС, а "лекарство от головной боли" пользователей, и вовсю использовала это в маркетинге.

• Windows 2000 вышла в четырёх редакциях, каждая из которых занимала свою нишу: Professional для рабочих станций, Server, Advanced Server и Datacenter Server для серверов разного масштаба. Именно Professional, ориентированная на корпоративные десктопы, стала самой популярной и массовой. При этом каждая из этих версий предлагала такой набор новшеств, что переход на неё выглядел привлекательным как для консервативных пользователей Windows NT 4.0, так и для тех, кто сидел на Windows 98.

• Microsoft проделала огромную работу по сближению двух своих платформ. Интерфейс Windows 2000 унаследовал многие черты Windows 98, что делало её привычной для тех, кто привык к той ОС. Но главное - система наконец-то получила полноценную поддержку ключевых технологий того времени: USB, Active Desktop, файловых систем NTFS 3.0 и FAT32. А главный подарок для всех - встроенная поддержка DirectX. На стабильной NT-платформе запускалась большая часть современных тогда игр, что стирало грань между "игрушечной" домашней и "серьезной" профессиональной системой.

• Многие функции, без которых сегодня немыслима современная Windows, дебютировали именно в Windows 2000:

➡Установщик Microsoft - впервые предложил единый, предсказуемый механизм для установки и удаления программ.
➡Защита системных файлов - система наконец-то научилась защищать свои критически важные файлы от перезаписи и повреждения случайным ПО.
➡Консоль управления Microsoft - унифицированный интерфейс для администрирования системы.
➡Консоль восстановления - инструмент для реанимации системы после сбоев.
➡Active Directory - решение для управления сетевыми ресурсами в доменах.

• Критики на старте ругали систему за неидеальную поддержку некоторых драйверов. Но, по сравнению с Windows NT 4.0, которая была крайне избирательна к "железу", Windows 2000 демонстрировала невероятный шаг вперед. Она работала с огромным массивом периферии, звуковых и графических карт, что делало её первой по-настоящему массовой и универсальной NT-системой - и не только для офисов, но и для дома.

• Годы борьбы с хаотичными падениями Windows 98 и откровенно сырой Windows Me сделали своё дело. Windows 2000 просто хорошо работала. И этот опыт "просто работающей" ОС в конечном счете воспитал поколение пользователей, которые уже не хотели возвращаться к чему-то менее стабильному, заложив фундамент для грядущего триумфа Windows XP.

#Разное #Windows