Communitygithub.com

Forensische Analyse von Festplattenabbildern mit Autopsy

Führen Sie umfassende forensische Analysen von Roh-(dd), E01- oder AFF-Datenträgerabbildern mit Autopsy und The Sleuth Kit durch, stellen Sie gelöschte Dateien wieder her, untersuchen Sie Metadaten und eingebettete Artefakte, führen Sie Stichwortsuchen durch und erstellen Sie Untersuchungszeitpläne mit visuellen Berichten.

Was ist Forensische Analyse von Festplattenabbildern mit Autopsy?

Dieses Skill ermöglicht die strukturierte forensische Analyse von Datenträgerabbildern (raw/dd, E01, AFF) mithilfe der Open-Source-Tools **Autopsy** (grafische Oberfläche) und **The Sleuth Kit** (Kommandozeilen-Toolkit). Es deckt den gesamten Workflow ab: von der Installation und Konfiguration über die Aufnahme des Abbilds, die Analyse von Dateisystemen und die Wiederherstellung gelöschter Dateien bis hin zur Erstellung von Zeitachsen und Berichten. Der Benutzer kann Ingest-Module für verschiedene Arten der Analyse aktivieren (z. B. Browserverlauf, Hash-Abgleich, Metadaten-Extraktion, Virenprüfung) und sowohl über die GUI als auch über die CLI auf das Abbild zugreifen. Das Skill erklärt detailliert die Verwendung von `fls`, `icat`, `istat` und weiteren Befehlen zur gezielten Untersuchung von Dateien und Ordnern. Es eignet sich besonders für Ermittler und Forensiker, die nicht nur technische Details extrahieren, sondern auch nachvollziehbare, visuelle Berichte für nicht-technische Beteiligte erstellen müssen. Die Schritt-für-Schritt-Anleitung berücksichtigt Plattformen wie Windows und Linux und setzt Grundkenntnisse in der Forensik voraus.

Funktioniert mit~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/main/skills/analyzing-disk-image-with-autopsy
Original anzeigen→Alle Skills durchsuchen

In Ihrer bevorzugten KI fragen

Öffnet einen neuen Chat, in dem dieser Agent-Skill bereits geladen ist.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Dokumentation

Analyse eines Datenträger-Images mit Autopsy

Wann anwenden

  • Wenn Sie ein forensisches Datenträgerabbild haben und eine strukturierte Analyse seines Inhalts benötigen
  • Bei Untersuchungen, die Dateiwiederherstellung, Stichwortsuche und Zeitachsenanalyse erfordern
  • Wenn nicht-technische Beteiligte visuelle Berichte aus forensischen Beweismitteln benötigen
  • Zur Untersuchung von Dateisystem-Metadaten, gelöschten Dateien und eingebetteten Artefakten
  • Beim Aufbau eines umfassenden Falls aus mehreren Datenträgerabbildern

Voraussetzungen

  • Autopsy 4.x installiert (Windows) oder Autopsy 4.x mit The Sleuth Kit (Linux)
  • Forensisches Datenträgerabbild im raw (dd), E01 (EnCase) oder AFF Format
  • Mindestens 8 GB RAM (16 GB empfohlen für große Images)
  • Java Runtime Environment (JRE) 8+ für Autopsy
  • Ausreichend Speicherplatz für die Autopsy-Falldatenbank (2-3x die Imagegröße)
  • Hash-Datenbanken (NSRL, bekannter-Malware-Hashes) zur Dateiidentifikation

Arbeitsablauf

Schritt 1: Autopsy installieren und Umgebung konfigurieren

# Unter Linux: Sleuth Kit und Autopsy installieren
sudo apt-get install autopsy sleuthkit

# Autopsy 4.x (GUI-Version) von der offiziellen Quelle herunterladen
wget https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.21.0/autopsy-4.21.0.zip
unzip autopsy-4.21.0.zip -d /opt/autopsy

# Unter Windows: MSI-Installer von sleuthkit.org ausführen
# Autopsy starten
/opt/autopsy/bin/autopsy --nosplash

# Für Sleuth Kit Befehlszeilenanalyse parallel zu Autopsy
sudo apt-get install sleuthkit

Schritt 2: Neuen Fall erstellen und Datenträgerabbild hinzufügen

1. Autopsy starten > "Neuer Fall"
2. Fallname eingeben: "CASE-2024-001-Workstation"
3. Basisverzeichnis festlegen: /cases/case-2024-001/autopsy/
4. Fallnummer, Name des Prüfers eingeben
5. Auf "Datenquelle hinzufügen" klicken
6. "Datenträgerabbild oder VM-Datei" auswählen
7. Navigieren zu: /cases/case-2024-001/images/evidence.dd
8. Zeitzone des ursprünglichen Systems auswählen
9. Erfassungsmodule konfigurieren (siehe Schritt 3)

# Alternativ: Mit Sleuth Kit CLI das Image zuerst überprüfen
img_stat /cases/case-2024-001/images/evidence.dd

# Partitionen im Image auflisten
mmls /cases/case-2024-001/images/evidence.dd

# Beispielausgabe:
# DOS Partition Table
# Offset Sector: 0
# Units are in 512-byte sectors
#      Slot    Start        End          Length       Description
#      00:  -----   0000000000   0000002047   0000002048   Primary Table (#0)
#      01:  00:00   0000002048   0001026047   0001024000   NTFS (0x07)
#      02:  00:01   0001026048   0976771071   0975745024   NTFS (0x07)

# Dateien in einer Partition auflisten (Offset 2048 Sektoren)
fls -o 2048 /cases/case-2024-001/images/evidence.dd

Schritt 3: Erfassungsmodule konfigurieren und ausführen

Folgende Autopsy-Erfassungsmodule aktivieren:
- Letzte Aktivität: Extrahiert Browserverlauf, Downloads, Cookies, Lesezeichen
- Hash-Suche: Vergleicht Dateien mit NSRL und bekannt-Malware-Hash-Sets
- Dateityp-Identifikation: Identifiziert Dateien anhand der Signatur, nicht der Erweiterung
- Stichwortsuche: Indiziert Inhalt für Volltextsuche
- E-Mail-Parser: Extrahiert E-Mails aus PST, MBOX, EML-Dateien
- Erkennung von Erweiterungsfehlzuordnungen: Findet Dateien mit falschen Erweiterungen
- Exif-Parser: Extrahiert Metadaten aus Bildern (GPS, Kamera, Zeitstempel)
- Verschlüsselungserkennung: Identifiziert verschlüsselte Dateien und Container
- Interessante-Dateien-Identifikator: Markiert Dateien, die benutzerdefinierten Regelsätzen entsprechen
- Extraktor für eingebettete Dateien: Extrahiert Dateien aus ZIP, Office-Dokumenten, PDFs
- Bildanalysator: Kategorisiert Bilder mittels PhotoDNA oder Hash-Vergleich
- Datenquellenintegrität: Überprüft den Image-Hash während der Erfassung

# NSRL-Hash-Set für Filterung bekannter-guter Dateien konfigurieren
# NSRL von https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl herunterladen
wget https://s3.amazonaws.com/rds.nsrl.nist.gov/RDS/current/rds_modernm.zip
unzip rds_modernm.zip -d /opt/autopsy/hashsets/

# In Autopsy importieren:
# Tools > Optionen > Hash-Sets > Importieren > NSRLFile.txt auswählen
# Als "Bekannt" markieren (um bekannte-gute Dateien auszufiltern)

Schritt 4: Dateisystem analysieren und gelöschte Dateien wiederherstellen

# In der Autopsy-GUI: Baumstruktur navigieren
# - Datenquellen > evidence.dd > vol2 (NTFS)
# - Verzeichnisbaum untersuchen, gelöschte Dateien beachten (mit X markiert)

# Mit Sleuth Kit CLI für gezielte Wiederherstellung
# Gelöschte Dateien auflisten
fls -rd -o 2048 /cases/case-2024-001/images/evidence.dd

# Eine bestimmte gelöschte Datei anhand des Inode wiederherstellen
icat -o 2048 /cases/case-2024-001/images/evidence.dd 14523 > /cases/case-2024-001/recovered/deleted_document.docx

# Alle Dateien aus einem Verzeichnis extrahieren
tsk_recover -o 2048 -d /Users/suspect/Documents \
   /cases/case-2024-001/images/evidence.dd \
   /cases/case-2024-001/recovered/documents/

# Detaillierte Dateimetadaten abrufen
istat -o 2048 /cases/case-2024-001/images/evidence.dd 14523
# Zeigt: Erstellungs-, Änderungs-, Zugriffs-, MFT-Änderungszeitstempel, Größe, Datenläufe

Schritt 5: Stichwortsuchen durchführen und Beweise markieren

In Autopsy:
1. Stichwortsuch-Panel > "Ad-hoc-Stichwortsuche"
2. Suchbegriffe: Kreditkartenmuster, SSN-Regex, E-Mail-Adressen
3. Beispiel-Regex für Kreditkarten: \b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b
4. Beispiel-Regex für SSN: \b\d{3}-\d{2}-\d{4}\b
5. Ergebnisse überprüfen > Rechtsklick auf Elemente > "Tag hinzufügen"
6. Tags erstellen: "Beweis-Kritisch", "Beweis-Unterstützend", "Erfordert-Prüfung"
7. Kommentare zu getaggten Elementen hinzufügen, die die Relevanz dokumentieren

# Mit Sleuth Kit für CLI-Stichwortsuche
srch_strings -a -o 2048 /cases/case-2024-001/images/evidence.dd | \
   grep -iE '(password|secret|confidential)' > /cases/case-2024-001/keyword_hits.txt

# Nach bestimmten Dateisignaturen suchen
sigfind -o 2048 /cases/case-2024-001/images/evidence.dd 25504446
# 25504446 = %PDF-Headersignatur

Schritt 6: Zeitachse erstellen und Berichte generieren

In Autopsy:
1. Zeitachsen-Viewer: Tools > Zeitachse
2. Gewünschten Datumsbereich auswählen (Vorfallzeitfenster)
3. Nach Ereignistyp filtern: Datei erstellt, geändert, zugegriffen, Webaktivität
4. In verdächtige Zeiträume hineinzoomen
5. Zeitachsenereignisse als CSV exportieren für externe Analyse

Bericht generieren:
1. Bericht generieren > HTML-Bericht
2. Markierte Elemente und Datenquellen auswählen, die einbezogen werden sollen
3. Berichtsabschnitte konfigurieren: Dateilisten, Stichworttreffer, Zeitachse
4. Exportieren nach /cases/case-2024-001/reports/

# Mit Sleuth Kit mactime für CLI-Zeitachse
fls -r -m "/" -o 2048 /cases/case-2024-001/images/evidence.dd > /cases/case-2024-001/bodyfile.txt

# Zeitachse aus bodyfile generieren
mactime -b /cases/case-2024-001/bodyfile.txt -d > /cases/case-2024-001/timeline.csv

# Zeitachse auf bestimmten Datumsbereich filtern
mactime -b /cases/case-2024-001/bodyfile.txt \
   -d 2024-01-15..2024-01-20 > /cases/case-2024-001/incident_timeline.csv

Schlüsselkonzepte

KonzeptBeschreibung
ErfassungsmoduleAutomatisierte Analyse-Plugins, die Datenquellen beim Import verarbeiten
MFT (Master File Table)NTFS-Metadatenstruktur, die alle Dateieinträge und -attribute aufzeichnet
Datei-CarvingWiederherstellung von Dateien aus nicht zugewiesenem Speicherplatz mittels Dateisignaturen
Hash-FilterungVerwendung von NSRL oder benutzerdefinierten Hash-Sets, um bekannte-gute auszuschließen oder bekannt-schlechte zu markieren
ZeitachsenanalyseChronologische Rekonstruktion von Dateisystem- und Benutzeraktivitätsereignissen
Wiederherstellung gelöschter DateienWiederherstellung von Dateien, deren Verzeichniseinträge entfernt wurden, deren Daten aber noch vorhanden sind
Stichwort-IndizierungVolltextsuchindex, der aus dem gesamten Dateiinhalt einschließlich Slack-Space erstellt wird
Artefakt-ExtraktionAutomatisierte Analyse von Browser-, E-Mail-, Registry- und betriebssystemspezifischen Artefakten

Werkzeuge und Systeme

WerkzeugZweck
AutopsyOpen-Source-GUI-Forensikplattform zur Analyse von Datenträgerabbildern
The Sleuth Kit (TSK)Befehlszeilen-Forensik-Toolkit, das Autopsy zugrunde liegt
flsListet Dateien und Verzeichnisse in einem Datenträgerabbild auf, einschließlich gelöschter Einträge
icatExtrahiert Dateiinhalt anhand der Inode-Nummer aus einem Datenträgerabbild
mactimeGeneriert Zeitachse aus TSK-Bodyfile-Format
mmlsZeigt Partitionslayout eines Datenträgerabbilds an
NSRLNIST-Hash-Datenbank zur Identifizierung bekannter Software-Dateien
sigfindSucht nach Dateisignaturen auf Sektorebene

Häufige Szenarien

Szenario 1: Untersuchung von Mitarbeiter-Datendiebstahl Mitarbeiter-Workstation-Image importieren, alle Erfassungsmodule ausführen, nach firmenvertraulichen Dateinamen und Stichwörtern suchen, USB-Verbindungsartefakte in "Letzte Aktivität" untersuchen, Cloud-Speicher-Client-Artefakte prüfen, gelöschte Dateien auf Hinweise auf Datenbereitstellung überprüfen, HTML-Bericht für das Rechtsteam generieren.

Szenario 2: Forensik bei Malware-Infektion Image des kompromittierten Systems hinzufügen, Module für Erweiterungsfehlzuordnung und Verschlüsselungserkennung aktivieren, Prefetch-Verzeichnis auf Ausführungsnachweise untersuchen, nach bekannten Malware-Hashes suchen, Zeitachse um das Infektionsfenster herum erstellen, verdächtige ausführbare Dateien zur weiteren Analyse in einer Sandbox extrahieren.

Szenario 3: Untersuchung von Material mit sexuellem Kindesmissbrauch (CSAM) Image mit aktivierten PhotoDNA- und Project VIC-Hash-Sets importieren, Bildanalysator-Modul ausführen, alle Bilddateien gegen bekannt-schlechte Datenbanken hashen, Übereinstimmungen nach Schweregrad markieren und kategorisieren, Strafverfolgungsbericht mit Dokumentation der Beweismittelkette erstellen.

Szenario 4: Streit um geistiges Eigentum Mehrere Mitarbeiter-Datenträgerabbilder als separate Datenquellen in einem Fall importieren, Stichwortsuchen nach proprietären Begriffen und Projektnamen durchführen, Datei-Hashes zwischen Quellen vergleichen, Zeitachse mit Dateizugriffs- und -übertragungsmustern erstellen, Beweise für rechtliche Prüfung exportieren.

Ausgabeformat

Autopsy-Fallanalyse-Zusammenfassung:
  Fall:           CASE-2024-001-Workstation
  Image:          evidence.dd (500GB NTFS)
  Partitionen:     2 (System reserviert + Primär)
  Gesamtdateien:    245.832
  Gelöschte Dateien:  12.456 (wiederherstellbar: 8.234)

  Erfassungsergebnisse:
    Hash-Übereinstimmungen (bekannt schlecht):  3 Dateien
    Erweiterungsfehlzuordnungen:                 17 Dateien
    Stichworttreffer:              234 in 45 Dateien
    Verschlüsselte Dateien:           5 Container erkannt
    EXIF-Daten extrahiert:       1.245 Bilder mit Metadaten

  Markierte Beweise:
    Kritisch:     12 Elemente
    Unterstützend:   34 Elemente
    Prüfung:       67 Elemente

  Zeitachsenereignisse:  1.234.567 Einträge (gefiltert auf Vorfallfenster: 892)
  Bericht:          /cases/case-2024-001/reports/autopsy_report.html

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

abusing-dpapi-for-credential-access

Extract and decrypt Windows DPAPI-protected secrets (Credential Manager, browser logins/cookies, Wi-Fi credentials, KeePass keys) online or offline using SharpDPAPI, SharpChrome, Mimikatz, or Impacket

abusing-shadow-credentials-for-privesc

Take over Active Directory accounts by writing attacker-controlled public keys to msDS-KeyCredentialLink (Shadow Credentials) with pyWhisker, Whisker, or Certipy, then authenticate via PKINIT to recover the target

achieving-cmmc-level-2-compliance

>-

acquiring-disk-image-with-dd-and-dcfldd

Create forensically sound bit-for-bit disk images with dd or dcfldd on a Linux forensic workstation, preserving evidence integrity through hash verification (MD5/SHA) during acquisition. Use when imaging a suspect drive, USB device, or memory card for investigation, preserving volatile disk evidence during incident response, or producing a verified copy for legal or law-enforcement proceedings before any destructive analysis.

analyzing-active-directory-acl-abuse

Detect dangerous ACL misconfigurations in Active Directory using ldap3

analyzing-android-malware-with-apktool

Perform static analysis of Android APK malware using apktool for resource decompilation, jadx for Java source recovery, and androguard for manifest inspection, dangerous permission-combination detection, and identification of obfuscated code, dynamic code loading, and reflection-based API calls. Use to statically triage a suspicious APK without executing it or to build mobile malware detection rules.

analyzing-api-gateway-access-logs

Parses API Gateway access logs (AWS API Gateway, Kong, Nginx) to detect

analyzing-apt-group-with-mitre-navigator

Query ATT&CK data with attackcti, mitreattack-python, and stix2, then build MITRE ATT&CK Navigator layers and multi-layer heatmap overlays mapping one or more APT groups

analyzing-azure-activity-logs-for-threats

Queries Azure Monitor activity logs and sign-in logs via azure-monitor-query

analyzing-bootkit-and-rootkit-samples

Analyzes bootkit and advanced rootkit malware infecting the Master

analyzing-browser-forensics-with-hindsight

Parse Chromium-based browser databases with Hindsight to extract and correlate browsing history, downloads, cookies, cached content, autofill data, saved passwords, and extensions from Chrome, Edge, Brave, Opera, and Vivaldi into a unified timeline (XLSX, JSON, or SQLite output). Use during incident response, insider-threat investigations, or criminal cases when you need to reconstruct a user

analyzing-campaign-attribution-evidence

Systematically evaluate cyber-campaign evidence to attribute an operation to a threat actor, using the Diamond Model and Analysis of Competing Hypotheses (ACH) to weigh infrastructure overlaps, TTP consistency, malware code similarity, and timing/language artifacts into confidence-weighted attribution assessments. Use when an incident investigation needs a defensible attribution confidence level.

analyzing-certificate-transparency-for-phishing

Monitor Certificate Transparency logs using crt.sh and Certstream to

analyzing-cloud-storage-access-patterns

Detect abnormal access in AWS S3, GCS, and Azure Blob Storage by analyzing CloudTrail Data Events, GCS audit logs, and Azure Storage Analytics for after-hours bulk downloads, new-IP access, and API-call spikes (e.g. GetObject) via statistical baselines and time-series anomaly detection. Use when investigating suspected cloud data exfiltration or building related detection rules.

analyzing-cobalt-strike-beacon-configuration

Extract and analyze Cobalt Strike beacon configuration from PE files

analyzing-cobaltstrike-malleable-c2-profiles

Parse and analyze Cobalt Strike Malleable C2 profiles with dissect.cobaltstrike (profiles and beacon-payload configs) and pyMalleableC2 (AST parsing) to extract HTTP/DNS transforms, URIs, headers, sleep/jitter, and injection behavior, then generate network detection signatures. Use when reverse-engineering a captured malleable profile or building detections against Cobalt Strike Beacon traffic.

analyzing-command-and-control-communication

Analyzes malware C2 communication over HTTP, HTTPS, DNS, and custom

analyzing-cyber-kill-chain

Analyzes intrusion activity against the Lockheed Martin Cyber Kill Chain

analyzing-dns-logs-for-exfiltration

Analyzes DNS query logs to detect data exfiltration via DNS tunneling,

analyzing-docker-container-forensics

Investigate compromised Docker containers by analyzing images, layers,

Verwandte Skills

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community