Communitygithub.com

analisando-imagem-de-disco-com-autopsy

Realize análises forenses abrangentes de imagens de disco raw (dd), E01 ou AFF com Autopsy e The Sleuth Kit, recuperando arquivos excluídos, examinando metadados e artefatos incorporados, pesquisando por palavras-chave e construindo linhas do tempo com relatórios visuais.

O que é analisando-imagem-de-disco-com-autopsy?

Esta skill capacita a realização de análises forenses completas em imagens de disco forense utilizando o Autopsy (interface gráfica) e o The Sleuth Kit (ferramentas de linha de comando). Ela abrange todo o fluxo de trabalho, desde a configuração do ambiente e criação de um caso até a recuperação de arquivos excluídos, pesquisa por palavras-chave, extração de artefatos (como histórico de navegação e e-mails) e geração de relatórios temporais. A habilidade é particularmente útil quando partes interessadas não técnicas precisam de relatórios visuais e amigáveis a partir de evidências forenses. O conteúdo orienta o usuário na instalação das ferramentas, configuração de módulos de ingestão (como Hash Lookup e Keyword Search), e uso de comandos CLI como `fls`, `icat` e `mactime` para análises detalhadas. Suporta formatos de imagem comuns como dd, E01 e AFF, e fornece cenários práticos, como investigação de roubo de dados, infecção por malware e disputas de propriedade intelectual.

Funciona com~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/main/skills/analyzing-disk-image-with-autopsy
Ver original→Navegar por todas as habilidades

Perguntar na sua IA favorita

Abre um novo chat com esta habilidade de agente já pré-carregada.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Documentação

Analisando Imagem de Disco com Autopsy

Quando Usar

  • Quando você tem uma imagem de disco forense e precisa de uma análise estruturada de seu conteúdo
  • Durante investigações que exigem recuperação de arquivos, pesquisa por palavras-chave e análise de linha do tempo
  • Quando partes interessadas não técnicas precisam de relatórios visuais a partir de evidências forenses
  • Para examinar metadados do sistema de arquivos, arquivos excluídos e artefatos incorporados
  • Ao construir um caso abrangente a partir de múltiplas imagens de disco

Pré-requisitos

  • Autopsy 4.x instalado (Windows) ou Autopsy 4.x com The Sleuth Kit (Linux)
  • Imagem de disco forense no formato raw (dd), E01 (EnCase) ou AFF
  • Mínimo de 8GB de RAM (16GB recomendado para imagens grandes)
  • Java Runtime Environment (JRE) 8+ para o Autopsy
  • Espaço em disco suficiente para o banco de dados do caso do Autopsy (2-3x o tamanho da imagem)
  • Bancos de dados de hash (NSRL, hashes conhecidos como ruins) para identificação de arquivos

Fluxo de Trabalho

Passo 1: Instalar Autopsy e Configurar Ambiente

# No Linux, instale Sleuth Kit e Autopsy
sudo apt-get install autopsy sleuthkit

# Baixe o Autopsy 4.x (versão GUI) da fonte oficial
wget https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.21.0/autopsy-4.21.0.zip
unzip autopsy-4.21.0.zip -d /opt/autopsy

# No Windows, execute o instalador MSI de sleuthkit.org
# Inicie o Autopsy
/opt/autopsy/bin/autopsy --nosplash

# Para análise via linha de comando do Sleuth Kit junto com Autopsy
sudo apt-get install sleuthkit

Passo 2: Criar um Novo Caso e Adicionar a Imagem de Disco

1. Inicie o Autopsy > "New Case"
2. Insira o Nome do Caso: "CASE-2024-001-Workstation"
3. Defina o Diretório Base: /cases/case-2024-001/autopsy/
4. Insira o Número do Caso, Nome do Examinador
5. Clique em "Add Data Source"
6. Selecione "Disk Image or VM File"
7. Navegue até: /cases/case-2024-001/images/evidence.dd
8. Selecione o Fuso Horário do sistema original
9. Configure os Módulos de Ingestão (veja Passo 3)

# Alternativamente, use o CLI do Sleuth Kit para verificar a imagem primeiro
img_stat /cases/case-2024-001/images/evidence.dd

# Liste as partições na imagem
mmls /cases/case-2024-001/images/evidence.dd

# Exemplo de saída:
# DOS Partition Table
# Offset Sector: 0
# Units are in 512-byte sectors
#      Slot    Start        End          Length       Description
#      00:  -----   0000000000   0000002047   0000002048   Primary Table (#0)
#      01:  00:00   0000002048   0001026047   0001024000   NTFS (0x07)
#      02:  00:01   0001026048   0976771071   0975745024   NTFS (0x07)

# Liste arquivos em uma partição (offset 2048 setores)
fls -o 2048 /cases/case-2024-001/images/evidence.dd

Passo 3: Configurar e Executar Módulos de Ingestão

Habilite os seguintes Módulos de Ingestão do Autopsy:
- Recent Activity: Extrai histórico do navegador, downloads, cookies, favoritos
- Hash Lookup: Compara arquivos com conjuntos de hash NSRL e conhecidos como ruins
- File Type Identification: Identifica arquivos pela assinatura, não pela extensão
- Keyword Search: Indexa conteúdo para pesquisa de texto completo
- Email Parser: Extrai e-mails de arquivos PST, MBOX, EML
- Extension Mismatch Detector: Encontra arquivos com extensões incorretas
- Exif Parser: Extrai metadados de imagens (GPS, câmera, carimbos de data/hora)
- Encryption Detection: Identifica arquivos e contêineres criptografados
- Interesting Files Identifier: Sinaliza arquivos que correspondem a conjuntos de regras personalizados
- Embedded File Extractor: Extrai arquivos de ZIP, documentos Office, PDFs
- Picture Analyzer: Categoriza imagens usando PhotoDNA ou correspondência de hash
- Data Source Integrity: Verifica o hash da imagem durante a ingestão

# Configure o conjunto de hash NSRL para filtragem de arquivos conhecidos como bons
# Baixe o NSRL de https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl
wget https://s3.amazonaws.com/rds.nsrl.nist.gov/RDS/current/rds_modernm.zip
unzip rds_modernm.zip -d /opt/autopsy/hashsets/

# Importe para o Autopsy:
# Tools > Options > Hash Sets > Import > Selecione NSRLFile.txt
# Marque como "Known" (para filtrar arquivos conhecidos como bons)

Passo 4: Analisar Sistema de Arquivos e Recuperar Arquivos Excluídos

# No Autopsy GUI: Navegue pela estrutura em árvore
# - Data Sources > evidence.dd > vol2 (NTFS)
# - Examine a árvore de diretórios, observe arquivos excluídos (marcados com X)

# Usando o CLI do Sleuth Kit para recuperação direcionada
# Liste arquivos excluídos
fls -rd -o 2048 /cases/case-2024-001/images/evidence.dd

# Recupere um arquivo excluído específico pelo inode
icat -o 2048 /cases/case-2024-001/images/evidence.dd 14523 > /cases/case-2024-001/recovered/deleted_document.docx

# Extraia todos os arquivos de um diretório
tsk_recover -o 2048 -d /Users/suspect/Documents \
   /cases/case-2024-001/images/evidence.dd \
   /cases/case-2024-001/recovered/documents/

# Obtenha metadados detalhados do arquivo
istat -o 2048 /cases/case-2024-001/images/evidence.dd 14523
# Mostra: carimbos de data/hora de criação, modificação, acesso, alteração MFT, tamanho, execuções de dados

Passo 5: Realizar Pesquisas por Palavras-chave e Marcar Evidências

No Autopsy:
1. Painel de Pesquisa de Palavras-chave > "Ad Hoc Keyword Search"
2. Termos de pesquisa: padrões de cartão de crédito, regex de SSN, endereços de e-mail
3. Exemplo de regex para cartões de crédito: \b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b
4. Exemplo de regex para SSN: \b\d{3}-\d{2}-\d{4}\b
5. Revise os resultados > Clique com o botão direito nos itens > "Add Tag"
6. Crie tags: "Evidence-Critical", "Evidence-Supporting", "Requires-Review"
7. Adicione comentários aos itens marcados documentando a relevância

# Usando o Sleuth Kit para pesquisa por palavra-chave via CLI
srch_strings -a -o 2048 /cases/case-2024-001/images/evidence.dd | \
   grep -iE '(password|secret|confidential)' > /cases/case-2024-001/keyword_hits.txt

# Pesquise por assinaturas específicas de arquivo
sigfind -o 2048 /cases/case-2024-001/images/evidence.dd 25504446
# 25504446 = assinatura de cabeçalho %PDF

Passo 6: Construir Linha do Tempo e Gerar Relatórios

No Autopsy:
1. Visualizador de Linha do Tempo: Tools > Timeline
2. Selecione o intervalo de datas de interesse (janela do incidente)
3. Filtre por tipo de evento: Arquivo Criado, Modificado, Acessado, Atividade na Web
4. Amplie períodos de tempo suspeitos
5. Exporte eventos da linha do tempo como CSV para análise externa

Gerar Relatório:
1. Generate Report > HTML Report
2. Selecione itens marcados e fontes de dados a serem incluídos
3. Configure as seções do relatório: listagens de arquivos, ocorrências de palavras-chave, linha do tempo
4. Exporte para /cases/case-2024-001/reports/

# Usando mactime do Sleuth Kit para linha do tempo via CLI
fls -r -m "/" -o 2048 /cases/case-2024-001/images/evidence.dd > /cases/case-2024-001/bodyfile.txt

# Gere a linha do tempo a partir do bodyfile
mactime -b /cases/case-2024-001/bodyfile.txt -d > /cases/case-2024-001/timeline.csv

# Filtre a linha do tempo para um intervalo de datas específico
mactime -b /cases/case-2024-001/bodyfile.txt \
   -d 2024-01-15..2024-01-20 > /cases/case-2024-001/incident_timeline.csv

Conceitos Chave

ConceitoDescrição
Módulos de IngestãoPlugins de análise automatizada que processam fontes de dados na importação
MFT (Master File Table)Estrutura de metadados NTFS que registra todas as entradas e atributos de arquivo
File carving (Escavação de arquivos)Recuperação de arquivos de espaço não alocado usando assinaturas de arquivo
Filtragem de hashUso de NSRL ou conjuntos de hash personalizados para excluir arquivos conhecidos como bons ou sinalizar arquivos conhecidos como ruins
Análise de linha do tempoReconstrução cronológica de eventos do sistema de arquivos e atividade do usuário
Recuperação de arquivos excluídosRestauração de arquivos cujas entradas de diretório foram removidas, mas os dados permanecem
Indexação de palavras-chaveÍndice de pesquisa de texto completo construído a partir de todo o conteúdo do arquivo, incluindo espaço slack
Extração de artefatosAnálise automatizada de artefatos específicos do navegador, e-mail, registro e sistema operacional

Ferramentas e Sistemas

FerramentaFinalidade
AutopsyPlataforma forense GUI de código aberto para análise de imagem de disco
The Sleuth Kit (TSK)Conjunto de ferramentas forenses de linha de comando que fundamenta o Autopsy
flsListar arquivos e diretórios em uma imagem de disco, incluindo entradas excluídas
icatExtrair conteúdo de arquivo pelo número do inode de uma imagem de disco
mactimeGerar linha do tempo a partir do formato bodyfile do TSK
mmlsExibir layout de partição de uma imagem de disco
NSRLBanco de dados de hash do NIST para identificar arquivos de software conhecidos
sigfindPesquisar assinaturas de arquivo no nível do setor

Cenários Comuns

Cenário 1: Investigação de Roubo de Dados de Funcionário Importe a imagem da estação de trabalho do funcionário, execute todos os módulos de ingestão, pesquise por nomes de arquivos e palavras-chave confidenciais da empresa, examine artefatos de conexão USB em Atividade Recente, verifique artefatos de cliente de armazenamento em nuvem, revise arquivos excluídos em busca de evidências de preparação de dados, gere relatório HTML para a equipe jurídica.

Cenário 2: Perícia de Infecção por Malware Adicione a imagem do sistema comprometido, ative os módulos Extension Mismatch e Encryption Detection, examine o diretório Prefetch em busca de evidências de execução, pesquise hashes de malware conhecidos, construa linha do tempo em torno da janela de infecção, extraia executáveis suspeitos para análise posterior em um ambiente isolado.

Cenário 3: Investigação de Material de Abuso Sexual Infantil (CSAM) Importe a imagem com conjuntos de hash PhotoDNA e Project VIC habilitados, execute o módulo Picture Analyzer, calcule o hash de todos os arquivos de imagem contra bancos de dados conhecidos como ruins, marque e categorize as correspondências por gravidade, gere relatório para aplicação da lei com documentação de cadeia de custódia.

Cenário 4: Disputa de Propriedade Intelectual Importe múltiplas imagens de disco de funcionários como fontes de dados separadas em um caso, realize pesquisas por palavras-chave para termos proprietários e nomes de projetos, compare hashes de arquivos entre fontes, construa linha do tempo mostrando padrões de acesso e transferência de arquivos, exporte evidências para revisão jurídica.

Formato de Saída

Autopsy Case Analysis Summary:
  Case:           CASE-2024-001-Workstation
  Image:          evidence.dd (500GB NTFS)
  Partitions:     2 (System Reserved + Primary)
  Total Files:    245,832
  Deleted Files:  12,456 (recoverable: 8,234)

  Ingest Results:
    Hash Matches (Known Bad):  3 files
    Extension Mismatches:      17 files
    Keyword Hits:              234 across 45 files
    Encrypted Files:           5 containers detected
    EXIF Data Extracted:       1,245 images with metadata

  Tagged Evidence:
    Critical:     12 items
    Supporting:   34 items
    Review:       67 items

  Timeline Events:  1,234,567 entries (filtered to incident window: 892)
  Report:          /cases/case-2024-001/reports/autopsy_report.html

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

abusing-dpapi-for-credential-access

Extract and decrypt Windows DPAPI-protected secrets (Credential Manager, browser logins/cookies, Wi-Fi credentials, KeePass keys) online or offline using SharpDPAPI, SharpChrome, Mimikatz, or Impacket

abusing-shadow-credentials-for-privesc

Take over Active Directory accounts by writing attacker-controlled public keys to msDS-KeyCredentialLink (Shadow Credentials) with pyWhisker, Whisker, or Certipy, then authenticate via PKINIT to recover the target

achieving-cmmc-level-2-compliance

>-

acquiring-disk-image-with-dd-and-dcfldd

Create forensically sound bit-for-bit disk images with dd or dcfldd on a Linux forensic workstation, preserving evidence integrity through hash verification (MD5/SHA) during acquisition. Use when imaging a suspect drive, USB device, or memory card for investigation, preserving volatile disk evidence during incident response, or producing a verified copy for legal or law-enforcement proceedings before any destructive analysis.

analyzing-active-directory-acl-abuse

Detect dangerous ACL misconfigurations in Active Directory using ldap3

analyzing-android-malware-with-apktool

Perform static analysis of Android APK malware using apktool for resource decompilation, jadx for Java source recovery, and androguard for manifest inspection, dangerous permission-combination detection, and identification of obfuscated code, dynamic code loading, and reflection-based API calls. Use to statically triage a suspicious APK without executing it or to build mobile malware detection rules.

analyzing-api-gateway-access-logs

Parses API Gateway access logs (AWS API Gateway, Kong, Nginx) to detect

analyzing-apt-group-with-mitre-navigator

Query ATT&CK data with attackcti, mitreattack-python, and stix2, then build MITRE ATT&CK Navigator layers and multi-layer heatmap overlays mapping one or more APT groups

analyzing-azure-activity-logs-for-threats

Queries Azure Monitor activity logs and sign-in logs via azure-monitor-query

analyzing-bootkit-and-rootkit-samples

Analyzes bootkit and advanced rootkit malware infecting the Master

analyzing-browser-forensics-with-hindsight

Parse Chromium-based browser databases with Hindsight to extract and correlate browsing history, downloads, cookies, cached content, autofill data, saved passwords, and extensions from Chrome, Edge, Brave, Opera, and Vivaldi into a unified timeline (XLSX, JSON, or SQLite output). Use during incident response, insider-threat investigations, or criminal cases when you need to reconstruct a user

analyzing-campaign-attribution-evidence

Systematically evaluate cyber-campaign evidence to attribute an operation to a threat actor, using the Diamond Model and Analysis of Competing Hypotheses (ACH) to weigh infrastructure overlaps, TTP consistency, malware code similarity, and timing/language artifacts into confidence-weighted attribution assessments. Use when an incident investigation needs a defensible attribution confidence level.

analyzing-certificate-transparency-for-phishing

Monitor Certificate Transparency logs using crt.sh and Certstream to

analyzing-cloud-storage-access-patterns

Detect abnormal access in AWS S3, GCS, and Azure Blob Storage by analyzing CloudTrail Data Events, GCS audit logs, and Azure Storage Analytics for after-hours bulk downloads, new-IP access, and API-call spikes (e.g. GetObject) via statistical baselines and time-series anomaly detection. Use when investigating suspected cloud data exfiltration or building related detection rules.

analyzing-cobalt-strike-beacon-configuration

Extract and analyze Cobalt Strike beacon configuration from PE files

analyzing-cobaltstrike-malleable-c2-profiles

Parse and analyze Cobalt Strike Malleable C2 profiles with dissect.cobaltstrike (profiles and beacon-payload configs) and pyMalleableC2 (AST parsing) to extract HTTP/DNS transforms, URIs, headers, sleep/jitter, and injection behavior, then generate network detection signatures. Use when reverse-engineering a captured malleable profile or building detections against Cobalt Strike Beacon traffic.

analyzing-command-and-control-communication

Analyzes malware C2 communication over HTTP, HTTPS, DNS, and custom

analyzing-cyber-kill-chain

Analyzes intrusion activity against the Lockheed Martin Cyber Kill Chain

analyzing-dns-logs-for-exfiltration

Analyzes DNS query logs to detect data exfiltration via DNS tunneling,

analyzing-docker-container-forensics

Investigate compromised Docker containers by analyzing images, layers,

Habilidades Relacionadas

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community