DotFix ZIP Forensics 26.5: восстановление поврежденных, зашифрованных и встроенных архивов

Архив с резервными копиями или нужными для анализа данными редко повреждается удобным для анализа образом. В нем может отсутствовать центральный каталог, одна из сжатых записей может оказаться неполной, а полезные данные могут быть скрыты внутри образа прошивки или другого бинарного файла. DotFix ZIP Forensics позволяет провести исследование в каждой из этих ситуаций.

Версия 26.5 расширяет возможности восстановления ZIP архивов поддержкой Deflate64, BZip2, LZMA и PPMd, добавляет доступ к архивам ZipCrypto и WinZip AES при наличии известного пароля, а также делает результаты частичного восстановления более заметными. Следующий смоделированный сценарий реагирования на инцидент показывает, как эти возможности работают вместе на практике.

Восстановление данных из прерванного экспорта материалов инцидента

Аналитик службы безопасности получает ZIP-архив с обзором инцидента, событиями межсетевого экрана, большой таблицей сетевых потоков, заметками других аналитиков и индикаторами компрометации. Но передача файла остановилась до получения всего архива: центральный каталог отсутствует, а часть данных о сетевых потоках повреждена.

Вместо обращения к отсутствующему каталогу DotFix ZIP Forensics сканирует входной файл, находит сохранившиеся ZIP-записи и восстанавливает доступное для просмотра дерево, а по нему и файлы. Аналитик может сразу открыть уцелевшие файлы, просмотреть их содержимое в памяти и продолжить изучение данных, расположенных до и после поврежденного участка.

Частичный результат не выдается за полностью сохранившийся исходный файл. При этом повреждение одной записи не мешает исследователю перейти к последующим данным. В этом примере передача материалов другому аналитику, сохраненная после поврежденного CSV-файла, остается доступной для немедленного изучения.

Сохранение полезной части поврежденного чертежа

Повреждение записи не всегда означает потерю каждого байта исходного файла. Если сохранившиеся ZIP-данные допускают частичную распаковку, DotFix ZIP Forensics восстанавливает читаемую часть и помечает результат как частично восстановленный, а не выдает его за неповрежденный оригинал.

В этом смоделированном строительном кейсе инженерная схема восстановлена из недокачанного архива. Положение оборудования, размеры, обозначения и сведения об оборудовании остались читаемыми; заметные повреждения присутствуют только в узкой области у нижнего края. Для сканов, схем, фотографий и других материалов фотофиксации, которые невозможно создать заново, даже такой результат способен сохранить детали, необходимые для продолжения работы или расследования.

В том же окне исследователь может искать имена файлов и декодированное содержимое с помощью поиска текста, масок или регулярных выражений, переходить между совпадениями и извлекать только необходимые для дела объекты.

Просмотр зашифрованных материалов без предварительной распаковки

Группы реагирования часто обмениваются материалами в защищенных паролем архивах. Если пароль известен, DotFix ZIP Forensics может открыть записи с традиционным шифрованием ZipCrypto и поддерживаемыми вариантами WinZip AES, после чего они становятся доступны в обычном рабочем процессе просмотра, предпросмотра, поиска и извлечения.

В этом примере архив AES-256 содержит информацию об инциденте, события аутентификации, заметки расследования и список индикаторов компрометации. После ввода известного пароля аналитик может перемещаться по дереву папок и просматривать множество форматов файлов в отформатированном виде с подсветкой синтаксиса, не создавая на диске распакованную копию всего архива.

Важно! Поддержка запароленных архивов предназначена для санкционированного доступа к данным с известным паролем. Программа не поддерживает подбор паролей, не взламывает и не обходит неизвестные пароли.

Поиск ZIP-контейнера внутри образа прошивки

ZIP-структуры встречаются не только в файлах с расширением .zip. Прошивки, образы дисков и проприетарные бинарные контейнеры могут содержать сжатые ресурсы по произвольным смещениям, иногда без пригодного для использования центрального каталога.

В данном примере DotFix ZIP Forensics открывает смоделированный файл прошивки маршрутизатора в формате .bin, находит встроенные ZIP-записи и показывает восстановленное дерево каталогов. Выбранная запись, сжатая методом BZip2, содержит компактную конфигурацию устройства, которую встроенное средство просмотра автоматически форматирует как читаемый JSON.

Так исследователи прошивок и специалисты по цифровой криминалистике получают прямой путь от незнакомого бинарного файла к читаемой конфигурации, журналам, исходным текстам и другому встроенному содержимому без предварительного поиска и извлечения контейнера отдельной цепочкой инструментов.

Единая рабочая среда: от обнаружения данных до их анализа

Ценность этих улучшений заключается не только в поддержке дополнительных идентификаторов методов ZIP. Они позволяют исследователю оставаться в едином рабочем процессе при переходе от восстановления к анализу:

• сканировать архивы, прошивки и другие бинарные файлы в поисках ZIP-записей;
• восстанавливать читаемые файлы внутри архива, даже при отсутствии центрального каталога;
• по возможности сохранять полезные частичные данные из поврежденных записей Stored или Deflate;
• открывать поддерживаемое зашифрованное ZIP-содержимое с известным паролем;
• просматривать документы, изображения, программный код, конфигурацию и структурированные данные без распаковки на диск;
• искать как по именам файлов, так и по декодированному содержимому до принятия решения об извлечении.

Текущие сведения о поддержке приведены в таблице методов ZIP и шифрования.