Gestión y recuperación de credenciales almacenadas en recursos y servicios de Windows

Siguiente artículo relacionado: 

• Credenciales almacenadas en caché en RDP: Comportamiento por defecto, riesgos de seguridad y mitigación

Existen varias formas de poder visualizar las credenciales "dominio\usuario y password" de los recursos de red almacenados, servicios de RDP entre otro tipo de credenciales almacenadas de Windows.

Para que este almacenamiento sea posible debemos tener habilitado y en ejecución (por defecto ya suele estarlo) el servicio de "Administrador de credenciales" (VaultSvc) que proporciona el almacenamiento seguro y recuperación de credenciales de usuarios.

Hace uso de LSASS (Local Security Authority Subsystem Service) responsable de la política de seguridad en el sistema, audita y verifica quien inicia sesión en sistemas Windows, cambios de contraseñas y crea tokens de acceso.

Figura 1: Servicio de administrador de credenciales.

Cuando se accede a un recurso de red el cual nos solicita usuario y contraseña mediante una autenticación NTLM y se marca el checkbox de "recordar esta contraseña" esta se almacena en un fichero cifrado en nuestro perfil de usuario añadiéndose a Windows Vault.

C:\Users\USUARIO\AppData\Roaming\Microsoft\Credentials
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Credentials

C:\Users\USUARIO\AppData\Local\Microsoft\Vault
C:\Windows\system32\config\systemprofile\AppData\Local\Microsoft\Vault
C:\ProgramData\Microsoft\Vault

Administrador de credenciales

Una de las formas más habituales para visualizar las credenciales almacenadas de Windows es a través del Administrador de credenciales situado en el panel de control. Ahí veremos tanto las credenciales de Windows como las credenciales web, en caso de que tengamos guardadas credenciales de sitios web en Internet Explorer únicamente.

Figura 2: Administrador de credenciales de Windows.

KRShowKeyMgr

Otra forma de gestionar estas credenciales es través del "KRShowKeyMgr", se puede ver las credenciales almacenadas, borrarlas y agregar nuevas de forma gráfica.

Para invocar esta ventana escribimos en una cmd o una ventana ejecutar:

rundll32.exe keymgr.dll, KRShowKeyMgr

Figura 3: KRShowKeyMgr - Administrador de nombres de usuario y contraseñas alamacenadas.

cmdkey

Si no tenemos acceso (por restricciones GPO de dominio o similar) al panel de control o poder invocar desde ejecutar, pero si a una consola cmd. Podemos ver estas credenciales a través del comando cmdkey.

Realmente esto es lo que se está usando de forma subyacente a las interfaces gráficas anteriores

Figura 4: cmdkey - Administrador de credenciales.

Mostrando la ayuda con "cmdkey /?" vemos las posibilidades que tenemos.

Para mostrar la lista de credenciales disponibles:
   cmdkey /list
   cmdkey /list:destino

Para crear credenciales de dominio:
   cmdkey /add:destino /user:usuario /pass:contraseña
   cmdkey /add:destino /user:usuario /pass
   cmdkey /add:destino /user:usuario
   cmdkey /add:destino /smartcard

Para crear credenciales genéricas:
El modificador /add puede reemplazarse por /generic para crear credenciales genéricas

Para eliminar credenciales existentes:
   cmdkey /delete:destino

Para eliminar credenciales RAS (Remote Access Service):
   cmdkey /delete /ras

Herramientas de terceros

Todo lo anterior son formas nativas del sistema de poder gestionar estas credenciales almacenadas. Pero no permite visualizar las contraseñas en texto plano. Para ello podemos usar algunas herramientas de terceros. Nirsoft desarrolla multitud herramientas de este tipo para sistemas Windows.

CredentialsFileView descifra y muestra las contraseñas en texto plano almacenadas en los archivos de credenciales de Windows (C:\Users\USUARIO\AppData\Roaming\Microsoft\Credentials).

Figura 5: Credentials File View.

VaultPasswordView descifra las contraseñas y otros datos almacenados en Windows Vault (C:\Users\USUARIO\AppData\Local\Microsoft\Vault) del sistema actual o de una unidad externa que se le indique.

Figura 6: Vault Password View.

EncryptedRegView según se le indique escanea el registro de Windows del disco local o de un disco externo. Busca datos cifrados con DPAPI (Data Protection API), intenta descrifralos y mostrarlos en texto plano. No solo mostrará contraseñas almacenadas sino también otro tipo de datos que estuviesen cifrados de productos de Microsoft y también de terceros.

Figura 7: Encrypted Registry View.

Network Password Recovery similar a CredentialsFileView con la diferencia de que este solo muestra aquellas credenciales que afecten con recursos de red.

Figura 8: Network Password Recovery.

Saludos!

Ver las passwords Wifis almacenadas a las que nos hemos conectado

Cada vez que desde nuestro equipo Windows nos conectamos a una red inalámbrica WiFi y recordamos la password de indentificación de la red, esta se alamacena en el sistema.

Con el uso de la utilidad de comandos netsh (en la sección de wlan) podemos visualizar las redes que tenemos almacenadas y también la password de acceso que en su momento le indicáramos para autenticarnos en dicha red.

Visualizar los nombres de las redes alamacenadas por Windows en el equipo.

netsh wlan show profile

Establecemos el nombre de la red (SSID - Service Set Identifier) y el valor clear para key.

netsh wlan show profile name=SSID key=clear

Para este ejemplo se usó la red con SSID "prueba".

Figura 1: Netsh - Ver perfiles wlan y obtención de password wifi almacenada.

Otra opción sería usar el "Centro de redes y recursos compartidos" del "Panel control". Una opción con entorno gráfico de Windows 7 es que podíamos ver las redes almacenadas y editar su configuración, en Windows 10 solo podemos ver las redes almacenadas pero no editar su configuración sino estamos conectados en ese momento a esa red. Por lo que hacerlo de una forma gráfica solo nos servirá para ver la password almacenada de la Wifi actual en la que estemos conectados.

Seleccionamos la red Wifi en la que actualmente estemos conectados. Propiedades inalámbricas > Pestaña Seguridad > Mostrar carácteres (nos saltará el UAC por seguridad, para ejecutar esto con privilegios administrativos).

Figura 2: Ver password wifi conectada actualmente.

Saludos!

Volcado de hashes NTLM y contraseñas en texto plano de Windows con Mimikatz

Mimikatz es una herramienta archiconocida de cracking que nos permitirá la obtención de contraseñas de usuarios de un sistema. Nos volcará (dumping) las contraseñas en texto plano y los hashses de la SAM (Security Account Manager).

Hay mucha información al respecto sobre esta tool y como sacarle un buen partido. Más info: https://adsecurity.org/?page_id=1821

De todos modos, no había hablado de ella hasta ahora. Recientemente tuve que hacer uso de ella para conocer la password de unos usuarios locales creados en un sistema. Comprobé que aún seguía funcionando para Windows 10 como lo hacía para Windows 7 ya que el desarrollador fue actualizando esta herramienta.

Para un correcto funcionamiento Mimikatz debe ejecutarse con privilegios de administrador. Podremos ver en texto plano las contraseñas del resto de usuarios locales y de las credenciales de puntos de montaje que tengamos en el sistema.

Una vez descarguemos Mimikatz, abrimos una consola de comandos y nos situamos en el path donde lo hubiésemos descargado, ejecutamos el binario "mimikatz.exe" dependiento la arquitectura de nuestro sistema (32 bits o 43 bits). Para acceder al prompt que nos proporciona y escribimos.

Extracción de hashes NTLM realizando un volcado de hashes del fichero SAM. Nos situamos en el modo debug, teniendo el token de un usuario administrador local del sistema podemos impersonarlo y elevarlo a SYSTEM para realizar este volcado con el módulo lsadump de Mimikatz.

privilege::debug
token::elevate
lsadump::sam

Figura 1: Volcado de hashes NTLM de los usuarios de la base de datos local SAM.

Extracción de contraseñas en texto plano de los usuarios locales de Windows usando el módulo sekurlsa de Mimikatz.

privilege::debug
sekurlsa::logonPasswords

Desde el módulo sekurlsa podríamos usar el comando wdigest (sekurlsa::wdigest) pero esto solo tendría sentido para sistemas no superiores a Windows 7 ya que la funcionalidad de envío de credenciales a través de wdigest no está admitida en en versiones posteriores.

Finalmente obtenemos el resultado con las contraseñas de usuarios locales en texto plano. LogonPasswords nos muestra también los hashes NT lo cual también es interesante.

Figura 2: Volcado de contraseñas en texto plano de los usuarios locales de Windows.

Saludos!

Shadow Explorer: Recuperar información a través de instantáneas

Shadow Explorer es una herramienta gratuita en la cual podemos recuperar información a través de instantáneas creadas en el tiempo gracias a la habilitación de protección del sistema de Windows.

Nos permitirá seleccionar determinadas fechas (en las que se establecieron las instantáneas) recuperar información de ficheros/directorios en puntos del sistema. Simplemente seleccionamos la unidad, la fecha y el buscamos el directorio a examinar para recuperar dichos datos y con el botón derecho los restauraremos en su ubicación original donde habían sido borrados.

Figura 1: Instantáneas cronológicas de Shadow Explorer en Windows

Esta aplicación hace esta tarea de forma sencilla, pero la característica de mostrarnos estas instantáneas es debido a la "Protección del sistema" característica de Windows 7 en adelante la cual nos permite recuperar versiones anteriores de archivos en las cual previamente de forma programa Windows fue haciendo sus "shadow copy" para versiones anteriores en archivos.

En propiedades del sistema > Protección del sistema > Configurar. Habilitamos y personalizamos el tamaño de uso de esta característica.

Esta servicio es denomicando por Microsoft como: Volume Shadow Copy Service (VSS).

Figura 2: Protección del sistema para versiones anteriores.

Como ejemplo vemos que en las propiedades de esta carpeta de en la pestaña de "Versiones anteriores" están las shadow copys que se fueron haciendo a lo largo del tiempo desde su creación hasta la actualidad.

Aunque en la siguiente captura (Windows 7) nos describe que las versiones anteriores provienen o bien de Copias de seguridad o bien de Puntos de restauración.

Figura 3: Versiones anteriores en distintas fechas de un directorio.

Realmente en Windows 10 nos comentan en la misma descripción que las versiones anteriores de archivos provienen de estas dos anteriores y a mayores del historial de archivos ese sería el afectado en esta característica de Windows.

Ya que no es necesario tener habilitado o creado puntos de restauración o copias de seguridad para tener este característica habilitada (Volume Shadow Copy Service - VSS).

Figura 4: Configuración de "Historial de archivos de Windows" (Shadow Copy).

Saludos!

PeStudio: Analizar ejecutables .exe y .dll en busca de posible malware

PeStudio es un software de gratuito si se destina a uso personal, el que nos permitirá ver y/o analizar ficheros .exe y librerías dinámicas .dll, entre otros ficheros.

En estos análisis nos muestra diversos aspectos de un fichero en los cuales podemos investigar para saber que acciones realiza dicho fichero cuando lo ejecutamos, de este modo, podremos saber si se trata de un malware y en ese caso mirar que acciones podría o lleva cabo.

Figura 1: Analizando un .exe de un software de terceros reconocido apunta hacía un website como muestra en la captura.

En este ejemplo vemos como el fichero .exe de instalación en una de sus cadenas apunta hacía una website, se trata de un aplicación de terceros reconocida.

¿Por qué redirige a dicha página web? la cual por lo que pude comprobar se trata de una web de cracking, principalmente esto fue intencionado para dar a conocer una de muchas funcionalidades de esta herramienta, dicha aplicación fue descargada de un página de software también reconocida, con esto aprovecho para comentar que es mejor descargar siempre software desde las webs oficiales del propio fabricante o autor.

Saludos!

WER [Windows Error Reporting]: Generar logs de aplicaciones bloqueadas/crashes

En ocasiones ocurren inesperados crashes en aplicaciones o procesos del sistema que provocan a su vez comportamientos anómalos (cuelgues/congelados) en software de terceros.

Errores habituales del tipo: "explorer.exe dejó de responder", "iexplorer.exe dejó de funcionar", "ocurrió un error inesperado con outlook.exe, dejó de funcionar", etc.

Para este tipo de casos y poder generar un log en el que podamos analizar por qué dicha aplicación se quedó bloqueada, es necesario habilitar el servicio Windows Error Reporting (WER) en los servicios de Windows, por defecto suele estar habilitado.

Este servicio registra todos los eventos de errores ya sean software o hardware de nuestro OS Windows, para después enviar un reporte a Microsoft con información relevante al error ocurrido. Si es que antes el propio servicio en sus tablas de posibles causas ya registradas no lo resuelve antes.

Ahora podremos hacer esto de forma manual en el registro de Windows o simplmente copiar el código de registro que dejo a continuación y pegarlo en un documento de texto al que guardaremos y ejeutaremos posteriormente, con el nombre que queramos pero con extensión .reg.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps\Explorer.exe]
"DumpFolder"="C:\\WER Dumps"
"DumpType"=dword:00000002

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe]
"GlobalFlag"=dword:02000100
"PageHeapFlags"=dword:00000003

Después de a ver hecho lo anterior el servicio WER escribirá un registro detallado del problema en el directorio C:\WER Dumps.

Aunque también existe, faltaría más!, una aplicación al respecto para realizar estas tareas de forma más cómoda.

AppCrashView es un software propiedad de Nirsoft con el que veremos las posibles causas de por que una aplicación/proceso quedó bloquead@ y/o no responde.

Figura 1: AppCrashView analizando un log de iexplorer.exe después de dejar de responder.

Nos mostrará las librerías dependientes al error causado, paths, alertas de mensajes, podremos guardar el log o informe, entre otras cosas.

Una vez se lanza la aplicación con privilegios administrativos, esta escanea hasta la fecha actual los errores de momentos reportados por el servicio WER, de tal modo que nos muestra dichos "bloqueos" con sus logs en la parte inferior en plaintext para poder interpretarlos con claridad.

Más información sobre WER:
http://msdn.microsoft.com/en-us/library/windows/desktop/bb513613(v=vs.85).aspx
http://msdn.microsoft.com/en-us/library/windows/desktop/bb513638(v=vs.85).aspx

Saludos!

USBDeview y Ghostbuster: Analiza información de dispositivos USB y otros

USBDeview es una pequeña aplicación de nirsoft.net que nos muestra información muy detallada de los dispositivos USB conectados actuales o que en un pasado estuvieron conectados en un equipos.

Figura 1: Analizando dispositivos USB USBDeview.

Este tipo de información nos puede ser útil para análisis forenses mostrándonos información de dispositivos conectados en un pasado.

Aprovecho para comentar que la rama del registro de Windows donde podremos ver el ID y demás información de cada dispositivo USB conectado.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR

Otra informacion similar se guarda en fichero log de Windows, se encuentra en el path:

c:\windows\inf\setupapi.dev.log

Ghostbuster es un software que nos proporcionará información detalle de todos los dispositivos conectados en el equipo. Podremos encontrar la clave de registro de Windows correspondiente.

Eliminar esos "dispositivos fantasmas" que la propia herramienta le llama, refiriéndose a dispositivos que estuvieron conectados en un pasado y ya no se utilizan y aquellos dispositivos que permanecen ocultos a simple vista para el usuario, siendo estes de más bajo nivel.

Figura 2: Analizando información del dispositovo interface de red con Ghostbuster.

Saludos!

Analizando la carpeta Prefetch de Windows [ficheros .pf]

La carpeta Prefetch de Windows ubicada en el path C:\Windows\Prefetch, según Microsoft Windows, define esta carpeta de la siguiente manera.

"Cada vez que se enciende el equipo, Windows realiza un seguimiento de la forma en que se inicia el equipo y los programas que se abren habitualmente. Windows guarda esta información en una serie de pequeños archivos (de extensión .pf) en la carpeta Prefetch. La próxima vez que encienda el equipo, Windows recurrirá a estos archivos para acelerar el proceso de inicio."

Es decir, que es como un almacenamiento de "cachés" en las que almacenan datos en general, librerías utilizadas por los programas más recurrentes, etc.

Los ficheros .pf entre otras cosas almacenan información relevante a los dispositivos de almacenamiento ya sean discos duros internos, externos, dispositivos de almacenamiento USB, etc. Estos registran datos como la fecha/hora, paths, aplicaciones, librerías dependientes de esas aplicaciones, procesos .exe, etc. instaladas en nuestro sistema. De modo que para análisis forenses estos registros de sucesos pueden resultar muy útiles.

Esto es gracias al funcionamiento del servicio "Programador de tareas" (que se ejecuta bajo el proceso 'svchost') el cual entre otras cosas graba en páginas de memoria que son utilizadas con frecuencia por las aplicaciones. Esta es monitorizada por el File caching (Windows Cache Manager) y después de esa información recogida por cada aplicación utilizada de forma habitual se genera el archivo .pf.

Los ficheros .pf se crean con el nombre del tipo: "IEXPLORE.EXE-4B6C9213.pf". En el que la primera parte del nombre es el proceso ejecutable en cuestión de la aplicación y seguido de un Hash de 32bits representado en hexadecimal, el cual se construye a partir de la ruta completa de la aplicación.

Ahora bien, como vemos la información de estos ficheros .pf ??
Si nos vamos a la ruta donde esta esta carpeta vemos todos los ficheros .pf y también veremos un archivo de inicialización llamado: "Layout.ini".

Este fichero contiene en texto plano registros realizados/cambios con aplicaciones en nuestro ya sean instalaciones, desinstalaciones o actualizaciones, con referencia a los ficheros .pf creados.

Figura 1: Fichero 'Layout.ini' con información de los ficheros .pf almacenados.

Para poder profundizar un poco más en lo que ahora almacena realmente cada fichero .pf, fecha/hora, paths, procesos, dependencias de librerías, etc.

Podemos hacer uso de una herramienta externa desarrollada por Nirsoft la cual es WinPrefetchView.

WinPrefetchView nos permite visualizar de modo legible la información de estos ficheros .pf y que nos sea de utilidad en un análisis forense en busca de evidencias o para controlar si se instaló determinada aplicación en un equipo corporativo. Incluso es muy útil para detectar intrusiones de algún tipo de fichero ejecutable malicioso (malware) haciéndose pasar por otro.

Figura 2: WinPrefetchView mostrando la información de ficheros .pf

Saludos!

Reconstruir sistemas de ficheros FAT/FAT32/NTFS con TestDisk [Rebuild and recovery filesystem partitions]

Hace tiempo quería escribir esta entrada con respuesta a muchos comentarios que tuve en este otro artículo: Reparar tarjetas de memoria SD dañadas. Muchos decían que en sus PCs no reconocían las tarjetas de memoria, esto podría ser causa de que al corromperse dichas tarjetas pierden su sistema de ficheros ya sea FAT/FAT32 o NTFS.

Por eso a muchos usuarios cuando conectaban las tarjetas a su equipo Windows decía algo como: "La unidad no tiene formato, ¿desea formatearla ahora?". Esto es lo que debemos de evitar, nunca formateemos algo que queremos recuperar. Ya que lo que estaríamos haciendo serían sobrescribir los datos ya almacenados por espacios lógicos con valor "0" en el espacio de almacenamiento del dispositivo en cuestión, ya sean tarjetas de memoria, pendrives USB, HDDs externos, etc.

Para la recuperación y reconstrucción de un sistema de ficheros en unidades lógicas, como pueden ser particiones u otros podríamos hacer uso de una tool para ello.

TestDisk es una herramienta gratuita y compatible con entornos Windows, Linux y MacOS. En la que se ejecuta e interactúa a nivel de una command prompt de Windows. Su utilización es sencilla, además en la website oficial podemos encontrar guías perfectamente detalladas y con ejemplos.

En esta ocasión y como ejemplo, cree un escenario en una VM con Windows 7.

Como vemos cree dos particiones en las que almacené unos ficheros. Una de las particiones de 2,13GB y la otra de 1,41GB.

Figura 1: Particiones 1 E: y 2 F: con información almacena.

Si vemos en el Administrador de discos de Windows (diskmgmt.msc) podemos ver como existen dos particiones primarias creadas en NTFS, las cuales aun NO perdieron su formato de ficheros.

Figura 2: Particiones primarias con formato en el administrador de dispositivos.

Ahora lo que lo que haré será "Eliminar el volumen" de cada una de las particiones. De modo, que se unirán ambas en una mismo valor marcado como "No asignado", el cual significa que no tienen un filesystem con el que poder trabajar y de este modo Windows deje de reconocer las particiones.

Figura 3: Eliminación de volúmenes, quedando sin formato de ficheros como valor "No asignado".

Ya que se eliminaron las particiones anteriores, como vemos Windows ya no las muestra, esto no significa que se borraran del todo ni tampoco la información almacenada que había en ellas. Simplemente, que perdieron el sistema de ficheros NTFS con el que Windows trabaja (NTFS en este caso).

Figura 4: Windows no muestra las particiones, simplemente no las reconoce como tal.

Llegados a este punto, vamos hacer uso de TestDisk para la reconstrucción del filesystem de los volúmenes eliminados.

[1] - Una vez nos descarguemos TestDisk y lo ejecutemos, que en el caso de Windows sería el fichero llamado "testdisk_win.exe".

Se nos abrirá un consola de Windows en la crearemos un nuevo log file para empezar a trabajar con la herramienta.

Figura 5: Creando un fichero de registro.

[2] - Ahora se nos mostrará un menú en el que tendremos que seleccionar en que disco HDD, dispositivo USB u otro, queremos trabajar. En este caso al tratarse de una VM ya me reconoce el único disco que tengo cargado (/dev/sda). Pulsamos entonces en "Proceed".

Como se representan las nomenclaturas de los discos y particiones?

En la forma de representación de los "dispositivos montados" "/dev/sda", significa que el dispositivo (dev=device) de disco duro (sd=para discos SCSI, SATA o dispositivos extraíbles) es el primer disco físico (a).

SDxz, donde "X" (son letras) es el orden del dispositivo y "Z" (son números) el orden del volumen que representa en dispositivo "X". Aclaro que,  los cuatro primeros números están reservados para particiones primarias, de modo que las particiones lógicas se referencian a partir del número 5.

Lo mismo ocurre si vemos representado HDxz, pero con el matiz de que estos se refieren a dispositivos con interfaz IDE, ya sea IDE en discos duros (HDD) o lectores/grabadores CD/DVD ROM.

Por ejemplo si vemos algo como esto:
/dev/sda1: (sda) la primera partición del primer disco (a).
/dev/sdb3: (sdb5) la primera partición lógica del segundo disco (b)
/dev/hda: (hda) una única partición del primer disco maestro IDE.
Para más información: http://es.wikipedia.org/wiki/Mount

Figura 6: Proceder a trabajar con el disco montado /dev/sda

[3] - En mi caso y seguro que en la mayoría, seleccionamos "Intel" como tipo de arquitectura compatible para la partición.

Figura 7: Seleccionando el tipo de arquitectura para particiones Intel. 

[4] - Ahora marcamos la opción de la lista "Analyse" con la que analizaremos el disco en cuestión. Encontraremos en esta lista más opciones, las cuales se pueden consultar en la website oficial, donde anteriormente dejara un enlace a las guías de la herramienta.

Figura 8: Analizando el disco en cuestión.

[5] - Vemos que reconoce los sectores de inicio a fin y las direcciones CHS (Cylinder Head Sector), esto será necesario como información para la aplicación poder reconstruir la estructura de particiones del disco. CHS el cual es utilizado para particiones menores de 8GB, como es este caso. Para particiones superiores a 8 GB y hasta un límite de 8 ZB, ya se utiliza LBA (Logical Block Addressing).

Con lo que buscamos en este disco y que desglose las particiones de esos valores marcados antes como "No asignados".

Figura 9: Buscando elementos no asignados en el disco, usando direcciones CHS.

[6] - Una vez se nos despliega las particiones encontradas como primarias en este caso (marcadas con la letra "P" a su izquierda), continuamos la operación para realizar la reconstrucción del sistema de ficheros en este caso, NTFS.

Figura 10: Reconstruyendo sistema de ficheros NTFS en las particiones.

[7] - Una vez reconstruidas, pulsamos en "Write" para escribir en el disco el orden de estructura de las particiones y de este modo guardar los cambios.

Figura 11: Escribiendo en el disco para guardar el orden de la estructura de particiones.

[8] - Ahora cerramos la aplicación y REINICIAMOS el equipo para que se apliquen los cambios correctamente. Una vez iniciemos de nuevo sesión en Windows, veremos como al tener de nuevo un sistema de ficheros legible por el sistema operativo estas particiones se nos vuelven a visualizar como pasaba al principio, ver "Figura 1".

Figura 12: Después de reiniciar, Windows ya reconoce las particiones con formato NTFS.

Saludos!

GhostBuster: Analizar y eliminar dispositivos pasados USB

GhostBuster es una herramienta que detecta y elimina dispositivos conectados en un pasado y también los actuales.

Figura 1: Analizando dispositivos USB conectados en un pasado con GostBuster.

Aquellos dispositivos que se conectaron y se autoinstalados en Windows. Ya sean actuales o en un pasado. Esta herramienta resulta útil en análisis forenses y ver la marca, nombre, identificadores, drivers, etc. que han estado conectados en un computador.

Saludos!

BlueScreenView [Dumping BSoD]: Identfificar “Pantallazos Azules” BSoD de Windows

BlueScreenView que buscará los archivos con extensión .dmp llamados minidumps ubicados por defecto en %systemroot%\Minidump (C:\Windows\Minidump) donde se almacenan los registros de todos los BSoD (Blue Screen Of Death) de Windows.

Si el equipo sigue funcionando después de un BSoD se puede analizar fácilmente con esta herramienta, en caso contrario habría que extraer el disco duro físico y examinar estes ficheros desde otro equipo.

Figura 1: Identificar BSoD de Windows con BlueScreenView.

Para cada mensaje BSOD se pueden ver los controladores que estaban cargados en ese momento. Podemos cambiar la vista de visualización de los ficheros .dmp y así ver el mensaje de error de diferentes formas.

Por fuente de forospyware.com estas serían algunas referencias a los posibles significados de los típicos mensajes BSOD.

IRQL NOT LESS OR EQUAL: Drivers incompatibles o mal diseñados.
UNKNOWN HARD ERROR: Archivos del registro dañados o borrados, RAM defectuosa.
STATUS SYSTEM PROCESS TERMINATED: Software o drivers incompatibles.
STATUS IMAGE CH HECKSUM MISMATCH: Archivos modificados, errores en el acceso al disco, RAM defectuosa.
KMODE EXCEPTION NOT HANDLED: Drivers incompatibles o mal diseñados, software con fallas graves, hardware defectuoso.
NTFS FILE SYSTEM: Disco duro dañado, cables de disco en mal estado, sistema de archivos dañado.
FAT FILE SYSTEM o NTFS FILE SYSTEM: Error en el ntfs.sys (driver que permite al sistema, leer y escribir en unidades NTFS).
INACCESSIBLE BOOT DEVICE: Cambio de motherboard o controladora, cambio de disco a otra PC, virus.
PAGE FAULT IN NONPAGED AREA: Drivers incompatibles, software incompatible, RAM o motherboard fallado.
NO MORE SYSTEM PTES: Un driver no se está liberando correctamente.
UNEXPECT TED KERNEL MODE TRAP: Hardware defectuoso, posiblemente memoria RAM o placa base; software incompatible.
KERNEL STACK INPAGE ERROR: Sector donde se aloja archivo de intercambio dañado, cables de disco defectuosos, virus.
SYSTEM THREAD EXCEPTION NOT HANDLED: Drivers o software incompatibles, BIOS defectuoso, hardware incompatible.
KERNEL MODE EXCEPTION NOT HANDLED: Hardware, drivers o BIOS incompatible. Lo más habitual es que se trate de RAM defectuosa.
DRIVER POWER STATE FAILURE: Driver que no funciona correctamente con las funciones de ahorro de energía.
BAD POOL CALLER: Driver o software mal diseñado.
DRIVER IRQL NOT LESS OR EQUAL: Driver mal diseñado.
THREAD STUCK IN N DEVICE DRIVER: Driver, típicamente de la tarjeta gráfica, mal diseñado.
UNMOUNTABLE BOOT VOLUME: Cambio de placa o controladora, cables IDE defectuosos o inadecuados, cambios en la conexión de los discos.
MACHINE CHECK EXCEPTION: Este comportamiento se debe a que el procesador del equipo ha detectado un error de hardware irrecuperable y ha informado sobre él a Windows. Se debe a una falla en el procesador, mother board u overclocking extremo.

Saludos!