کالبد شکافی دیجیتالی برای یافتن ردها و جزئیات برنامه و یا اطلاعات هکر مخرب

در این تاپیک به چگونگی یافتن ردهاو منشاء فایلی مخرب همراه با اطلاعاتی در مورد فرد مخرب میپردازیم. تیتر این تاپیک که در اصل پزشکی قانونی دیجیتالی است که در زبان انگلیسی به ان "Computer forensics" گفته میشود, برای درک بهتر به کالبد شکافی دیجیتالی تغییر یافته است.

Forensics علم روشهای تکنیکی و مراحلی برای مطالعه ردهائی است که منشاء انها یک جرم و یا جنایت است و به عبارتی پزشکی قانونی است که برای یافتن دلایل و چگونگی انجام جرمی است. "Computer forensics" نیز اصطلاحی است که برای یافتن ردهای دیجیتالی بیشتر مجرمین بکار میرود و برای یافتن عناصری که بتوانند بعنوان مدرکی برای اثبات جرمی دیجیتالی چون مثلا رخنه انفورماتیکی استفاده شده و در پی ان امکان شکایت قانونی را فراهم سازند.

مسلما در اینجا هدف اموزش این علم وسیع نیست بلکه توصیه هائی و توضیحاتی برای انجام ان برای افراد عادی است که احیانا هک شده و یا الوده گشته اند و مایلند بصورتی کاملا قانونی خطای خود در این راستا و همچنین ردهائی از یک فرد مخرب را بیابند.

در ابتدا باید بدانید که حتی بدون اینکه متوجه شوید همیشه ردهائی دیجیتالی از خود بجای میگذارید. هر چند که ممکن است از روشها و یا ابزای برای ناشناس ماندن و یا ردی بجای نگذاشتن استفاده کنید, اما باز هم در بعضی موارد ردهائی از خود بجای میگذارید. همانطور که گفته شد اینجا به یافتن ردها بطور حرفه ای و تحقیقات وسیعی که توسط متخصصین این علم صورت میگیرد نمیپردازیم و فقط توضیحاتی برای افراد عادی و کنجکاوی که مایلند حداقل اشنائی با این علم و احیانا چگونگی یافتن ردهای هکری مخرب روی کامپیوتر خود را بدانند داده میشوند.

در واقع ردهای بجای مانده از فعالیتهای گذشته میتوانند برای بازسازی انچه که رخ داده و مشاهده و یا یافتن منبع مشکل کمک کنند. این موضوعی است که در اینجا توضیح خواهیم داد.

تصور کنید که شما هک شده اید. در اینصورت برای کالبد شکافی دیجیتالی لزومی ندارد که کامپیوتر خود را اسکن کرده و یا برنامه های مخرب را پاکسازی کنید و نه حتی تاریخچه سایتهای بازدید شده و یا فایلهای دانلود شده را پاک نمائید. برعکس برای یافتن ردها به هیچوجه این عملیات نباید صورت بگیرند چون در واقع پاک کردن ردها و یا اثار جرم است درست همانگونه که در محیط غیر دیجیتالی هیچوقت نباید به هیچ چیز در صحنه جرم دست زده و یا تغییری داد.

اگر هک شده اید و یا مظنون به فعالیت برنامه ای مخرب روی کامپیوتر خود هستید و یا احیانا انرا یافته اید, مهم است که بخاطر بیاورید که قبل از ان چه کارهائی انجام داده اید و یا چه فعالیتهائی داشته اید. در این راستا باید از خود پرسش کنید و مثلا بخاطر بیاورید که اخرین سایتهای بازدید شده کدامین بوده اند و یا اخرین برنامه های نصب شده کدامند و یا ایا یک فلش مموری و ابزاری خارجی نظیر ان به کامپیوتر متصل شده بوده و غیره.

یافتن ردهای بجای گذاشته شده روی اینترنت :

مدیریت این موضوع چندان اسان نیست چون متاسفانه همه ردهای بجا گذارده شده روی اینترنت همیشه روی کامپیوتر مشهود نیستند اما با اینهمه تاریخچه سایتهای بازدید شده در صورتیکه حذف نشده باشد میتواند برای شروع و مثلا یافتن احیانا سایت مخربی به کار اید.

منظور از سایت مخرب هرگونه سایتی است که میتواند یک سایت فیشینگ یا جعلی برای به دام انداختن کاربر و یا سایتیکه با بازدید ان بطور خودکار و بدون اطلاع کاربر برنامه مخربی دانلود و روی کامپیوتر کاربر نصب میگردد که به ان Drive-by download گفته میشود, سایتی که از بنرهای تبلیغاتی مخرب برای هدایت کاربر به سایتی مخرب استفاده میکند, سایتی که خود به دلیل اسیب پذیری و یا اسیب پذیریهائی هک شده و برای الوده کردن بازدیدکنندگان توسط مخربین بهره برداری میشود و غیره باشد.

اگر همه اینها به نظر شما بسیار مشکل میایند, در اینصورت بهتر است از شخصی که بیشتر از شما تجربه دارد برای یافتن اینگونه سایتها در تاریخچه وبگردی خود یاری بخواهید.

مسلما همه سایتها در تاریخچه وبگردی الوده و یا عامل الودگی و هک شما نبوده اند اما حتی به سایتهائی که از نظرتان نمیتوانند مخرب باشند باید شک کنید چون همانطور که قبلا گفته شد, سایتی غیر مخرب خود میتواند هک شده و دامی برای بازدید کنندگان روی ان پهن شده باشد.

یافتن ردهای بجا مانده روی کامپیوتر :

همانطور که بالاتر توضیح داده شد, همیشه باید بخاطر داشته باشید که بر اساس شک و یا تردید باید عمل کرد و در نتیجه باید بخاطر بیاورید که احیانا اخرین برنامه های نصب شده که میتوانند عامل تخریب باشند کدامین بوده اند. این برنامه ها میتوانند یک نرم افزار یا یک افزونه برای مرورگر و یا یک پلاگین و غیره باشند.

بعضی روش ها برای یافتن ردهای ذخیره شده روی کامپیوتر :

ویندوز و سایر برنامه ها مرتبا انچه را که روی کامپیوتر انجام میشود و یا رخ میدهد را ذخیره میکنند و یا در واقع تاریخچه ای از عملیات انجام شده نگه میدارند. یکی از انها "Event Viewer" و یا مشاهده گر رخدادهای کامپیوتر است که با تایپ eventvwr.msc در نوار جستجوی کامپیوتر میتوان به ان دست یافت.

Event Viewer از نظر اطلاعاتی برای تمامی برنامه های اجرا شده و برنامه های سیستم و کانکشنهای شبکه و ساختن یک پوئینت ریستور و رجیستری ویندوز و حتی قطعات بسیار غنی است و تاریخچه ای از همه وقایع انها را حفظ میکند و میتواند کمک ارزشمندی برای یافتن بعضی مشکلات پیش امده با روز و ساعت دقیق انها باشد.

البته ممکن است کاربران مبتدی به دلیل وسیع بودن اطلاعات ثبت شده در Event Viewer ویندوز انرا بسیار پیچیده یافته و سر در گم شوند که میتوانند از شخصی که بیشتر از انها به ان اشنائی دارد یاری بگیرند.

در اینجا به تک تک زیر شاخه های Event Viewer نمیپردازیم چون هدف در اینجا اموزش ان نیست اما بعنوان مثال میتوان دلیل اینکه برنامه ای دیگر کار نمیکند یا دچار مشکلی شده را در ان و با کلیک روی "Windows Logs" در منوی سمت چپ پنجره ا اصلی ان و سپس کلیک راست روی"System" و سپس گزینه "Create Custom Viewer" و سپس "By source" و در منوی کشوئی انتخاب "Microsoft Windows security auditing" و در اخر "Ok" عمل کرد. بدینگونه میتوان هر بار که حساب کاربری ای کانکت شده را مشاهده نمود.

- - , .