Analyse inforensique simple avec des outils gratuits

Lors d'une discussion avec un Officier de Police Judiciaire, celui-ci me demandait comment faire une analyse de disque dur sans budget logiciel, tout en garantissant un bon niveau d'investigation.

Après avoir pris les précautions d'usage consistant à dire qu'on ne peut pas mener à bien des investigations techniques sans comprendre ce que l'on fait, je me suis dit que je pouvais faire sur ce blog une proposition (SGDZ), même si celle-ci peut éventuellement faire hurler les techniciens les plus pointus sur ces sujets (je trolle un peu aussi à ma manière).

Mon hypothèse de travail va consister à prendre le cas le plus répandu : un ordinateur sous Windows, non chiffré, avec un usage bureautique basique. L'objectif est de trouver un fichier présent sur le disque, éventuellement effacé.

1) Préserver les éléments de preuve au maximum.

Le disque de stockage de l'ordinateur ne doit pas être modifié. Or, un démarrage du système d'exploitation modifie plusieurs informations du disque, modifie des caches, procède éventuellement à des mises à jour, des connexions internet, etc. Il faut donc travailler sur une copie du disque d'origine.

2) Copier les données.

Parmi toutes les manières de procéder à la copie des données du disque de stockage, je vais présenter celle qui me semble la plus simple, même si elle n'est pas sans risque.

Les données sont aujourd'hui de plus en plus stockées sur un disque SSD, ou sur des mémoires flash plus ou moins propriétaires. Il n'est pas toujours facile de démonter le disque de stockage pour le placer sur une plate-forme adaptée, avec bloqueur d'écriture et connecteurs ad hoc.

Il est possible de démarrer l'ordinateur sur une clef USB appropriée, à condition de connaître parfaitement la procédure de démarrage sur clef USB spécifique de l'ordinateur.

Il faut donc se documenter le plus possible (sur internet) sur le modèle d'ordinateur, et sa procédure d'accès au choix du périphérique de démarrage (touche Echap, ou F1, ou F2, ou F11, ou F256, ou Suppr...).

Ma recommandation est de retirer si possible le disque de l'ordinateur et de faire des essais "à vide" pour être sur de démarrer correctement sur la clef USB.

J'utilise une clef USB de démarrage DEFT qui fonctionne pour tous les ordinateurs que j'ai rencontrés pour l'instant. Cette clef a la particularité de protéger tous les disques contre l'écriture (de manière logicielle), en plus de disposer de nombreux outils d'investigation qu'il serait trop long de présenter ici (mais qui sont très intéressant).

Une fois le démarrage sur clef USB DEFT effectué, il ne reste plus qu'à brancher un disque externe de capacité suffisante sur l'ordinateur et d'utiliser la commande dd, ou dd_rescue, ou ddrescue pour effectuer une image bit à bit du disque de stockage. Attention de bien vérifier les noms logiques des devices : il est préférable de savoir bien différencier le disque cible du disque source, surtout qu'il faudra bien passer le disque destiné à contenir l'image en lecture/écriture. Il faut comprendre ce que l'on fait.

Une fois la copie terminée, éteindre l'ordinateur et souffler un peu car le contenu du scellé est préservé (si l'ordinateur n'est pas tombé en panne JUSTE pendant ce moment là, auquel cas, il faudra faire jouer son assurance en responsabilité civile NECESSAIREMENT prise pour ce type d'activité).

3) Analyse des données de la copie.

Chacun est libre du choix de ses outils préférés (GNU/Linux, Windows, FreeBSD, etc.), mais comme la plupart des enquêteurs sont sous Windows, je recommande l'outil gratuit OSFMount qui permet de monter en lecture seule une image dd sous Windows (qui sera attribuée à un lecteur disponible, G: par exemple).

Cela permet de se promener sur le contenu (de l'image) du disque, sans modifier son contenu. Cela permet d'utiliser tous les outils de récupération de données,  tels que Recuva ou PhotoRec, ainsi que la version Windows de The Sleuth Kit (TSK).

Vous pouvez également utiliser tous les outils de la LiberKey, en particulier SearchMyFiles ou Everything.

Conclusion :

Il est possible d'utiliser des outils gratuits pour faire une analyse des données d'un support de stockage. MAIS cela ne dispense pas de SAVOIR ce que l'on fait et oblige à COMPRENDRE les concepts en jeu.

On ne s'improvise donc pas expert informatique.

Par contre, ces outils étant gratuits, ils sont faciles d'accès et permettent à une personne curieuse de s’entraîner, par exemple sur un vieux disque, et parfois de sauver une situation où la sauvegarde est un peu ancienne...