IoT (Internet of Things) Geräte sind aus der aktuellen Zeit nicht wegzudenken. Nach der erfolgreichen Etablierung in das private Lebensumfeld (SmartWatches, Fitnesstracker oder intelligente Lautsprecher), nehmen sie Einzug in immer mehr Bereiche des öffentlichen Lebens und der Wirtschaft (z. B. SmartCities oder Industrie 4.0). Strafverfolgungsbehörden stellen smarte Geräte und die damit einhergehende Vernetzung diversester Geräte, Schnittstellen und Netzwerke vor neue Herausforderungen. Auf der einen Seite stehen Aspekte der Sicherheit von IoT-Geräten. Dieser Bereich wird bereits durch breitgefächerte wissenschaftliche Forschung abgedeckt und betrifft aus Strafverfolgungssicht Delikte des Cybercrime. Auf der anderen Seite können Informationen aus smarten Geräten zur „Aufklärung“ von Straftaten dienen. Digital-forensische Untersuchungen von IoT-Geräten selbst, sowie der dazugehörigen vernetzten Informationsquellen, stehen noch am Anfang. Politisch wird die Rolle von IoT-Geräten u. a. mit der aktuellen Diskussion auf der IMK gewürdigt.

Malware utilizes code injection techniques to either manipulate other processes (e.g. done by banking trojans) or hide its existence. With some exceptions, such as ROP gadgets, the injected code needs to be executable by the CPU (at least at some point in time). In this work, we cover and evaluate hiding techniques that prevent executable pages (containing injected code) from being reported by current detection tools. These techniques can either be implemented by malware in order to hide its injected code (as already observed) or can, in one case, unintentionally be taken care of by the operating system through its paging mechanism. In a second step, we present an approach to reveal such pages despite the mentioned hiding techniques by examining Page Table Entries. We implement our approach in a plugin for the memory forensic framework Rekall, which automatically reports any memory region containing executable pages, and evaluate it against own implementations of different hiding techniques, as well as against real-world malware samples.

Mit Meltdown und Spectre wurde zum Jahreswechsel 2017/18 eine neue Kategorie von Angriffen auf Computersysteme publik und alle paar Monate werden neue Varianten bekannt. Auf der anderen Seite spielen diese neuen Sicherheitslücken noch keine Rolle bei realen Vorfällen. Im Rahmen des Vortrags wird das allgemeine Grundprinzip vorgestellt und erklärt, welche Herausforderungen sich daraus für die forensische Analyse ergeben. Als eine Art Ausblick wird auch auf Virtualisierungstechnologie eingegangen und vorgestellt, welche Analysemöglichkeiten zum Beispiel Virtual Machine Introspection (VMI) bietet.

Heise berichtete im Sommer öffentlich über die Emotet-Infektion im eigenen Haus, bei dessen Aufklärung ERNW unterstützte. Sie erfahren aus erster Hand wie sich die Heise-Gruppe der Bedrohung stellt um größeren Schaden abzuwenden und Emotet aus der Infrastruktur zu beseitigen. Der gesamte Verlauf des Angriffs, die forensische Untersuchung, sowie die wichtigsten Ergebnisse und Lessons Learned werden kompakt präsentiert.

Heutige (mobile) Anwendungen wie WhatsApp oder Skype nutzen SQLite Datenbankdateien zur Speicherung ihrer Daten. Aus IT-forensischer Sicht ist es daher wichtig, alle relevanten In- formationen aus einer SQLite Datei extrahieren zu können. In diesem Vortrag betrachten wir Spuren in einer SQLite Datei, die zu gelöschten Datenbankeinträgen gehören. Ein strukturier- ter Ansatz wird vorgestellt, in dem zunächst das Löschverhalten von SQLite in Abhängigkeit von unterschiedlichen Datenbankkonfigurationen betrachtet wird (insbesondere für löschrele- vante Pragmas). Anschließend gehen wir auf ein Konzept zum Parsen und Wiederherstellen gelöschter Records ein. Unser Konzept ist als Proof of Concept Implementierung bring2lite verfügbar. Eine Evaluation auf Basis eines verbreiteten SQLite Datensatzes wird diskutiert.

Cyberkriminalität ist ein internationales Problem, welches die internationale Zusammenarbeit als elementaren Baustein zur Bekämpfung braucht. Verschiedene vorhandene Institutionen werden aufgeführt und am Beispiel FIRST erläutert, wie diese zu der Bekämpfung beitragen und mit einem „Call for Action“ schließen.

Das Feststellen der Quelle eines Bildes, d.h., von welcher Marke, welchem Modell oder gar Gerät das Bild aufgenommen wurde, ist ein klassisches Problem in der Multimediaforensik. Dateiheader können hierauf erste Hinweise liefern. Header sind schnell ausgelesen und ge- parst, weshalb sie von besonderem Interesse sind, etwa beim Durchsichtigen großer Daten- mengen. In diesem Vortrag zeigen wir Untersuchungsergebnisse auf Headern von Bildern, die mit Smartphones, insbesondere Apple-Geräten, aufgenommen wurden. Smartphones sind fle- xibler als traditionelle Kameras, da regelmäßig Softwareaktualiserungen aufgespielt werden und Nutzer aus einer Vielzahl an Apps wählen können, um Bilder aufzunehmen. Es wird ver- deutlicht, dass diese Softwaredynamik die Headerkonfigurationen beeinflussen. Wir nutzen diese Erkenntnis um mit Hilfe von maschinellem Lernen Headerkonfigurationen zu charakte- risieren und diese mit den jeweiligen Softwareeinstellungen zu assoziieren.