Kort antwoord
Wat speelde hier?
Na verdachte banktransacties vermoedde een particulier ongewenste toegang tot zijn Windows-computer. InstantIT kreeg de opdracht mogelijke digitale sporen te onderzoeken en de computer na het onderzoek opnieuw in te richten.
Er was geld verdwenen. Kon iemand op afstand meekijken?
Een particulier meldde zich bij InstantIT nadat er verdachte transacties via zijn bankrekening waren geweest. Hij vermoedde dat iemand misschien op afstand toegang had gehad tot zijn Windows-computer.
De bank en politie waren bij de situatie betrokken. Er was daardoor behoefte aan meer dan een snelle virusscan: wat was er op de computer terug te vinden en kon er iets worden vastgelegd dat bij de verdere afhandeling zou helpen?
De klant wilde daarna ook weer met een opnieuw ingerichte computer verder kunnen.
Eerst kijken naar sporen, niet meteen Windows wissen
Bij dit soort situaties kun je onbedoeld bewijs verliezen wanneer je direct het systeem opnieuw installeert. Daarom is eerst technisch onderzocht welke gegevens nog beschikbaar waren.
InstantIT gebruikte onder meer Velociraptor om relevante systeeminformatie en digitale sporen te verzamelen. De aandacht ging naar gebeurtenissen in Windows en mogelijke aanwijzingen voor software waarmee iemand op afstand toegang kan krijgen.
Dat leverde wel aanknopingspunten op om te onderzoeken, maar niet automatisch het antwoord op de vraag wie de banktransacties had uitgevoerd.
Wat vertelden de digitale sporen?
Het onderzoek richtte zich onder meer op aanwijzingen rond software voor toegang op afstand. In de beschikbare gegevens kwamen sporen naar voren die verder onderzocht konden worden.
Dat betekende niet dat iemand op die manier daadwerkelijk de banktransacties had uitgevoerd. Een gezocht programma en een actieve verbinding zijn immers niet hetzelfde.
We hebben de bevindingen daarom technisch beschreven, zodat de klant en betrokken partijen een duidelijk beeld hadden van wat op de computer was aangetroffen.
Na het onderzoek Windows opnieuw geïnstalleerd
Toen de relevante sporen waren verzameld en de bevindingen waren vastgelegd, heeft InstantIT Windows opnieuw geïnstalleerd.
De volgorde was bewust: eerst het onderzoek en pas daarna de herstelwerkzaamheden aan de computer. Zo voorkom je dat de installatie het enige overgebleven spoor van het incident overschrijft voordat iemand ernaar heeft gekeken.
De gegevens uit het onderzoek konden worden gebruikt bij het verdere gesprek met de betrokken partijen. InstantIT nam niet de rol van bank of politie over.
Het resultaat: onderzoeksverslag en opnieuw ingerichte computer
InstantIT heeft de digitale sporen onderzocht en de bevindingen vastgelegd in een technisch verslag. Daarna is Windows opnieuw geïnstalleerd.
De klant kon daardoor verder met een opnieuw ingerichte computer en had tegelijk informatie over wat tijdens het onderzoek naar voren was gekomen.
De zaak rondom de banktransacties lag verder bij de betrokken bank en politie. Onze rol was het technische computeronderzoek en het herstel van de Windows-omgeving.
Waarom eerst onderzoek en daarna herstel?
Na digitale fraude willen mensen vaak het liefst meteen alles opnieuw installeren. Dat is begrijpelijk, maar daarmee kunnen ook gegevens verdwijnen die juist bij het onderzoek van belang zijn.
In deze opdracht hebben we daarom eerst de relevante systeemsporen verzameld. Pas daarna volgde de nieuwe Windows-installatie.
Dat is het voordeel van een gerichte incidentaanpak: niet alleen de computer weer bruikbaar maken, maar ook aandacht besteden aan wat er vóór het herstel op het apparaat te vinden was.
Veelgestelde vragen
Vragen bij een vergelijkbare situatie
Wat onderzoekt InstantIT op een computer na vermoedelijke bankfraude?
We kijken naar relevante systeemsporen en aanwijzingen voor ongewenste toegang of verdachte software. In deze opdracht zijn gegevens verzameld met Velociraptor en beschreven voor de verdere afhandeling.
Waarom is Windows niet meteen opnieuw geïnstalleerd?
Een herinstallatie kan bestaande sporen overschrijven. Daarom zijn bij deze opdracht eerst relevante systeemgegevens verzameld en onderzocht, waarna Windows opnieuw is geïnstalleerd.
Wat is Velociraptor in zo'n onderzoek?
Velociraptor is een hulpmiddel voor het verzamelen en analyseren van systeemgegevens. Het ondersteunt technisch onderzoek; het is geen automatische manier om de dader of exacte fraudeoorzaak vast te stellen.
Verder naar de oplossing
Loopt u tegen iets vergelijkbaars aan?
Vertel kort wat er speelt. We kijken eerst wat er echt aan de hand is en wat een logische volgende stap is.
