Blog M Fahmi

Cara menggunakan tool Helix v2.0

baiklah pada kesempatan kali ini saya akan membahas tool bernama Helix
tool Helix ini digunakan untuk kepentingan forensik.
Helix adalah software yang dikembangkan oleh e-Fense Inc., sebagai software khusus untuk kegiatan forensik. Helix dibundel dengan banyak tool-tool forensik baik yang sifatnya open source atau pun closed source.

saat menjalankan aplikasi helix, maka tampilan pertama seperti gambar diatas. Dan untuk melanjutkannya pilih BAHASA apa yang akan kita gunakan , kemudian lanjut pilih Accept.

Gambar tampilan awal tool helix

seperti yang terlihat digambar ada beberapa pilihan atau bagian-bagian yang bisa digunakan di HELIX seperti Priview system information, acquire a live image, incident response tool, browse contents of the CD-ROM, Scan for Pictures from a live system dan Investigative Notes
disini saya akan menjelaskan satu per satu cara menggunakan bagian-bagian tersebut.

1. Priview system Information

jika kita klik pada bagian priview system information maka akan muncul informasi-informasi mengenai komputer, mulai dari Nama pemilik komputer, Informasi Jaringan, dan Informasi mengenai partisi Drive di komputer.
selanjutnya jika klik tanda panah di sebelah icon Priview system information akan muncul halaman lain

pada halaman tersebut menampilkan semua proses yang sedang berjalan di Sistem Operasi kita

2. Live Acquisition

Pada halaman pertama terdapat Live Acquisition yang terdiri dari Source sebagai sumbernya, Destination untuk tujuan atau tempat penyimpanan dan Image name untuk penamaan Image.akan tetapi tools tersebut tidak berfungsi sehingga jika ingin menggunakan harus menginstall software lain.

Halaman Pertama

FTK Imager
pada halaman kedua akan ada fitur bernama FTK Imager berikut tampilannya FTK Imager merupakan sebuah tools yang digunakan untuk membuat image dari suatu drive baik physical maupun logical drive. dan juga bisa menscan drive untuk melihat seluruh isi drive tersebut.

Halaman Kedua

pada halaman FTK Imager akan ada tombol Imager, klik tombol tersebut untuk menjalankan aplikasinya, kemudian akan muncul window baru

selanjutnya klik create disk image untuk membuat Image

akan muncul pemilihan sumber, pilih sesuai kebutuhan bisa berupa drive fisik atau pun logic

lalu pilih tipe Image, disini saya contohkan memakai tipe file E01

Kemudian pilih lokasi penyimpanan Image tersebut dan penamaan file imagenya lalu klik Finish
jika sudah selesai saatnya memulai membuat image dengan mengklik Start. proses pembuatan image terbilang cukup lama berkisar 40 menit lebih tergantung besar isi Drive

Jika sudah selesai maka akan muncul sebuah file E01 dan txt yang mana isi txt adalah informasi mengenai imageny seperti gambar diatas

Kemudian fitur selanjutnya yaitu menscan isi Drive

klik icon Add all Attached Device seperti digambar maka software tersebut akan menscan seluruh partisi yang terdapat pada komputer, klik pada partisi yang ada untuk melihat isi data tersebut, pada contoh gambar diatas terlihat ada beberapa file yang ada gambar silang (X) itu menandakan file tersebut telah terhapus, dalam software tersebut file tersebut bisa diexport ke Partisi lain tetapi hampir kebanyakan file tersebut corrupt atau tidak bisa dibuka karena software tersebut tidak terlalu baik dalam merecovery File

3. Incident Respone

Selanjutnya pada Incident Respone Ada beberapa tool yang ditampilkan, namun pada halaman ini banyak tools yang tidak dapat berjalan/digunakan.

Halaman 1

Nigilant32

Nigilant32 adalah software yang dikembangkan untuk mengumpulkan informasi sebanyak-banyaknya pada sistem yang dicurigai namun dengan dampak terhadap sistem yang kecil. Nigilant didesain untuk mereview dan menyimpan informasi terkait proses yang sedang berjalan, service pada sistem, user account, scheduled task, network ports dan sebagainya pada sistem yang sedang berjalan.

tampilan awal Nigilant32

Untuk memulai klik File > priview Disk

Pilih Drive yang akan diperiksa, kemudian akan muncul File-file yang ada di Drive

Bila kita klik salah satu file, kolom di bawahnya akan terisi dengan informasi. Di bagian paling kiri menunjukan baris kode. Di tengah adalah Hex Code file tersebut. Dan di bagian kanan adalah dekripsi code tersebut.

Hash Value Viewer
pada halaman selanjutnya ada tool bernama Hash Value Viewer Digunakan untuk menampilkan Hash Value dari satu file.

Halaman 2

Pertama, browse terlebih dahulu file yang akan dilihat hash valuenya kemudian klik tombol hash.

Maka akan muncul nilai hash di kolomnya

PuTTY SSH

PuTTY adalah aplikasi yang digunakan untuk melakukan telnet atau SSH ke suatu server. PuTTY cukup mudah digunakan, hanya dengan menuliskan IP target dan port aksesnya, PuTTY akan melakukan hubungan dengan komputer target secara telnet.

WinAudit

WinAudit adalah aplikasi yang digunakan untuk mengumpulkan informasi atau untuk mengaudit komputer tersangka. Dengan WinAudit, segala informasi terkait sistem administrasi dan aplikasi apa saja yang terinstal di komputer tersangka akan diungkap. Cara menggunakan WinAudit cukup mudah.

Jalankan aplikasi WinAudit kemudian akan muncul jendela berikut.

Kemudian klik tombol Audit di sudut kiri atas aplikasi ini dan aplikasi akan mengaudit komputer tersangka. Setelah proses Audit selesai, WinAudit akan menampilkan report seperti berikut ini.

Jika kita ingin keluar dari WinAudit tersebut akan muncul window baru untuk pemberitahuan apakah hasil audit tersebut ingin disimpan atau tidak. jika iya maka klik simpan dan pilih tempat penyimpanan, lalu pilih tipe file penyimpanan disini saya contoh kan PDF berikut tampilannya

File Recovery
PC Inspector adalah tool yang digunakan untuk mengembalikan file-file yang telah terhapus. Di websitenya bahkan File recovery diklaim mampu mengembalikan file-file dari drive yang telah terformat bahkan telah terhapus sebelumya.
Cara menggunakan aplikasi ini cukup mudah. Pertama kita perlu menjalankannya terlebih dahulu.
Kemudian memilih bahasa aplikasi. Pilih English.

Pilih jenis pekerjaannya. Misalkan kita akan merecover file yang telah terhapus.

Selanjutnya PC Inspector akan memeriksa isi harddisknya.
Langkah selanjutnya kita tinggal memilih drive mana yang akan kita cari deleted file nya untuk dikembalikan. Misal drive D. Kemudian klik tanda centang hijau.

Kemudian akan tampil seperti gambar di atas. Klik icon deleted kemudian cari file mana yang akan di kembalikan.

Untuk mengembalikan file target kita klik kanan file target kemudian pilih save to. Kemudian tentukan di mana kita akan menyimpan file yang telah direcovery tadi.

PC On/Off Time

PC On/Off Time adalah aplikasi yang berfungsi untuk mengumpulkan history kapan saja komputer tersangka hidup atau mati. Dari data yang ditampilkan akan terlihat kapan saja komputer ini digunakan dan seberapa penting komputer ini bagi pihak tertentu.

Sayangnya PC On/Off Time bawaan Helix adalah versi free oleh karenanya kemampuannya juga terbatas. Versi berbayar dari aplikasi ini bahkan bisa menampilkan aplikasi apa saja yang digunakan selama komputer menyala dan berapa lama penggunaannya.

4. Browse
fitur Browse adalah hanya sebuah pencarian Konten dan melihat informasi dari setiap file yang ada pada Partisi Drive di komputer

terlihat pada gambar diatas bahwa kita bisa melihat tulisan yang berwana kuning adalah informasi dari setiap file yang ada pada Drive,

5. Scan Picture
fitur ini yaitu menscan gambar yang ada pada setiap folder di dalam komputer

cara menggunakannya klik Load Folder lalu pilih letak folder yang akan discan, lalu akan tampil seperti contoh diatas.
disebelah Load Folder, ada tombol Clear All berfungsi untuk menghapus hasil Scan gambar, kemudian ada Enlarge dan Decrese tombol ini berfungsi untuk memperbesar dan memperkecil tampilan gambar, tetapi terdapat BUG atau error yaitu setelah kita klik Enlarge atau Decrese file gambarnya ada tetapi tidak menampilkan priview gambarnya

6. Investigative Note
Adalah sebuah catatan dimana untuk mencatat Siapa yang memeriksa, Nomor Kasus, dan Nama Agency/Perusahaan