是哪位 fqd 被抓了？

沙菲库尔8

TPM芯片不用愁，疑难案件获突破

近日，我司接到某地市公安的案件技术协助请求，要求协助解密一台笔记本电脑硬盘的数据。该案件从去年开始立案侦查，通过前期排查，已将嫌疑人使用的笔记本电脑(HP Envy X360)进行扣押，该嫌疑人主要通过自己的电脑远程控制境外服务器进行违法活动，然而警方发现嫌疑人有案底，十分狡猾，具有很强的反侦察意识，电脑使用了Bitlocker加密技术对硬盘进行加密，拒不承认自己与案件相关，不交代电脑的开机密码，案件陷入僵局。
经过预检发现，硬盘系统分区有Bitlocker加密。警方通过多种方法尝试，联系了国内的多家电子数据取证公司，耗费一个多星期到各地寻找破解加密磁盘的方法，结果都无法解密加密磁盘的数据，最后辗转找到我司寻求技术支援。

我司技术人员先使用公司自主研发的免拆机取证设备-取证前锋对该电脑进行了预检，经过检查发现，该电脑内置了TPM加密芯片，系统分区已使用Bitlocker加密。通过镜像工具进行只读模式挂载，发现该加密分区并非是默认基于TPM的Bitlocker加密（即微软定义的“设备加密”），无法直接解密，该机器疑似设置了PIN码。考虑到现场取证流程要符合司法规范，我司技术人员通过嫌疑人笔记本电脑的两个USB接口与免拆机取证设备进行快速镜像，512GB容量硬盘耗时16分钟，速度比传统硬盘拷贝机快不少。

完成嫌疑人笔记本电脑的全盘镜像后，尝试使用我司的秘密武器CSIR-5000（临机绕密取证设备）对启用TPM+PIN保护的Bitlocker加密的Windows 10系统进行破解。该设备采用内存直接访问(DMA)攻击技术，通过将内置的无线网卡替换为专用卡，使用专用软件进行内存扫描，刚开始遇到无法访问内存问题，发现该电脑默认启用了“快速启动“机制造成，经过调试，很快在十多分钟内就成功绕过Windows 10系统的锁屏密码，随意输入一个密码进入系统后，运行一个简单的命令行，成功获取到了该Bitlocker加密磁盘的48位的恢复密钥。该绕密取证过程全程进行了录像，确保符合司法要求。

使用我司的取证神探取证分析软件加载硬盘镜像，输入提取的48位Bitlocker恢复密钥，成功解密了硬盘数据。经过对解密后的数据分析，我们发现嫌疑人有很强的反侦察经验，电脑上安装了反取证软件，经常对计算机痕迹进行擦除。经过我们不懈的努力，最终还是找到了连接服务器的历史记录，根据这些线索，把服务器等其他的线索串连起来，形成了证据链。此外，还在硬盘镜像中发现了1个iPhone手机备份及1个iPad备份、两个iOS设备的lockdown密钥数据，并解析出了部分有价值的数据。

我司圆满完成了本次疑难案件的技术支援，我司的特色取证设备和技术团队的实战能力都得到了客户的好评，具备实战能力的“神探学院“也一定可以成为国内“精英神探“的摇篮

来源：https://mp.weixin.qq.com/s/lLTR0XI6br46lEyaDCzfXA

3s3s9119

牛逼

edaole

这个牛逼

j15023105c

虽然是旧闻了，但想搞事的还是先肉身出去吧

heyond

所以Bitlocker 也不安全?

aspxbs

破TPM和bitlocker，要是真能破有点东西

随风舞动

其实也不能排除诸如美亚柏科这些取证公司在自我吹嘘

艾哥

看来 只能物理破坏了

tkv2373

快进到几年后，某个fqd发帖说
其实xx年-xx年 这段网盘消失的时间其实我是去踩缝纫机了

冰点精灵

我有一个疑问，这个人既然懂技术，假设他电脑上没有安装任何国内的软件，例如360微信这种，直接通过公用机场的线路（国内中转服务器→隧道→他自己的VPS上）再连接他的远程桌面，为啥他不在他境外的远程桌面开启Bitlocker一类的加密软件，这样景哥是不是一点办法就没了（除了逼供）