Les logiciels d’investigation sont tous dotés de fonctionnalités permettant de filtrer les fichiers en fonction de leur empreinte numérique (en général la valeur du Hash MD5). Plusieurs bases de données contenant les valeurs hashes des principaux logiciels sont disponibles sur Internet. Toutefois, ces bases étant réalisées et alimentées outre-atlantique, elles contiennent les hashes des versions anglaises (ou US) des logiciels.
Ayant été confronté à ce problème, j’ai pris un peu de temps pour générer les empreintes numériques MD5 des systèmes d’exploitation XP, Vista et de quelques logiciels courants qu’on trouve habituellement sur la plupart des disques durs. Elles sont disponibles en téléchargement au format X-ways forensic (MD5 plain text).
Les logiciels hashés au 27 février 2009 sont :
- Windows XP professionnel
- Windows Vista intégrale
- Adobe Acrobat reader 8
- Microsoft office 2003 professionnel
- Microsoft office 2007
- Daemon tools 4.3
- Ulead DVD movie factory
- Logiciels d’origine pour laptops toshiba
- Logiciels et pilotes ATI
Bien évidemment, ça fait très peu par rapport à l’ensemble des logiciels existants. Quoi qu’il en soit, l’exclusion de tous ces hashes lors de l’examen d’un disque dur standard m’a souvent permis de diviser par deux le nombre de fichiers à examiner. Je vous encourage donc fortement à les télécharger et à les inclure dans votre logiciel d’investigation favori. Je tâcherai d’enrichir régulièrement cette base de hashes pour y inclure des logiciels supplémentaires. Si vous avez des idées quant aux logiciels à ajouter, n’hésitez pas à le suggérer en commentaire.
Quoique plusieurs formats de bases de données soient utilisables en fonction du logiciel d’investigation employé (NSLR, hashkeeper), la plupart d’entre-eux sont capables d’importer des hashes au format texte brut. Si tel n’était pas le cas, des logiciels de conversion de format sont téléchargeables librement sur Internet.
Télécharger hashes-md5-fr-090227.zip (1Mo)
Merci pour la mise à disposition des hashes.
Alain
C’est une très belle initiative, merci beaucoup Bruno ! Je pense que ça va servir à nombre de nos amis 😉
Bonne initiative
Bonjour, et merci pour ces nouvelles bases, je viens de les ajouter à ma collection et suis certain qu’elles me seront très utiles.
Et en passant, très bon blog que je viens de découvrir par l’intermédiaire de Cédric Pernet. Merci.
Hop,
Comme ça concerne le hash de fichiers et même des bases de données de hash, je me permet de signaler un petit logiciel que j’ai écrit qui permet le génération de hash, la comparaison par rapport à une base déjà générée et la génération d’un différentiel (ce qui permet la génération de hash de logiciels facilement).
Le programme se nomme GtkCmpHash, il se trouve sur le site de gna.org ici : https://gna.org/projects/gtkcmphash/ (sources via svn) mais il existe une version compilée en StandAlone (exécution sans installation depuis une clef USB par exemple) ici : http://src.delhomme.org/download/GtkCmpHash_StandAlone.zip
En espérant que ça serve,
Olivier.
Merci Bruno.
Très bon site. bravo. continue.
Raph