whitehat4u odzyskuje, zabezpiecza i wyjaśnia dowody cyfrowe z telefonów, komputerów i nośników danych. Pracujemy z Krakowa dla sądów, kancelarii prawnych, śledczych i klientów prywatnych w Polsce, Hiszpanii, Norwegii i całej Europie.
Numery telefonów, konta, adresy e-mail, adresy IP i płatności to obiekty. Każde połączenie między nimi musi wskazywać na konkretny dowód. Ułożone w graf ujawniają wzorce: jeden telefon za wieloma kontami, jeden portfel za wieloma ofiarami.
Przykładowa sprawa z fikcyjnymi danymi. Każda linia musi wskazywać na dowód, który sąd może sprawdzić, w kolejności zdarzeń. Dotknij lub najedź na kółko, aby je podświetlić:
ponad 100 000
incydentów obsłużył CERT Polska w 2024 roku, prawie 300 dziennie. Najczęstszy był phishing.
Źródło97 348
incydentów obsłużył INCIBE w 2024 roku. Dwie trzecie dotyczyły osób prywatnych, a 43% stanowiły oszustwa internetowe.
Źródło607 mln NOK
stracono w Norwegii w wyniku oszustw płatniczych w pierwszej połowie 2024 roku, o 16% więcej niż w poprzednim półroczu.
Źródło4875
incydentów przeanalizowała ENISA, unijna agencja ds. cyberbezpieczeństwa, od lipca 2024 do czerwca 2025 roku.
ŹródłoSądy, prokuratury, kancelarie
Analiza zabezpieczonych urządzeń i opinie na potrzeby postępowań lub prywatna opinia dla jednej ze stron. Wyniki wyjaśniamy prostym językiem i bronimy ich podczas przesłuchania.
Jednostki policji, śledczy
Pomoc w zabezpieczaniu i analizie, gdy liczba spraw przekracza możliwości zespołu: ekstrakcja danych z telefonów i komputerów, rekonstrukcja osi czasu i udokumentowany łańcuch dowodowy.
Osoby prywatne i rodziny
Dla osób, które zostały oszukane, są nękane lub zastraszane w sieci i nie wiedzą, od czego zacząć. Zabezpieczamy to, co jest na Twoich urządzeniach, ustalamy, co się da, i przygotowujemy raport, z którym możesz pójść na policję lub do prawnika.
Firmy i instytucje
Dochodzenia w sprawie wycieków danych, nadużyć ze strony pracowników i przejętych kont, z dowodami zabezpieczonymi tak, aby można było ich później użyć w sądzie lub przy roszczeniu ubezpieczeniowym.
Opisujesz, co się stało. Mówimy, co realnie da się odzyskać i ile to będzie kosztować, zanim cokolwiek się zacznie.
Urządzenia kopiujemy bit po bicie przez bloker zapisu. Dla oryginału i kopii liczymy sumy kontrolne, aby każdy mógł sprawdzić, że nic się nie zmieniło.
SHA-256 oryginału = SHA-256 kopii
Pracujemy wyłącznie na zweryfikowanych kopiach, z użyciem otwartych, sprawdzonych narzędzi linuksowych, których wyniki może powtórzyć inny biegły.
Czytelny raport, w którym każde ustalenie da się odnieść do źródła, oraz zeznania w sądzie, jeśli będą potrzebne.
Użyj pada, aby przejrzeć cztery dystrybucje śledcze, z którymi pracujemy. Naciśnij OK, aby otworzyć jedną z nich.
SIFT Workstation
SANS Institute, oparty na Ubuntu
Kompletna stacja robocza do reagowania na incydenty i analizy śledczej. Zawiera The Sleuth Kit, Plaso do tworzenia superosi czasu i Volatility do analizy pamięci.
$ log2timeline.py --storage-file case.plaso evidence.E01 CAINE
Computer Aided INvestigative Environment, Włochy
Dystrybucja live, która domyślnie montuje wszystkie urządzenia tylko do odczytu, dzięki czemu dowody można badać na miejscu bez ich zmieniania.
$ mount -o ro,noexec,noload /dev/sdb1 /mnt/evidence Kali Linux
OffSec, oparty na Debianie
Jej tryb Forensic nigdy nie dotyka dysków wewnętrznych, wyłącza swap i nie montuje automatycznie nośników wymiennych.
$ sudo apt install kali-tools-forensics Tsurugi Linux
Dystrybucja DFIR i OSINT
Łączy analizę dysków i pamięci z narzędziami OSINT i analizy złośliwego oprogramowania, przydatnymi, gdy śledztwo przenosi się z urządzenia do otwartego internetu.
$ fls -r -m / evidence.dd > bodyfile.txt dd odczytuje dysk sektor po sektorze, łącznie z usuniętym i nieprzydzielonym obszarem, i zapisuje jego dokładną kopię. Odmiany śledcze, takie jak dc3dd, liczą sumy kontrolne w trakcie kopiowania. Źródło zawsze podłącza się przez bloker zapisu.
sudo dc3dd if=/dev/sdb of=case042.dd hash=sha256 log=case042.logconv=noerror,sync pozwala kontynuować mimo uszkodzonych sektorów i wypełnia je zerami, dzięki czemu przesunięcia pozostają poprawne.
Obraz to zabezpieczona kopia dowodu. Surowe obrazy .dd są proste; obrazy E01 dodają kompresję, metadane sprawy i wbudowane sumy kontrolne. Zgodne wartości SHA-256 oryginału i kopii dowodzą, że kopia jest identyczna.
ewfacquire /dev/sdb → ewfverify case042.E01Zgodnie z wytycznymi ISO/IEC 27037 dotyczącymi identyfikacji, gromadzenia i zabezpieczania dowodów cyfrowych.
Pendrive jest dowodem sam w sobie, ale zostawia też ślady na każdym komputerze, do którego go podłączono: identyfikatory producenta i produktu, numer seryjny, pierwsze i ostatnie podłączenie. W Linuksie znajdują się one w logach systemowych, w Windowsie w rejestrze.
journalctl -k | grep -i 'SerialNumber' / usbrip events historyTen sam numer seryjny na kilku komputerach pozwala ustalić, gdzie i kiedy było dane urządzenie.
Notatki z pracy, techniki i opisy spraw prosto z laboratorium.
You can only include packages that are already available in the official Kali repository, unless you add your own .deb files. Plus the full list of Kali forensic tools and what each one is for.
Instala logcheck, una herramienta que revisa automáticamente los archivos de log del sistema, y combínalo con tripwire para vigilar los archivos que quieres proteger.
Otwarte narzędzia, powtarzalne kroki i ten sam wynik dla każdego biegłego, który to sprawdzi. Pierwszym krokiem każdego badania jest obliczenie sumy kontrolnej. Wypróbuj.
Przykładowa sesja
$ sha256sum case042.dd 9f2c4b7a01d3e8c6b5f0a4d2e7c91b38f6a0d5e2c4b1a7f9e3d8c6b2a5f0e41a case042.dd $ mmls case042.dd DOS Partition Table Units are in 512-byte sectors Slot Start End Length Description 002: 000:000 0000002048 0062521343 0062519296 Linux (0x83) $ usbrip events history -q [2026-10-02 18:41:07] connected SanDisk Ultra SN 4C5300012306 [2026-10-02 19:02:51] disconnected SanDisk Ultra SN 4C5300012306
Wypróbuj: oblicz sumę kontrolną pliku
Wybierz dowolny plik. Jego sumy SHA-256 i SHA-1 są liczone na Twoim urządzeniu; plik nigdy nie jest wysyłany.
Do hashlookup.circl.lu, publicznej usługi CIRCL z Luksemburga, wysyłana jest tylko suma SHA-1. Znane pliki (systemowe, pakiety) można wykluczyć z analizy; nieznane pliki biegły sprawdza w pierwszej kolejności.
Zadzwoń lub napisz. Ten numer to jedyny sposób kontaktu z whitehat4u.