[Excel] Forensik

[Fennek]

Hallo,

besteht Interesse an Excel-Forensik?

Mit - teilweise großen - Einschränkungen kann erkannt werden:

- Ländereinstellenung des PC's
- personenbezogene Daten
- Vergleich von Workbooks
- gespeichert mit SaveAs
- selber PC
- viele, in der Kombination vermutlich eindeutige ID's

Für eine Malware-Analyse könnte es ein (zweitklassiches) DIY-Tool sein. Als Unterstützung für Betrugsfälle käme es infrage bevor professionelle Tools genutzt werden.

Der Ansatz nutzt Powershell und ist geeignet auch hunderte Excel-Files in kurzer Zeit zu analysieren.

Falls jemand Interesse haben sollte, würde ich den Code hier zeigen. Aber mein Hauptinteresse wäre es das Tool zu diskutieren und die Interpretation zu verbessern.

mfg

[Fennek]

Da hier keine Antworten auf Beiträge möglich sind, leider einen zweiten Post mit einigen Details:

Hier ist der VBA-Code der die Ergebneisse des PowerShell-Script nach dem Import in Excel in eine lesbare Tabelle formatiert:

Code:

Sub OOXML_Analyse_II()
lr = Cells(Rows.Count, 1).End(xlUp).Row
For i = lr To 1 Step -1
    If Left(Cells(i, 1), 1) <> "[" Then Cells(i, 1).Delete xlShiftUp
Next i

Columns("A:A").Replace "[]", ""
Columns("A:A").Replace "[app/core] AppVersion|", "[app/core] AppVersion|@"
Columns("A:A").Replace "| ", "|"

Columns("A:A").Select
    Selection.TextToColumns Destination:=Range("A1"), DataType:=xlDelimited, _
        TextQualifier:=xlDoubleQuote, ConsecutiveDelimiter:=False, Tab:=True, _
        Semicolon:=False, Comma:=False, Space:=False, Other:=True, OtherChar _
        :="|", FieldInfo:=Array(Array(1, 1), Array(2, 1)), TrailingMinusNumbers:=True
        
'Transpose()
For Each ar In Columns(1).SpecialCells(xlCellTypeConstants).Areas
    i = i + 1
    ar.Offset(, 1).Copy
    Cells(i, 6).PasteSpecial Transpose:=True
Next ar

'Title-row
Rows(1).Insert xlShiftDown
For Each ar In Columns(1).SpecialCells(xlCellTypeConstants).Areas
    ar.Copy
    Cells(1, 6).PasteSpecial Transpose:=True
    Exit For
Next ar

sp = Cells(1, Columns.Count).End(xlToLeft).Column
For j = 7 To sp
    Cells(1, j) = Trim(Mid(Cells(1, j), InStrRev(Cells(1, j), "]") + 1))
Next j
End Sub

und eine redizierte Beispiel-Tabelle. Personenbezogene Daten sind (hoffentlich) entfernt.