IT-Forensik Wiki - Benutzerbeiträge [de]

Thumbnail Cache unter Windows

2024-07-07T16:04:20Z

St231861:

== Einleitung ==
Thumbnail Caches sind spezielle Dateien, die unter Windows erstellt und verwendet werden, um Vorschaubilder von Dateien, wie bspw. von Bildern oder Videos, im Windows Explorer schneller anzeigen zu können. Diese Caches beinhalten kleine Vorschauversionen von Dateien, den sogenannten Thumbnails, um diese nicht bei jedem Öffnen eines Ordners neu generieren zu müssen. Damit wird dem Benutzer eine Vorschau des Inhalts der Datei ermöglicht, ohne diese öffnen zu müssen. Dies macht das Durchsuchen und Verwalten von Dateien erheblich effizienter.<ref name="ssrn2014">„Forensic Analysis of Windows Thumbcache Files“ https://ssrn.com/abstract=2429795 [zuletzt besucht am 07.07.2024]</ref><ref name="wiki2020">„Windows thumbnail cache“ https://en.wikipedia.org/w/index.php?title=Windows_thumbnail_cache&oldid=945661331 [zuletzt besucht am 07.07.2024]</ref>

== Erstellung ==
Der Thumbnail Cache besteht aus einer Sammlung von Vorschaubildern, die automatisch erstellt werden, wenn ein Benutzer auf einen Ordner zugreift, der unterstützte Dateien enthält. Gleichzeitig wird bei jedem Ordnerzugriff überprüft, ob die Vorschaubilder bereits im Cache vorhanden sind. Sollte dies zutreffen, werden diese direkt aus dem Cache geladen, andernfalls neu generiert und im Cache abgelegt. Bei der Erstellung eines Thumbnails wird diesem eine eindeutige acht Byte lange ThumbnailcacheID zugeordnet, die zugleich den Namen des Thumbnails darstellt.<ref>„An Analysis of the Structure and Behaviour of the Windows 7 Operating System Thumbnail Cache“ https://www.researchgate.net/publication/262327134_An_analysis_of_the_structure_and_behaviour_of_the_Windows_7_operating_system_thumbnail_cache [zuletzt besucht am 07.07.2024]</ref>

== Speicherung und Dateiformate ==
Die Cache-Dateien werden in Abhängigkeit der verschiedenen Windows-Versionen in unterschiedlichen Verzeichnissen auf der lokalen Festplatte gespeichert. Seit Windows Vista befinden sich die Cache-Dateien zentralisiert im Verzeichnis "C:\Users\<Benutzername>\AppData\Local\Microsoft\Windows\Explorer" und werden als „thumbcache_*.db“ abgelegt, wobei die angegebene Zahl die Größe der gespeicherten Thumbnails in Pixeln angibt <ref name="ssrn2014"/><ref name="wiki2020"/>. In früheren Windows-Versionen werden sie hingegen als versteckte Dateien mit dem Namen „thumbs.db“ im selben Dateipfad wie die Originaldateien gespeichert. Die Cache-Dateien sind in einer Datenbankstruktur organisiert und besitzen die Endung „*.db“ (Database File Format). Die Thumbnails selbst werden im Dateiformat JPEG (Joint Photographic Experts Group), BMP (Windows Bitmap) oder PNG (Portable Network Graphics) gespeichert.<ref>„Under My Thumbs – Revisiting Windows Thumb nail Databases and Some New Revelations About the Forensic Implications.“ http://computerforensics.parsonage.co.uk/downloads/UnderMyThumbs.pdf [zuletzt besucht am 07.07.2024]</ref>

Abbildung 1 zeigt die Thumbnail Cache Dateien eines Windows 10 Benutzerkontos.

[[Datei:Abbildung 1.png|mini|Abbildung 1: Thumbnail Cache Dateien eines Windows 10 Benutzerkontos]]

Abbildung 2 zeigt eine der verschiedenen Vorschaugrößen im Windows Explorer eines Windows 10 Betriebssystems. Wie zu erkennen, werden bei der Vorschauansicht Thumbnails der Bilddateien angezeigt.

[[Datei:Abbildung 2.png|mini|Abbildung 2: Ansicht „Große Symbole“]]

== Struktur und Inhalt ==
Die Struktur der Datenbank umfasst eine Tabelle für Thumbnails. Diese enthält neben den eigentlichen Bilddaten der Thumbnails einen Index, der schnelle Zugriffe und die Verknüpfung von Dateipfaden und anderer Metadaten mit den gespeicherten Thumbnails ermöglicht, sowie die Metadaten selbst. Metadaten enthalten bspw. Informationen wie den Dateinamen, den Pfad zur Originaldatei, die Zeit des letzten Zugriffs und die Größe der Datei. Wenn eine Datei geändert oder gelöscht wird, kann das Betriebssystem anhand der Metadaten erkennen, ob das dazugehörige Vorschaubild im Cache aktualisiert oder entfernt werden muss.<ref>„Forming a Relationship be tween Artefacts identified in thumbnail caches and the remaining data on a storage device.“ https://www.researchgate.net/publication/262327215_Forming_a_Relationship_between_Artefacts_identified_in_thumbnai_caches_and_the_remaining_data_on_a_storage_device [zuletzt besucht am 07.07.2024]</ref><ref>„Vorschaubild“ https://de.wikipedia.org/wiki/Vorschaubild [zuletzt besucht am 07.07.2024]</ref>

Tabelle 1 zeigt einen Überblick über den Thumbnail Cache seit seiner Einführung. Zu jeder Windows-Version wird angegeben, ob es sich bei der jeweiligen Cache-Datei um die thumbs.db oder um die thumbcache_*.db Datenbank handelt. Weiterhin wird ein Überblick darüber geboten, wo der Thumbnail Cache in Windows gespeichert wird und welche Metadaten er enthält.

[[Datei:Tabelle 1.png|mini|Tabelle 1: Thumbnail Cache in Windows]]

== Bedeutung in der Digitalen Forensik ==
Inkriminierte Bilddateien werden häufig mit Verbrechen wie Sexualdelikten, Drogendelikten, Waffendelikten oder Insider-Bedrohungen in Verbindung gebracht. Der Thumbnail Cache wurde dabei in Gerichtsverhandlungen als Beweismittel genutzt. Im Fall „Vereinigte Staaten von Amerika gegen S. Room“ (2006) wurde der Begriff „Thumbnail“ in der Rechtsprechung wie folgt definiert: „Der Begriff Thumbnail, der sich von der Skizze eines Künstlers ableitet, bezieht sich auf ein kleines Bild einer Grafikdatei, das angezeigt wird, um deren Identifizierung zu erleichtern.“<ref name="ssrn2014"/>

Bei der forensischen Untersuchung stehen den Ermittlern verschiedene Vorgehensweisen zur Verfügung. Zum einen kann mit Hilfe von Filtern innerhalb verschiedener forensischer Programme, wie z.B. EnCase oder X-Ways Forensics, eine rekursive Suche nach allen auf dem Betriebssystem gespeicherten Bilddateien durchgeführt werden. Zum anderen kann gezielt nach Bilddateien in einem bestimmten Benutzerverzeichnis gesucht werden, was einen guten Anhaltspunkt bei der Suche und Lokalisierung von inkriminierten Bilddateien bietet.

Da der Thumbnail Cache nutzerbezogen ist, hat jedes Windows Benutzerkonto seinen eigenen Cache. Gespeicherte Thumbnails stammen daher vermutlich von Dateien, die der Nutzer selbst verarbeitet hat und die wichtige Einblicke in das Verhalten eines Nutzers bieten. Viele Nutzer wissen nicht, dass der Thumbnail Cache existiert. Und da der Cache nicht automatisch aktualisiert wird, bleiben Thumbnails inkriminierter Dateien selbst dann erhalten, wenn die Originaldateien gelöscht wurden. Erst das manuelle Löschen des Thumbnail Caches oder die Verwendung der Windows Datenträgerbereinigung mit entsprechender Option entfernen diese.<ref>„Windows Thumbnail Cache“ https://de.wikipedia.org/w/index.php?title=Windows_Thumbnail_Cache&oldid=193998229 [zuletzt besucht am 07.07.2024]</ref> Das komplette Unterbinden des Zwischenspeicherns von Thumbnails ist seit Windows 8 nicht mehr möglich <ref>„Thumbnail Preview will not disable for me in Windows 11“ https://answers.microsoft.com/enus/windows/forum/all/thumbnail-preview-will-not-disable-for-me-in/af5a8da4-ded4-4720-a861-ea6bd9fea399 [zuletzt besucht am 07.07.2024]</ref>.

== Einzelnachweise ==

Thumbnail Cache unter Windows

2024-07-07T15:50:13Z

St231861: Die Seite wurde neu angelegt: „== Einleitung == Thumbnail Caches sind spezielle Dateien, die unter Windows erstellt und verwendet werden, um Vorschaubilder von Dateien, wie bspw. von Bildern oder Videos, im Windows Explorer schneller anzeigen zu können. Diese Caches beinhalten kleine Vorschauversionen von Dateien, den sogenannten Thumbnails, um diese nicht bei jedem Öffnen eines Ordners neu generieren zu müssen. Damit wird dem Benutzer eine Vorschau des Inhalts der Datei ermöglicht…“

Datei:Tabelle 1.png

2024-07-07T15:46:02Z

St231861:

Thumbnail Cache in Windows

Datei:Abbildung 2.png

2024-07-07T13:35:44Z

St231861:

Ansicht „Große Symbole“

Datei:Abbildung 1.png

2024-07-07T13:32:30Z

St231861:

Thumbnail Cache Dateien eines Windows 10 Benutzerkontos

Hauptseite

2024-07-07T13:21:55Z

St231861: /* T */

Willkommen auf dem IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==
Artikel [https://t3n.de/news/digitale-verbrechen-was-macht-eigentlich-ein-it-forensiker-1629195/?utm_source=rss&utm_medium=feed&utm_campaign=t3n-news "Digitale Verbrechen: Was macht eigentlich ein IT-Forensiker?"] 10.6.2024

[[Simon Bauer]]: '''Identifizierung und Sicherung von Artefakten in Infrastructure-as-a-Service Plattformen'''. Master Thesis, Hochschule Wismar, März 2024

[[Thomas Reimann]]: '''Forensische Herausforderungen bei der Erkennung generativer Deepfake-Bilder'''. Bachelor Thesis, Hochschule Wismar, Februar 2024

[[Sebastian Haeuser]]: '''Forensische Live-Analyse von Windows Systemen mit dem PowerShell Skript „LiveForensicator“'''. Bachelor Thesis, Hochschule Wismar, November 2023

[[Franz Zeilhofer]]: '''DISSECT Tools zur effizienten Triage von DISK-Images''', Projektarbeit im Bachelor-Fernstudiengang "IT-Forensik", Hochschule Wismar, Oktober 2023

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

[[Alternative Data Stream (ADS)]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CTI - Cyber Threat Intelligence]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diamond-Modell]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dumpster Diving]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensiker]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[John the Ripper]]

[[Journaling-Dateisystem]]

[[Juice Jacking]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Key Derivation Function]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

[[Logical Volume Manager (LVM)]]

=== M ===
[[Magnet Axiom]]

[[Makrovirus]]

[[Malware]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

[[Metadata Carving]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[Public Key Infrastructure (PKI)|PKI]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[Public Key Infrastructure (PKI)|Public Key Infrastructure]]

[[Purview eDiscovery (Microsoft)]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[PIC]]

=== Q ===

[[Query Log]]

[[QRT: Quick Reaction Team]]

[[QRT: Quick Response Team]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Schwachstelle]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[Shellbags]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[Server Side Request Forgery]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thumbnail Cache unter Windows]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Papierkorb]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Y ===
[[Yara Regeln]]

=== Z ===
[[Zeit]]

[[Zeitstempel]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]