Arsenal Image Mounter: análisis forense

Arsenal Image Mounter es un software de código abierto que permite montar archivos de imagen de disco como unidades virtuales en Windows. Con esta herramienta, los usuarios pueden acceder a los contenidos de un archivo de imagen de disco, como imágenes forenses o copias de seguridad, sin tener que restaurar la imagen en un disco físico.

Además, Arsenal Image Mounter es capaz de montar imágenes de varios formatos diferentes, incluyendo ISO, VHD, VDI, VMDK, raw, E01 y AFF, lo que la hace muy útil para los profesionales de la informática y de la seguridad cibernética que trabajan con una variedad de imágenes de disco en sus investigaciones y análisis.

Veamos, pues, cómo hacer análisis forense con Arsenal Image Mounter.

Análisis forense con Arsenal Image Mounter

Características de Arsenal Image Mounter

• Nos permite montar una imagen de disco en un equipo Windows.
• Podemos acceder a todas las carpetas y documentos de la imagen.
• Lo usaremos para montar la imagen y después usar Kape.
• Podemos descargar esta herramienta en el siguiente link: Arsenal Image Mounter.

Montar una imagen

Para montar una imagen en Arsenal Image Mounter, lo primero que haremos es abrirla. Una vez abierta, vamos a hacer clic en el botón + que dice Mount disk image:

Buscamos la ruta de la imagen de disco que tengamos, la seleccionamos y le damos a abrir:

Esta herramienta no nos muestra las copias de la imagen de disco que hayamos hecho, solo nos muestra la evidencia 01, que es la original.

Cuando seleccionamos la imagen que vamos a montar, nos aparecen diferentes opciones en un nuevo cuadro de diálogo:

Siempre debemos seleccionar “Read only”, aunque también tenemos la opción que nos monta el disco en modo lectura, porque la escritura nos la guarda como una especie de caché (write temporary disk device). Esto quiere decir que el disco no se nos altera en cuanto cerramos la imagen o el programa, así que no hay peligro de algún error que pueda comprometer la evidencia.

Aquí ya vemos que los puntos de montaje son las letras E:, G: Y H:.

Si revisamos en nuestro explorador, vemos que tenemos estas unidades ya montadas:

Si clonáramos un disco, no nos haría falta hacer esto, porque en ese caso estaríamos pinchando el mismo disco que tenemos en el ordenador. Esto es solo para la imagen.

Esta es una de las razones y características por las que no es recomendable hacer clonado, ya que si pinchamos nuestro disco en un Windows, el sistema operativo no lo va a montar con compromiso solamente de escritura, sino que lo va a montar con permisos tanto de lectura como de escritura. Esto sucederá a menos que tengamos alguna configuración especial o software que nos bloquee la escritura en el disco; no obstante, de ser así, es mucho más óptimo utilizar un gestor de imágenes de disco como Arsenal Image Mounter.

Por último, si quieres seguir aprendiendo para ser un gran profesional en áreas de ciberseguridad e informática forense, en KeepCoding tenemos la formación intensiva perfecta para ti. Accede a nuestro Ciberseguridad Full Stack Bootcamp y descubre cómo puedes convertirte en un especialista en muy pocos meses con la guía de profesores expertos en el sector. ¡Solicita más información ahora mismo y transforma tu futuro!