Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am · Noch nicht von einer zweiten Person reviewed
Office Trust Records¶
Bedeutung¶
Microsoft Office öffnet Dokumente die aus dem Internet kommen oder aus einer anderen nicht vertrauten Quelle in der sogenannten Protected View Diese Ansicht dient dazu, dass keine schädlichen Funktionen in dem Dokument ausgeführt werden können.
Der Nutzer wird aktiv gefragt, ob die Protected View verlassen werden soll um das Dokument bearbeiten zu können und im zweiten Schritt ob eventuell vorhandene Makros aktviert werden sollen. Wenn der Nutzer dies bestätigt, wird ein sogenannter Trust Record erstellt.
Aus digitalforensischer Sicht bedeutet die Existenz eines Trust Records, dass der Nutzer aktiv die Bearbeitungsansicht des Dokuments, mit dem angegeben Dateipfad und Dateinamen, aktviert hat und gegebenenfalls Makros aktiviert hat - dies ist ablesbar anhand des Data Values.
Spezifische Kurzinformation¶
- Verfügbarkeit: Die Sicherheitsfunktion gibt es seit MS Office 2010
- Voraussetzungen: Trust Records werden nur gesetzt, wenn die Default Settings eine aktive Zustimmung des Nutzers erfordern.
- Format und Struktur: Bedeutung letzte 4 Bytes im Data Value:
01 00 00 00 = "Enable Editing" wurde durch das Nutzerkonto geklickt
ff ff ff 7f = "Enable Content" wurde durch das Nutzerkonto geklickt (Makros aktiviert) - Zeitstempel: Bedeutung der ersten 8 Bytes im Data Value: Zeitstempel der Erstellung des Dokumentes
- Ablageort:
HKCU\Software\Microsoft\Office\{VERSION}\{APPNAME}\Security\Trusted Documents\TrustRecords
Referenzen¶
2016-02: https://az4n6.blogspot.com/2016/02/more-on-trust-records-macros-and.html
Tools¶
RegRipper (msoffice) - https://github.com/keydet89/RegRipper4.0