Análisis Forense de Internet Explorer

https://www.onlinetis.com/es/

Análisis Forense de Internet Explorer

Pasco es una herramienta clásica de análisis forense digital incluida en Kali Linux, diseñada específicamente para reconstruir la actividad de navegación de Internet Explorer.

Aunque Internet Explorer ya no sea el navegador principal, Pasco sigue siendo fundamental para analizar sistemas antiguos o "legacy" donde los archivos index.dat contienen el historial, las cookies y el caché.

¿Qué hace Pasco?

El nombre proviene del latín "browse" (navegar). Su función principal es leer los archivos binarios index.dat (propietarios de Microsoft) y convertirlos en un formato de texto delimitado que puedes abrir fácilmente en una hoja de cálculo como Excel o LibreOffice Calc.

Ubicaciones comunes de archivos index.dat:

Historial: C:\Documents and Settings\<User>\Local Settings\History\History.IE5\index.dat
Caché: C:\Documents and Settings\<User>\Local Settings\Temporary Internet Files\Content.IE5\index.dat
Cookies: C:\Documents and Settings\<User>\Cookies\index.dat

Cómo usar Pasco en Kali Linux

1. Instalación

Si no la tienes instalada (aunque suele venir en el metapaquete kali-linux-forensics), puedes instalarla con:

Bash

sudo apt update
sudo apt install pasco

2. Sintaxis básica

La estructura del comando es muy sencilla:

Bash

pasco [opciones] <archivo_index.dat>

3. Ejemplo práctico de análisis

Para analizar un archivo y guardar los resultados en un archivo de texto que puedas importar a Excel:

Bash

pasco index.dat > analisis_navegacion.txt

Opciones útiles:

-d: Intenta recuperar registros de actividad que han sido borrados (Undelete).
-t: Permite cambiar el delimitador de campos (por defecto usa TAB).

Flujo de Trabajo Forense

Extracción: Obtienes el archivo index.dat de la imagen forense del disco duro.
Procesamiento: Ejecutas Pasco para convertir el binario en texto legible.
Análisis: Importas el .txt resultante en una hoja de cálculo.
Interpretación: Verás columnas con la URL visitada, la hora de acceso, la hora de modificación y el nombre del archivo local si estaba en el caché.

Herramientas complementarias

Si estás realizando un análisis profundo en Kali, te interesará conocer estas herramientas hermanas:

Galleta: Específica para analizar el contenido de las cookies de Internet Explorer.
Dumpzilla: Si necesitas analizar navegadores modernos como Firefox o SeaMonkey.
Autopsy: Una interfaz gráfica (GUI) que integra muchas de estas herramientas de línea de comandos para facilitar el trabajo.

Para darte el comando exacto, solo necesito que tengas claro dónde está tu archivo.

Asumiendo que estás en la terminal de Kali y quieres un reporte limpio y profesional, aquí tienes la mejor forma de ejecutarlo:

El comando recomendado

Bash

pasco -d index.dat > reporte_forense.csv

¿Qué hace este comando exactamente?

pasco: Invoca la herramienta.
-d: Esta es la opción "Undelete". Es vital en forense porque intenta recuperar entradas que el usuario borró del historial pero que aún permanecen en el espacio no asignado del archivo index.dat.
index.dat: Es el nombre del archivo original que vas a analizar (asegúrate de estar en la carpeta donde está el archivo o pon la ruta completa).
>: Redirige la salida (que normalmente saldría desordenada en la pantalla) hacia un archivo.
reporte_forense.csv: El nombre del archivo donde se guardarán los resultados. Al usar la extensión .csv, podrás abrirlo directamente con LibreOffice Calc en Kali para ver los datos en columnas.

¿Cómo leer los resultados?

Una vez que generes el archivo, verás columnas con esta información clave:

TYPE: Si es una URL visitada, una Cookie o un archivo de caché.
URL: La dirección web completa.
ACCESS TIME: Cuándo fue la última vez que el usuario entró ahí.
MODIFIED TIME: La última vez que el servidor actualizó ese contenido.

Nota de experto: Si el archivo index.dat proviene de un sistema Windows muy antiguo, recuerda que las fechas suelen estar en formato UTC. Asegúrate de ajustar la zona horaria según el caso que estés investigando.

Como Pasco genera por defecto un archivo separado por tabuladores, si lo abres directamente en un editor de texto verás una mezcla de datos difícil de leer.

Sigue estos pasos en tu terminal de Kali:

1. Abrir el archivo con LibreOffice Calc

Desde la terminal, en la misma carpeta donde generaste tu reporte, escribe:

Bash

libreoffice --calc reporte_forense.csv

2. Configuración de la Importación (Crucial)

Al abrirse, aparecerá una ventana llamada "Importación de texto". Configúrala exactamente así para que los datos no se amontonen:

Opciones de separador: Selecciona "Separado por".
Casillas de verificación: Marca únicamente la casilla Tabulación (Tab).
Delimitador de cadena: Asegúrate de que esté en comillas dobles (").

3. Análisis de las columnas clave

Una vez que aceptes, verás una tabla organizada. Estas son las columnas que más te interesan para tu investigación forense:

Columna	Significado	Por qué es importante
URL	Dirección web	Indica qué sitios visitó exactamente el usuario.
Access Time	Fecha de acceso	Te da la cronología de navegación (cuándo ocurrió).
Modified Time	Fecha de modificación	Indica si el contenido del sitio cambió desde la última visita.
Filename	Nombre del archivo	Si el archivo está en el caché, este es el nombre con el que se guardó en el disco local.

Un pequeño truco de experto 💡

Si ves que las fechas aparecen como números extraños (formato Unix o hexadecimal), puedes cambiar el formato de la columna en LibreOffice haciendo clic derecho en la letra de la columna -> Formato de celdas -> Fecha.

Localizar estos archivos puede ser un reto porque Windows solía esconderlos en carpetas con atributos de "Sistema" y "Oculto", lo que impide que una búsqueda normal los encuentre.

Si tienes montada la imagen del disco o la unidad en tu Kali Linux, la forma más potente de encontrarlos es usando el comando find.

1. Búsqueda exhaustiva desde la terminal

Sitúate en el punto de montaje del disco (por ejemplo, /mnt/windows_disco/) y ejecuta:

Bash

find . -iname "index.dat" 2>/dev/null

Desglose del comando:

.: Busca en el directorio actual y todos sus subdirectorios.
-iname: Busca el nombre sin importar si está en mayúsculas o minúsculas (Internet Explorer a veces usa INDEX.DAT).
2>/dev/null: Oculta los errores de "Permiso denegado", dejando una lista limpia de rutas.

2. Dónde buscar según la versión de Windows

Dependiendo de la antigüedad del sistema que estés analizando, las rutas cambian drásticamente:

En Windows XP / Server 2003 (Rutas clásicas)

Historial: \Documents and Settings\<Usuario>\Local Settings\History\History.IE5\index.dat
Caché: \Documents and Settings\<Usuario>\Local Settings\Temporary Internet Files\Content.IE5\index.dat
Cookies: \Documents and Settings\<Usuario>\Cookies\index.dat

En Windows 7 / Vista (Compatibilidad)

Aunque estos sistemas empezaron a usar bases de datos ESE, aún mantienen archivos index.dat por compatibilidad en:

\Users\<Usuario>\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\index.dat

3. Uso de "Locate" (Si el disco ya está indexado)

Si has copiado los archivos a tu propia máquina Kali y quieres encontrarlos rápido:

Actualiza la base de datos: sudo updatedb
Busca: locate index.dat

4. Herramienta Pro: Análisis de archivos borrados

A veces, el archivo index.dat principal ha sido borrado para ocultar huellas. En ese caso, puedes usar Foremost (incluida en Kali) para intentar recuperar fragmentos de archivos index.dat del espacio libre del disco:

Bash

sudo foremost -t all -i /dev/sdb1 -o /home/kali/recuperado

(Nota: Sustituye /dev/sdb1 por tu partición de destino).

Un detalle importante sobre "WebCacheV01.dat"

Si estás analizando un sistema con Windows 10 o 11, Internet Explorer (o la retrocompatibilidad de Edge) ya no usa index.dat, sino un archivo llamado WebCacheV01.dat. Pasco no sirve para este archivo; para esos casos necesitarías una herramienta llamada BrowsingHistoryView o scripts de Python específicos para bases de datos ESE.

Buscar este blog