A polícia encontrou e devolveu meu laptop roubado reformatado por ladrão. Os logs de instalação podem ajudar a localizar o ladrão?

8

Três semanas atrás, meu laptop foi roubado do campus. Eu imediatamente relatei à polícia e no site do fabricante. Alguns dias atrás, um homem ligou para o fabricante e disse que comprou um laptop em segunda mão na web e queria verificar a garantia através do número de série. O fabricante viu que foi roubado, e a polícia entrou em contato com o pobre comprador, pegou o laptop dele e o devolveu para mim.

A polícia me disse que tentaria localizar o ladrão a partir da descrição do comprador; no entanto, eles acabaram de me devolver o laptop sem sequer examiná-lo!

Liguei-o para ver o ladrão reinstalado o Windows (Windows 7 Professional) antes de vendê-lo.
Tenho certeza de que deve haver pistas no sistema sobre quem reinstalou, como talvez um endereço IP em que a instalação ocorreu etc 'ou talvez licenças de software reinstalado que possam me dar pistas sobre a identidade do ladrão.

Questões:

  1. Onde nos logs posso encontrar detalhes sobre onde o computador foi conectado à Web pela primeira vez após a instalação?
  2. Onde encontro informações sobre as chaves do produto \ licenças das janelas e do escritório instalados?
  3. Alguma outra idéia de como eu poderia rastrear o SOB (que provavelmente também roubou outro computador uma semana antes)?
windows-7 logging windows-installation forensics Eli
fonte
5
Não sou advogado, mas como o laptop está agora em sua posse, a cadeia de custódia das evidências foi quebrada. Qualquer coisa que você achar provável não é admissível como evidência. No entanto, ainda seria interessante ver o quanto você pode descobrir.
Daklerod
1
@daxlerod Obrigado por comentar. Não moro nos EUA e não sei se a lei sobre evidências é a mesma no meu país. De qualquer forma, eu esperava dar à polícia uma pista, não uma evidência. Eu poderia dizer que eles estavam felizes o suficiente para devolver o laptop e não estavam interessados ​​em prosseguir com o assunto. Talvez se eu lhes der uma boa liderança, eles voltarão a isso.
Eli

Respostas:

2

Quando o Windows recebe um IP via DHCP, tanto quanto eu sei, ele não é gravado em nenhum lugar. Ele tem uma chance um pouco baixa de ajudá-lo, pois a maioria das conexões residenciais está atrás do NAT; nesse caso, tudo o que você encontrará é um endereço IP privado.

Se o ladrão ingressou em uma rede sem fio, talvez ainda esteja no centro de Rede e Compartilhamento.

O processo de instalação do Windows não fica online, exceto ao aplicar as atualizações do Windows. O recurso "Reconhecimento de local de rede" do Windows faz com que o sistema faça uma consulta DNS e uma conexão HTTP ao msftncsi.com cada vez que o adaptador é ativado ou desativado, mas os resultados não são registrados.

Se o laptop tiver todas as atualizações do Windows, ou alguma vez estiver conectado à Internet, a Microsoft provavelmente terá o endereço IP registrado em algum lugar, mas é improvável que eles apenas entreguem as informações a você sem serem obrigadas por uma autoridade responsável pela aplicação da lei.

Você pode procurar no visualizador de eventos do sistema, por precaução, mas acho que não encontrará nada

LawrenceC
fonte
0

Lamento ouvir que seu laptop foi roubado

  1. Não tenho certeza se esse log existe
  2. Faça o download do License Crawler para descobrir a chave de licença do Windows (que provavelmente é falsificada) http://www.klinzmann.name/files/licensecrawler.zip
  3. A chance de obter esse SOB é se você tiver um endereço IP na pergunta 1 ou uma impressão digital no seu laptop (espero que ele / ela não tenha usado uma luva)
chmod
fonte
Obrigado pela sua resposta. Corrija-me se estiver errado, mas o software que você indicou coleta as chaves de licença da Web, mas não me ajuda a encontrar a chave usada no meu computador.
Eli
Não, ele procura no seu PC todas as chaves de licença, incluindo todos os outros softwares instalados.
21418 chmod
0

Você pode procurar pistas sobre como o computador foi usado, o que pode indicar quem o usou. Mas se tudo o que eles fizeram foi reinstalar / reformatar, provavelmente haverá poucas pistas para descobrir. As pistas incluiriam o histórico da Internet, quaisquer nomes inseridos nos pacotes de software após a instalação (como o nome e as iniciais necessárias ao executar os produtos do Microsoft Office pela primeira vez).

Dan
fonte