Die Polizei hat meinen gestohlenen Laptop gefunden und zurückgegeben, der vom Dieb neu formatiert wurde. Können Installationsprotokolle helfen, den Dieb zu finden?

8

Vor drei Wochen wurde mein Laptop vom Campus gestohlen. Ich habe es sofort der Polizei und auf der Website des Herstellers gemeldet. Vor ein paar Tagen rief ein Mann den Hersteller an und sagte, er habe einen gebrauchten Laptop im Internet gekauft und wollte die Garantie anhand der Seriennummer überprüfen. Der Hersteller sah, dass es gestohlen wurde, und die Polizei kontaktierte den armen Käufer, nahm ihm den Laptop ab und gab ihn mir zurück.

Die Polizei sagte mir, sie würden versuchen, den Dieb anhand der Beschreibung des Käufers zu finden. Sie haben mir jedoch nur den Laptop zurückgegeben, ohne ihn mir anzusehen!

Ich habe es eingeschaltet, um zu sehen, wie der Dieb Windows (Windows 7 Professional) neu installiert hat, bevor ich es verkauft habe.
Ich bin mir sicher, dass das System Hinweise darauf enthält, wer neu installiert wurde, z. B. eine IP-Adresse, an der die Installation stattgefunden hat usw., oder Lizenzen für neu installierte Software, die mir Hinweise auf die Identität des Diebes geben können.

Fragen:

  1. Wo in den Protokollen kann ich Details darüber finden, wo der Computer nach der Installation zum ersten Mal eine Verbindung zum Internet hergestellt hat?
  2. Wo finde ich Informationen zu den Produktschlüsseln \ Lizenzen der installierten Windows und Office?
  3. Irgendwelche anderen Ideen, wie ich die SOB verfolgen könnte (die wahrscheinlich auch eine Woche zuvor einen anderen Computer gestohlen hat)?
windows-7 logging windows-installation forensics Eli
quelle
5
Ich bin kein Anwalt, aber da der Laptop jetzt in Ihrem Besitz ist, ist die Sorgerechtskette für die Beweise unterbrochen. Alles, was Sie wahrscheinlich finden, ist als Beweis nicht zulässig. Es wäre jedoch immer noch interessant zu sehen, wie viel Sie herausfinden können.
Daxlerod
1
@axlerod Danke für den Kommentar. Ich wohne nicht in den USA und weiß nicht, ob das Beweisgesetz in meinem Land dasselbe ist. Auf jeden Fall hatte ich gehofft, der Polizei einen Hinweis zu geben, keine Beweise. Ich konnte sehen, dass sie glücklich genug waren, den Laptop zurückzugeben, und nicht daran interessiert waren, die Angelegenheit weiter zu verfolgen. Wenn ich ihnen einen guten Hinweis gebe, werden sie vielleicht darauf zurückkommen.
Eli

Antworten:

2

Wenn Windows eine IP über DHCP empfängt, wird diese meines Wissens nirgendwo aufgezeichnet. Es hat eine etwas geringe Chance, Ihnen zu helfen, da die meisten Verbindungen zu Wohngebäuden hinter NAT stehen. In diesem Fall finden Sie lediglich eine private IP-Adresse.

Wenn der Dieb einem drahtlosen Netzwerk beigetreten ist, befindet er sich möglicherweise noch im Netzwerk- und Freigabecenter.

Der Windows-Installationsprozess wird nur online geschaltet, wenn Windows-Updates angewendet werden. Die Funktion "Network Location Awareness" von Windows bewirkt, dass das System bei jedem Hoch- oder Herunterfahren des Adapters eine DNS-Abfrage und eine HTTP-Verbindung zu msftncsi.com herstellt. Die Ergebnisse werden jedoch nicht aufgezeichnet.

Wenn der Laptop über alle Windows-Updates verfügt oder jemals mit dem Internet verbunden war, hat Microsoft wahrscheinlich die IP-Adresse irgendwo protokolliert, aber es ist unwahrscheinlich, dass sie die Informationen nur an Sie weitergeben, ohne von einer Strafverfolgungsbehörde dazu gezwungen zu werden.

Sie können für alle Fälle in der Ereignisanzeige des Systems nachsehen, aber ich glaube nicht, dass Sie etwas finden werden

LawrenceC
quelle
0

Es tut mir leid zu hören, dass Ihr Laptop gestohlen wurde

  1. Ich bin nicht sicher, ob dieses Protokoll existiert
  2. Laden Sie License Crawler herunter, um den Windows-Lizenzschlüssel (der wahrscheinlich gefälscht ist) http://www.klinzmann.name/files/licensecrawler.zip herauszufinden
  3. Die Chance, diese SOB zu erhalten, besteht darin, dass Sie die IP-Adresse in Frage 1 oder einen Fingerabdruck auf Ihrem Laptop haben (hoffentlich hat er / sie keinen Handschuh getragen).
chmod
quelle
Danke für deine Antwort. Korrigieren Sie mich, wenn ich falsch liege, aber die Software, auf die Sie hingewiesen haben, sammelt Lizenzschlüssel aus dem Internet, hilft mir jedoch nicht, den auf meinem Computer verwendeten Schlüssel zu finden.
Eli
Nein, es durchsucht Ihren PC nach allen Lizenzschlüsseln, einschließlich aller anderen installierten Software.
Chmod
0

Sie könnten nach Hinweisen suchen, wie der Computer verwendet wurde, die Sie darauf hinweisen könnten, wer ihn verwendet hat. Aber wenn sie nur neu installiert / neu formatiert haben, gibt es wahrscheinlich nur wenige Hinweise, von denen sie abweichen können. Zu den Hinweisen gehören der Internetverlauf sowie alle Namen, die bei der Installation in Softwarepakete eingegeben wurden (z. B. der Name und die Initialen, die beim erstmaligen Ausführen von Microsoft Office-Produkten erforderlich sind).

Dan
quelle