Análise Forense de Navegadores com Hindsight

Visão Geral

Hindsight é uma ferramenta forense de código aberto para navegadores, projetada para analisar artefatos do Google Chrome e outros navegadores baseados em Chromium (Microsoft Edge, Brave, Opera, Vivaldi). Ela extrai e correlaciona dados de múltiplos arquivos de banco de dados do navegador para criar uma linha do tempo unificada da atividade na web. O Hindsight pode analisar URLs, histórico de downloads, registros de cache, favoritos, registros de preenchimento automático, senhas salvas, preferências, extensões do navegador, cookies HTTP, Local Storage (cookies HTML5), dados de login e informações de sessão/abas. A ferramenta produz linhas do tempo cronológicas em múltiplos formatos de saída (XLSX, JSON, SQLite) que permitem aos investigadores reconstruir a atividade web do usuário para resposta a incidentes, investigações de ameaças internas e casos criminais.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise forense de navegadores com hindsight.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.8+ com Hindsight instalado (pip install pyhindsight)
• Acesso aos diretórios de perfil do navegador a partir da imagem forense.
• Dados do perfil do navegador (não criptografados com criptografia em nível de sistema operacional).
• Timeline Explorer ou aplicativo de planilha para análise.

Localizações dos Perfis de Navegador

Arquivos de Artefato Chave

Executando o Hindsight

Linha de Comando

# Basic analysis of a Chrome profile
hindsight.exe -i "C:\Evidence\Users\suspect\AppData\Local\Google\Chrome\User Data\Default" -o C:\Output\chrome_analysis

# Specify browser type
hindsight.exe -i "/path/to/profile" -o /output/analysis -b Chrome

# JSON output format
hindsight.exe -i "C:\Evidence\Chrome\Default" -o C:\Output\chrome --format jsonl

# With cache parsing (slower but more complete)
hindsight.exe -i "C:\Evidence\Chrome\Default" -o C:\Output\chrome --cache

Interface Web

# Start Hindsight web interface
hindsight_gui.exe
# Navigate to http://localhost:8080
# Upload or point to browser profile directory
# Configure output format and analysis options
# Generate and download report

Detalhes da Análise de Artefatos

Histórico de URLs e Visitas

-- Chrome History database schema (key tables)
-- urls table: id, url, title, visit_count, typed_count, last_visit_time
-- visits table: id, url, visit_time, from_visit, transition, segment_id

-- Timestamps are Chrome/WebKit format: microseconds since 1601-01-01
-- Convert: datetime((visit_time/1000000)-11644473600, 'unixepoch')

Histórico de Downloads

-- downloads table: id, current_path, target_path, start_time, end_time,
--   received_bytes, total_bytes, state, danger_type, interrupt_reason,
--   url, referrer, tab_url, mime_type, original_mime_type

Análise de Cookies

-- cookies table: creation_utc, host_key, name, value, encrypted_value,
--   path, expires_utc, is_secure, is_httponly, last_access_utc,
--   has_expires, is_persistent, priority, samesite

Script de Análise em Python

import sqlite3
import os
import json
import sys
from datetime import datetime, timedelta


CHROME_EPOCH = datetime(1601, 1, 1)


def chrome_time_to_datetime(chrome_ts: int):
    """Converte timestamp do Chrome para datetime."""
    if chrome_ts == 0:
        return None
    try:

…