WinHex & X-Ways Forensics Newsletter-Archiv (deutsch)

In dieser Ausgabe informieren wir Sie über ein am 14. September erschienenes Update mit wichtigen Verbesserungen, die Version 21.9, und viele weitere Neuigkeiten.

Kunden erhalten Download-Instruktionen, aktuelle Log-In-Daten (!) sowie Details zu ihren Lizenzen wie immer unter https://www.x-ways.net/winhex/license-d.html. Wenn Ihr Zugang zu Updates oder Ihre Lizenz abgelaufen ist, erhalten Sie von dort i. d. R. Angebote zu Upgrades bzw. Lizenzverlängerungen.

Wenn Sie an Service-Releases oder auch Preview- und Beta-Releases interessiert sind, können Sie Informationen dazu jederzeit aktuell im Bereich „Announcements“ des Forums finden. Bitte legen Sie sich ein Konto an (dazu werden die Log-In-Daten benötigt), um die Ankündigungen in diesem Bereich immer sofort per E-Mail zu erhalten. Wenn Sie vorerst bei einer älteren Version bleiben möchten oder müssen, sollten Sie bitte zumindest das letzte Service-Release der betreffenden Version verwenden. Danke. Benutzern, deren Zugang zu Updates abgelaufen ist, stellen wir v21.5 SR-14, v21.6 SR-9, v21.7 SR-7 und v21.8 SR-6 derzeit normalerweise auf Anfrage zur Verfügung, je nachdem, welche Version von ihrer Lizenz noch abgedeckt war. Wir sichern solchen Benutzer die Verfügbarkeit von Downloads nicht unbegrenzt lange zu. Wir bitten darum, dass sich mit dem gelegentlich verwendeten generischen Maskulinum in unseren Texten alle Benutzer(innen) unserer Software gleichermaßen angesprochen fühlen.

Nächste deutschsprachige Schulungstermine:

• 12.-15. Okt.: Online-Schulung „X-Ways Forensics 1“

• 1.-4. Mrz.: Online-Schulung „X-Ways Forensics 1“

• 12.-15. Apr.: Online-Schulung „X-Ways Forensics 2“

Wenn Sie über Termine für deutschsprachige Schulungen informiert werden möchten, sobald diese feststehen, können Sie hier Ihre E-Mail-Adresse hinterlassen. Englischsprachige Schulungen weltweit sowie online werden hier aufgelistet.

X-Tension-Entwickler-Schulung

Wer gerne X-Tensions für X-Ways Forensics entwickeln möchte, könnte eine ordentliche und gründliche Schulung dazu in Erwägung ziehen, die man online durchläuft, die abrufbereit ist je nach eigener Verfügbarkeit und die mit individueller Unterstützung unterfüttert wird, auf Englisch. Der Anbieter ist API Forensics Inc. in Kanada. X-Ways verkauft den Zugang zu dieser Schulung hier. Programmierkenntnisse sind erforderlich. Unsere X-Tension-Sammlung (deren neueste Zugänge weiter unten in diesem Newsletter vorgestellt werden!) können Ihnen eine Vorstellung davon geben, was erreicht werden kann, wenn Sie X-Tensions erschaffen für interne Zwecke innerhalb Ihres Unternehmens/Ihrer Behörde (z. B. für Automatisierung, für Datenaustausch/-export/-konvertierung, ...) oder für die Allgemeinheit (kommerziell oder nichtkommerziell). Über die vom kanadischen Anbieter API Forensics Inc. entwickelten X-Tensions können Sie hier mehr erfahren. Alle Details über die einzigartige und sehr spezielle Entwicklerschulung für X-Tensions finden Sie hier.

Was ist neu in v21.9?
(Die meisten Änderungen beziehen sich nur auf X-Ways Forensics.)

Benutzeroberfläche

• Wenn Sie die Einstellungen des Verzeichnis-Browsers in einer .settings-Datei verewigen, haben Sie nun mehr Kontrolle darüber, was tatsächlich in der Datei gespeichert und was demzufolge beim späteren Laden aus der Datei wiederhergestellt wird. Z. B. können Sie .settings-Dateien erstellen mit oft benötigten Filtereinstellungen, oder, wenn die aktiven Filter gerade nicht verlorengehen oder neu gesetzt werden sollen, nur bestimmte Spaltenreihenfolgen und Spaltenbreiten. Sie können auch .settings-Dateien verwenden nur mit Ihren bevorzugten Einstellungen für bedingte Zelleinfärbungen. Um .settings-Dateien zu erstellen, die mit früheren Versionen kompatibel sind, stellen Sie einfach sicher, dass alle Einstellungen in ihnen gespeichert werden.

• Ihre Lieblingseinstellungen lassen sich ab sofort mit einem einzigen Mausklick laden. Das ist möglich, wenn Sie die Dateien mit einer einstelligen Nummer oder einem Buchstaben oder einem exotischen Unicode-Zeichen benennen, optional gefolgt von einem Leerzeichen und weiterem beschreibenden Text, etwa „1.settings“ oder „W Nur die wichtigsten Spalten.settings“ oder „Ⓑ Standardfilter für Bilder.settings“ usw. Das allererste Zeichen wird in der Überschriftszeile des Verzeichnis-Browsers angezeigt und ist direkt anklickbar. Wenn mehrere .settings-Dateien existieren, die diesen Namenskonventionen entsprechen, werden die jeweiligen Anfangszeichen in aufsteigender Reihenfolge ihres Unicode-Werts aufgelistet. Anders benannte .settings-Dateien können wie gehabt ausgewählt werden, indem Sie einfach das Icon dafür anklicken, direkt neben dem Diskettensymbol.

• Wenn Sie denselben Kommentartext auf mehrere ausgewählte Dateien anwenden, haben Sie die Wahl und können entweder vorhandene Kommentare ersetzen oder den neuen Text an sie anhängen oder den neuen Text davor einfügen, abgetrennt mit einem Leerzeichen, einem Zeilenumbruch oder gleich zwei Zeilenumbrüchen.

• Eine schwächere Farbe für Icons zu ehemals existierenden Dateien im Dunkelmodus bedeutet nun dunklere statt hellere Icons.

• Einige weitere Icons in der graphischen Benutzeroberfläche.

• Einige automatische Umwandlungen von Klein- in Großbuchstaben (oder umgekehrt) in der Benutzeroberfläche werden nun auch in den Sprachen Ukrainisch und Russisch angewandt.

Ereignisliste

• Fähigkeit, Kurznachrichten/Chats der folgenden Quellen zu extrahieren, wenn UFDR-Berichtsarchive einem Fall hinzugefügt werden: WhatsApp, Facebook Messenger, TikTok, Skype, Instagram und Telegram. All solche Nachrichten werden in der Ereignisliste angezeigt.

• Der besseren Übersichtlichkeit halber bietet das Dialogfenster des Ereignistypfilters nun nur noch solche Ereignistypen zur Auswahl an, die tatsächlich in der gerade angezeigten Ereignisliste vorkommen.

• Das Dialogfenster des Ereignistypfilters listet nun andere Ereignistypen als die intern definierten auf, wenn Ereignisse anderer Typen von X-Tensions der Ereignisliste hinzugefügt wurden.

• Ein Fehler in der Verarbeitung und Ausgabe von .evtx-Event-Logs wurde behoben.

Filter

• Der Vermerkfilter ist nun nochmal deutlich ausgefuchster und erlaubt es, bestimmte Vermerke auszuschließen vom Ergebnis der bereits bekannten UND- und ODER-Kombinationen anderer Vermerke. Das heißt, Sie können sich fokussieren auf Dateien, die (Vermerk A UND Vermerk B), aber NICHT Vermerk C haben. Oder Dateien, die (Vermerk A ODER Vermerk B), und NICHT Vermerk C haben. Darüber hinaus können mehrere ausgeschlossene Vermerke ebenfalls untereinander verUNDet oder verODERt werden: NICHT (Vermerk C oder Vermerk D) bzw. NICHT (Vermerk C AND Vermerk D). Die positive Bedingung und die negative/ausschließende Bedingung werden miteinander immer verUNDet.

• Ob Vermerke tatsächlich in der Vermerkspalte sichtbar sind oder dort gerade bewusst versteckt werden (z. B. während Sie Ihren Bildschirm mit einer anderen Person teilen) hat keine Auswirkungen auf den Filter.

• Optional können Sie Vermerke mit Glühlampen-Symbolen in vier verschiedenen Farben versehen. Diese Symbole erscheinen in der Namenszelle von Dateien mit solchen Vermerken. Ob diese Symbole groß oder klein sind, hängt ab von der Höhe der Verzeichnis-Browser-Zeilen in Pixeln, die wiederum abhängt von der DPI-Skalierung in Ihrem Windows-System (175% oder mehr sind für hochauflösende Bildschirme empfehlenswert) und eine etwaigen aktiven Schriftgrößenanpassung in den Allgemeinen Optionen. Die farbenfrohen Glühlampen können Ihnen auch einfach dabei helfen, besonders wichtige Vermerke in langen Listen von Vermerkbezeichnungen wiederzufinden, z. B. im Dialogfenster des Vermerkfilters.

• Es gibt nun eine Option, den Filter der Metadatenspalte auf die ausführlicheren Metadaten anzuwenden, die im Detailsmodus dargeboten werden statt wie bisher auf die Untermenge von Metadaten, die extrahiert wurden, im Datei-Überblick gespeichert und in der Metadatenspalte angezeigt werden. Das ist langsamer, weil die erweiterten Metadaten nicht im Datei-Überblick gehalten, sondern bei Bedarf jedes Mal neu aus einer Datei extrahiert werden. Es wird daher empfohlen, diese Filtereinstellung nur in Verbindung mit einem weiteren Filter zu verwenden, z. B. dem Typfilter, wenn sie auf eine lange Liste von Dateien angewandt werden soll. Wie auch immer, sollte der Vorgang zu lange dauern, können Sie ihn auf die übliche Weise abbrechen (Esc-Taste). Beispielsweise können Sie so Dateien finden, in deren erweiterten Metadaten X-Ways Forensics eine bestimmte Anmerkung ausgibt wie #250.

Datenträger-/Image-/Dateisystemunterstützung

• Unterstützung von weiteren Kompressionsvarianten in APFS. Das Lesen von in APFS komprimierten Dateien erfordert einen von v21.9 oder neuer erstellten Datei-Überblick.

• NTFS: Das Verarbeiten von großen Schattenkopien wurde etwas beschleunigt.

• X-Ways Forensics gibt dem Benutzer nun extra einen Hinweis, wenn Dateisystembereiche nicht in eine Minimalsicherung aufgenommen wurden, bevor so eine Sicherung abgeschlossen wird. Werden diese Bereiche aufgenommen, wird dies in der Log-Datei der Sicherung verzeichnet. Es ist kein Muss, beim Befüllen einer Minimalsicherung einen Datei-Überblick zu erstellen und dadurch alle essentiellen Dateisystem-Datenstrukturen in die Sicherung zu befördern. Das könnte leicht Hunderttausende oder Millionen Namen von Dateien und Verzeichnissen beinhalten, was für Ihre Zwecke notwendig und angemessen sein kann oder auch nicht. Wenn Sie z. B. bloß die Inhalte und einige Metadaten bestimmter Dateien in einem NTFS-Dateisystem benötigen, könnten Sie gezielt die FILE-Records und Inhalte dieser Dateien übertragen lassen, ohne die gesamte $MFT. Dank der Einbindung von Sektor 0 (dem Bootsektor) wird X-Ways Forensics später wissen, was das Dateisystem und die Clustergröße war, und wird die FILE-Records mit einer besonders intensiven Dateisystem-Datenstruktursuche in der Minimalsicherung finden können (sogar ziemlich schnell dank Sparse-Speicherung) und wird die Speicherorte und Namen und Zeitstempel usw. dieser Dateien im Dateisystem ermitteln können.

• Volume-Labels aus mehreren Dateisystemtypen sind nun insgesamt sichtbarer: Bislang wurden sie nur im technischen Detailbericht und in der Informationsspalte angezeigt, jetzt auch in den voreingestellten Bezeichnungen/Nummern von Asservaten, wenn Partitionen zum Fall hinzugefügt werden. D. h. auch, dass sie leicht Teil des Pfades von Dateien in Datei-Containern werden können.

• Unterstützung für einige weiteren VDI-Image-Varianten.

• MD-RAID-Container-Partitionen bekommen ein besonderes blaues Festplatten-Icon im Fallbaum. Das sind Partitionen, die eine ähnliche Funktion erfüllen wie sonst physische Datenträger. Sicherungen von physischen Datenträgern, die als Volume-Images fehlinterpretiert wurden (aber denen die Partitionierung doch leicht angesehen werden kann) erhalten ebenso dieses Icon, um die besondere Situation anzuzeigen, dass eine Behandlung als Volume/Partition vorliegt, die noch nicht der Weisheit letzter Schluss ist.

Bildunterstützung

• Beschleunigtes Laden von hochauflösenden Bildern im Vorschaumodus mit der internen Bildanzeigebibliothek.

• Eine neue OCR-Option erfordert eine Erkennung von Text oder Papiertextur durch die Bildinhaltsanalyse zusätzlich zur eingestellten Gerätetyp-Bedingung. D. h. diese zwei Bedingungen werden mit einem logischen UND verknüpft statt zuvor ODER.

• Aktualisierte Erkennungen von KI-generierten Bildern.

• Verbesserte Erkennung von Fotos, die mit einer Frontkamera aufgenommen wurden, mit einer sehr niedrigen Fehlerrate.

• Verlässlichere Erkennung von erzeugenden Geräten.

• Die Gerätedefinitionen für Smartphones wurde aktualisiert. Als Konsequenz daraus wurden die Geräteklassenerkennung und die Beurteilung des Bearbeitungszustands verbessert.

• Ein neuer Wert für „Media design“ wurde eingeführt: Swipe. Swipe zeigt an, dass ein Bild passend zur Bildschirmbreite skaliert wurde, um vertikales Wischen auf dem Bildschirm zu unterstützen.

• Aktualisierte Erkennung von Bildseitenverhältnissen und ihren Implikationen.

• Eine Extraktion von eingebetteten Bildern aus MSPaint Canvas-Dateien ist in neuen Installationen nun voreingestellt.

• Anmerkungen in der Übersichtstabelle von Bildern im Detailsmodus haben nun ein Rautezeichen vor der Anmerkungsnummer, so dass Sie zielgerichteter nach Dateien mit bestimmten Anmerkungen fahnden können, wie weiter oben beschreiben mit der neuen Option des Metadatenfilters.

Interpretation/Präsentation binärer Daten

• Sie haben nun die Möglichkeit, zwischen der herkömmlichen Reihenfolge von Nibbles innerhalb eines Bytes in der Hex-Anzeige (das höherwertige Nibble links, das niederwertige rechts) und der umgekehrten Reihenfolge hin- und herzuschalten, indem Sie die dafür zuständige neue Zelle in der Statusleiste anklicken. Diese zeigt entweder „BEN“ an für „big-endian nibbles“ oder „LEN“ für „little-endian nibbles“. Alternativ können Sie die Reihenfolge über ein Kontrollkästchen in der oberen rechten Ecke des Dialogfensters mit den allgemeinen Optionen festlegen. Auch wenn sehr ungewohnt für menschliche Lesegewohnheiten, ist die Reihenfolge mit dem niederwertigen Nibble links eine logische Wahl, wann immer mehrere Bytes zu einem einzigen Integer-Wert gehören, der in aufsteigender Byte-Reihenfolge gespeichert ist, weil so durchweg alle Hex-Ziffern in aufsteigender Reihenfolge ihrer Wertigkeit angeordnet sind. Der Unterschied, den diese Einstellung macht, wird z. B. besonders deutlich, wenn man die 12-Bit-Einträge in einer FAT12-Dateizuordnungstabelle betrachtet, deren Nibbles normalerweise ineinandergreifend erscheinen, aber in der BEN-Reihenfolge geradlinig und zusammenhängend gruppiert.

• Die Dateninterpretation in der Statusleiste hat jetzt ihre eigene Einstellung für Big Endian und richtet sich nicht mehr nach der Einstellung im Daten-Dolmetscher. Sie zeigt „BE“, wenn die Big-Endian-Einstellung aktiv ist. Andere Einstellungen werden weiterhin vom Daten-Dolmetscher übernommen.

• Die Bits in der Binär-Darstellung des Daten-Dolmetschers, in Schablonen sowie in der Statusleiste können nun optional in aufsteigender Reihenfolge erscheinen, d. h. vom niederwertigsten Bit (least significant bit, LSB) zum höchstwertigen Bit (most significant bit, MSB). Dies ist nicht zu verwechseln mit der Byte-Reihenfolge, die definiert, welches von mehreren Bytes das höchstwertige ist (hängt ab von der Big-Endian-Einstellung). Die Bit-Reihenfolge wirkt zusätzlich, innerhalb eines Bytes. Wenn die LSB-zu-MSB-Reihenfolge aktiv ist, wird ein Dreieck vor dem Wort „Binär:“ angezeigt, dessen spitzes (kleines) Ende links und dessen breites (großes) Ende rechts ist, um Sie daran zu erinnern.

• Prüfsummen werden per Konvention normalerweise in Big-Endian-Reihenfolge angezeigt, auch wenn sie in Little-Endian-Reihenfolge gespeichert sind. Das bedeutet z. B., dass eine 2 Bytes große Datei mit den Byte-Werten 0x99 0x00 eine 16-Bit-Prüfsumme hat, die als 0099 angezeigt wird statt 9900. Das ist nachvollziehbar, weil Prüfsummen echte Zahlenwerte mit einer mathematischen Bedeutung sind (das Ergebnis einer Addition von als Integer-Zahlen interpretierten Daten in Einheiten einer fixen Länge) und weil Zahlen von Menschen mit der höchstwertigen Ziffer links und der niederstwertigen Ziffer rechts geschrieben werden (sogar im Arabischen und Hebräischen). Auch CRCs wie CRC16, CRC32 und Adler32 werden oft (aber nicht immer) für Anzeigezwecke byteweise umgekehrt. Das ist allerdings schon schwieriger zu rechtfertigen, weil solche Hash-Werte viel willkürlicher sind und wie zusammengewürfelt wirken und ihre Interpretation als ganze Zahl praktisch bedeutungslos ist. Längere Hashes wie MD5 werden niemals byteweise umgekehrt dargestellt. Sie können nun in den Notationseinstellungen festlegen, dass Prüfsummen und CRCs in Litte-Endian-, also Original-Byte-Reihenfolge angezeigt werden, zur Kompatiblität mit bestimmten Tools, die so verfahren, und zum Vergleich mit Prüfsummen und CRCs direkt an ihrem Speicherort auf Datenträger oder in Dateien, z. B. Zip-Archiven..

• Das Gehirn herauszufordern soll die Neuroplastizität fördern und die kognitive Leistungsfähigkeit im Alter erhalten. Wir empfehlen daher, die diversen Notationseinstellungen in den Installationen von X-Ways Forensics Ihrer Kollegen gelegentlich hinter deren Rücken zu ändern. Sie werden es Ihnen später danken.

• Die Binärdarstellung im Daten-Dolmetscher sowieso in der Statusleiste kann nun auch 24 Bits anzeigen. Zur besseren Lesbarkeit wird neuerdings in 16-, 24- und 32-Bit-Darstellungen nach jeweils 8 Bits ein Leerzeichen eingefügt.

• Die Einstellungen des Daten-Dolmetschers können nun vollständig aus .dlg-Dateien geladen und in .dlg-Dateien gespeichert werden.

Fallverwaltung

• Neue Zeitzonen-Definitionen für British Columbia und Alberta. (Previous users of the Saskatchewan time zone need to change to the combined Central America, Saskatchewan time zone, please.) Das Gelten von Sommerzeit für das ganze Jahr kann nun in der graphischen Benutzeroberfläche definiert werden, ohne dass potentiell ein paar Tage im früheren Januar oder späten Dezember nicht abgedeckt sind, indem Sie 0 als Startmonat und 13 als Endmonat eingeben. Es können nun theoretisch bis zu 100 verschiedene Zeitzonen-Varianten definiert werden (statt zuvor 76).

• Besserer Umgang mit unvollständigen Fällen, von denen Sie nur noch die .xfc-Datei haben und nicht mehr die zugehörigen Unterverzeichnisse.

• Sie können nun unter vier verschiedenen Glühlampen-Farben wählen, wenn Sie ein Asservat als wichtig kennzeichnen. Die farbenfrohen Lampen helfen Ihnen auch einfach dabei, bestimmte Asservate überhaupt wiederzufinden in langen Listen, z. B. wenn Sie rekursiv vom Asservat-Überblick aus erkunden oder wenn Sie Asservate aus einem anderen Fall importieren. Und es gibt einen neuen Schalter, der es erlaubt, schnell alle Asservate mit Lampe auszuwählen (egal welcher Farbe).

Diverses

• Möglichkeit, Verzeichnislisten miteinander abzugleichen, d. h. herauszufinden, welche Dateien oder Unterverzeichnisse im Verzeichnis-Browser im aktiven Datenfenstern in einem anderen Datenfenster nicht vorhanden sind. Den Vergleich kann man durchführen basierend auf dem Namen und optional gleiche Größen erfordern, gleiche Änderungszeitstempel und/oder denselben Existenzzustand (existierend vs. ehem. existierende [jeder Art]). Sobald die nicht gefundenen / zusätzlichen Objekte ausgewählt sind, können Sie die Liste kopieren (Strg+C), exportieren, die Dateien kopieren oder hashen usw. usf. Dies funktioniert sowohl mit nichtrekursiven als auch rekursiven Erkundungen. Den Befehl dafür finden Sie im Kontextmenü des Verzeichnis-Browsers als Auswählen | Anderswo Fehlendes.

• Sie können nun die Auswahl im Verzeichnis-Browser ändern während ein Vorgang von „Liste exportieren“ noch läuft, ohne den Anwendungsbereich dieser Funktion zu verfälschen.

• X-Tension API: Die Funktionen XWF_AddComment() und XWF_AddExtractedMetadata() unterstützen nun zusätzliche Flags, um mehr Text an bestehende Kommentare/Metadaten anzuhängen oder vor diesen einzufügen.

• Das Kapitel in der Dokumentation über Befehlszeilenparameter hat nun Informationen über Exit-Codes. Wenn Sie X-Ways Forensics in einer automatisierten, unbeaufsichtigten Umgebung einsetzen und den Exit-Code prüfen, kann das Ihrem Script eine Vorstellung davon geben, ob die Ausführung generell erfolgreich war (0 oder 710) oder aus einem Grund, dem nachgegangen werden muss, fehlgeschlagen ist. Diverse fehleranzeigende Exit-Codes sind möglich, und sie können grob gemäß der Fehlercodes interpretiert werden, die Microsoft auf dieser Seite  und Folgeseiten definiert. Insbesondere könnten Sie sich vorbereiten auf folgende Exit-Codes:
  0 = normale Programmbeendigung, es wurde kein besonderer Exit-Code gesetzt
  353 = maximale Anzahl gleichzeitiger Nutzer laut Netzwerk-Dongle überschritten
  710 = normale freigeschaltete Ausführung war möglich
  1067 = unplanmäßiger Abbruch der Ausführung
  10003 = kein Dongle gefunden
  11111 = kein Server mit Netzwerk-Dongle gefunden

• Die NSRL RDS Hash-Sets, in einem Format zum direkten Import in X-Ways Forensics, wurden auf die Version 2026.09.1 aktualisiert und stehen zum Download, sowohl als MD5- als auch als SHA-1-Variante, zur Verfügung. Lizenzierte Benutzer mit Zugang zu Updates können zu den Dateien gelanden über einen Link, den Sie wie üblich erhalten durch Abfragen Ihres Lizenzstatus.

• Die Programmhilfe und das Benutzerhandbuch wurden aktualisiert.

• Viele kleinere Verbesserungen.

Änderungen der Service-Releases von 21.8

• SR-1: Fixed description of events generated by the revised .evtx processing.

• SR-1: Fixed a file clean-up error in v21.8 that occurred when closing not case-associated volumes/disks.

• SR-2: Fixed omission of volume snapshot data when importing evidence objects from other cases in v21.8.

• SR-2: Fixed proposed .css filename for case report generation in fresh installations.

• SR-2: Fixed encoding of a few words in non-Western-European languages in the Metadata column.

• SR-2: Avoided a potential exception error that could occur during picture content analysis.

• SR-2: When creating a skeleton image, confirms if the entire file system data as parsed by X-Ways Forensics were included in the image.

• SR-3: Fixed an exception error that could occur when computing ed2k hash values in certain constellations.

• SR-3: Fixed inability of v21.6 and later to carve HEIC files with the ~27 algorithm as defined in the File Type Signatures Search.txt file.

• SR-3: Fixed inability of v21.5 and later to explore certain corrupt/incomplete zip archives.

• SR-4: Fixed an exception error that could occur when processing corrupt .evtx files.

• SR-4: Fixed inability to carve certain video files at the correct size since v21.6.

• SR-4: Fixed an exception error that occurred when creating bookmarks from within the recursively explored Case Root window.

• SR-4: X-Tension API: Fixed failure of XWF_OpenItem() when called from XT_ProcessItem() for files in nested archives using multiple threads.

• SR-5: A special comment tooltip and message is output for images of physical, partitioned disks that have been misinterpreted as images of a volume. This text now reminds users that they should get such images properly interpreted, if necessary by holding the Shift key when adding the image to the case to get that option.

• SR-5: Ability to open external 0x90 attributes in NTFS as directory data.

• SR-5: X-Tension API: Exceptions that occur when processing calls of the XWF_GetCellText function are now caught by that function itself and should not impact the X-Tension in a potentially uncontrolled manner any more. Important notes about the XWF_GetCellText function have been added to the documentation.

• SR-5: Fixed an exception error that could occur when running the picture content analysis.

• SR-5: Prevented the unintended insertion of UTF-8 byte order marks and line breaks in non-textual surrogate patterns for unreadable sectors by v21.7 and later.

• SR-5: The +9 investigator.ini setting now has an effect in v21.8. Also, it is no longer possible to reach the security options dialog when trying to turn off the strict drive letter protection.

• SR-6: At the moment when directories are added to the directory tree of an evidence object (only once while a case is loaded), now the status of the description filter decides whether excluded directories are added to the tree or not. Previously, excluded directories were never added to the tree when that tree was initially constructed. If added/visible, excluded directories are presented with a gray directory icon instead of the usual yellow one.

• SR-6: The scope of an ongoing Export List operation is no longer affected by selection changes with the left mouse button.

• SR-6: The various double-click Explore vs. View options did not work in v21.8. That was fixed.

• SR-6: Fixed missing last box in the status bar under certain screen conditions.

• SR-6: User settings for notable picture content categorizations previously were not retained if no AND combination was used at all. That was fixed.

• SR-6: Updated to the latest release of SQLite.

• SR-6: Fixed assessment of Picture size+ in Details mode for videos.

KI-Unterstützung beim Entwickeln von X-Tensions

The X-Tension Builder Skill by Kevin Stokes is a Claude Code skill plus a curated knowledge base and starter templates for authoring X-Ways Forensics X-Tensions (C++ and Python). It helps developers scaffold new X-Tensions, wrap external CLI tools, and follow consistent conventions, with API notes that route every call back to publicly available documentation. Developers can install it with: `claude plugin marketplace add kev365/xways-xtension-builder-skill`. Building the C++ templates needs Visual Studio 2019/2022 (x64); the Python template needs X-Ways' XT_Python.dll (Python 3.10/3.12). The X-Ways SDK is acquired separately (not redistributed). No other dependencies.

Werden Sie zertifizierter Benutzer von X-Ways Forensics
Werden Sie X-PERTe. (X-Ways Professional in Evidence Recovery Techniques)

Beweisen Sie Ihre Fähigkeiten in der Computerforensik im Allgemeinen und mit X-Ways Forensics im Speziellen mit unserem Zertifizierungsprogramm. Nach dem Bestehen der herausfordernden Prüfung werden Sie Teil einer exklusiven Gruppe und genießen neben der entsprechenden Anerkennung auch weitere einhergehende Vorteile, wie Schulungsrabatte oder Zugang zum aktualisierten Schulungsmaterial. Weitere Informationen zu unserer Zertifizierung finden Sie hier.

Wir hoffen, Sie bald wieder auf https://www.x-ways.net zu sehen, oder bei Facebook oder Twitter. Bitte leiten Sie diesen Newsletter an andere Interessenten weiter. Anmelden kann man sich (z. B. noch mit weiteren E-Mail-Adressen) u. a. hier. Vielen Dank.

Freundliche Grüße

Stefan Fleischmann

--
X-Ways Software Technology AG
Carl-Diem-Str. 32
32257 Bünde

In dieser Ausgabe informieren wir Sie über ein am 25. Mai erschienenes Update mit wichtigen Verbesserungen, die Version 21.8.

Kunden erhalten Download-Instruktionen, aktuelle Log-In-Daten (!) sowie Details zu Ihren Lizenzen wie immer unter https://www.x-ways.net/winhex/license-d.html. Wenn Ihr Zugang zu Updates oder Ihre Lizenz abgelaufen ist, erhalten Sie von dort Angebote zu Upgrades bzw. Lizenzverlängerungen.

Wenn Sie an Service-Releases oder auch Preview- und Beta-Releases interessiert sind, können Sie Informationen dazu jederzeit aktuell im Bereich "Announcements" des Forums finden. Bitte legen Sie sich ein Konto an (dazu werden die Log-In-Daten benötigt), um die Ankündigungen in diesem Bereich immer sofort per E-Mail zu erhalten. Wenn Sie vorerst bei einer älteren Version bleiben möchten oder müssen, sollten Sie bitte zumindest das letzte Service-Release der betreffenden Version verwenden. Danke. Wir bitten darum, dass sich mit dem gelegentlich verwendeten generischen Maskulinum in unseren Texten alle Benutzer(innen) unserer Software gleichermaßen angesprochen fühlen.

Nächste deutschsprachige Schulungstermine:

• 15.-18. Juni: Online-Schulung "X-Ways Forensics 1"

• 29. Juni-2. Juli: Online-Schulung "X-Ways Forensics 2"

• 12.-15. Okt.: Online-Schulung "X-Ways Forensics 1"

Wenn Sie über Termine für deutschsprachige Schulungen informiert werden möchten, sobald diese feststehen, können Sie hier Ihre E-Mail-Adresse hinterlassen. Englischsprachige Schulungen weltweit sowie online werden hier aufgelistet, darunter diesmal auch eine Dateisystem-Schulung.

Was ist neu in v21.8?
(Die meisten Änderungen beziehen sich nur auf X-Ways Forensics.)

Dateiformat-Unterstützung

• Der Algorithmus zum Ausgliedern von MPEG-Dateien bestimmter Varianten aus Sektoren (Carven) wurde deutlich verbessert.

• Möglichkeit zum Ausgliedern von AVIF-Dateien aus Sektoren.

• Beim Suchen nach eingebetteten Daten in JPEG-Dateien werden zusätzliche Exif-Makernote-Daten nicht mehr integriert in Unterobjekte mit Miniaturansichten. Dadurch erhält man universeller vergleichbare Hash-Werte für solche Unterobjekte.

• Alternative Extraktionsmethode für Attachments, die in .eml-Dateien eingebettet sind.

• Grundlegend erneuerte Verarbeitung von Windows-Event-Log-Dateien des Typs evtx. Vollständigere Ausgabe der Ereignisdaten in die Ereignisliste. Stabiler als zuvor bei defekten .evtx-Dateien.

• Erkennt von DocuRay verwaltete Dokumentdateien als verschlüsselt/DRM-geschützt.

• Erkennt harte Verweise und Symlinks in TAR-Archives als solche. Harte Verweise werden mit dem Original-Dateiinhalt dargestellt und der Verweisanzahl innerhalb des Archivs.

• Dass bestimmte binäre Dateien im Fallbericht in einem menschenlesbaren Format ausgegeben werden, falls möglich, ist nun optional. Dies betrifft z. B. Dateien vom Typ job, lnk, Prefetch, $I*, $LogFile, $UsnJrnl:$J, wtmp, utmp, btmp sowie TCP- und UDP-Paket-Schnipsel und vieles mehr. Wenn binäre Kopien bevorzugt werden, die nicht direkt mit dem Bericht in einem Browser eingesehen werden können, entfernen Sie das Häkchen in dem dafür neu eingeführten Kontrollkästchen.

• Testweise eingebaute Funktion, die RTF-Dateien identifiziert, die eingebettete Bilder enthalten, über einen Vermerk namens „No pictures extracted“.

Bildunterstützung

• Die interne Grafikanzeigebibliothek und die Bildinhaltsanalyse können nun Bilder aus AVIF-Dateien laden.

• Die Anzeige von HEIC-Bildern wurde komplett erneuert.

• PNG- und JPEG-Unterstützung in der internen Grafikanzeigebibliothek aktualisiert.

• Verbesserte Erkennung von mit KI erzeugten Bildern anhand diverser Mikromuster. Sie können dazu zunächst den Eintrag „Software class“ in der Übersichtstabelle im Details-Modus prüfen. Wenn dieser nicht „AI-generated“ sagt, kann der Gerätetyp „No device“ ein Anhaltspunkt sein, wie auch Anmerkung Nr. 201, wenn ausgegeben.

• Verbesserte Erkennung des erzeugenden Gerätetyps.

• Verbesserte Bildgröße+-Information in der Übersichtstabelle (in früheren Versionen Sensor- oder Papiergröße genannt), mit textuellen Beschreibungen der Auflösung, einer Nennung des Bildseitenverhältnisses (sofern beachtenswert) und, sofern das Bild bekanntermaßen vergrößert oder verkleinert wurde, eine frühere Auflösung. Ein Pfeil nach oben zeigt einen unerwartet hohen Propensity Score an. Ein Pfeil nach unten zeigt einen unerwartet niedrigen Propensity Score an, welcher korreliert ist mit Kopien in verringerter Auflösung für die weitere Verbreitung und mit einer niedrigeren generischen Relevanz. Das Wort "Bildgröße" ist hier mit einem kleinen Plus-Symbol versehen, um die Angabe zu unterscheiden von der ansonsten gleichnamigen Spalte im Verzeichnis-Browser.

• Verbesserte Interpretation von Bildseitenverhältnissen.

Asservatunterstützung

• Bereits seit einigen Versionen können UFDR-Berichte als Asservate hinzugefügt werden wie normale Zip-Archive. Die Datei report.xml darin wird als virtuelle Datei dargestellt, da sie Metadaten für die Untersuchung enthält und keine Originaldatei ist. Sie kann optional ausgewertet werden, damit alle anderen Dateien in dem Archiv mit ihren Original-Zeitstempeln und in ihrem jeweiligen Originalpfad erscheinen, wann immer möglich. In v21.8 können die Zeitstempel, die die anderen Dateien laut den Zip-Records im UFDR/Zip-Archiv haben, nun optional ganz verworfen werden, wenn sie Ihnen unzuverlässig oder irreführend vorkommen.

• Wenn die report.xml-Auswertung voll gewählt ist, kann X-Ways Forensics nun auch Nachrichten extrahieren und präsentiert diese als Ereignisse. Nachrichten der folgenden Art werden bislang normalerweise unterstützt:
  Instant Messages: Android CallLog database
  Instant Messages: Android
  Instant Messages: Phone
  Chats: Native Messages
  Chats: Kik Messenger
  Chats: Snapchat

• Detailliertere Rückmeldung, wenn beim Verarbeiten der Datei report.xml Probleme auftreten.

• Möglichkeit, decodierten Text aus Dokumenten sowie per OCR gewonnenem Text in Datei-Containern zusammen mit den zugehörigen Dateien zu speichern. Dies erlaubt es den Empfängern solcher Container, gründliche logische Suchen in den enthaltenen Dateien schnell durchlaufen zu lassen, ohne Zeit in die Textdecodierung und in OCR investieren zu müssen, sofern sie v21.7 SR-3 oder neuer verwenden.

• Möglichkeit, verschlüsselte Container-Archive weiter zu befüllen. (Der Benutzer muss dazu dasselbe Passwort erneut eingeben.)

Dateisystem-Unterstützung

• Fähigkeit, ein exFAT-Dateisystem in einer Partition zu erkennen und direkt damit zu arbeiten, auch wenn der Boot-Sektor überschrieben wurde, solange Backup-Boot-Sektor verfügbar ist.

• Eine Schablone für exFAT-Boot-Sektoren ist jetzt im Lieferumfang enthalten.

• Die Verschachtelungstiefe für Unterverzeichnisse, bei der von einem Fehler im Dateisystem ausgegangen wird und bei der die Rekursion abgebrochen wird, wenn der Datei-Überblick von einem FAT*- oder Ext*-Dateisystem erzeugt wird, kann nun in den Optionen des Datei-Überblicks festgelegt werden und sog. Stack-Überlauf-Fehler verhindern. Diese würden sonst in einigen sehr seltenen Fällen auftreten. In so einer Situation wird folgende Nachricht ausgegeben: "Probably circular link detected. Recursion depth ...".

• Verbesserter Umgang mit einer bestimmten Art von NTFS-Dateisystem-Manipulation.

• Breitere Erkennung von BitLocker-Recovery-Key-Dateien. Diese Art von Dateien wird in der Typspalte als „blkey“ identifiziert.

• Recovery-Keys, die in einem beliebigen Asservat im Fall bereits angetroffen wurden, werden automatisch zur Entschlüsselung von anderen BitLocker-Partitionen, die Sie öffnen, herangezogen, sofern sie passen.

• Eine neue Sicherheitsoption steuert, ob BitLocker-Passwörter und -Schlüssel, die Sie manuell eingeben oder die automatisch gefunden werden (BEK- und Recovery-Key-Dateien) oder die passen, wenn Passwörter aus einer Liste ausprobiert werden, zentral im Fall (auf dem Datenträger) gespeichert werden. Das ist zwar bequem und die Voreinstellung, aber für interne Ermittlungen evtl. nicht gewünscht, wenn das Fallverzeichnis nicht verschlüsselt/ausreichend geschützt ist.

Benutzeroberfläche

• Feinere Einstellung dazu, was passieren soll, wenn eine Datei mit Unterobjekte doppelt angeklickt wird (erkunden oder einsehen).

• Das erste vierstufige Kontrollkästchen in X-Ways Forensics (oder evtl. im Universum) wurde eingeführt: Die Gitternetzlinien im Verzeichnis-Browser werden nun in drei verschiedenen Schattierungen angeboten und können optional weiterhin ganz unsichtbar sein.

• Strg+A funktioniert nun in Fenstern der Viewer-Komponente, um alles auszuwählen, in Text-Dokumente, Tabellenkalkulationen, ... (aber nicht in PDF-Dokumenten, Präsentationen, ...).

• Der Filter zur Beschreibungsspalte kann nun nach Verzeichnissen suchen, also Dateien herausfiltern.

• Erweiterte UTF-8-Unterstützung in einigen Funktionen und Teilen der Benutzeroberfläche.

• Die ukrainische und russische Übersetzung der Benutzeroberfläche wurde aktualisiert.

Notation und Ausgabe

• Eine neue Notationseinstellung erlaubt es, den vollständigen internen Pfad eines Asservats in der Asservatspalte zu sehen anstelle der benutzerdefinierbaren, bis zu 79 Zeichen langen Bezeichnung oder Nummer des Asservats wie bisher.

• Eine weitere neue Einstellung bewirkt, dass keine Dateinamenserweiterungen mehr angezeigt werden in den Spalten "Name" und "Elter-Name". Das könnte die Namen insbes. für manche Benutzer von X-Ways Investigator angenehmer lesbar machen, wenn ihnen die Endungen nicht unbedingt etwas sagen und ihnen der tatsächliche oder vermeintliche Dateityp sowieso egal ist, weil es ihnen auf den Inhalt ankommt.

• Sie können X-Ways Forensics nun mitteilen, was Sie in der Spalte "Int. Elter" sehen möchten: Die interne ID des Elters (wie in früheren Versionen), dessen Namen, seine Beschreibung, oder eine Kombination von diesen. Der Dateiname kann wiederum optional vor der Dateinamenserweiterung abgeschnitten werden.

• Eine weitere Notationseinstellungen erlaubt es, Dateigrößen in Form einer Anzahl von Sektoren anzugeben. Falls Dateien nicht auf Datenträgern oder in Sicherungen mit sektorweisem Zugriff angetroffen wurden, sondern z. B. in Asservaten, die Zip-Archive oder Verzeichnisse sind, wird dabei eine Standardsektorgröße von 512 Bytes angenommen. Die angezeigte Sektorzahl wird entweder aufgerundet (weil eine Datei, die 1 Sektor ganz besetzt und weitere 2 Bytes von einen anderen Sektor tatsächlich 2 Sektoren in Anspruch nimmt, wo immer Dateien an Sektorgrenzen ausgerichtet sind) oder mit einer Nachkommastelle angezeigt. Die Anzeigeart mit einer Nachkommastelle kann Ihnen eine Vorstellung davon geben, wie präzise oder grob eine aus Sektoren ausgegliederte Datei abgemessen wurde, denn wenn eine Dateigröße ein exaktes Vielfaches der Sektorgröße ist, wird sie ganz ohne Nachkommastelle angezeigt, wohingegen ,0 signalisiert, dass noch ein paar Bytes zusätzlich enthalten sind, die aber noch nicht ein Zehntel eines Sektors ausmachen (also 0,1). Dies kann Ihnen auch eine Vorstellung davon geben, welche Dateitypen natürlicherweise mit aufgerundeter Größe auftreten, z. B. Windows-Registry-Hives und OLE-2-Verbundsdateien. Wenn hingegen eine JPEG- oder HEIC-Datei oder eine sonstige normalerweise nicht gerundete Datei ohne Nachkommastelle in der Größe gefunden wird, ist sie evtl. abgeschnitten worden, z. B. bei der Ausgliederung aus Sektoren oder durch einen Dateisystemfehler. (Wenn allerdings Dateigrößen dabei gleichmäßig verteilt sind, hat statistisch gesehen 1 von 512 Dateien auch auf natürliche Weise ein exaktes Vielfaches der Sektorgröße als Größe.)

• Das Dialogfenster für Notation wurde aufgeräumt und umbenannt in Notation/Ausgabe. Die Einstellungen für Notation und Ausgabe in der graphischen Benutzeroberfläche selbst kann jetzt über das Hauptmenü erreicht werden. Der Schalter "Notation..." im Dialogfenster mit den Allgemeinen Optionen wird wahrscheinlich irgendwann entfallen.

• Die Option, entweder den Hauptdateinamen, einen alternativen Namen oder beides in exportierten Listen und in copylog-Dateien auszugeben, sofern überhaupt ein alternativer Name bekannt ist, ist zu einer Einstellung im Dialogfenster für Notation und Ausgabe geworden.

• Die zwei Optionen für die Spalte "Startsektor", ehemals Teil der Optionen des Verzeichnis-Browsers, wurden zu Notationseinstellungen und können daher nun unterschiedlich gewählt werden für die graphische Benutzeroberfläche und für exportierte Listen.

• Die Einstellung, dass ein kleines Dreieck in der Namenszelle das Vorhandensein von Vermerken anzeigt, wurde aus den Notationseinstellungen zu den Optionen des Verzeichnis-Browsers befördert.

X-Tension API

• Die Funktionen XWF_GetReportTableAssocs() und XWF_AddToReportTable() haben neue Namen erhalten: XWF_Label() und XWF_GetLabels(). Die Funktionen können aus Gründen der Kompatibilität immer noch unter ihren alten Namen aufgerufen werden. Die vorherigen Namen gelten aber nun seit v21.7 SR-4 als veraltet und nicht mehr empfehlenswert.

• Die Funktion XWF_Label() kann jetzt Vermerke auch von einer Datei entfernen.

• Die Funktion XWF_OpenItem() unterstützt nun ein Flag, um Attachments in verschlankte .eml-Dateien wieder einzubetten, i. d. R. für Export-Zwecke.

Diverses

• Beim Importieren von Hash-Werten, sei es aus einer externen Textdatei mit ASCII-Hex-Werten oder über ausgewählte Dateien im Verzeichnis-Browser, haben Sie die Möglichkeit, die Hash-Werte nicht wirklich der Datenbank hinzuzufügen, sondern nur herauszufinden, welche Hash-Werte davon bereits in der Datenbank enthalten sind und welche Hash-Werte neu sind. Das könnte von Nutzen sein, um herauszufinden, wie sich ein Import auf Ihre Datenbank auswirken würde / ob überhaupt neues Material dabei ist usw., oder, wenn Sie Zugang erlangt haben zu einer bloßen Liste von Hash-Werten von Dateien, die sich im Besitz von jemandem befanden, ohne die Dateien selbst, und Sie wissen möchten, ob die Dateien in Ihrer Hash-Datenbank bekannt sind.

• Die Protokollierungsfunktion von Wiederherstellen/Kopieren, wenn ganz gewählt, protokolliert nun auch mit, wenn Verzeichnisse aus der Quelle im Ausgabepfad repliziert werden (um kopierte Dateien mit Originalpfad aufzunehmen), mit den Originalnamen dieser Verzeichnisse, internen IDs, Attributen und was auch immer Sie sonst auswählen.

• X-Ways Forensics überwacht nun zusätzliche Threads beim Erweitern des Datei-Überblicks und versucht, hängengebliebene Threads zu beenden und wieder neu zu starten, wenn diese z. B. 15 Minuten lang kein Lebenszeichen von sich gegeben haben. Dies ist eine neue Einstellung unter Optionen | Sicherheit und setzt voraus, dass die Benutzeroberfläche selbst noch auf Aktivitäten reagiert. Wenn die Verarbeitung einer bestimmten Datei sehr lange dauert (z. B. besonders große PST-E-Mail-Archive von Outlook mit vielen, vielen E-Mails und Datei-Anhängen), signalisiert der zugehörige Thread dennoch, dass er aktiv ist, so dass diese Situation allein keine Wiederbelebungsmaßnahmen auslöst.

• Fähigkeit, ein Hängen bei einer bestimmten Datei zu simulieren, unter Verwendung eines des unbeschrifteten, aber mit Tooltip ausgestatteten Kontrollkästchen unter Optionen | Sicherheit, nur in Preview- und Beta-Releases. (v21.8 Beta ist noch für kurze Zeit herunterladbar.)

• Das Hinterlegen von mind. einer E-Mail-Adresse speziell für die Versicherung eines jeden Dongles gegen Verlust und Diebstahl ist jetzt vollkommen optional und weniger wichtig geworden (und wird auch in künftigen Releases früherer Versionen als weniger dringlich behandelt). Falls keine E-Mail-Adresse für diesen Zweck definiert ist, wird der finale Transaktionscode, um die Beendigung des Versicherungsschutzes abzuschließen, einfach an alle E-Mail-Adressen verschickt, die mit der Lizenzgruppe, zu der der Dongle gehört, verknüpft sind. Wenn Sie meinen, dass das zu nervig oder irreführend ist für zu viele Ihrer Kollegen, können Sie wie gewohnt gezielter E-Mail-Adressen für speziell diesen Zweck angeben.

• Die am 26. Feb. 2026 zuletzt mit Updates aktualisierte Version der Viewer-Komponente steht auf unserem Server zum Download zur Verfügung.

• Ein MPlayer-Release von 2025 ist jetzt herunterladbar.

• Die NSRL RDS Hash-Sets, in einem Format zum direkten Import in X-Ways Forensics, wurden auf die Version 2026.03.1 aktualisiert und stehen zum Download aus dem Resourcen-Verzeichnis, sowohl als MD5- als auch als SHA-1-Variante, zur Verfügung.

• Die Programmhilfe und das Benutzerhandbuch wurden aktualisiert.

• Viele kleinere Verbesserungen.

Änderungen der Service-Releases von 21.7:

• SR-1: Fixed an exception error that could occur when applying OCR to certain PDF documents.

• SR-2: Fixed an exception error that could occur when applying OCR to certain PDF documents.

• SR-2: Fixed a memory allocation error that could occur when reaching around 358 million items in a volume snapshot.

• SR-2: Fixed inability to recognize a FAT file system as such if it consists of less than 100 sectors in total.

• SR-2: The option to skip and omit data in free clusters when creating an image was ignored when active in the .cfg file and when imaging was triggered from the command line. That was changed.

• SR-2: Fixed inability of v21.6 SR-4 and later to extract e-mails from small MBOX e-mail archives.

• SR-2: Improved simultaneous compatibility with v8.5.4 and v8.5.7 of the viewer component.

• SR-2: Improved compatibility of "File Type Signatures Search.txt" with editing in MS Excel.

• SR-3: Ability to import extracted text from evidence file containers, which can be included in evidence file containers in v21.8 and later.

• SR-3: Fixed an exception error that could occur when parsing the report.xml file in some UFDR archives.

• SR-3: Support for overlong UNC (network) paths for progress notifications as files.

• SR-3: v21.7 did not present the dongle management dialog window in some situations when needed at startup. That was fixed.

• SR-4: The Exif table in Details mode was not present for HEIC files since v21.6. That was fixed. The fix is has also been applied to v21.6 SR-8.

• SR-4: Content created timestamps from HEIC files were not translated correctly to local time. That was fixed.

• SR-4: Improved size detection of QuickTime video files with an mvhd atom. This change is also available in v21.6 SR-8.

• SR-4: Fixed an instability associated with the parsing of certain PList files.

• SR-4: Fixed a division by zero error in v21.7 when processing certain video files.

Neuzugänge in der X-Tension-Sammlung (sozusagen unser „App-Store“)

Werden Sie zertifizierter Benutzer von X-Ways Forensics
Werden Sie X-PERTe. (X-Ways Professional in Evidence Recovery Techniques)

Beweisen Sie Ihre Fähigkeiten in der Computerforensik im Allgemeinen und mit X-Ways Forensics im Speziellen mit unserem Zertifizierungsprogramm. Nach dem Bestehen der herausfordernden Prüfung werden Sie Teil einer exklusiven Gruppe und genießen neben der entsprechenden Anerkennung auch weitere einhergehende Vorteile, wie Schulungsrabatte oder Zugang zum aktualisierten Schulungsmaterial. Weitere Informationen zu unserer Zertifizierung finden Sie hier.

Wir hoffen, Sie bald wieder auf https://www.x-ways.net zu sehen, oder bei Facebook oder Twitter. Bitte leiten Sie diesen Newsletter an andere Interessenten weiter. Anmelden kann man sich (z. B. noch mit weiteren E-Mail-Adressen) u. a. hier. Vielen Dank.

Freundliche Grüße

Stefan Fleischmann

--
X-Ways Software Technology AG
Carl-Diem-Str. 32
32257 Bünde

In dieser Ausgabe informieren wir Sie über ein am 17. Februar erschienenes Update mit wichtigen Verbesserungen, die Version 21.7.

Kunden erhalten Download-Instruktionen, aktuelle Log-In-Daten (!) sowie Details zu Ihren Lizenzen wie immer unter https://www.x-ways.net/winhex/license-d.html. Wenn Ihr Zugang zu Updates oder Ihre Lizenz abgelaufen ist, erhalten Sie von dort Angebote zu Upgrades bzw. Lizenzverlängerungen.

Wenn Sie an Service-Releases oder auch Preview- und Beta-Releases interessiert sind, können Sie Informationen dazu jederzeit aktuell im Bereich "Announcements" des Forums finden. Bitte legen Sie sich ein Konto an (dazu werden die Log-In-Daten benötigt), um die Ankündigungen in diesem Bereich immer sofort per E-Mail zu erhalten. Wenn Sie vorerst bei einer älteren Version bleiben möchten oder müssen, sollten Sie bitte zumindest das letzte Service-Release der betreffenden Version verwenden. Danke. Wir bitten darum, dass sich mit dem gelegentlich verwendeten generischen Maskulinum in unseren Texten alle Benutzer(innen) unserer Software gleichermaßen angesprochen fühlen.

Nächste deutschsprachige Schulungstermine:

• 15.-18. Jun: Online-Schulung "X-Ways Forensics 1"

• 29. Jun-2. Jul: Online-Schulung "X-Ways Forensics 2"

Wenn Sie über Termine für deutschsprachige Schulungen informiert werden möchten, sobald diese feststehen, können Sie hier Ihre E-Mail-Adresse hinterlassen. Englischsprachige Schulungen weltweit sowie online werden hier aufgelistet.

Was ist neu in v21.7?
(Die meisten Änderungen beziehen sich nur auf X-Ways Forensics.)

Dateityp-Unterstützung

• Die Spieldauer bestimmter Videodateien, die nicht von der Metadaten-Extraktion in die Metadaten-Spalte übertragen werden kann, kann jetzt bei der Erzeugung der Video-Einzelbilder ermittelt werden.

• Wenn Sie mehrere Videodateien auswählen, deren Spieldauer in der Metadaten-Spalte bekannt ist, wird die Gesamtdauer berechnet und unterhalb des Verzeichnis-Browsers angezeigt. Dies gibt Ihnen und anderen (bspw. Anwälten) einen besseren Einblick in die Menge an Videodaten, um z. B. einzuschätzen, wie vollständig die Abdeckung einer Videoüberwachung ist oder um die Menge an illegalem Videomaterial in einer sinnvolleren Bemessungsgrundlage zu beurteilen als nach Mega-, Giga- oder Terabytes, gerade auch aus Laiensicht.

• Aktualisierte Unterstützung für PNG-, TIFF- und WEBP-Bilder in der internen Bildanzeigebibliothek.

• Mehr Bilder können jetzt als der Geräteklasse (device class) "No device" zugehörig identifiziert werden, welche als nicht von optischen Geräten wie Kameras oder Scannern, sondern ausschließlich von Software erzeugt wurden.

• Der "Propensity"-Punktwert in der zusammenfassenden Sachverhaltstabelle im Detailsmodus von Bilddateien bestimmter Typen wurde ersetzt durch die Einführung eines Prozentwertes für die Konfidenz bezüglich der Geräteklasse.

• Die neue Angabe zur Mediengestaltung (media design) in der Sachverhaltstabelle soll dabei helfen, das Seitenverhältnis (aspect ratio) eines Bildes besser einordnen zu können. Das Seitenverhältnis erscheint in dem Feld "Bildgröße" (picture size). Es gibt etwa 128 Seitenverhältnisse, die sich statistisch als Signal vom Hintergrund abheben. Alle anderen Seitenverhältnise werden mit der Angabe Random gekennzeichnet. Besonders häufig vorkommende Seitenverhältnisse wie z. B. 4:3, die von Kamerasensoren verwendet werden, sind mit der Angabe Native (ungestaltet) gekennzeichnet. Die Gruppe der als Framed (gestaltet) gekennzeichneten Mediengestaltungen wird noch weiter differenziert in Framed, Square, Scaled, Social media und Featured. Featured bezieht sich auf einen von Google initierten Standard namens "Open Graph", mit dem Bilder markiert werden, die die Webseite insgesamt repräsentieren sollen. Man kann die Angabe zur Mediengestaltung vor allem für eine Stimmigkeitsprüfung benutzen. So sollte ein Bild mit dem Bearbeitungszustand "original" eigentlich immer das Mediendesign Native besitzen. Bei einem bearbeitetem Bild würde man das Mediendesign Framed erwarten, wohingegen Featured oder Social media mit dem Bearbeitungszustand "disseminated" korreliert. Wenn ein Bild überhaupt keine Anhaltpunkte besitzt, kann man die erkannte Mediengestaltung immerhin noch für eine grobe Einordnung benutzen.

• Selbstextrahierende Archive in Form von Windows PE .exe-Dateien (sofern als Typ "sfx" identifiziert) werden jetzt, analog zu Zip, RAR und 7z, wie allgemeine ("General purpose") Archive behandelt, und ihre verschiedenen Sektionen werden angezeigt, wie auch eventuelle Zertifikate, falls signiert. Die PE-Sektion, deren Daten als eingebettetes Zip- oder RAR-Archiv interpretiert werden können, wird dann üblicherweise identifiziert und entsprechend verarbeitet.

• Überarbeitete Aufbereitung von .evtx-Event-Log-Dateien. Einige Fehler wurden behoben. Vollständigere Abdeckung von Datentypen und Ausgabe des Namensattributs.

• "Eingebettete Daten in diversen Dateitypen suchen" gibt jetzt alle in BPListen gefundenen Zeitstempel als eigenständigen Ereignistyp aus.

Dateisystem-Unterstützung

• Unterstützung in NTFS für resident gespeicherte WofCompressed-Dateien.

• Unterstützung für benannte, erweiterte Attribute in Ext4-Dateisystemen.

• Verbesserte Behandlung bestimmter beschädigter Cluster-Ketten in FAT-Dateisystemen.

• Wenn man zu Beginn einer Minimalsicherung von einer bereits geöffneten Partition einen neuen Datei-Überblick einlesen lässt, werden jetzt automatisch auch ein paar Sektoren vom Anfang der Partition mit übernommen, um die Identifizierung der gängigsten Dateisysteme in der Zielsicherung zu ermöglichen. Beachten Sie, dass es kein Muss ist, beim Befüllen einer Minimalsicherung überhaupt einen Datei-Überblick zu erstellen und dadurch alle essentiellen Dateisystem-Datenstrukturen in die Sicherung zu befördern. Das könnte leicht Hunderttausende oder Millionen Namen von Dateien und Verzeichnissen beinhalten, was für Ihre Zwecke notwendig und angemessen sein kann oder auch nicht. Wenn Sie z. B. bloß die Inhalte und einige Metadaten bestimmter Dateien in einem NTFS-Dateisystem benötigen, können Sie gezielt die FILE-Records und Inhalte dieser Dateien übertragen lassen, ohne die gesamte $MFT, und dank der Einbindung von Sektor 0 (dem Bootsektor) wird X-Ways Forensics später wissen, was das Dateisystem und die Clustergröße war und wird die FILE-Records mit einer besonders intensiven Dateisystem-Datenstruktursuche in der Minimalsicherung finden können (schnell dank Sparse-Speicherung) und wird die Speicherorte und Namen und Zeitstempel usw. dieser Dateien im Dateisystem ermitteln können.

• Eine kleine Anzahl von Sektoren werden jetzt nicht mehr indirekt in Minimalsicherungen übernommen, wenn sie nur für interne Zwecke (z. B. um Schlupfbereiche zu identifizieren und hervorzuheben) gelesen wurden.

• Datei-Inhalte mit sog. residenter Speicherung in $MFT in NTFS können optional aus einer Minimalsicherung getilgt (mit binären Nullen überschrieben) werden, wenn die $MFT-Datei beim Einlesen des Datei-Überblicks in eine Minimalsicherung übertragen wird. Die Wahl dieser Option liegt evtl. nahe, weil „normale“ (größere, nicht resident gespeicherte) Dateien natürlich auch nicht einfach so unbeabsichtigt in eine Minimalsicherung aufgenommen werden. Allerdings erfordert dies ein nachträgliches Redigieren der Daten innerhalb bestimmten Sektoren, was die berechneten Hash-Werte von in einem Rutsch übertragenen Sektor-Bereichen für die Sicherung ungültig bzw. nicht mehr nachvollziehbar macht. Als Kompromiss wird, wenn die Berechnung eines Hash-Werts aktiv ist, ein zweiter Hash-Wert erzeugt für die redigierten Sektoren, und ebenfalls in die .log-Datei aufgenommen, und dieser zweite Hash-Wert ist derjenige, den X-Ways Forensics zum Vergleich heranzieht, wenn Sie die Integrität einer Minimalsicherung überprüfen lassen. Residente Hauptdaten einer Datei und residente alternative Datenströme, die sich denselben FILE-Record als Speicherort teilen, erfahren die gleiche Behandlung.

• Das Hinzufügen gewählter Dateien zu einer Minimalsicherung kopiert diese Dateien jetzt normalerweise ohne Schlupfbereiche, d. h. die Sektorzugriffe beschränken sich auf die logische Dateigröße.

• Nachdem von einem Quell-Volume einer Minimalsicherung ein neuer Datei-Überblick erzeugt wurde, der alle relevanten Dateisystem-Datenstrukturen zur Identifikation aller Dateiinhalte enthält, wird jetzt automatisch angeboten, die Minimalsicherung in den Wartezustand zu versetzen, damit zukünftige wahllose Lesezugriffe keine weitere automatische Sicherung verursachen, was es Ihnen ermöglicht, danach beliebig mit Daten zu interagieren, im Verzeichnis-Browser zu navigieren, etc. Über den entsprechenden Befehl im Kontextmenü des Verzeichnis-Browsers können weiterhin jederzeit die Inhalte gewählter Dateien explizit in die Minimalsicherung kopiert werden.

BitLocker-Unterstützung

• Falls ein passender Startup-Key für ein BitLocker-Volume in einer .BEK-Datei im Fallverzeichnis gefunden wurde, wird dies im Nachrichtenfenster gemeldet und die entsprechende Datei benannt und angegeben, wo sie gefunden wurde.

• BitLocker-Partitionen, die X-Ways Forensics entschlüsseln kann, prüft es automatisch auch auf nicht verschlüsselte Bereiche. Solche Bereiche können vorhanden sein, wenn nur in Benutzung befindlicher Speicher verschlüsselt und neu geschrieben wurde, als BitLocker aktiviert wurde, z. B. um Zeit zu sparen oder weil die damit verbundenen Sicherheitseinbußen nicht verstanden wurden. Wenn diese Situation erkannt wird, empfiehlt X-Ways Forensics, Ihre Analysen auch im nicht entschlüsselten Zustand der Partition laufen zu lassen, so dass der BitLocker-Algorithmus zur Entschlüsselung also umgangen wird. Es könnte beispielsweise empfehlenswert sein, Suchbegriffe nicht nur in den Dateiinhalten des entschlüsselten Volumes, sondern zusätzlich auch in den nicht entschlüsselten Sektoren suchen zu lassen.

• Für Asservate, die BitLocker-Volumes sind, die X-Ways Forensics entschlüsseln kann, gibt es jetzt einen neuen Kontextmenü-Befehl. Dieser ermöglicht, ein solches Volume zu öffnen, ohne die Daten in den Sektoren zu entschlüsseln, um die Daten tatsächlich so zu sehen, wie sie wirklich gespeichert sind. Sie könnten in diesem Zustand auch physische Suchen veranlassen, oder Dateien aus Sektoren ausgliedern, sowohl automatisch als auch manuell. Nicht verfügbar in X-Ways Investigator.

• Die Datei-Header-Signatur-Suche kann zusätzlich und automatisch einen zweiten Durchlauf starten, direkt so auf den Daten, wie sie in einer von BitLocker geschützten Partition gespeichert sind. Entweder nur, wenn die Präsenz unverschlüsselter Bereiche von X-Ways Forensics selbst erkannt wurde (evtl. bloß Sekunden zuvor, während des normalen ersten Durchlaufs der Datei-Header-Signatur-Suche selbst!) oder, wenn voll gewählt, in einfach jeder BitLocker-Partition, die in ihrer entschlüsselten Form nach Datei-Header-Signaturen durchsucht wird, zusätzlich im Anschluss.

• X-Ways Forensics merkt es sich für jede einzelne Datei, ob sie während einer inaktiven BitLocker-Entschlüsselung aus Sektoren ausgegliedert wurde (ob automatisch oder manuell!) oder nicht, so dass sie später korrekt gelesen werden kann, auch wenn die BitLocker-Entschlüsselung generell gerade aktiv ist. Die Beschreibungsspalte identifiziert solche Dateien. Wenn Sie mit einer entschlüsselten BitLocker-Partition arbeiten, zeigt das Hin- und Herwechseln zwischen den Modi Volume/Partition und Datei für solche Dateien offensichtliche Differenzen zwischen den Daten, die in den erstgenannten Modi durch den Entschlüsselungsalgorithmus geschickt werden (zu Unrecht, weil sie ja nicht verschlüsselt worden waren) und im Datei-Modus nicht.

Performanz und Stabilität

• Deutlich beschleunigtes Laden sehr großer Passwords.txt-Dateien.

• Die Passwort-Sammlung in Passwords.txt kann jetzt zum versuchten Öffnen von BitLocker-Volumes in mehreren Threads verwendet werden, für deutlich bessere Performanz.

• Die interne Bildanzeigebibliothek wurde grundlegend überarbeitet.

• Verschwendet keine Zeit mit unnötigen Dateisystemzugriffen oder dem Öffnen komprimierter Dateien, wenn ausgewählte Dateien in ein neues Hash-Set aufgenommen werden sollen und deren Hash-Werte direkt aus dem Datei-Überblick übernommen werden können.

Benutzeroberfläche

• Die bereits in früheren Versionen verfügbare Option, Vermerke auf die nächste übergeordnete Datei zuzuweisen, hat jetzt einen (englischsprachigen) Tooltip, der auf die Funktionalität dieser Option hinweist: Es wird das nächste übergeordnete Objekt, das kein Verzeichnis ist, mit dem Vermerk ausgestattet. Verzeichnisse werden übergangen und in der Pfadhierarchie wird aufwärts gesucht, bis eine Datei gefunden wird. Gibt es in der Hierarchie eine solche Datei nicht, wird auch kein Vermerk vergeben.

• Eine neue, verwandte Option wurde eingeführt, die die sog. ultimative Datei betrifft. Dies ist diejenige Datei, die in der übergeordneten Pfadhierarchie an der höchsten Stelle steht, also die allumfassendeste, übergeordnete Datei, die das aktuell gewählte Objekt enthält. Übergeordnete Verzeichnisse (in Datei- oder E-Mail-Archiven) können optional übersprungen werden. Falls nicht, gilt die letzte übergeordnete Datei vor dem ersten übergeordneten Verzeichnis als die ultimative Datei. Sollte keine übergeordnete Datei in der Hierarchie gefunden werden, wird das ausgewählte Objekt selbst mit dem Vermerk ausgestattet, sofern es eine Datei ist.

• Eine weitere neue Option erlaubt das Zuweisen eines Vermerks auf alle übergeordneten Dateien, in einer Reihe, die von Verzeichnissen unterbrochen sein darf, oder auch nicht. Sie könnten dann beispielsweise später noch mit Hilfe des Typfilters entscheiden, welche davon Sie tatsächlich benötigen (z.B. E-Mails).

• Eine neue Option ermöglicht die Zuweisung eines Vermerks zum direkten Elternobjekt einer gewählten Datei, egal, ob es sich dabei um eine Datei oder ein Verzeichnis handelt.

• Das Dialogfenster für die Verwaltung der Vermerke wurde generell leicht überarbeitet.

• Falls eine Datei für die Übernahme in den Fallbericht vorgesehen ist, weil sie einen Vermerk hat, der selbst wiederum als in den Fallbericht aufnehmbar gekennzeichnet ist, wird diese Datei jetzt mit einem speziellen Symbol in ihrer Namenszelle gekennzeichnet, wo auch ein gelbes Notizsymbol erscheint, wenn eine Datei einen Kommentar besitzt. Das Bericht-Symbol wird verblasst dargestellt, falls der Vermerk derzeit nicht für die Ausgabe in den Bericht ausgewählt ist.

• Ausgeblendete Unterobjekte beim Drucken ebenfalls auszulassen ist jetzt optional.

• Einige Symbole in der Benutzeroberfläche wurden überarbeitet, für die parallele Suche, das Kopieren extrahierten Texts, Minimalsicherungen und den Aufruf externer Programme.

Suchtreffer- und Ereignislisten

• Der Filter für Suchtreffer erlaubt jetzt, genauer zu definieren, wo im Kontext eines Suchtreffers ein weiterer Suchbegriff erscheinen muss; wahlweise nur links oder nur rechts vom eigentlichen Suchtreffer, oder beides. Außerdem kann ein zusätzlicher Suchbegriff im Suchtreffer selbst verlangt werden. Dies kann nützlich sein, wenn die Daten des Suchtreffers variabel sind, weil kein fixer Suchbegriff, sondern ein regulärer Ausdruck verwendet wurde (z. B. für beliebige E-Mail-Adressen), oder weil Sie den Offset des Suchtreffers nach links oder rechts verschoben haben, um auch zugehörige Daten mit abzudecken, die mit exportiert werden sollen, etc.

• Sowohl für Suchtreffer als auch für Ereignisse gibt es jetzt zwei getrennte Menübefehle um Einträge in den Bericht zu übernehmen, oder diese wieder zu entfernen. (Für Suchtreffer gab es hierfür bislang einen einzelnen Menübefehl, der zwischen diesen beiden Zuständen gewechselt hat.)

• Ausgewählte Ereignisse aus allen gewählten Asservaten können jetzt im Fallbericht ausgegeben werden, gegen Ende, in der Reihenfolge, wie sie zuletzt in einer Ereignisliste verwendet wurde, z. B. in chronologischer Reihenfolge nach Zeitstempel sortiert. (Nicht in X-Ways Investigator.)

• Die Beschreibung einzelner Ereignisse kann jetzt geändert oder nachträglich benutzerseitig definiert werden, über das Kontextmenü. (Ereignisbeschreibungen sind derzeit auf 255 Bytes in UTF-8 beschränkt.).

Verschiedenes

• Fortschrittsbenachrichtigungen können jetzt optional in Unterverzeichnisse ausgegeben werden, die nach der Maschine benannt sind, auf denen die aktuelle Sitzung von X-Ways Forensics läuft, die diese Benachrichtigungen erzeugt.

• ASCII-Ersatzmuster für nicht lesbare Sektoren auf fehlerhaften Datenträgern, bereinigte Sektoren in bereinigten Sicherungen, etc. werden jetzt mit einer vorangestellten UTF-8-Signatur geschrieben, damit die neueste Version der Viewer-Komponente diese Muster beim Einsehen oder in der Vorschau der betroffenen Dateien lesbar darstellt, sofern die Dateien nur aus solchem Text (mit phasenweise Nullbytes dazwischen) bestehen.

• X-Tension API: Das Flag XT_PREPARE_TARGETFILESWITHUNKNOWNDATA erzwingt jetzt Aufrufe an XT_ProcessItem() und XT_ProcessItemEx() für Dateien mit nicht unterstützter Verschlüsselung oder Kompression.

• Dateien in bestimmten beschädigten/unvollständigen Archiven können jetzt mit einer Größe von 0 Bytes geöffnet werden, statt bisher gar nicht. Dies bedeutet auch, dass die X-Tension API Funktion XT_ProcessItemEx() für diese Dateien Aufrufe mit (nutzlosen) Handles bekommen kann.

• Die am 2. Nov. 2025 zuletzt mit Updates aktualisierte Version der Viewer-Komponente steht auf unserem Server zum Download zur Verfügung.

• Die NSRL RDS Hash-Sets, in einem Format zum direkten Import in X-Ways Forensics, wurden auf die Version 2025.12.1 aktualisiert und stehen zum Download aus dem Resourcen-Verzeichnis, sowohl als MD5- als auch als SHA-1-Variante, zur Verfügung.

• Die Programmhilfe und das Benutzerhandbuch wurden aktualisiert.

• Viele kleinere Verbesserungen.

Änderungen der Service-Releases von 21.6:

• SR-1: Fähigkeit, eine seltene JPEG-Variante anzuzeigen.

• SR-1: Die Unfähigkeit des ursprünglichen v21.6 Release, den gleichen Fall mit dem gleichen Nutzerkonto im arbeitsteiligen Modus zu mehr als einmal zu öffnen (beim zweiten Mal als das Alter Ego) wurde behoben.

• SR-1: Die ausschließliche Verwendung von AND-Kombinationen erkannter Bildinhalte in der Bildinhaltsanalyse für die Kategorisierung als verdächtig hat nicht funktioniert, da diese Kombinationen verloren gingen. Dies wurde behoben.

• SR-2: Eine in bestimmten Situationen beim Programmstart erscheinende, unnötige Fehlermeldung bezüglich der Erzeugung einer temporären Datei wurde vermieden.

• SR-2: Das Statistikfenster für die Datendichte bzw. Kompression ist jetzt mit höherer Wahrscheinlichkeit auch auf Monitoren mit einer niedrigeren Bildauflösung im sichtbaren Fensterbereich.

• SR-2: Ein Ausnahmefehler wurde behoben, der bei der gleichzeitigen Berechnung von ed2k und einem beliebigen, weiteren Hash-Wert aufgetreten ist (auch in v21.5 SR-10)

• SR-2: Die automatische Dekrementierung der verbliebenen Programmstarts bei versicherten Dongles nach einem automatischen Programmneustart wurde behoben. (auch in v21.5 SR-10)

• SR-2: Die Gerätetyp-abhängige Anwendung von OCR wurde in bestimmten Situationen korrigiert. (auch in v21.5 SR-10)

• SR-3: Einfache Prüfsummen, byteweise mit einem Multi-Byte-Accumulator berechnet werden, werden jetzt wieder in umgekehrter Hex-ASCII-Byte-Anordnung dargestellt, wie in v21.4 und früher.

• SR-3: Ein Ausnahmefehler wurde behoben, der in v21.6 beim Erzeugen eines neuen Datei-Containers auftreten konnte.

• SR-3: Funktioniert mit mehr Tesseract-Versionen.

• SR-3: Zu einer übergeordneten Datei per Doppelklick auf den Eintrag .. kann jetzt nicht mehr zu einem unerwünschten Einsehen der Datei führen.

• SR-3: Unterstützung für die Prefetch Dateien aus Windows 11 24H2.

• SR-3: Ein Fehler im Rückgängig-Befehl in v21.6 wurde behoben.

• SR-3: Die Zeichenangleichung hat für die Indexierung in v21.6 nicht funktioniert. Dies wurde behoben.

• SR-4: Die Dekompression bestimmter, nicht-residenter Dateien die WofCompressed gespeichert sind, wurde korrigiert.

• SR-4: Unterstützung längerer Pfade und Dateinamen in der Funktion zur Fortschrittsbenachrichtigung.

• SR-4: Ein Fehler in der nicht-alternativen Methode zur Extraktion von TAR-Archiven in v21.4 und später wurde behoben, der bei bestimmten TAR-Archiven auftreten konnte, die verschachtelte Archive enthalten.

• SR-4: Ein Fehler wurde behoben, der dazu geführt hat, dass bestimmte E-Mails aus MBOX-Archiven mit einer Größe von 4 GB extrahiert wurden.

• SR-4: Eine beim Einsatz mehrerer Threads evtl. mögliche Trennung des Präfix [XT] von der eigentlichen Meldung, die von einer X-Tension ausgegeben wurde, im Nachrichtenfenster wurde verhindert.

• SR-5: Ein mögliches Stabilitätsproblem bei der massenhaften Bildverarbeitung wurde behoben.

• SR-6: SHA-512 war als Hash-Verfahren für die Datenträgersicherung nicht verwendbar. Dies wurde behoben.

• SR-6: Eine etwas genauere Darstellung des Existenz-Status gelöschter Dateien und Verzeichnisse in exFAT, deren erster Cluster unbekannt ist.

• SR-6: Die Darstellung einzelner, seltener $I-Recyle-Bin-Dateien mit der v8.5.7 der Viewer-Komponente wurde korrigiert.

• SR-6: Die Erkennung von BitLocker-to-go FAT16-Dateisystemen wurde korrigiert.

• SR-6: X-Tension API: Die Flags XT_PREPARE_DONTOMIT und XT_PREPARE_TARGETFILESWITHUNKNOWNDATA, wenn kombiniert, setzen sich jetzt über die Option in der Nutzeroberfläche hinweg, Dateien auszulassen, deren erster Cluster nicht verfügbar ist.

Werden Sie zertifizierter Benutzer von X-Ways Forensics
Werden Sie X-PERTe. (X-Ways Professional in Evidence Recovery Techniques)

Beweisen Sie Ihre Fähigkeiten in der Computerforensik im Allgemeinen und mit X-Ways Forensics im Speziellen mit unserem Zertifizierungsprogramm. Nach dem Bestehen der herausfordernden Prüfung werden Sie Teil einer exklusiven Gruppe und genießen neben der entsprechenden Anerkennung auch weitere einhergehende Vorteile, wie Schulungsrabatte oder Zugang zum aktualisierten Schulungsmaterial. Weitere Informationen zu unserer Zertifizierung finden Sie hier.

Wir hoffen, Sie bald wieder auf https://www.x-ways.net zu sehen, oder bei Facebook oder Twitter. Bitte leiten Sie diesen Newsletter an andere Interessenten weiter. Anmelden kann man sich (z. B. noch mit weiteren E-Mail-Adressen) u. a. hier. Vielen Dank.

Freundliche Grüße

Stefan Fleischmann

--
X-Ways Software Technology AG
Carl-Diem-Str. 32
32257 Bünde