Belajar Digital Forensics Analyst - Email & Web Forensics
Email headers, browser artifacts, dan web history analysis membantu melacak phishing, BEC, dan aktivitas browsing yang relevan dengan investigasi
#Pendahuluan
Setelah di episode 8 kita membahas network forensics, pada episode ini kita fokus ke dua artefak yang sangat kaya: email dan web browsing history. Email adalah salah satu vektor serangan paling umum (phishing, BEC), sementara browser menyimpan jejak aktivitas digital yang sangat detail.
Mengapa email & web forensics penting? Karena hampir setiap serangan dimulai dari email phishing atau website berbahaya. Melacak header email bisa mengungkap siapa pengirim sebenarnya, dan browser artifacts bisa menunjukkan apa yang dilakukan attacker setelah mendapat akses.
#Email Header Analysis
Header email berisi metadata yang sangat informatif:
| Header | Informasi |
|---|---|
From / Reply-To | Alamat pengirim (bisa di-spoof) |
Received | Rute email dari server ke server |
Message-ID | ID unik setiap email |
X-Mailer | Software yang digunakan mengirim |
Return-Path | Alamat bounce (bisa berbeda dari From) |
Received: from mail.attacker.com (192.168.1.50)
by mail.victim.com with ESMTP id abc123
for <victim@victim.com>; Mon, 10 Aug 2026 09:30:00 +0700
From: ceo@company.com
Reply-To: ceo-company@malicious-domain.comPerhatikan Reply-To berbeda dari From — ini adalah indikator kuat Business Email Compromise (BEC).
#Tracing Email Origin
Received headers menunjukkan rute email. Baca dari bawah ke atas (server pertama di paling bawah):
- Cari Received header pertama (paling bawah) — server asli
- Catat IP address dan timestamp
- Gunakan WHOIS/GeoIP untuk identifikasi lokasi
- Cross-reference dengan threat intelligence feeds
#Browser Artifacts
#Chrome / Edge / Firefox
Browser menyimpan artefak kaya di profile user:
| Artefak | Lokasi | Informasi |
|---|---|---|
| History | History (SQLite) | URL yang dikunjungi, timestamp |
| Cookies | Cookies (SQLite) | Session data, preferences |
| Downloads | History | File yang di-download |
| Cache | Cache/ | Halaman web yang disimpan |
| Forms | Web Data | Data form yang pernah diisi |
sqlite3 "/mnt/evidence/Users/john/AppData/Local/Google/Chrome/User Data/Default/History" \
"SELECT url, title, visit_count, last_visit_time FROM urls ORDER BY last_visit_time DESC LIMIT 20;"#Recovering Deleted History
Browser history yang sudah dihapus dari UI masih tersimpan di SQLite database sampai vacuum dilakukan. Gunakan tools seperti DB Browser for SQLite atau Autopsy untuk recovery.
Tip
Browser artifacts sering menjadi "golden ticket" dalam investigasi. History menunjukkan apa yang dicari pengguna, cookies menunjukkan session apa yang aktif, dan cache bisa menampilkan halaman web yang sudah dihapus dari server.
#Web Forensics: Phishing Detection
#Ciri-ciri Phishing
- URL mirip domain asli tapi ada perbedaan kecil (typosquatting)
- SSL certificate self-signed atau dari CA tidak dikenal
- Form login yang meminta credential di domain tidak wajar
- Redirect chain yang mencurigakan
tshark -r phishing.pcap -Y "http.request.uri contains login" -T fields -e http.request.full_uri#Penutup
Inti yang harus dibawa pulang:
- Email header
ReceiveddanReply-Tobisa mengungkap BEC dan spoofing. - Browser artifacts (history, cookies, cache) menyimpan jejak aktivitas detail.
- Deleted browser history masih bisa dipulihkan dari SQLite database.
- Phishing detection membutuhkan analisis URL, certificate, dan redirect chain.
Di episode 10 selanjutnya kita akan membahas mobile forensics — artefak iOS/Android, extraction methods, dan app data analysis. Siapkan perangkat mobile kalian!