FTK Imager Logical Evidence (AD1)
| Format | FTK Imager Logical Evidence (AD1) |
|---|---|
| Kurzname | AD1 |
| Kategorie | logisches Image |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (LogicalEvidenceVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Custom Content Image von AccessData (heute Exterro): ein logisches Image ausgewählter Dateien und Ordner, kein Datenträger. Keine Partitionstabelle, kein Dateisystem, kein Unallocated-Bereich, gelöschte Daten sind also nur enthalten, wenn sie als Datei ausgewählt wurden. Jedes Segment (.ad1, .ad2, .ad3 …) beginnt mit 'ADSEGMENTEDFILE', das erste Segment trägt den Header des logischen Images 'ADLOGICALIMAGE'. Speichert den Dateibaum mit Namen, Zeitstempeln, Attributen und Hashes pro Datei, der Dateiinhalt liegt komprimiert in Chunks. Kann mit AD Encryption geschützt sein (Passwort oder Zertifikat). Ein verschlüsseltes Image beginnt stattdessen mit 'ADCRYPT'. Verbreitet bei gezielten und Triage-Sicherungen sowie bei Beweismitteln, die von Dritten übergeben werden. Der Inhalt kann von jedem System stammen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 41 44 53 45 47 4D 45 4E 54 45 44 46 49 4C 45 00 | ADSEGMENTEDFILE. | AD1-Segmentsignatur 'ADSEGMENTEDFILE', in jeder Datei des Satzes |
| Offset 512 (0x200) | 41 44 4C 4F 47 49 43 41 4C 49 4D 41 47 45 | ADLOGICALIMAGE | Header des logischen Images, in der ersten Datei des Satzes |
| Offset 0 (0x0) | 41 44 43 52 59 50 54 | ADCRYPT | Verschlüsseltes AD1 (AD-Encryption-Header) |
Bekannte Dateiendungen
.ad1
Referenzen
- pcbje/pyad1 — notes and reader for the AD1 format (work in progress) https://github.com/pcbje/pyad1
- Dissect — dissect.evidence.ad1 (AD1 reader) https://docs.dissect.tools/en/latest/api/dissect/evidence/ad1/index.html
- PRONOM fmt/842 — AccessData Custom Content Image https://www.nationalarchives.gov.uk/PRONOM/fmt/842
- PRONOM fmt/843 — AccessData Custom Content Image (Encrypted) https://www.nationalarchives.gov.uk/PRONOM/fmt/843
Diesen Eintrag zitieren
Crush-Format-Referenz, „FTK Imager Logical Evidence (AD1)“. https://kalink0.github.io/crush-forensics/formats/de/ad1/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden