Decaf behindert Microsofts Polizei-Tool COFEE

Unbekannte haben mit Decaf ein kleines Programm veröffentlicht, das Microsofts Forensik-Software Computer Online Forensic Evidence Extractor (COFEE) die Arbeit deutlich erschweren soll.

COFEE dient vor allem dazu, Beweise zu sichern, die während des Betriebs eines Computers anfallen und möglicherweise verloren gehen, wenn das jeweilige System abgeschaltet wird. Unter anderem lassen sich damit auch passwortgeschützte und verschlüsselte Daten sichern. Es läuft automatisch von einem USB-Stick.


Decaf will erkennen, ob ein COFEE-Stick angeschlossen wurde und ergreift dann Gegenmaßnahmen. So wird der USB-Stick automatisch wieder ausgeworfen und zuvor festgelegte Prozesse werden beendet. Bei Bedarf löscht Decaf auch Log-Dateien, die Browser-History, Cookies, den Cache und ganze Verzeichnisse. BitTorrent-Clients soll es automatisch deinstallieren können.

Um Decaf nutzen zu können, wird das Microsoft-Tool devcon.exe benötigt, das nicht standardmäßig installiert ist. Die Decaf-Entwickler haben angegeben, dass sie Ermittlungsbehörden zeigen wollen, dass man sich nicht ausschließlich auf das Polizei-Tool von Microsoft verlassen sollte. Im November war COFEE ins Internet gelangt und kann bis heute auf einigen Websites heruntergeladen werden.