IT-forensik och informationssäkerhet på Utexpo

”Seger och prinsesstårta” – Cybersäkerhetslagen är här: en studie om kommuners systematiska arbete med informationssäkerhet och kontinuitetshantering i den digitala leveranskedjan

• Deltagare: Ludvig Almgren och Alicia Kornehed.
  

Den här studien fokuserar på hur kommuner systematiskt arbetar med informationssäkerhet i leverantörskedjan i relation till NIS2-direktivets intentioner, vilken mognadsnivå som de deltagande kommunerna uppvisar samt vilken roll kontinuitetshanteringen har vid leverantörsrelaterade störningar. Studien använde sig av en enkätundersökning med 86 respondenter och intervjuer med tio deltagare, där de tillsammans gav en kombinerad metodansats.

Resultatet i studien gav indikationer på att kravställning och leveransuppföljning stack ut i relation till varandra, vilket är i linje med tidigare undersökning som visade på ett kontinuerligt utvecklingsområde. Enkätundersökningens två områden sammanfattades och visar på spridning över mognadsnivåer i arbetet med informationssäkerhet i leveranskedjan och kontinuitetshantering. Vidare upplevdes kontinuitetsarbetet i flera fall vara bortprioriterat medan ett systematiskt kontinuitetsarbete möjliggör ett proaktivt, i stället för ett reaktivt, arbete.

Utifrån diskussionen drogs sedan slutsatserna att kommuner arbetar i viss mån i linje med NIS2, men att det var stora skillnader i upplevd systematik och mognad. De faktorerna som identifierades som problematiska var kompetens och resurser. Det var också avgörande att ha en god kontinuitetshantering för att kunna hantera leverantörsrelaterade störningar, men den var inte alltid fullt integrerad hos alla.

AI-röstkloning – är det en människa eller en maskin på andra sidan?

• Deltagare: Andreas Kårheim och Sebastian Mårtensson.
  

AI-baserad röstkloning har på kort tid blivit allt mer tillgänglig och verklighetstrogen. Tekniken kan användas för positiva syften, exempelvis inom tillgänglighet, media och digital kommunikation, men innebär även nya risker inom cybersäkerhet och så kallad social engineering.

I den här studien undersöktes hur verklighetstrogna olika AI-röstkloningsmodeller upplevdes ur ett mänskligt perspektiv. Deltagarna fick lyssna på parvisa ljudklipp, där ett var AI-genererat och ett var autentiskt. Därefter fick de identifiera vilket ljudklipp som var AI-genererat.

Arbetet innehåller även ett tekniskt experiment där AI-genererade röster testades mot ett simulerat biometriskt röstautentiseringssystem. Syftet är att undersöka hur AI-röstkloning upplevs av människor och om tekniken kan användas som hotvektor mot röstbaserad identifiering. Studien belyser därmed AI-röstkloningens potentiella säkerhetsrisker ur ett cybersäkerhetsperspektiv och behovet av motåtgärder.

Är du din arbetsplats största säkerhetsrisk?

• Deltagare: Amanda Komstadius och Caroline Lavesson.
  

Studien undersöker hur generativ AI används i arbetslivet, samt hur anställda uppfattar risker kopplade till generativ AI. Syftet med studien är att öka förståelsen för användarbeteenden och risker i samband med användning av generativ AI. Studien kombineras av en kvantitativ och en kvalitativ metod bestående av en enkätundersökning och semistrukturerade intervjuer.

Resultatet av studien visar att användningen av AI-verktyg ofta sker dagligen i arbetslivet, främst för problemlösning och textproduktion. Det förekommer också i viss utsträckning delning av arbetsrelaterad information i AI-verktyg, där interna dokument är en del av detta. Delning av arbetsrelaterad information kan innebära potentiella säkerhetsrisker.

Studiens resultat visar även att anställda kan känna en osäkerhet kring hur AI-verktyg hanterar information och vad som är lämpligt att dela. Förekomsten av riktlinjer relaterade till AI-användning skiljer sig hos arbetsgivare och riktlinjer följs inte alltid i praktiken. Anställda förlitar sig ofta på sitt eget omdöme kring AI-användning.

Studiens slutsats är att risker kopplade till generativa AI-verktyg ofta uppstår av användarbeteenden. Detta visar att det finns ett behov av ökad kunskap och tydligare riktlinjer för anställda kopplat till AI-användning. Organisationer har ett behov av att fokusera mer på anställdas beteende kopplat till AI-användning.

Artificial Investigators

• Deltagare: Oskar Carlsson och Axel Lieback.
  

Den här studien undersöker kapaciteten hos LLM-prompt-tekniker (Large Language Models) för att extrahera och analysera loggdata från tre distinkta datamängder. Tre vanliga LLM:er med öppen källkod (GPT-oss:20b, Mistral-7b och Gemma3:4b) användes och totalt nio unika prompter skapades för studien. Genom att skapa specifika prompter och kombinera flera tekniker analyserades LLM:s utdata av två annotatörer som poängsatte LLM:ns utdata baserat på transparens och hur väl informativ utdata kunde tillhandahållas.
Med tanke på den osäkerhet som resultaten visar kring användningen av LLM:er som direkt ersättning i den forensiska processen, bör vidareutveckling och specificerade LLM:er övervägas för det specifika användningsfallet. LLM:er bör i stället betraktas som ett stödjande verktyg för en utredare för att förhindra att LLM-hallucinationer används som faktiska bevis, vilket potentiellt kan skada utredningsprocessen.

Country-Level Attribution Using Native Language Identification on GitHub Commit Messages

• Participants: Kevin Phan och Ture Widström.
  

Native Language Identification (NLI) is a method of inferring a person’s country of origin based on how they write English. This has potential in digital forensics and attribution, as threat actors frequently hide their traces using VPNs and proxies, making linguistic evidence a valuable supplement to other methods. NLI has previously been tested on essays and social media, but its application in digital forensics, and specifically in technical text, remains limited. This study evaluates NLI on Git commit messages, which are short technical texts written by developers when making code changes, used here as a broadly representative example of short technical text in software development environments. A BERT (Bidirectional Encoder Representations from Transformers) model was fine-tuned for classification on a dataset of real GitHub users with publicly available location information from ten countries. Results confirm that linguistic patterns exist even in short, formulaic commit messages, though accuracy is lower than in other domains. A different method or model is likely needed for NLI to become a viable attribution tool in this domain, and future research should investigate domain-specific models and other types of technical text.

Den mänskliga faktorn i phishing – när kunskap inte gör skillnad

• Deltagare: Filip Remius och Sofija Kostic.
  

Phishing är ett av de vanligaste cyberhoten i dag och utnyttjar mänskligt beteende snarare än tekniska sårbarheter. Trots ökad medvetenhet fortsätter attackerna att vara effektiva, vilket väcker frågan: spelar kunskap egentligen någon roll? I den här studien undersöktes hur psykologiska manipulationsteknikerna auktoritet, brådska och rädsla påverkar förmågan att korrekt identifiera phishing-mejl, samt om självskattad informationssäkerhetskunskap gör någon skillnad.

Totalt 61 deltagare bedömde sex simulerade mejl i en experimentell enkätstudie. Data analyserades med korrelationsanalys och logistisk regression. Resultaten visade att högre upplevd brådska och auktoritet faktiskt var associerade med ökad sannolikhet att identifiera mejlen korrekt – ett resultat som går emot tidigare forskning. Självskattad kunskap visade inget signifikant samband med identifieringsförmågan. Slutsatsen är att tydliga manipulationstekniker kan fungera som varningssignaler snarare än fällor, och att generell kunskapsnivå inte förklarar förmågan att genomskåda phishing.

Det dolda digitala minnet

• Deltagare: Linnéa Eklöf och Sandra Svenningsen.
  

Projektet undersöker hur kryptering påverkar möjligheten att identifiera forensiska artefakter på mobila enheter. Genom kontrollerade experiment och forensisk analys av både iOS- och Android-enheter studeras vilka digitala spår som kan uppstå vid vardaglig användning. Fokus ligger på artefakter kopplade till systemdata, kommunikation, applikationer och användaraktivitet. Studien syftar även till att analysera skillnader mellan plattformarna samt belysa vilken betydelse dessa artefakter kan ha i ett forensiskt och brottsutredande sammanhang.

Det tysta vittnet: en loggbok ingen ser

• Deltagare: Felix Jondelius och Adrian Ståhlberg.
  

Trådlösa tekniker som wifi och Bluetooth Low Energy (BLE) sänder ständigt ut metadata som kan observeras passivt, men idag saknas system som loggar informationen på ett forensiskt säkert sätt. I säkerhetskritiska miljöer (t.ex. serverrum) kan det vara avgörande att i efterhand kunna se vilka enheter som befunnit sig i närheten av en incident.
I det här projektet har vi utvecklat en prototyp av ett, som vi valt att kalla, Intrusion Logging System (ILS) – ett helt offline och air-gapped system byggt på en Raspberry Pi 5 med extern wifi-antenn. Systemet lyssnar passivt av trådlös aktivitet och loggar metadata som MAC-adress, enhetstyp, signalstyrka, kanal och tidsstämpel utan att själv kommunicera med omgivningen.
För att uppfylla forensiska och juridiska krav krypteras all loggdata direkt vid generering med AES-256-GCM, export sker endast via vitlistade USB-minnen, SHA-256-hashning verifierar integritet och loggar raderas automatiskt efter 30 dagar i enlighet med GDPR.
Resultatet visar att ett ILS kan fungera som ett beviskomplement i IT-forensiska utredningar genom att tillhandahålla en oberoende och integritetsskyddad tidslinje över trådlös aktivitet – ett tyst vittne som dokumenterar det ingen annan ser.

Digitala spår i fickformat

• Deltagare: Matilda Berndtsson och Lejla Dzanic.
  

Mobiltelefoner har blivit en central del av människors vardag och innehåller stora mängder information. Det kan vara allt från meddelanden och bilder till platsdata och samtalsloggar. Det kan spela en viktig roll i brottsutredningar genom att bidra till att rekonstruera händelseförlopp och koppla individer till brott.

Den här studien syftar till att undersöka vilken funktion digitala artefakter i Android-mobiltelefoner fyller som digital bevisning i polisens brottsutredningar genom semistrukturerade intervjuer och dokumentanalys. Metoderna möjliggör för att fånga erfarenheter och resonemang hos IT-forensiker, åklagare och utredare samt att analysera domar där digitala artefakter haft en rättslig roll.

Resultaten visar att digitala artefakters funktion är dynamisk och varierar beroende på sammanhang. I utredningsarbetet beskrivs de ofta som centrala, medan de i domstol framträder som stödjande i relation till annan bevisning. Studien visar även att tekniska faktorer kan påverka möjligheten att få tillgång till data, vilket påverkar vilken bevisning som tas fram. Vidare framkommer att organisatoriska och kompetensrelaterade faktorer har stor betydelse för hur digitala artefakter hanteras. Sammantaget indikerar studien att det inte enbart är informationen som avgör dess värde, utan hur den tolkas och används i sitt sammanhang.

Falsk tillit i digitala miljöer: hur legitimitetssignaler påverkar användares riskbedömning av spoofade webbplatser

• Deltagare: Viktor Spoelstra och Jonatan Svensson.
  

Vår projekt undersöker hur människor bedömer om en webbplats känns legitim eller misstänkt online. Fokus ligger på så kallad website spoofing, där falska webbplatser utformas för att efterlikna legitima tjänster i syfte att skapa tillit hos användaren. Genom enkäter och intervjuer undersöker vi vilka legitimitetssignaler som påverkar människors riskbedömning, exempelvis design, webbadresser, språkval och säkerhetssymboler. Studien fokuserar även på skillnaden mellan upplevd säkerhet och faktisk förmåga att identifiera spoofade webbplatser. Målet är att bidra med ökad förståelse för hur falsk tillit kan uppstå i digitala miljöer och hur användare påverkas av visuella och tekniska signaler vid bedömning av webbplatser.

Forensic Analysis of IndexedDB Persistence Following PWA Uninstallation: An Experimental Study

• Deltagare: Emir Sahin och Matej Navratil.
  

Progressiva webbapplikationer (PWA:er) är webbaserade applikationer som använder moderna webbläsar-API:er för att tillhandahålla funktionalitet som liknar native appar, inklusive offlineåtkomst och lokal datalagring. Till skillnad från native applikationer lagrar PWA:er data i webbläsarhanterade mekanismer – främst IndexedDB, Service Worker Cache och Local Storage – snarare än OS-kontrollerade kataloger. I takt med att PWA:er blir allt vanligare representerar de en växande potentiell källa till digitala bevis i forensiska utredningar. Därför uppstår en central forensisk fråga: tar avinstallation av en PWA bort dess lokalt lagrade data på ett tillförlitligt sätt?

Ground Control to Major AI

• Participant: Noah Nyman.
  

This project investigates how operational documentation used in Security Operations Centers can be prepared to improve the reliability of assistance from an LLM when used as a knowledge base within a RAG-based system (Retrieval-Augmented Generation). While RAG systems are increasingly explored, operational playbooks are primarily written for human interpretation and not machine processing. This may negatively affect retrieval quality and increase the risk of hallucinations and unreliable recommendations.

To explore this, a prototype RAG-based assistant was developed and evaluated using two different knowledge base configurations – one using original documentation and one using systematically prepared documentation. The preparation process included introducing clearer document structure, explicit IF/THEN/ELSE logic, standardised terminology and clarification of implicit procedural assumptions.

The results shows improved grounding, fewer hallucinations, and better procedural correctness when the prepared documentation was used. Interviews with cybersecurity analysts further indicates improved accessibility and navigation during triage work.

Intelligent Cyberattack Analysis of Traditional Honeypots

• Participants: Holger Rosén and Daniel Blom.
  

’Intelligent Cyberattack Analysis of Traditional Honeypots’ explores how a fine-tuned AI model can be utilised with a dashboard to analyse logs from a Cowrie honeypot. By automatically evaluating attack severity, mapping attacks to the MITRE ATT&CK framework, and generating concise attack summaries, the project aims to streamline the incident response workflow. The goal is to provide a clear, actionable presentation of data that enables faster and more efficient triage for cybersecurity professionals.

När kameran ser allt – kameraövervakning och AI:s betydelse för bevisning i brottsutredningar

• Deltagare: Amanda Bernhardtz och Gabriella Bergfast.
  

I takt med att användning av AI blir alltmer vanligt i dagens samhälle börjar AI att implementeras även i kameraövervakningssystem, vilket förändrar hur inspelat material analyseras och värderas i brottsutredningar. Den här studien undersöker hur AI-baserad kameraövervakning påverkar tillförlitligheten och användningen av digitala bevis i Sverige, med fokus på tekniska, rättsliga och etiska aspekter.​
​
Studien kombinerar litteraturkartläggning om AI och digital bevisning med semistrukturerade intervjuer av poliser, jurister, advokater och säkerhetsaktörer för att få praktiska och yrkesrelaterade insikter.

Studien visar att AI-baserad kameraövervakning påverkar tillförlitligheten och värderingen av digital bevisning i svenska brottsutredningar. Tekniken har potential att förbättra effektiviteten inom brottsutredning, men dessa typer av system introducerar samtidigt nya risker som behöver noggrann hantering av individer med expertis. ​

Även om det finns bra aspekter med AI och att det kan förbättra flera delar av utredningsprocessen, är inställningen till tekniken fortfarande delvis skeptisk. Det kan bero på att AI inte ännu är tillräckligt etablerad och att respondenterna har begränsad erfarenhet. AI-baserad kameraövervakning kräver förbättringar för att stärka trovärdigheten, men användningen kommer sannolikt att öka och utvecklas ytterligare i framtiden.

När länkar bli fällor

• Deltagare: Amanda Henningsohn och Elin Lennartsson.
  

Den här studien undersöker hur användare bedömer sin egen förmåga att identifiera phishing-URL:er och hur väl denna självuppfattning överensstämmer med deras faktiska prestation. Phishing är i dag ett av de vanligaste cyberhoten och används för att lura användare att lämna ut känslig information genom falska länkar och e-postmeddelanden. I takt med utvecklingen av artificiell intelligens har phishingattacker blivit mer avancerade och svårare att upptäcka, vilket skapar nya utmaningar för både användare och tekniska säkerhetssystem.

Studien fokuserar särskilt på skillnader mellan traditionella phishingförsök och AI-genererade phishingmejl. Genom en kvantitativ enkätundersökning fick deltagarna först uppskatta sin egen förmåga att identifiera phishing. Därefter fick de bedöma flera olika mejlscenarion och avgöra om dessa var legitima eller phishing. Efter testet fick deltagarna återigen reflektera över sin egen förmåga för att undersöka om självuppfattningen förändrades efter exponering för konkreta exempel.

Utöver användarnas prestation genomfördes även ett experiment där Windows Defender testades mot både phishing- och legitima URL:er i en kontrollerad miljö. Syftet var att undersöka hur väl säkerhetssystemet identifierar och varnar för skadliga länkar.

Resultatet visar att sambandet mellan användarnas självuppfattning och faktiska prestation är svagt, samt att både människor och tekniska skyddssystem har begränsningar när det gäller att identifiera phishingattacker.

När säkerhet blir för trögt

• Deltagare: Wilma Winther och Michelle Lander.
  

Framtidens kvantdatorer har potential att bryta traditionella kryptografiska metoder som skapar utmaningar för säkerheten i IoT-enheter. Samtidigt är en stor del av IoT-systemen resursbegränsade och får det svårt om kraven på bättre prestanda och beräkningskraft ökar. Postkvantkryptografi blir därför ett mer aktuellt forskningsområde där säkerhet måste balanseras mot systemets begränsningar. Den här studien jämför klassiska och postkvantkryptografiska algoritmer i frågan om hur de påverkar systemprestandan utfört på en Raspberry Pi-enhet. Fyra algoritmer jämförs: RSA, ECDH, CRYSTALS-Kyber och NTRU utifrån nyckelgenerering och nyckelutbyte där exekveringstid och minnesanvändning mäts. Resultaten ger en mer nyanserad bild av postkvantkryptografi i IoT-miljöer. Tidigare forskning har tendens att generalisera resurskraven men genom resultaten som framkommer i den här studien har olika resurser olika stor påverkan. Framtida optimeringar kan därför behöva fokusera på att minska exekveringstiden snarare än minnesanvändningen. Samtidigt visar studien att övergången till postkvantmetoder innebär en avvägning mellan långsiktig säkerhet och systemprestanda, och under denna övergångsfas kan olika lösningar införas i olika sektorer.

När trygghet blir ett vapen – en kvalitativ studie av grooming i digitala miljöer

• Deltagare: Felicia Persson och Linnea Rosén.
  

Barns närvaro online aktualiserar i allt högre grad frågor om trygghet och skydd på nätet.
Studien syftar till att undersöka grooming i digitala miljöer ur ett barnrättsperspektiv. Genom dokumentanalys av juridiska ramverk samt semistrukturerade intervjuer med ECPAT, Mediemyndigheten och ISÖB (Internetrelaterade Sexuella Övergrepp mot barn), belyser studien samarbetet mellan svenska aktörer i arbetet mot digital grooming, vilka juridiska och förebyggande åtgärder som finns, samt utmaningar och utvecklingsbehov. Studien lyfter behovet av fortsatt samverkan och utveckling för att stärka barns skydd på digitala plattformar.

När verkligheten inte längre är pålitlig

• Deltagare: Saga Byström.
  

Deepfakes blir allt mer realistiska och används i dag inom allt från underhållning till desinformation och bedrägerier. I takt med att tekniken utvecklas blir det allt svårare att avgöra vad som är äkta och vad som är manipulerat.

Det här examensarbetet undersöker människors förmåga att identifiera deepfakes och analyserade vilka faktorer som påverkar förmågan. Studien fokuserade även på hur väl individer kunde bedöma sin egen prestation och om det fanns ett samband mellan faktisk och upplevd förmåga.

Resultaten visar att den genomsnittliga träffsäkerheten var låg, vilket indikerar att många har svårt att skilja mellan verkligt och manipulerat innehåll. Studien visar också att faktorer som ålder, utbildning om deepfakes och användning av sociala medier påverkar prestationen. Samtidigt hade många deltagare svårt att korrekt bedöma hur bra de faktiskt presterade, vilket innebär att individer kan känna sig säkra i sina bedömningar trots att dessa inte nödvändigtvis är korrekta. Något statistiskt signifikant samband mellan upplevd och faktisk prestation kunde inte påvisas.

Arbetet belyser en växande samhällsutmaning: när AI blir bättre på att imitera verkligheten blir människans egen bedömningsförmåga allt svårare att förlita sig på. Studien pekar på behovet av ökad medvetenhet och riktade utbildningsinsatser för att stärka individers förmåga att kritiskt granska digitalt innehåll i en tid där gränsen mellan verklighet och manipulation blir allt svårare att urskilja.

Notiser av – en studie om informationsläckage via låsskärm på smartphone

• Deltagare: Jasmine Johansson och Hiba Salem.
  

Trots säkerhetsmekanismer som Face ID eller lösenord exponeras fortfarande känslig information på låsskärmen via notiser. Studien syftar till att kvantifiera och analysera informationsläckaget, samt ge rekommendationer för att minimera oönskad exponering. Genom en experimentell metod tillämpas manuell extrahering av notiser mellan systeminställningar på två olika telefonmodeller (iPhone 7 och Samsung Galaxy A20e). För att kvantifiera observationerna används en poängmodell. Resultaten påvisar att inställningar påverkar exponeringen av information, men att ingen inställning eliminerar läckaget helt då metadata kvarstår. Vidare indikerar resultaten att applikationers olika systemdesign har en betydande inverkan på informationsläckaget, oberoende av notifikationsinställning. Systemspecifika prioriteringsfunktioner och typen av data som skickas påverkar även mängden och typen av exponerad information. Studien bidrar med värdefulla insikter för både forensiker och privatpersoner. För forensiker kan låsskärmen fungera som en viktig informationskälla, samtidigt som resultaten belyser de integritetsrisker som privatpersoner kan utsättas för.

Prompting The Predator - Exploring The Capabilities of Augmented Large Language Models in Penetration Testing

• Deltagare: Liam Jonsson och Nathalie Johansson.
  

Cybersäkerhetsbranschen står inför ett växande gap mellan attackerare och försvarares kapacitet, samtidigt som AI-drivna attacker ökar kraftigt och personalbristen är utbredd. Tidigare forskning om AI-assisterad penetrationstestning har huvudsakligen fokuserat på statisk kodanalys och fördefinierade dataset, vilket lämnar en kunskapslucka kring hur autonoma agenter presterar i realtidsinteraktioner med moderna verktyg.
Projektet utvärderar empiriskt en RAG-augmenterad (Retrieval-Augmented Generation) AI-agent i en kontrollerad penetrationstestmiljö och jämför resultaten med en human baseline samt med Claude Sonnet 4.6 som en state-of-the-art-referens. Tre aspekter undersöks: hur agenten presterar avseende Time to Exploit, Vulnerability Detection Rate och False Positive Rate, vilka tekniska begränsningar som uppstår vid interaktion med Nmap, Burp Suite och Metasploit, samt hur stegvis injektion av RAG-kontext påverkar prestandan.
Experimentet genomförs i en isolerad Docker-miljö som hostas på en Proxmox-server. Miljön består av Kali Linux som operativplattform, OWASP Juice Shop som sårbart mål, ChromaDB som vektordatabas och den lokala språkmodellen gpt-oss-safeguard:20b via Ollama. Agenten implementeras i Python med LangChain och LangGraph enligt ReAct-mönstret. Eftersom autentiska penetrationstestloggar är konfidentiella, genereras 300 syntetiska loggar med few-shot prompting baserat på manuellt insamlade seed-loggar, vilka sedan injiceras stegvis i sex sekventiella testkonfigurationer för att mäta skillnaden.

Ragebait och algoritmisk spridning av misinformation: effekter på användarengagemang och samhällelig polarisering

• Deltagare: Emelie Andersson och Linnea Werner.
  

Ragebait är allt mer vanligt förekommande fenomen vars syfte är att förarga personer genom sann eller falsk information. Dess koppling till användarengagemang, samhällelig polarisering och misinformation har utretts genom en kvalitativ innehållsanalys. ​

Hur? Ett kodningschema, baserat på teorier om algoritimisk förstärkning av användarbeteende har används för att systematiskt tolka insamlade inlägg som förargelseväckande eller neutrala. ​Den insamlade data kodades som förargelseväckande eller neutralt av två kodare. Resultatet av kodningen analyserades genom tvåsampeltest i syfte att undersöka hur engagemangsvariablerna delningar, gillamarkeringar och kommentarer påverkades av innehållets natur. Kommentarsfälten analyserades dessutom utifrån teorier om polarisering och grupper.​

Varför? Engagemangsvariabler undersöktes i korrelation till innehållets vinkling för att se dess påverkan på spridning av misinformation och polarisering.

Säker återställning efter ransomwareattacker

• Deltagare: Hampus Rodian och Kristijan Danilovic-Labudovic.
  

Studien undersöker hur en säker återställningspunkt kan identifieras i en backupkedja efter en ransomwareattack. Problemet som behandlas är att skadlig kod kan finnas i systemet innan själva krypteringen aktiveras, vilket innebär att även säkerhetskopior riskerar att vara infekterade. För att undersöka detta genomfördes ett experiment i en kontrollerad virtuell miljö där en ransomwareattack simulerades mot en klientmaskin som säkerhetskopierades vid flera tillfällen.

Efter attacken analyserades backupkedjan genom skanning av återställningspunkter för att avgöra vilka som kunde användas för en säker återställning. Resultatet visade att infekterade återställningspunkter kunde identifieras och särskiljas från opåverkade säkerhetskopior. Därmed kunde systemet återställas utan kvarvarande skadlig kod.

Studien visade även att flera återställningspunkter och en genomtänkt backupstrategi är avgörande för att möjliggöra en säker återställning efter en ransomwareattack. Slutsatsen är att säkerhetskopior i sig inte är tillräckliga, utan att analys och verifiering av återställningspunkter utgör en central del av återställningsprocessen.

Skanna på egen risk

• Deltagare: Adeline Nender och Elmina Ritzén Färnström.
  

Arbetet syftar till att undersöka hur användare resonerar kring säkerhetsrisker vid användning av QR-koder i vardagliga sammanhang och att identifiera de demografiska och beteenderelaterade faktorerna som ligger till grund för deras bedömning. Författarna jämförde även användarnas uppfattning med deras känsla av säkerhet vid klickbara webblänkar för att skapa en förståelse för om de känner sig mer trygga vid skanning av QR-koder. Slutligen ämnar studien att undersöka på vilka platser användare känner sig mer respektive mindre trygga med att skanna QR-koder. Studien är en kvantitativ enkätstudie där 134 respondenter deltog.

Spår i digitala bilder

• Deltagare: Nikita Augustsson och Kristoffer Mårtensson.
  

Projektet undersöker hur digitala bilder påverkas när de delas via populära kommunikationsappar. Fokus ligger på hur EXIF-metadata, hashvärden och bildkvalitet förändras vid överföring, samt hur dessa påverkar användningen av bilder som digitala bevis inom IT-forensik.

Spåren som aldrig försvinner – en studie om IT-forensikers vittnesmål i barnpornografimål

• Deltagare: Ulrika Angel och Saga Jensen.
  

När bilder, filer och sökhistorik används som bevis blir frågan inte endast vad som hittats, utan hur det ska tolkas. Mot denna bakgrund är syftet med den här studien att undersöka vilken roll IT-forensiker har som vittne i rättsprocesser rörande barnpornografimål. Studien fokuserar särskilt på att undersöka vilka tekniska begrepp och aspekter av digital bevisning som oftast behöver förklaring samt vilka bevismässiga omständigheter som ligger till grund för att kalla en IT-forensiker som vittne. Studien belyser IT-forensikerns funktion i rättsprocessen genom analys av förundersökningsprotokoll och praktiska erfarenheter.

Resultatet visar att IT-forensiker blir kallade som vittnen men även får agera som sakkunniga då de besitter expertkunskap inom området. Vidare visar resultaten att IT-forensiska vittnesmål främst fokuserar på frågor rörande uppsåt, användarbeteende och koppling mellan den misstänkte och det digitala materialet. Studien visar även att behovet av att kalla in en IT-forensiker varierar, ofta beroende på ärendets komplexitet.

Nyckelord: IT-forensiker, IT-forensiska vittnesmål, Barnpornografibrott, Digital bevisning, Bevisvärdering

Spindeln i nätet

• Deltagare: Moa Karlsson och Julia Emanuelsson.
  

I dag använder i princip alla barn i mellanstadiet sociala medier, vilket medför att de i allt större utsträckning exponeras för risken att bli utnyttjade. Det här arbetet ämnar till att motverka barns utsatthet på internet genom att utforma och hålla en internetsäkerhetsutbildning för mellanstadieelever.

Utbildningsinsatsen innehöll ämnen såsom lösenord- och användarnamnsrutiner, källkritik, bedrägerier och vissa IT-forensiska begrepp. Eleverna fick dessutom lära sig om hur en person kan kartläggas genom informationen som läggs ut på sociala medier. Under utbildningsinsatsen uppmuntrades diskussioner och eleverna fick utföra flera olika uppgifter tillsammans. Totalt deltog åtta klasser med sammanlagt 151 elever i studien.

Eleverna fick även svara på en enkät innan och efter utbildningsinsatsen. Enkäterna bestod av samma frågor, för att kunna mäta om någon förändring skett efter utbildningen. Enkätfrågorna undersökte hur säkra eleverna känner sig på internet, deras kunskap gällande digital exponering och hur de hanterar olika riskabla scenarier.

Resultatet från enkäterna visade att elevernas förståelse för digital exponering ökade. Eleverna visade en ökad insikt i hur information kan spridas via bilder samt hur risker kan identifieras i digitala miljöer. Majoriteten av eleverna svarade dessutom att de hade lärt sig något nytt och att de skulle tänka mer på internetsäkerhet efter utbildningsinsatsen.

The Myth of Disappearing Message

• Participants: Abdul Qadeer Ahmady and Oscar Reinoso Bosch.

Modern communication applications such as WhatsApp, Messenger, and Instagram increasingly use disappearing-message features that automatically delete conversations after a selected time period. These features are designed to improve privacy, but they also create challenges for digital forensic investigations.

This study investigates whether disappearing messages truly disappear from Android devices and whether digital traces remain after deletion. Using two Android devices, controlled communication activities were generated and later examined using forensic tools including Magnet AXIOM and Autopsy.

The results showed that no readable message content or chat records could be recovered from the examined applications under the tested conditions. However, encrypted files and system level traces related to communication activity could be identified.

The findings demonstrate the limitations of logical forensic acquisition on unrooted Android devices when analysing modern messaging applications. At the same time, the persistence of communication-related traces suggest that “disappearing” does not necessarily mean “untraceable”.

Tystnad, tillit och tidspress

• Deltagare: Max Olsson och Noel Nåvall.

Den här studien undersöker hur anställda upplever och hanterar informationssäkerhet i sitt dagliga arbete. Fokus ligger på samspelet mellan organisatoriska riktlinjer, individuellt ansvar och praktiska arbetskrav. Genom intervjuer och enkätundersökningar analyseras hur informationssäkerhet förstås, vilka utmaningar som uppstår i praktiken samt hur säkerhetsrutiner påverkas av exempelvis tidspress, kommunikation och organisatorisk kultur.

Studien visar att informationssäkerhet inte enbart handlar om tekniska lösningar och policyer, utan också om mänskliga och organisatoriska faktorer. Resultaten belyser bland annat spänningar mellan säkerhetskrav och effektivitet samt hur anställda i praktiken balanserar olika krav i sitt arbete.

Projektet syftar till att bidra med en djupare förståelse för informationssäkerhet som en del av det dagliga arbetslivet och hur organisationer kan skapa bättre förutsättningar för ett hållbart säkerhetsarbete.