Trabalhando com Autopsy

Opa, e aí galera.

Tudo bem?
Semana passada, nós mostramos como instalar o sleuthkit e autopsy no debian.
Muito bem. Agora, nós vamos ver como trabalhar com o autopsy, adicionando uma imagem e analisando essa imagem forense.

O que é o autopsy?
É uma interface gráfica para as ferramentas em linhas de comando do sleuthkit. O propósito do autopsy é analisar um file system de uma imagem forense.

Neste post, estaremos usando a distribuição SIFT (SANS Investigative Forensic Toolkit).
É uma distribuição voltada para forense computacional, que possui várias ferramentas com este propósito. A SIFT é baseada no Ubuntu. No entanto, podemos usar outras distribuições como a BackTrack (Kali), Caine, DEFT, etc.
Nós vamos analisar uma imagem física do Windows Vista
OBS: no fim deste post existe um link de referência. Nesta referência, a análise foi feita usando uma imagem lógica de uma partição do Windows

Para iniciar o autopsy, digite: autopsy.
Depois, selecione com o mouse o link que a ferramenta irá te passar, clique com o botão direito do mouse e escolha a opção: Open Link

Seção 1 - Criando um novo Caso no Autopsy                                                                                 
1.1) Criando um novo caso:
     1.1.1) Clique no botão: New Case

1.2) Criando um novo caso:
     1.2.1) Case Name: Analisando-Windows
     1.2.2) Description: Procurando arquivos deletados
     1.2.3) Investigator Names: aqui vai o seu nome. No meu caso, vou colocar Anderson
     1.2.4) Clique no botão: New Case

1.3) Adicionando Host
     1.3.1) Clique no botão: Add Host

1.4) Adicionando Host
     1.4.1) Host Name: host1
     1.4.2) Clique no botão: Add Host

1.5) Adicionando Imagem
     1.5.1) Clique no botão: Add Image

1.6) Adicionando Imagem
     1.6.1) Neste momento, vou informar o diretório onde a imagem está armazenada: ls $PWD/vis*
     1.6.2) Selecione com o mouse e copie o path completo da imagem

1.7) Adicionando Imagem
     1.7.1) Clique no botão: Add Image File

1.8) Adicionando Imagem
     1.8.1) Cole o path completo da imagem
     1.8.2) Type: no meu caso, eu vou escolher a opção Partition
     1.8.3) Import Method: no meu caso, eu vou escolher a opção Symlink
     1.8.4) Clique no botão: Next

1.9) Adicionando Imagem
     1.9.1) Na opção Data Integrity, seleciona a opção: Ignore...
     1.9.2) Clique no botão: Add

1.10) Adicionando Imagem
     1.10.1) Clique no botão: Ok

1.11) Calculando a integridade da imagem com o algoritmo MD5
     1.11.1) Clique no botão: Image Integrity

1.12) Calculando a integridade da imagem com o algoritmo MD5
     1.12.1) Clique no botão: Calculate











1.13) Visualizando o Check Sum MD5
     1.13.1) O resultado será mostrado logo abaixo.
     1.13.2) Clique no botão: Close















Referência: http://computersecuritystudent.com/FORENSICS/AUTOPSY/lesson1/


Existem alguns vídeos no youtube que mostram uma versão mais recente do autopsy, versão esta que roda somente em Windows.
Os links para os vídeos são:
- vídeo 1: https://www.youtube.com/watch?v=J1vhU0ZJNCs
- vídeo 2: https://www.youtube.com/watch?v=DlZTYBuvkZY
- vídeo 3: https://www.youtube.com/watch?v=_NSEufvkZIs
- vídeo 4: https://www.youtube.com/watch?v=e5O-d5M90EI

Instalando Sleuthkit e Autopsy no Debian 7

Opa, e aí galera

Tudo bem?
Eu recebi alguns emails me perguntando como instalar a suíte sleuthkit no debian. De antemão, podemos instalar o sleuthkit com a ferramenta automatizada do debian: apt-get install sleuthkit.
Porém, com este procedimento, não iremos instalar a útlima versão da ferramenta. Ou seja, não estaremos instalando a versão mais atualizada.

Por isso, eu vou mostrar neste post como instalar o sleuthkit a partir do código fonte. Assim, estaremos instalando a versão mais atual da ferramenta.

Pra este post, eu instalei o debian 7. Depois de instalado, atualizei o sistema com os comandos "apt-get install update ; apt-get install upgrade".
Depois disso, digitei o comando: apt-get install build-essential

Depois, eu descompactei o sleuthkit que baixei do próprio site da ferramenta. Durante este post, a versão mais atual e estável da ferramenta é a versão 4.0.1. Muito bem, é esta a versão que vou instalar no meu sistema. Para descompactar, eu usei o comando: tar -xzvf sleuthkit-4.1.0.tar.gz

O comando anterior vai gerar um diretório chamado sleuthkit-4.0.1. O próximo passo é entrar neste diretório e aí começar a compilar a ferramenta.

Pronto, agora podemos iniciar o processo de compilação do sleuthkit. Eu volto a falar que escolhi compilar a ferramenta porque assim estarei instalando no meu sistema operacional (Debian 7) a versão mais atualizada. Fazendo uso do comando apt-get install sleuthkit, eu também estarei instalando a ferramente, mas não é a versão mais atual. Beleza?
Então, neste momento, eu digitei o comando: ./configure

Depois disso, digitei o comando: make

O comando anterior leva alguns minutos para ser executado por completo. Depois do comando make ter terminado, o último comando a ser digitado é: make install

Pronto!
A ferramenta foi instalada e já está pronta para ser usada.
Para testar a ferramenta, podemos usar um dos seus comandos e ver qual q versão está instalada no sistema. Conforme a próxima figura, podemos ver que a versão instalada é a 4.0.1

Agora que o sleuthkit está instalado, podemos instalar também o Autopsy que é um front-end para o sleuthkit. Só que esta ferramenta é em HTML. É uma ferramenta bem bacana de se usar.
No momento que estou escrevendo este post, a versão atual para linux é a 2.24. A versão 3 só tem pra Windows.

Vamos fazer o download do Autopsy lá do site. Podemos notar que o arquivo possui extensão .tar.gz: autopsy-2.24.tar.gz.
Eu vou descompactar o arquivo com o comando: tar -xzvf autopsy-2.24.tar.gz

O próximo passo agora é entrar no diretório que foi criado.

Agora, nós vamos criar um diretório onde a ferramenta salva arquivos de configuração, logs, etc. Este diretório é o Evidence Locker.

Agora, iremos digitar o comando: ./configure.
A ferramenta vai nos pedir se queremos usar a biblioteca NSRL (National Software Reference Library) do NIST. Na imagem a seguir, nós vamos escolher a opção "n", que significa que não vamos usá-la.

Neste momento a ferramenta nos pergunta qual o diretório do Evidence Locker. No meu caso, estou indicando que este diretório é: /home/anderson/Evidence_Locker

Pronto, agora a ferramenta foi instalada com exito.
Vamos iniciar o autopsy digitando na linha de comando: ./autopsy

Como eu disse que o autopsy é em HTML, vamos abrir algum browser e digitar no campo de endereço de URL: http://localhost:9999/autopsy

Pronto, podemos acessar a ferramenta, adicionar um caso e partir para a análise.

Bom, é isso, galera
Espero que este post possa ser útil para quem precisar instalar estas 2 ferramentas no seu sistema.
Existe um outro post em um outro blog que mostra exatamente estes mesmos passos que eu mostrei aqui: http://shankaraman.wordpress.com/2012/11/16/how-to-install-autopsy-and-sleuthkit-in-ubuntu/

Um abração e até a próxima!

Acessando o Conteúdo de uma Imagem Forense com FTK Imager

Opa, bom dia, galera

Tudo bem?
Hoje nós vamos falar sobre análise forense com a ferramenta FTK Imager. O intuito é analisarmos uma imagem forense de disco e analisar algumas informações e artefatos. Lembrando que a FTK Imager não é tão completa quanto uma outra ferramenta da mesma empresa, a FTK.

Vamos começar o nosso trabalho então.
A primeira coisa a se fazer é adicionar a imagem forense na ferramenta. Então, nós vamos na opção File --> Add Evidence Item (Figura 1)

O segundo passo é escolher qual o tipo de evidência que vamos adicionar na ferramenta. Neste caso, como eu tenho um arquivo de imagem, a opção escolhida é Imagem File (Figura 2)

O terceiro passo é indicar o caminho completo da minha imagem. No meu caso, o path é C:\Imagem Forense\vista_dd.001. Depois eu clico no botão Finish (Figura 3)

A próxima tela já é a ferramenta FTK Imager com a imagem forense carregada. No lado esquerdo eu tenho os diretórios da minha imagem, que estão em formato hierárquico, do mesmo jeito que o Windows funciona. Então, eu posso expandir essa estrutura em árvores (clicando no sinal +) e ir navegando nos diretórios e arquivos dentro da imagem forense e ir até onde estão os arquivos de meu interesse (Figura 4)

Bom, a imagem que eu adicionei no FTK Imager era no formato RAW. Mas, digamos que eu tenha adicionado uma imagem em outro formato, por exemplo E01 ou AFF e eu queira transformá-la para o formato RAW (formato da ferramenta DD). A ferramenta FTK Imager possui uma funcionalidade muito interessante que implementa esta tarefa de conversão entre imagens. Como eu faço isso? Resposta: Basta clicar com o botão direito do mouse em cima do nome da imagem e ir na opção Export Disk Image. Vai aparecer a seguinte tela (Figura 5)

Na próxima tela, basta selecionar o tipo de formato de imagem e clicar no botão Avançar (Figura 6)

Na próxima tela, nós vamos informar algumas informações relacionadas com a evidência. (Figura 7)

Por fim, nós vamos informar algumas coisas. A primeira informação é relacionada ao diretório onde a imagem será armazenada. Outro ponto que nós vamos informar é o nome da imagem (sem a extensão). Outro ponto que nós vamos informar é se vamos querer ou não fazer um split na imagem (fragmentá-la). No meu exemplo, eu não vou fragmentar. Por fim, eu clico no botão Finish. Pronto; com este procedimento eu vou converter a imagem que antes estava no formato AFF ou E01 para o formato RAW (formato da ferramenta DD) (Figura 8)

Agora basta clicar no botão Start (Figura 9)

Agora que nós já mostramos como adicionar uma imagem forense na ferramenta, podemos acessar os diretórios da imagem com o FTK Imager. E uma tarefa bem interessante que podemos fazer neste momento é a opção de exportar diretórios e arquivos da minha imagem forense para um outro lugar, inclusive mandar esse diretório/arquivo exportado para uma pendrive ou alguma outra mídia qualquer. Para fazer isto, basta clicar com o botão direito do mouse em cima do diretório que queremos exportar e ir na opção Export Files (Figura 10)

Bom, é isso galera
Espero que vocês tirem proveito desta ótima ferramenta desenvolvida pela empresa AccessData.
Por fim, existe um vídeo no youtube que mostra exatamente o que eu demonstrei aqui neste post e muito mais informações sobre esta ferramenta. O link para o vídeo é: http://www.youtube.com/watch?v=39f2WV-8SKg

Outro vídeo interessante, onde o autor do vídeo cria uma imagem forense a partir de discos virtuais é: https://www.youtube.com/watch?v=TKM7DZiHwVs

Um abração!

Como usar a VM SIFT Workstation para Montar e Examinar uma Imagem Windows NTFS

Opa, e aí galera? Beleza?

Primeiramente, eu quero dizer que este post é uma versão em português de uma publicação no blog do SANS Insititute. O link para o original é: http://computer-forensics.sans.org/blog/2009/02/19/digital-forensic-sifting-how-to-perform-a-read-only-mount-of-evidence. Em segundo lugar, quero dizer que para este post é preciso estar conectado à internet o tempo todo. Então vamos botar a mão na massa.

Hoje eu vou falar de uma coisa bem legal. Nós vamos ver como usar o SIFT Workstation e montar uma imagem na VM do SIFT e depois vamos abrir e examinar essa mesma imagem lá no Windows. Essa foi uma inovação bolada pelo pessoal do SANS Institute, capitaneada pelo Rob Lee.

A primeira coisa a se fazer é configurar o ambiente. Primeiramente, vamos abrir a VM da SIFT Workstation. Então, vamos clicar no botão virtual machine e depois vamos na opção Virtual Machine Settings. A Figura 1 mostra este procedimento.

Vamos escolher agora a aba Options e faça o seguinte procedimento. A Figura 2 mostra na tela.

1. Escolha a opção Shared Folders
2. Do lado direito da tela, marque a opção Always enabled
3. Clique no botão OK
   

Depois disso, eu volto para a VM do SIFT Workstation, abro o prompt de comando como root, e digito dhclient. Este comando vai fazer com que a VM pegue um endereço IP na internet. Depois, ainda dentro da VM SIFT Workstation, eu digito no terminal, o comando ifconfig. Anoto o IP que vai ser mostrado na tela. A Figura 3 mostra o IP que eu vou anotar para esse exemplo.

Depois eu volto para a máquina real (Windows Vista), vou em iniciar, executar, e digito o IP que eu anotei e clico em OK. A Figura 4 mostra na tela.

Pronto, agora vai abrir a tela aonde eu tenho acesso aos arquivos que estão montados na minha VM, como read-only. A Figura 5 mostra na tela.

Agora eu vou copiar uma imagem qualquer para dentro da minha VM e depois montá-la. Para isso conectei minha mídia (HD, CD, DVD, pendrive) mas estava dando erro, eu não conseguia acessar minha mídia. Então eu fiz o seguinte:

1. Conforme a figura 1, existe um botão Virtual Machine. Cliquei nele
2. Fui na opção Removable Devices
3. Fui na opção Kingston USB Mass Storage Device
4. Digitei no prompt de comando (como root): mount -t ntfs-3g -o force /dev/sdc1 /media/usb
5. copiar a minha imagem zipada para o meu HD: cp vista_dd.001.bz2 /home/sansforensics/Desktop
6. Por último, eu vou descompactar a minha imagem, digitando: bzip2 -d vista_dd.001.bz2

Agora eu consegui acessar minha mídia e já copiei minha imagem pra dentro da VM (mas poderia muito bem montar minha imagem sem copiá-la pra VM). Depois disso, eu vou montar minha imagem. Pra isso, eu digito no terminal, como root: mount -t ntfs-3g -o ro,loop,show_sys_files /home/sansforensics/Desktop/vista_dd.001 /mnt/windows_mount. A Figura 6 mostra na tela.

Agora, para podermos acessar a imagem utilizando o ambiente Windows, basta acessar o diretório \\10.5.5.1\mnt\windows_mount. Se vocês perceberem atentamente, o IP da figura 7 é outro. Isso acontece porque eu estou usando IP dinâmico. Eu desconectei e conectei novamente depois de algumas horas, por consequência, meu IP muda a cada conexão nova. Mas não importa qual o IP que nós colocamos aqui. O importante é que ele tem que ser o mesmo da figura 3 e figura 4. A Figura 7 mostra eu acessando a imagem montada como read-only no ambiente Windows, através da pasta compartilhada.

Nós não vamos alterar nenhum dado da imagem, porque ela foi montada como read-only. Então, depois de efetuado todo esse processo, uma das primeiras ações a ser tomada seria rodar um antivírus na imagem montada. Essa foi uma ótima jogada do Rob Lee. Achei bem legal!

Bom, é isso galera.

Abração!