Acessando o Conteúdo de uma Imagem Forense com FTK Imager

Opa, bom dia, galera

Tudo bem?
Hoje nós vamos falar sobre análise forense com a ferramenta FTK Imager. O intuito é analisarmos uma imagem forense de disco e analisar algumas informações e artefatos. Lembrando que a FTK Imager não é tão completa quanto uma outra ferramenta da mesma empresa, a FTK.

Vamos começar o nosso trabalho então.
A primeira coisa a se fazer é adicionar a imagem forense na ferramenta. Então, nós vamos na opção File --> Add Evidence Item (Figura 1)

O segundo passo é escolher qual o tipo de evidência que vamos adicionar na ferramenta. Neste caso, como eu tenho um arquivo de imagem, a opção escolhida é Imagem File (Figura 2)

O terceiro passo é indicar o caminho completo da minha imagem. No meu caso, o path é C:\Imagem Forense\vista_dd.001. Depois eu clico no botão Finish (Figura 3)

A próxima tela já é a ferramenta FTK Imager com a imagem forense carregada. No lado esquerdo eu tenho os diretórios da minha imagem, que estão em formato hierárquico, do mesmo jeito que o Windows funciona. Então, eu posso expandir essa estrutura em árvores (clicando no sinal +) e ir navegando nos diretórios e arquivos dentro da imagem forense e ir até onde estão os arquivos de meu interesse (Figura 4)

Bom, a imagem que eu adicionei no FTK Imager era no formato RAW. Mas, digamos que eu tenha adicionado uma imagem em outro formato, por exemplo E01 ou AFF e eu queira transformá-la para o formato RAW (formato da ferramenta DD). A ferramenta FTK Imager possui uma funcionalidade muito interessante que implementa esta tarefa de conversão entre imagens. Como eu faço isso? Resposta: Basta clicar com o botão direito do mouse em cima do nome da imagem e ir na opção Export Disk Image. Vai aparecer a seguinte tela (Figura 5)

Na próxima tela, basta selecionar o tipo de formato de imagem e clicar no botão Avançar (Figura 6)

Na próxima tela, nós vamos informar algumas informações relacionadas com a evidência. (Figura 7)

Por fim, nós vamos informar algumas coisas. A primeira informação é relacionada ao diretório onde a imagem será armazenada. Outro ponto que nós vamos informar é o nome da imagem (sem a extensão). Outro ponto que nós vamos informar é se vamos querer ou não fazer um split na imagem (fragmentá-la). No meu exemplo, eu não vou fragmentar. Por fim, eu clico no botão Finish. Pronto; com este procedimento eu vou converter a imagem que antes estava no formato AFF ou E01 para o formato RAW (formato da ferramenta DD) (Figura 8)

Agora basta clicar no botão Start (Figura 9)

Agora que nós já mostramos como adicionar uma imagem forense na ferramenta, podemos acessar os diretórios da imagem com o FTK Imager. E uma tarefa bem interessante que podemos fazer neste momento é a opção de exportar diretórios e arquivos da minha imagem forense para um outro lugar, inclusive mandar esse diretório/arquivo exportado para uma pendrive ou alguma outra mídia qualquer. Para fazer isto, basta clicar com o botão direito do mouse em cima do diretório que queremos exportar e ir na opção Export Files (Figura 10)

Bom, é isso galera
Espero que vocês tirem proveito desta ótima ferramenta desenvolvida pela empresa AccessData.
Por fim, existe um vídeo no youtube que mostra exatamente o que eu demonstrei aqui neste post e muito mais informações sobre esta ferramenta. O link para o vídeo é: http://www.youtube.com/watch?v=39f2WV-8SKg

Outro vídeo interessante, onde o autor do vídeo cria uma imagem forense a partir de discos virtuais é: https://www.youtube.com/watch?v=TKM7DZiHwVs

Um abração!

Criando Imagens Forense com FTK Imager

Opa, tudo bem galera?

Hoje nós vamos falar sobre uma ferramenta muito interessante, que é a FTK Imager.
Existem muitas ferramentas que criam imagens forense e muitas delas fazem um ótimo trabalho. E esta ferramenta (FTK Imager) não fica por baixo. Além de criar imagens forense de disco, podemos realizar dumps de memória e até mesmo realizar uma pequena análise forense na imagem criada. Existem muitas outras fucionalidades que vocês vão descobrir no momento em que estiverem trabalhando com ela

A FTK Imager foi criada pela empresa AccessData e é grátis. No momento em que estou escrevendo esse posta, ela está na release 3.1.1
Existem 2 versões desta ferramenta. A primeira é conhecida como FTK Imager; e a segunda se chama FTK Imager Lite. A segunda versão foi feita para rodar a partir de uma mídia removível como um CD ou um dispositivo USB. Já a primeira versão é preciso instalar em uma estação forense.

Nesse post, nós vamos falar sobre a versão que precisa ser instalada na estação forense (FTK Imager). Porém, a versão lite funciona mais ou menos da mesma forma, sem maiores diferenças.
A primeira coisa que nós vamos fazer é baixar o executável do site. Depois vamos clicar no ícone FTK Imager.exe para podermos instalar a ferramenta. Quando o processo de instalação tiver terminado, vamos clicar no ícone e abrir a ferramenta. A Figura 1 mostra a tela inicial

Depois disso, vamos clicar no menu File e clicar no botão Create Disk Image e escolher qual dispositivo ou disco ou partição nós vamos fazer a imagem. Para escolher a opção de realizar uma imagem forense do disco, nós vamos na opção Physical Drive. Se quisermos fazer a imagem de uma partição, vamos na opção Logical Drive (Figuras 2 e 3)

Para esse post, eu vou fazer a imagem forense de uma pendrive conectada na minha máquina (512 MB), então eu vou escolher a opção Physical Drive. Na Figura 4 eu escolho qual dispositivo vou querer realizar a imagem, que no meu caso, eu escolhi justamente a Pendrive de 512 MB. Depois eu clico no botão Finish.

Na próxima tela nós vamos clicar no checkbox Verify images after they area created. Com essa opção selecionada, a ferramenta vai calcular os hashes MD5 e SHA1 da imagem criada.
Depois disso, eu vou clicar no botão ADD.

Depois disso, eu vou selecionar a opção RAW, porque eu quero realizar a imagem forense cujo formato é o da ferramenta DD. Vou clicar no botão Avançar

A próxima tela vai me pedir algumas informações sobre a evidência. Eu vou preencher estas informações. Depois disso, eu vou clicar no botão Avançar.

Na próxima tela eu vou escolher o diretório de saída (onde a imagem forense será gravada). No campo Image Filename é onde vou inserir o nome do arquivo da minha imagem (eu não vou colocar a extensão do arquivo). Neste exemplo a minha imagem vai se chamar pendrive.
No campo Image Fragment Size eu vou colocar o valor zero porque eu não quero a minha imagem fragmentada. Se eu quisesse fragmentar em pedaços, eu colocaria neste campo o tamanho em MB que cada pedaço da minha imagem iria ter. Depois disso, é só clicar no botão Finish (figura 8).

A Figura 9 é só clicar no botão Start.

Uma vez que o processo de aquisição da imagem forense tenha terminado, podemos exibir um sumário com várias informações.
No mesmo diretório onde a imagem foi armazenada (neste exemplo, a imagem foi armazenada na área de trabalho - desktop) foi criado um arquivo .txt, que é como se fosse um log, que possui as mesmas informações do sumário.

Bom, é isso galera

Espero que esse post sirva de exemplo para que vocês possam trabalhar com esta excelente ferramenta.

No próximo post nós vamos falar um pouquinho sobre como adicionar uma imagem forense na FTK Imager.

Um abração!

Referências Bibliográficas:

- http://www.securityisfun.net/2014/06/booting-up-evidence-e01-image-using.html

Email Forensics

Opa, e aí galera

Tudo beleza?
Hoje eu vou colocar alguns links sobre forense em Email

Às vezes, quando estamos investigando algum email, precisamos realizar algum tipo de análise forense no cabeçalho do email. Existem ferramentas até gratuitas na internet que realiza este tipo de tarefa.
Então eu vou colocar algumas aqui:
1º link:  http://www.ipaddresslocation.org/email-tracking/email-header.php
2º link: http://www.ip-adress.com/ip_tracer/
3º link: http://www.crimespelainternet.com.br/entenda-o-que-e-geo-localizacao-ou-geoip/

Alguns links sobre análise forense em email:

• http://www.nirsoft.net/utils/outlook_statistics.html
• http://cheeky4n6monkey.blogspot.com.br/2012/03/detecting-spoofed-emails-with-sifts.html
• http://girlunallocated.blogspot.com.br/2012/10/be-very-quiet-im-tracking-emails.html
• http://www.crimespelainternet.com.br/como-ler-cabecalhos-completos-de-e-mails/

Bom, é isso.
Abração!

Montando Pen-Drive no Windows como Read-Only

Opa, e aí galera?

Tudo beleza?
Hoje nós vamos falar sobre como montar uma pendrive no windows no formato RO (Read-Only).
Assim, o usuário não poderá gravar nenhum tipo de informação na pendrive.
É necessário configurar o registro do sistema.

A primeira coisa a fazer é executar o prompt de comando como administrador do sistema. Pra isso, clique com o botão direito do mouse em cima do ícone do prompt de comando e vá em: executar como administrador

Depois, digite o comando: REG ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies /v WriteProtect /t Reg_DWord /d 1.

O parâmetro /v cria uma chave
O parâmetro /t determina o tipo da chave. Neste caso, ela é do tipo DWORD
O parâmetro /d é o valor da chave

O registro ficará assim:

A imagem a seguir mostra o usuário tentando gravar algum dado no pendrive

Para o usuário voltar para o modo antigo (RW - Read Write) basta mudar o valor do parâmetro /d 1 para /d 0


Bom, é isso galera
Um abraço!

Jobs, um dos maiores gurus da tecnologia, está morto

Na semana passada, no dia 05 de outubro, morreu um dos maiores gurus da tecnologia. Guru porque ele entendia como a tecnologia funciona e qual o seu papel para a sociedade.

Um dos momentos mais marcantes foi o seu discurso na Universidade de Stanford para uma turma de formandos. Este momento foi tão importante para a universidade e para os alunos, que sempre que novos candidatos ingressam em Stanford, eles re-passam o discurso de Jobs com o intuito de motivá-los a sempre superar seus limites, tanto na vida acadêmica como em sua vida pessoal.

É um belo momento de reflexão para todos nós. Refletir o sentido da vida e qual o nosso papel diante dela.

Vale a nossa homenagem ao jobs.
Vai com Deus, mestre!

Metadados em arquivos do Office 2007

Opa, e aí galera

Tudo bem?
Eu já falei aqui sobre metadados em arquivos PDF e em imagens. Mas hoje nós vamos falar sobre metadados em arquivos do Microsoft Office 2007.

Em 2009, o Kristinn Gudjonsson (autor da ferramenta log2timeline), criou um script em PERL chamado read_open_xml.pl. Essa ferramenta faz o parsing de metadados do Office 2007. Pra quem não sabe, o Office 2007 utiliza um formato denominado OpenXML. Resumindo, um documento no formato OpenXML é um arquivo "comprimido" e que faz uso do formato ZIP, podendo ser aberto por qualquer ferramenta de descompactação ZIP (é só renomear o arquivo docx para .zip e então utilizar um descompactador ZIP, por exemplo winzip ou até mesmo o winrar).

Assim, o Kristinn começou a estudar este formato ZIP e descobriu que internamente ao arquivo ZIP existem estruturas pré-definidas, em sua maioria são estruturas XML que descrevem o próprio arquivo e seu conteúdo. Portanto, pode-se usar bibliotecas escritas na linguagem PERL para ler estas estruturas. Depois de estudar o assunto o Kristinn escreveu este script que eu citei no começo do post. Para exemplificar o uso deste script, a figura1 mostra um exemplo que eu rodei em cima de um documento do Word:

Este post é um resumo do artigo Office 2007 Metadata, do próprio autor da ferramenta em uso aqui. Neste artigo, o autor demonstra com mais detalhes como foi o processo de desenvolvimento do read_open_xml. Espero que esse post sirvam para vocês

Bom, é isso!
Abração!

Analisador de Vírus Gratuito na Internet

Opa, e aí galera

Tudo beleza?
Dando uma passeada pela internet, encontrei alguns scanners gratuitos na internet. Essas ferramentas online são de grande importância para o perito.
Os links são:

• Virustotal


• Threatexpert


• Anubis

Abração!

File Carving com o Foremost

Opa, e aí galera.

Tudo bem?
Uma técnica muito importante para o perito é a chamada "carving". o termo Carving de arquivos (File Carving) consiste em acessar um arquivo independentemente da sua tabela de endereçamento (alocação). Nós podemos entender melhor essa técnica acessando este POST do Tony Rodrigues.

Existe um programa de file carving chamado Foremost.
O Foremost é um programa que roda em console (terminal) voltado para recuperação de arquivos baseando-se em seus headers, footers e suas estruturas de dados. Os headers são assinaturas ou "impressões" cujo propósito é identificar um formato de arquivo específico. Ou seja, os headers são metadados armazenados na própria estrutura interna do arquivo e são escritos em locais específicos dentro do mesmo. Como o lugar mais fácil para armazenar estes metadados são justamente os primeiros bytes do arquivo, o termo file header é usado quando os metadados possuem mais do que alguns bytes de tamanho; ou então é usado o termo magic numbers quando são somente alguns bytes de tamanho.

Para ilustrar como são visualizados os headers de arquivos, eu criei um PDF e o renomiei como teste.pdf. O conteúdo deste arquivo é o meu nome: anderson. Agora vamos abrir o arquivo teste.pdf em um editor hexadecimal e assim veremos que os primeiros bytes são a confirmação de que o arquivo teste.pdf se trata realmente de arquivo cuja extensão é .PDF:

Notem que na imagem acima o meu offset é 0000, ou seja, eu estou analisando o início do arquivo.

Porque é necessário que o perito realize essa investigação a nível de bytes? Os criminosos normalmente mudam a extensão de um arquivo com o intuito de atrapalhar a detecção de arquivos maliciosos no sistema. Por exemplo, um criminoso de posse de uma imagem pedófila cujo nome seja menininha.jpg. Ele pode então renomear para win23.dll, e assim, esconder pistas de que seja uma imagem comprometedora, dificultando a detecção de crime de exploração sexual de menores. Neste exemplo, o perito poderia utilizar técnicas de data carving para examinar e verificar que o arquivo win32.dll é na verdade uma imagem e não um arquivo interno do sistema operacional Windows, e assim poderia recuperá-la, chegando à conclusão de que se trata de um caso envolvendo exploração sexual de menores. Com esta técnica é mais difícil criminosos esconder seus rastros em sistemas computacionais.

Portanto, File Carving é o processo de analisar headers e footers de arquivos para depois extraí-los e recuperá-los.

Como eu disse anteriormente, o Foremost é um exemplo de software que se utiliza de técnicas de file carving podendo rodar diretamente em uma imagem de disco, por exemplo, as imagens geradas pelo DCFLDD. Além disso, pode ser usado para recuperar arquivos em imagens do EnCase, ou então, pode ser usado diretamente em um drive.

Para instalar o Foremost no Debian ou Ubuntu, pode-se digitar:
# apt-get install foremost

Podemos especificar os headers e footers editando o seu arquivo de configuração (/etc/foremost.conf). Ou então, podemos usar alguns parâmetros na linha de comando para especificar quais dados queremos recuperar.

Para visualizar o help do foremost basta digitar no terminal:
# foremost -h

No primeiro exemplo, eu tenho uma imagem de uma pendrive (imagem.dd). Eu rodei o foremost contra essa imagem digitando o comando (Figura 1):
# foremost imagem.dd -o /home/anderson/Desktop/recuperado











No exemplo acima eu consegui recuperar arquivos de várias extensões. Isso acontece porque não especifiquei nenhum header, então ele recupera tudo o que encontrar. A opção -o especifica qual será o meu diretório de saída, onde vou armazenar os arquivos recuperados. Neste exemplo, eu vou armazenar os arquivos de saída no diretório "recuperado".

OBS: Vale ressaltar aqui que o foremost se baseia em assinaturas de arquivos, denominadas "magic numbers".

No segundo exemplo, eu usei a opção "-T" (Figura 2):











Essa opção vai criar um diretório cujo nome vai ser o horário exato, o dia e o mês (Time Stamp) em que o foremost está sendo utilizado. Por exemplo, se eu rodar o foremost nesse momento com a opção "-T", eu vou ter uma pasta nom eu desktop renomeada como: output_Thu_Apr_28_10_44_54_2011. Isso significa que eu rodei o foremost numa Quinta-feira, do mês de Abril, 28, às 10:44:54, do ano de 2011.

Um site onde vocês podem adquirir maiores informações é a matéria Data Carving with Foremost. Se vocês quiserem aprofundar um pouco mais no assunto, podem acessar os sites Magic Number e File Format.

Outro site que pode ser útil é um site aonde encontramos as assinaturas de arquivos (File Signatures).

Bom, é isso galera.
Abração!

Criando Imagens Forense com o DCFLDD

Opa, e aí galera?

Tudo beleza?
Hoje nós vamos falar sobre como criar uma imagem forense usando o programa DCFLDD.
Primeiramente, gostaria de falar que este post é um complemento a um outro, cujo o autor é o professor Eriberto. Vocês podem encontrar no link: www.eriberto.pro.br/blog/?p=284

A aquisição de uma imagem forense é tarefa rotineira e imprescindível para uma investigação. Muitas vezes o trabalho do perito começa a partir da aquisição de uma imagem forense.

Mas o que é uma imagem forense?
É pura e simplesmente uma cópia (clone) do dispositivo original que se vai investigar. Ela recebe esse nome porque é um cópia fiel do disco. A imagem forense possui todos os dados do HD original, incluindo os dados deletados e espaços não alocados.

Existem vários dispositivos (software e até mesmo hardware) para se obter uma imagem forense. A maioria destes dispositivos implementam o mesmo formato, conhecido como formato RAW. Este formato é uma cópia fiel do HD, e é implementado pela ferramenta DD e DCFLDD.

O DCFLDD foi criado no Laboratório de Forense Computacional do Departamento de Defesa dos EUA e é uma versão melhorada do comando DD pelo fato de já implementar algumas funcionalidades importantes. Por exemplo, ele já implementa funções de cálculo de hash, faz a divisão de uma imagem forense (split), além de possuir um log de toda a operação. Tudo isso facilita o trabalho do perito.

Tomando como exemplo de que vou realizar uma imagem forense de uma pendrive, primeiramente, eu digito o comando "df -h" para ver qual diretório ela está montada. No exemplo abaixo, minha pendrive (/dev/sdb) está montada no diretório /media/1E64-95FA:

O próximo passo agora é realizar a aquisição da imagem forense da pendrive. Para isso, eu digito o comando dcfldd if=/dev/sdb of=/home/anderson/Desktop/pendrive/imagem.dd hashwindow=0 hashlog=/home/anderson/Desktop/pendrive/imagem.md5 (figura 2):

O que eu fiz foi o seguinte: eu criei um diretório na minha área de trabalho chamado "pendrive". E aí eu joguei a imagem forense pra dentro deste diretório e a chamei de "imagem.dd". Este comando ainda possui alguns parâmetros interessantes. O parâmetro hashwindow especifica a quantidade de dados que devem ser copiados para se gerar um hash deste pedaço. Para esclarecer, um exemplo seria se, na linha de comando tivesséssemos hashwindow=100M, significaria que a cada 100 Mega Bytes copiados, criaria-se um hash para este bloco de 100MB. No exemplo acima, a linha de comando especifica o valor 0 (zero) para o parâmetro hashwindow. Isto significa que o hash só vai ser calculado ao fim do processo de aquisição da imagem. O parâmetro hashlog especifica qual diretório o hash da imagem vai ser armazenado; neste caso será em /home/anderson/Desktop/pendrive e o hash vai estar armazenado no arquivo chamado imagem.md5.

Espero que vocês tenham entendido.
Qualquer coisa, é só me contactar.

Abração!

Revisão de Timelines com Excel e Calc

Opa, e aí galera

Tudo beleza?
O Corey Harrell, autor do blog Journey Into Incident Response, colocou uma matéria muito legal no blog dele, falando sobre revisão de timelines fazendo o uso de Excel e do Calc.
Aproveitem para dar uma lida. Parece estar muito interessante

Abração em todos vocês!

Análise forense de Instant Messengers

Opa, e aí galera? Tudo beleza?

hoje eu estava dando uma passeada pela internet e vi alguns programas bacanas e que podem ajudar o nosso trabalho de análise forense.
São programas voltados para análise de artefatos, especificamente voltados para análise forense de instant messengers (IM).
O primeiro link é o Internet Evidence Finder, da empresa Jadsoftware.
O segundo link é o Belkasoft Forensic IM Analyser, da empresa Belkasoft.
O terceiro link é um post do Sandro Süffert, aonde ele mostra uma ferramenta para fazer análise de artefatos produzidos pelo Skype.

Bom, é isso.
Abração em vocês!

Acessar Volume Shadow Copies

Opa, e aí galera. Tudo beleza?

Hoje eu estava lendo um post bem legal no blog do Harlan Carvey. E nesse post, ele fala sobre o programa robocopy. Nós podemos achar um tutorial da microsoft deste programa neste link.

Vale a pena dar uma olhada nesses textos.

Abração!

Importar arquivos XML para o Excel 2007

Opa, e aí galera,

Tudo beleza?
Eu já escrevi aqui um post mostrando como usar o memoryze para fazer dump de memória. Pois bem, depois de fazer um dump de memória com o memoryze, ele gera um arquivo XML. Para abrirmos este XML no excel 2007, basta acessar o tutorial da Microsoft.

Bom, é isso.
Abração em vocês!

Dicas Para Criar um CSIRT

Opa, e aí galera. Tudo beleza?

Não sei se vocês viram, mas nesse link do blog do Lenny Zeltser, ele dá algumas dicas de como montar um CSIRT. O lenny mostra neste post alguns documentos necessários para criar e administrar um CSIRT, além de colocar links valiosos sobre vários documentos do CERT abordando o assunto.

Bom, é isso!
Abração!

Novo Framework na Computação Forense - Digital Forensics Framework (DFF)

Opa, e aí galera? Beleza?

Não sei se vocês conhecem, mas existe um framework de computação forense bem legal chamado DFF - Digital Forensics Framework.
Nós podemos fazer o download neste site. Podemos acessar a documentação neste site.
Por último, podemos acessar algumas informações sobre o DFF neste link: http://lists.digital-forensic.org/pipermail/dff-announce/2011-January/000000.html

Bom, é isso!
Abração!

Metadados em arquivos PDF

Opa, e aí galera? Beleza?



Alguns posts atrás nós falamos sobre metadados em arquivos EXIF. Hoje nós vamos falar sobre metadados em arquivos PDF. Eu vou utilizar o comando pdfinfo (pacote xpdf-utils). E como eu faço pra procurar este pacote na internet? A figura 1 mostra na tela como fazer isso.











Depois de procurar o pdfinfo na internet, nós vamos instalar o xpdf-utils. A figura 2 mostra na tela como instalar.











Por fim, podemos rodar o comando pdfinfo para extrair informações do arquivo PDF. A figura 3 mostra na tela um exemplo.












Nós podemos acessar alguns links para obter programas e informações adicionais sobre como obter metadados de arquivos acessando o link: Extração de Metadados.

Existem outros links para programas de extração de metadados free.

• link 1: Metadados em Word
• link 2: MetaViewer
• link 3: Extração de metados do Word usando Linux
• link 4: ler metadados com a biblioteca libextractor
• link 5: Ferramenta do BackTrack para analizar metadados
• link 6: Links, Tools and Stuff
• link 7: Metadados em arquivos do Office 2007

E por último, quem tem o livro de forense do Harlan Carvey, ele mostra como extrair metadados de arquivos usando um script que ele criou em PERL.

Bom, é isso.
Abração!

Como sanitizar um arquivo PCAP

Opa, e aí galera? Beleza?

Uma matéria muito legal que eu li hoje foi no link do blog do Chris Sanders. Nesta matéria ele mostra uma ferramenta para sanitizar arquivos PCAP. Mas por que fazer isso?

Às vezes nós queremos publicar algum arquivo PCAP para mostrar alguma técnica de forense ou de segurança de redes. Mas, ao mesmo tempo, queremos preservar os endereços IP's internos da empresa que está servindo como exemplo. Então, usamos essa técnica de sanitização para mostrar Endereços IP fictícios, preservando assim, as empresas e seus endereços de internet.

Fórum do PTK Forensics

Opa, e aí galera. Tudo beleza?

Hoje achei um fórum muito legal.
É um fórum do PTK
Pra quem não conhece, o PTK é um front-end para o sleuthkit, feito em PHP

O link do fórum é: http://sourceforge.net/projects/ptk-forensics/forums/forum/800995

Bom, é isso.
Abração em todos vocês!

Material para CSIRTS

É com grande prazer que começo o primeiro post de 2011.
Que esse ano seja muito produtivo para todos nós.

Vou iniciar 2011 falando sobre material de estudo para equipes de resposta a incidentes de segurança. O Sandro Suffert em seu blog colocou alguns links muito interessantes. É um material para estudar computação forense.

O link é: http://sseguranca.blogspot.com/2009/03/material-de-treinamento-para-equipes-de.html

Aconselho a todos darem uma olhada nesse material e estudar.
Um grande Abraço a todos!
Feliz 2011!

Metadados em Imagens e a Ferramenta Exiftool

Opa, e aí galera. Beleza?

A fotografia digital implementou um conceito conhecido como Exif (abreviatura de Exchangeable Image File Format), criada pela Associação pelo Desenvolvimento da Indústria Eletrônica do Japão - Japan Electronic Industries Development Association (JEIDA). Esse formato é uma especificação de gravação de metadados etiquetados e gravados em estrturas de arquivos de imagens. Algumas câmeras com GPS por exemplo, estão implementando dados Exif com informações do tipo Latitude. Essas informações podem ter valor para o perito digital, informando a posição geográfica e o local aonde determinada foto foi tirada. Assim, quando enviamos essas fotos para sites como o Picasa ou Flickr, as fotos já vão aparecer no local posicionado no mapa.

E como eu posso acessar dados Exif?
Existe uma ferramenta bem legal chamada Exiftool. Esse programa é usado para ler, escrever e editar metadados em vários tipos de arquivos. Podemos, por exemplo, gravar o nome do fotógrafo (autor) da imagem. Apesar de gravarmos certos campos, não podemos criá-los a torto e a direito. Os campos que podemos gravar seguem a especificação da JEIDA, que podem ser acessados através do site Exiftool Tag Names.

A ferramenta Exiftool roda em Macintosh OSX, Windows e Unix-like. Para ver instruções de instalação, acesse o site do autor da ferramenta, Phil Harvey.

Como eu instalo a ferramenta Exiftool em sistemas Debian?
Pode-se digitar no bash o seguinte comando: apt-cache search exiftool (figura 1)












O próximo passo é instalar a ferramenta com o comando apt-get install libimagem-exiftool-perl (figura 2).












Agora vamos fazer o download de uma imagem chamada Tux que já possui metadados Exif. Para visualizar estes metadados, podemos digitar no bash o comando (figura 3) :












Depois de baixar a imagem, vamos calcular seu hash MD5, digitando o comando a seguir (figura 4):

Agora nós vamos usar a ferramenta exiftool para alterar a tag Author (nesse exemplo o campo é nulo), basta digitar o seguinto comando (figura 5):

Agora vamos calcular novamente o hash da imagem. Note que seu valor foi alterado e está completamente diferente. (figura6)












Outro programa para extrair dados Exif de uma imagem digital é o programa chamado metacam. Para visualizar metadados da imagem, utiliza-se a seguinte sintaxe (figura 7):











Podemos notar que é fácil manipular metadados não só em imagens, mas em qualquer tipo de arquivo. No próximo post, vamos falar sobre metadados em arquivos PDF.

Bom, é isso.
Abração!

Referências:

• http://blogs.forumpcs.com.br/julio_preuss/2005/06/20/o-que-e-e-para-que-serve-o-exif/
• http://ellenfazevedo.blogspot.com/2009/10/o-que-e-exif.html
• http://www.sno.phy.queensu.ca/~phil/exiftool/
• http://www.dicas-l.com.br/print/20051208.html
• http://foren6.wordpress.com/2009/11/27/fuzzyhashing/

Converter Imagem.E01 para Imagem no Formato RAW

Opa, e aí galera. Tudo beleza?

Dando uma passeada em alguns blogs sobre forense computacional, eu achei no blog do cientista Lance Mueller um post bem legal. Ele propõe um exercício prático de forense computacional. O link para esse post é: http://www.forensickb.com/2010/01/forensic-practical-exercise-3.html

E lá existe uma dica em um comentário que nós é bastante pertinente.
Se nós não temos acesso ao EnCase, podemos converter uma imagem .E01 em formato RAW usando o sleuthkit. Para isso, nós vamos usar a ferramenta img_cat. A primeira coisa que nós fizemos foi entrar no link do exercício prático proposto anteriormente e baixar o arquivo. A figura 1 mostra na tela que o arquivo é bem compacto, possui 7,1 MB.












Depois disso, digitamos na tela o seguinte comando.

• img_cat -v -i ewf [imagem.E01] > [imagem.dd]

OBS: troque o campo imagem.E01 pelo nome do seu arquivo. Aqui, nesse meu exemplo, eu o usei o nome Forensic_Practical_3.E01 e continuei com o nome imagem.dd. Então a linha de comando ficaria: img_cat -v -i ewf Forensic_Practical_3.E01 > imagem.dd

A figura 2 mostra na tela que o arquivo foi convertido para o formato RAW e um comparativo entre os 2 arquivos. Notem que anteriormente o arquivo original possuía pouco mais de 7 MB e agora o novo arquivo possui 3,8 GB. Isso acontece porque a extensão .E01 compacta o arquivo, deixando-o muito menor. Quando transformamos para o formato RAW (dd), ele volta ao tamanho normal, sem compactação.

A Figura 3 mostra na tela algumas informações sobre a imagem.

Guerra Cibernética - O Futuro já chegou

Opa, e aí galera. Tudo bem com vocês?

Hoje vou postar 2 links bem interessante.
Eles falam do Stuxnet, um código malicioso extremamente poderoso que afetou sistemas SCADA de indústrias do Irã.

O primeiro link é: http://sseguranca.blogspot.com/2010/07/0day-lnk-infocon-amarelo-senha-default.html
O segundo link é: http://blog.tempest.com.br/cristiano-lincoln/the-future-is-already-here-its-just-unevenly-distributed.html

Bom, é isso.
Abração em vocês!

Fuzzy Hashing - SSDEEP

Opa, e aí galera. Tudo beleza?

Agente já falou aqui sobre a importância de hashes para um perito digital. Um estudioso da área chamado Jesse Kornblum criou uma ferramenta bem legal. Ela se chama: ssdeep

Mas o que essa ferramenta faz? Ela calcula o índice de semelhança entre arquivos através de comparação de hashes.

Eu vou mostrar um exemplo prático de como usar esta ferramenta.

Primeiramente, eu vou criar um arquivo no OpenOffice Word Processor. O meu arquivo é uma lista de frutas que contém 5 elementos: Maçã, banana, melão, mamão e melancia. Vou chamar este arquivo de frutas.doc. Depois, eu vou criar um outro arquivo que vai se chamar frutas2.doc e que vai conter os elementos: maca, banana, melão, mamão e melancia.

OBS: Notem que a única diferença entre os 2 arquivos está no nome da primeira fruta (em frutas.doc o primeiro elemento é maçã; em frutas2.doc o primeiro elemento é maca).

O segundo passo é armazenar o hash do "frutas.doc" em um arquivo, que vou chamá-lo de hash.db. O parâmetro "-b" usa o caminho relativo, ao invés de usar o caminho absoluto (figura1).

Depois, é só confrontar o conteúdo do arquivo "hash.db" com o arquivo frutas2.doc. Desse modo, eu estou calculando o índice de semelhança dos 2 arquivos. Mas para confrontar esses dois arquivos eu preciso utilizar ainda o parâmetro -m (figura 2):

O valor entre parênteses indica o nível de semelhança entre os 2 arquivos. Neste exemplo, o ssdeep diz que o arquivo frutas2.doc se assemelha em 71% com o arquivo frutas.doc

Pra vocês entenderem melhor, eu selecionei alguns artigos sobre o assunto onde vocês podem pesquisar mais sobre o assunto:
1º artigo: http://www.forensicswiki.org/wiki/Ssdeep
2º artigo: http://foren6.wordpress.com/2009/11/27/fuzzyhashing/
3º artigo: http://computer-forensics2.sans.org/blog/2010/08/12/computer-forensics-disk-diff
4º artigo: http://forcomp.blogspot.com/2007/09/nosso-amigo-hash-parte-vi.html

Com esses 4 artigos, vocês vão entender bem o que é fuzzy hashing e como utilizar essa ferramenta muito interessante, chamada ssdeep.

Bom, é isso.
Abração!

Como usar a VM SIFT Workstation para Montar e Examinar uma Imagem Windows NTFS

Opa, e aí galera? Beleza?

Primeiramente, eu quero dizer que este post é uma versão em português de uma publicação no blog do SANS Insititute. O link para o original é: http://computer-forensics.sans.org/blog/2009/02/19/digital-forensic-sifting-how-to-perform-a-read-only-mount-of-evidence. Em segundo lugar, quero dizer que para este post é preciso estar conectado à internet o tempo todo. Então vamos botar a mão na massa.

Hoje eu vou falar de uma coisa bem legal. Nós vamos ver como usar o SIFT Workstation e montar uma imagem na VM do SIFT e depois vamos abrir e examinar essa mesma imagem lá no Windows. Essa foi uma inovação bolada pelo pessoal do SANS Institute, capitaneada pelo Rob Lee.

A primeira coisa a se fazer é configurar o ambiente. Primeiramente, vamos abrir a VM da SIFT Workstation. Então, vamos clicar no botão virtual machine e depois vamos na opção Virtual Machine Settings. A Figura 1 mostra este procedimento.

Vamos escolher agora a aba Options e faça o seguinte procedimento. A Figura 2 mostra na tela.

1. Escolha a opção Shared Folders
2. Do lado direito da tela, marque a opção Always enabled
3. Clique no botão OK
   

Depois disso, eu volto para a VM do SIFT Workstation, abro o prompt de comando como root, e digito dhclient. Este comando vai fazer com que a VM pegue um endereço IP na internet. Depois, ainda dentro da VM SIFT Workstation, eu digito no terminal, o comando ifconfig. Anoto o IP que vai ser mostrado na tela. A Figura 3 mostra o IP que eu vou anotar para esse exemplo.

Depois eu volto para a máquina real (Windows Vista), vou em iniciar, executar, e digito o IP que eu anotei e clico em OK. A Figura 4 mostra na tela.

Pronto, agora vai abrir a tela aonde eu tenho acesso aos arquivos que estão montados na minha VM, como read-only. A Figura 5 mostra na tela.

Agora eu vou copiar uma imagem qualquer para dentro da minha VM e depois montá-la. Para isso conectei minha mídia (HD, CD, DVD, pendrive) mas estava dando erro, eu não conseguia acessar minha mídia. Então eu fiz o seguinte:

1. Conforme a figura 1, existe um botão Virtual Machine. Cliquei nele
2. Fui na opção Removable Devices
3. Fui na opção Kingston USB Mass Storage Device
4. Digitei no prompt de comando (como root): mount -t ntfs-3g -o force /dev/sdc1 /media/usb
5. copiar a minha imagem zipada para o meu HD: cp vista_dd.001.bz2 /home/sansforensics/Desktop
6. Por último, eu vou descompactar a minha imagem, digitando: bzip2 -d vista_dd.001.bz2

Agora eu consegui acessar minha mídia e já copiei minha imagem pra dentro da VM (mas poderia muito bem montar minha imagem sem copiá-la pra VM). Depois disso, eu vou montar minha imagem. Pra isso, eu digito no terminal, como root: mount -t ntfs-3g -o ro,loop,show_sys_files /home/sansforensics/Desktop/vista_dd.001 /mnt/windows_mount. A Figura 6 mostra na tela.

Agora, para podermos acessar a imagem utilizando o ambiente Windows, basta acessar o diretório \\10.5.5.1\mnt\windows_mount. Se vocês perceberem atentamente, o IP da figura 7 é outro. Isso acontece porque eu estou usando IP dinâmico. Eu desconectei e conectei novamente depois de algumas horas, por consequência, meu IP muda a cada conexão nova. Mas não importa qual o IP que nós colocamos aqui. O importante é que ele tem que ser o mesmo da figura 3 e figura 4. A Figura 7 mostra eu acessando a imagem montada como read-only no ambiente Windows, através da pasta compartilhada.

Nós não vamos alterar nenhum dado da imagem, porque ela foi montada como read-only. Então, depois de efetuado todo esse processo, uma das primeiras ações a ser tomada seria rodar um antivírus na imagem montada. Essa foi uma ótima jogada do Rob Lee. Achei bem legal!

Bom, é isso galera.

Abração!

Links com Matérias e Vídeos sobre Forense Computacional

Opa, e aí galera. Tudo bem?



Hoje eu vou colocar 3 links sobre forense computacional. O primeiro é uma matéria e os outros 2 são vídeos da área.

O primeiro link vem demonstrando o professor Eriberto realizando uma forense de rede: http://www.eriberto.pro.br/blog/?p=376
O segundo é um vídeo no youtube mostrando o Desafio Forense do site honeynet. O link é: http://www.youtube.com/watch?v=1d1vPA2Je8I&feature=mfu_in_order&list=UL
O terceiro link é: http://www.youtube.com/watch?v=gytvYLnIfG0
O quarto link é uma página que possui 2 desafios: http://www.ashemery.com/dfir.html



Bom é isso, abração em vocês!

Resetar Senha de Login no Windows Vista

Opa, e aí galera? Tudo bem?

Às vezes deparamos com certos problemas que nos dão dor de cabeça. Eu comprei um notebook da Dell há um tempo atrás, modelo Inspiron 1525. Ele veio com o sistema Windows Vista Basic instalado de fábrica. Muito bem, um certo dia, eu fui fazer o login no Vista e aí me deparei com a seguinte mensagem: login ou senha incorretos. Pronto, aí fui procurar alguma coisa na internet pra contornar esse problema e achei um tutorial bem bacana e simples. Era um tutorial para resetar a senha do Windows usando qualquer distribuição Linux Live-CD.

O que acontece é que na tela inicial do windows, no canto esquerdo, lá embaixo, aparecem 3 ícones. O primeiro é o ícone para facilitar o uso do computador. O segundo ícone é a barra de idiomas e o terceiro mostra qual é o teclado instalado no sistema operacional e que está em uso. O que nós temos que fazer é dar um jeito de iniciar o Windows trocando algum desses 3 ícones pelo ícone do prompt de comando. Os 8 passos seguintes é justamente pra realizar essa tarefa:

1. Dê o boot na máquina com o Live-CD Linux
2. Abra o terminal como root e crie um diretório. Ex: mkdir /media/win
3. Digite o comando fdisk -l e veja qual é a partição Windows. Eu vou considerar que o Windows é o /dev/sda2.
4. Monte a partição Windows no diretório criado anteriormente. Ex: mount /dev/sda2 /media/win
5. Com o Windows montado, navegue até o diretório onde ficam os arquivos de sistema. Ex: cd /media/win/Windows/System32
6. Dentro dessa pasta, procure o arquivo Utilman.exe
7. Renomeie o arquivo. Ex: mv Utilman.exe Utilman.old
8. Ainda dentro da pasta system32, renomeie o arquivo cmd. Ex: mv cmd.exe Utilman.exe

Pronto, assim estaremos enganando o Windows e o prompt de comando vai estar lá na tela de login do sistema. Depois disso, é preciso fazer mais algumas alterações simples, que são:

1. Reinicialize o Windows e na tela de login, clique no ícone que está no canto inferior esquerdo da tela (perto do ícone de idiomas)
2. Quando você clicar, vai aparecer a tela do prompt de comando. Digite: net user
3. Vai abrir uma lista de usuários cadastrados no computador. Escolhe o usuário que você quer mudar a senha e digite: net user "nome que quer mudar" * (no meu caso, eu coloquei net user anderson *)
4. Agora ele vai pedir para você digitar a senha. É só digitá-la.

Pronto, agora precisamos fazer voltar todos os programas normais, inclusive fazer voltar o facilitador de uso e acesso. Para isso, faça o seguinte:

1. Reinicialize o computador com o Live-CD Linux
2. Abra o terminal do linux como root e navegue até o diretório /media/win/Windows/System32
3. Dentro deste diretório renomeie o arquivo utilman. Ex: mv Utilman.exe cmd.exe
4. Depois renomeie o arquivo utilman.old. Ex: mv Utilman.old Utilman.exe

Pronto, acabamos de resetar a senha de login do Windows tendo em mãos uma distribuição linux. É muito simples fazer este tipo de tarefa. É claro que existem outras maneiras de resetar a senha de login, por exemplo, usando o CD Hirens. E existem softwares pagos pra isso tambem. O meu intuito aqui foi mostrar como eu posso usar qualquer distribuição Linux Live-CD para este tipo de tarefa especificamente.

É isso. Um abraço em todos!

Temas de Pesquisa na área de Computação Forense

Opa, e aí galera.

Tudo bem com vocês?
Hoje eu vi uns links bem legais falando sobre vários temas de pesquisa em computação forense.
O primeiro link é: http://www.forensicfocus.com/project-ideas
O segundo link é: http://www.forensicswiki.org/wiki/Open_Research_Topics

Uma outra fonte de informação bastante interessante são os "jornais" americanos na área de forense computacional:

• http://www.journals.elsevier.com/digital-investigation/

Para adicionar algumas idéias aí, eu acrescento alguns temas:

• Resposta e tratamentos de incidentes (fraudes e crimes) em ambiente corporativo
• Análise e engenharia reversa para desenvolver ferramentas anti-malwares
• Estudo de caso (aplicação) de métodos e técnicas forenses em casos específicos
• Desenvolvimento de ferramentas (software/hardware) para perícia digital
• Identificação e análise forense de crimes digitais
• Estudo das principais ferramentas Linux de análise forense (estado da arte)
• Inteligência artificial na detecção e prevenção de fraudes e crimes digitais
• Inteligência e a Perícia Digital: fontes de informação na determinação das informações relevantes sobre fraudes e crimes digitais
• Técnicas de canais cobertos e anti-forensics
• Quebra da senha de acesso do iphone, utilizando técnicas de quebra de criptografia
• Documents and Media Exploitation (Simson Garfinkel)
• Data Fusion with Online Information (Simson Garfinkel)
• Firewall com processadores Multi-core (GPU)
• Exame de evidências digitais com soluções de big data, como hadoop
• Análise de grandes quantidades de arquivos de log de botnets
• Uso de análise de dados (BI) na interpretação de dados forense
• Problemas e soluções para armazenamento e backups de petabytes de informação
• Métodos para uma indexação mais rápida de grandes quantidades
• Métodos de visualização computacional para apresentação de grandes quantidades de dados
• Aspectos da proteção de privacidade relacionadas ao processamento de big data

Bom, é isso.
Abração!

Atualizando Log2timeline na distribuição SIFT Workstation

Opa, e aí galera. Tudo bem?

Achei uma matéria bem legal. O autor da ferramenta Log2timeline ensina como fazer para atualizá-la na distribuição SIFT Workstation (distribuição forense do SANS Institute).

O link é: http://blog.kiddaland.net/2010/11/updating_sift_to_use_apt/

Abração em todos vocês!