Pericia Digital e Computação Forense

Instalando o DCFLDD

Opa, e aí galera

Tudo bem?
Nós já falamos aqui sobre o DCFLDD que é uma ferramenta semelhante ao DD. O Eriberto até comenta sobre esta ferramenta em seu novo livro (Descobrindo o Linux - 3ª Edição).
Pois bem, algumas pessoas já me perguntaram como eu faço pra instalar essa ferramenta. Então agora eu vou mostrar esse procedimento, que é bem simples.

A primeira coisa que vamos fazer é entrar no site: http://dcfldd.sourceforge.net/#download
Vamos fazer o download do arquivo "source code" que é o código fonte da ferramenta. E depois vamos compilar e instalar no sistema.
O sistema que estou usando é o Debian 7.
Existem algumas distribuições voltadas para forense que já vem com esta ferramenta pré-instalada, como é o caso da CAINE, DEFT, Backtrack (que agora o projeto se chama Kali), SIFT, etc.

Estou baixando o arquivo que é o código-fonte da ferramenta. Neste momento, a versão mais atual do dcfldd é a 1.3.4
Depois de baixar a ferramenta, eu vou descompactá-la: tar -xzvf dcfldd-1.3.4.tar.gz

Depois eu vou entrar no diretório que foi criado para a ferramenta

Neste momento, estou pronto para compilar a ferramenta. Então, vou usar o comando ./configure para configurar o meu ambiente

O próximo passo é digitar o comando: make

Por fim, basta digitar o comando: make install

Pronto. Instalamos a ferramenta.
Para ter certeza qual a versão que foi instalada, basta digitarmos: dcfldd --version

Bom, é isso galera.
Espero que esse post seja interessante.

Um abração!

Instalando Sleuthkit e Autopsy no Debian 7

Opa, e aí galera

Tudo bem?
Eu recebi alguns emails me perguntando como instalar a suíte sleuthkit no debian. De antemão, podemos instalar o sleuthkit com a ferramenta automatizada do debian: apt-get install sleuthkit.
Porém, com este procedimento, não iremos instalar a útlima versão da ferramenta. Ou seja, não estaremos instalando a versão mais atualizada.

Por isso, eu vou mostrar neste post como instalar o sleuthkit a partir do código fonte. Assim, estaremos instalando a versão mais atual da ferramenta.

Pra este post, eu instalei o debian 7. Depois de instalado, atualizei o sistema com os comandos "apt-get install update ; apt-get install upgrade".
Depois disso, digitei o comando: apt-get install build-essential

Depois, eu descompactei o sleuthkit que baixei do próprio site da ferramenta. Durante este post, a versão mais atual e estável da ferramenta é a versão 4.0.1. Muito bem, é esta a versão que vou instalar no meu sistema. Para descompactar, eu usei o comando: tar -xzvf sleuthkit-4.1.0.tar.gz

O comando anterior vai gerar um diretório chamado sleuthkit-4.0.1. O próximo passo é entrar neste diretório e aí começar a compilar a ferramenta.

Pronto, agora podemos iniciar o processo de compilação do sleuthkit. Eu volto a falar que escolhi compilar a ferramenta porque assim estarei instalando no meu sistema operacional (Debian 7) a versão mais atualizada. Fazendo uso do comando apt-get install sleuthkit, eu também estarei instalando a ferramente, mas não é a versão mais atual. Beleza?
Então, neste momento, eu digitei o comando: ./configure

Depois disso, digitei o comando: make

O comando anterior leva alguns minutos para ser executado por completo. Depois do comando make ter terminado, o último comando a ser digitado é: make install

Pronto!
A ferramenta foi instalada e já está pronta para ser usada.
Para testar a ferramenta, podemos usar um dos seus comandos e ver qual q versão está instalada no sistema. Conforme a próxima figura, podemos ver que a versão instalada é a 4.0.1

Agora que o sleuthkit está instalado, podemos instalar também o Autopsy que é um front-end para o sleuthkit. Só que esta ferramenta é em HTML. É uma ferramenta bem bacana de se usar.
No momento que estou escrevendo este post, a versão atual para linux é a 2.24. A versão 3 só tem pra Windows.

Vamos fazer o download do Autopsy lá do site. Podemos notar que o arquivo possui extensão .tar.gz: autopsy-2.24.tar.gz.
Eu vou descompactar o arquivo com o comando: tar -xzvf autopsy-2.24.tar.gz

O próximo passo agora é entrar no diretório que foi criado.

Agora, nós vamos criar um diretório onde a ferramenta salva arquivos de configuração, logs, etc. Este diretório é o Evidence Locker.

Agora, iremos digitar o comando: ./configure.
A ferramenta vai nos pedir se queremos usar a biblioteca NSRL (National Software Reference Library) do NIST. Na imagem a seguir, nós vamos escolher a opção "n", que significa que não vamos usá-la.

Neste momento a ferramenta nos pergunta qual o diretório do Evidence Locker. No meu caso, estou indicando que este diretório é: /home/anderson/Evidence_Locker

Pronto, agora a ferramenta foi instalada com exito.
Vamos iniciar o autopsy digitando na linha de comando: ./autopsy

Como eu disse que o autopsy é em HTML, vamos abrir algum browser e digitar no campo de endereço de URL: http://localhost:9999/autopsy

Pronto, podemos acessar a ferramenta, adicionar um caso e partir para a análise.

Bom, é isso, galera
Espero que este post possa ser útil para quem precisar instalar estas 2 ferramentas no seu sistema.
Existe um outro post em um outro blog que mostra exatamente estes mesmos passos que eu mostrei aqui: http://shankaraman.wordpress.com/2012/11/16/how-to-install-autopsy-and-sleuthkit-in-ubuntu/

Um abração e até a próxima!

GRRCon - Desafio em Forense Computacional

Opa, e aí galera

Tudo bem?

Existe uma conferência de segurança da informação que acontece em Michigan, USA, chamada GRRCon.
Eles sempre colocam alguns desafios para serem solucionados pelos participantes em cada evento.
Em 2012 teve um desafio muito legal envolvendo análise forense de memória. Então foi dado um dump para cada participante e você tinha que solucionar o caso, respondendo 20 perguntas.

O link para baixar o dump é: https://pay.reddit.com/r/netsec/comments/11dbto/solving_the_grrcon_network_forensics_challenge/

Acontece que algumas pessoas resolveram este caso e disponibilizaram a solução na internet.
Vocês podem ver este blog: http://volatility-labs.blogspot.com.br/2012/10/solving-grrcon-network-forensics.html
E também este: http://sysforensics.org/2012/11/aptish-attack-via-metasploit-part-iii-memory-analysis.html
Este também: http://pmelson.blogspot.com.br/2012/10/grrcon-2012-forensics-challenge.html

O interessante é que existem alguns vídeos no youtube com as soluções de alguns profissionais, sendo que um destes vídeos é do próprio autor do desafio
vídeo 1: http://www.securitytube.net/video/7073
vídeo 2: http://www.youtube.com/watch?v=fbs9kIPeIXw
vídeo 3 (resolução do autor do desafio): https://www.youtube.com/watch?v=wWwzVp0pBrg

Espero que este possa ser uma boa fonte de estudos para todos vocês.

Um abraço!

(In)segurança no Processo de Votação Brasileiro

Opa, tudo bem, galera?

Hoje nós vamos falar um pouco sobre a (in)segurança no processo de votação brasileiro.
No dia 10/12/2012 foi realizado na cidade do Rio de Janeiro um seminário denominado: A urna eletrônica é confiável?

Neste evento, foi discutido mais uma vez o processo de segurança da informação no sistema eleitoral brasileiro. Um dos pontos fortes deste evento foi o testemunho de um jovem infrator, de 19 anos, onde ele diz ter conseguido fraudar as eleições na Região dos Lagos, Rio de Janeiro, em Outubro de 2012.

Outro participante presente foi um professor de criptografia da UNB, Pedro Rezende. Ele comenta sobre o ataque e diz que este é um ataque de canal lateral. Segundo o site numaboa, um ataque de canal lateral é um tipo de ataque que depende de informações obtidas das implementações físicas de um criptossistema, ou seja, vai bisbilhotar apenas o hardware, não levando em conta possíveis fraquezas dos algoritmos utilizados. Exemplos deste tipo de ataque são consumo de tempo (timing), vazamentos eletromagnéticos, vazamentos de som e consumo de energia. Redes neurais, em termos práticos, são ferramentas de modelagem estatística de dados não-lineares. Podem ser usadas para modelar relações complexas entre entradas e saídas para encontrar padrões nos dados analisados. Como sabemos, achou um padrão... achou uma porta de entrada!

Países como EUA e Alemanha sempre realizam testes de segurança em suas urnas. Bem que o Brasil poderia emprestar suas urnas para eles, assim os testes de segurança seriam mais bem avaliados, sem camuflar os resultados.

Maiores informações:

http://sseguranca.blogspot.com.br/2009/08/inseguranca-das-urnas-eletronicas.html
http://www.viomundo.com.br/denuncias/voto-eletronico-hacker-de-19-anos-revela-no-rio-como-fraudou-eleicao.html

File Carving com o Scalpel

Opa, e aí galera.

Tudo bem?
Em Abril de 2011, nós falamos sobre uma ferramenta de carving de arquivos chamada: Foremost.
Existe um outro programa para fazer carving de arquivos que se chama: Scalpel

O link para baixar a ferramenta é: http://www.digitalforensicssolutions.com/Scalpel/
Uma outra opção para baixar a ferramenta é: apt-get install scalpel

Para podermos usar a ferramenta teremos que editar seu arquivo de configuração (/etc/scalpel/scalpel.conf) e descomentar com as extensões dos arquivos que queremos recuperar. Ou seja, se eu quiser recuperar, por exemplo, arquivos .pdf, basta eu descomentar a linha referente aos arquivos .pdf

É preciso especificar na linha de comando o caminho do arquivo de configuração e um diretórios de saída. Na imagem a seguir, eu vou recuperar arquivos .pdf à partir de uma imagem forense. Na linha de comando, eu usei o parâmetro -c e especifiquei o arquivo de configuração. Depois disso, usei o parâmetro -o para especificar um diretório de saída, onde os arquivos recuperados serão armazenados.

Bom, é isso
Abração!

Acessando o Conteúdo de uma Imagem Forense com FTK Imager

Opa, bom dia, galera

Tudo bem?
Hoje nós vamos falar sobre análise forense com a ferramenta FTK Imager. O intuito é analisarmos uma imagem forense de disco e analisar algumas informações e artefatos. Lembrando que a FTK Imager não é tão completa quanto uma outra ferramenta da mesma empresa, a FTK.

Vamos começar o nosso trabalho então.
A primeira coisa a se fazer é adicionar a imagem forense na ferramenta. Então, nós vamos na opção File --> Add Evidence Item (Figura 1)

O segundo passo é escolher qual o tipo de evidência que vamos adicionar na ferramenta. Neste caso, como eu tenho um arquivo de imagem, a opção escolhida é Imagem File (Figura 2)

O terceiro passo é indicar o caminho completo da minha imagem. No meu caso, o path é C:\Imagem Forense\vista_dd.001. Depois eu clico no botão Finish (Figura 3)

A próxima tela já é a ferramenta FTK Imager com a imagem forense carregada. No lado esquerdo eu tenho os diretórios da minha imagem, que estão em formato hierárquico, do mesmo jeito que o Windows funciona. Então, eu posso expandir essa estrutura em árvores (clicando no sinal +) e ir navegando nos diretórios e arquivos dentro da imagem forense e ir até onde estão os arquivos de meu interesse (Figura 4)

Bom, a imagem que eu adicionei no FTK Imager era no formato RAW. Mas, digamos que eu tenha adicionado uma imagem em outro formato, por exemplo E01 ou AFF e eu queira transformá-la para o formato RAW (formato da ferramenta DD). A ferramenta FTK Imager possui uma funcionalidade muito interessante que implementa esta tarefa de conversão entre imagens. Como eu faço isso? Resposta: Basta clicar com o botão direito do mouse em cima do nome da imagem e ir na opção Export Disk Image. Vai aparecer a seguinte tela (Figura 5)

Na próxima tela, basta selecionar o tipo de formato de imagem e clicar no botão Avançar (Figura 6)

Na próxima tela, nós vamos informar algumas informações relacionadas com a evidência. (Figura 7)

Por fim, nós vamos informar algumas coisas. A primeira informação é relacionada ao diretório onde a imagem será armazenada. Outro ponto que nós vamos informar é o nome da imagem (sem a extensão). Outro ponto que nós vamos informar é se vamos querer ou não fazer um split na imagem (fragmentá-la). No meu exemplo, eu não vou fragmentar. Por fim, eu clico no botão Finish. Pronto; com este procedimento eu vou converter a imagem que antes estava no formato AFF ou E01 para o formato RAW (formato da ferramenta DD) (Figura 8)

Agora basta clicar no botão Start (Figura 9)

Agora que nós já mostramos como adicionar uma imagem forense na ferramenta, podemos acessar os diretórios da imagem com o FTK Imager. E uma tarefa bem interessante que podemos fazer neste momento é a opção de exportar diretórios e arquivos da minha imagem forense para um outro lugar, inclusive mandar esse diretório/arquivo exportado para uma pendrive ou alguma outra mídia qualquer. Para fazer isto, basta clicar com o botão direito do mouse em cima do diretório que queremos exportar e ir na opção Export Files (Figura 10)

Bom, é isso galera
Espero que vocês tirem proveito desta ótima ferramenta desenvolvida pela empresa AccessData.
Por fim, existe um vídeo no youtube que mostra exatamente o que eu demonstrei aqui neste post e muito mais informações sobre esta ferramenta. O link para o vídeo é: http://www.youtube.com/watch?v=39f2WV-8SKg

Outro vídeo interessante, onde o autor do vídeo cria uma imagem forense a partir de discos virtuais é: https://www.youtube.com/watch?v=TKM7DZiHwVs

Um abração!

Criando Imagens Forense com FTK Imager

Opa, tudo bem galera?

Hoje nós vamos falar sobre uma ferramenta muito interessante, que é a FTK Imager.
Existem muitas ferramentas que criam imagens forense e muitas delas fazem um ótimo trabalho. E esta ferramenta (FTK Imager) não fica por baixo. Além de criar imagens forense de disco, podemos realizar dumps de memória e até mesmo realizar uma pequena análise forense na imagem criada. Existem muitas outras fucionalidades que vocês vão descobrir no momento em que estiverem trabalhando com ela

A FTK Imager foi criada pela empresa AccessData e é grátis. No momento em que estou escrevendo esse posta, ela está na release 3.1.1
Existem 2 versões desta ferramenta. A primeira é conhecida como FTK Imager; e a segunda se chama FTK Imager Lite. A segunda versão foi feita para rodar a partir de uma mídia removível como um CD ou um dispositivo USB. Já a primeira versão é preciso instalar em uma estação forense.

Nesse post, nós vamos falar sobre a versão que precisa ser instalada na estação forense (FTK Imager). Porém, a versão lite funciona mais ou menos da mesma forma, sem maiores diferenças.
A primeira coisa que nós vamos fazer é baixar o executável do site. Depois vamos clicar no ícone FTK Imager.exe para podermos instalar a ferramenta. Quando o processo de instalação tiver terminado, vamos clicar no ícone e abrir a ferramenta. A Figura 1 mostra a tela inicial

Depois disso, vamos clicar no menu File e clicar no botão Create Disk Image e escolher qual dispositivo ou disco ou partição nós vamos fazer a imagem. Para escolher a opção de realizar uma imagem forense do disco, nós vamos na opção Physical Drive. Se quisermos fazer a imagem de uma partição, vamos na opção Logical Drive (Figuras 2 e 3)

Para esse post, eu vou fazer a imagem forense de uma pendrive conectada na minha máquina (512 MB), então eu vou escolher a opção Physical Drive. Na Figura 4 eu escolho qual dispositivo vou querer realizar a imagem, que no meu caso, eu escolhi justamente a Pendrive de 512 MB. Depois eu clico no botão Finish.

Na próxima tela nós vamos clicar no checkbox Verify images after they area created. Com essa opção selecionada, a ferramenta vai calcular os hashes MD5 e SHA1 da imagem criada.
Depois disso, eu vou clicar no botão ADD.

Depois disso, eu vou selecionar a opção RAW, porque eu quero realizar a imagem forense cujo formato é o da ferramenta DD. Vou clicar no botão Avançar

A próxima tela vai me pedir algumas informações sobre a evidência. Eu vou preencher estas informações. Depois disso, eu vou clicar no botão Avançar.

Na próxima tela eu vou escolher o diretório de saída (onde a imagem forense será gravada). No campo Image Filename é onde vou inserir o nome do arquivo da minha imagem (eu não vou colocar a extensão do arquivo). Neste exemplo a minha imagem vai se chamar pendrive.
No campo Image Fragment Size eu vou colocar o valor zero porque eu não quero a minha imagem fragmentada. Se eu quisesse fragmentar em pedaços, eu colocaria neste campo o tamanho em MB que cada pedaço da minha imagem iria ter. Depois disso, é só clicar no botão Finish (figura 8).

A Figura 9 é só clicar no botão Start.

Uma vez que o processo de aquisição da imagem forense tenha terminado, podemos exibir um sumário com várias informações.
No mesmo diretório onde a imagem foi armazenada (neste exemplo, a imagem foi armazenada na área de trabalho - desktop) foi criado um arquivo .txt, que é como se fosse um log, que possui as mesmas informações do sumário.

Bom, é isso galera

Espero que esse post sirva de exemplo para que vocês possam trabalhar com esta excelente ferramenta.

No próximo post nós vamos falar um pouquinho sobre como adicionar uma imagem forense na FTK Imager.

Um abração!

Referências Bibliográficas:

- http://www.securityisfun.net/2014/06/booting-up-evidence-e01-image-using.html

Email Forensics

Opa, e aí galera

Tudo beleza?
Hoje eu vou colocar alguns links sobre forense em Email

Às vezes, quando estamos investigando algum email, precisamos realizar algum tipo de análise forense no cabeçalho do email. Existem ferramentas até gratuitas na internet que realiza este tipo de tarefa.
Então eu vou colocar algumas aqui:
1º link: http://www.ipaddresslocation.org/email-tracking/email-header.php
2º link: http://www.ip-adress.com/ip_tracer/
3º link: http://www.crimespelainternet.com.br/entenda-o-que-e-geo-localizacao-ou-geoip/

Alguns links sobre análise forense em email:

Bom, é isso.
Abração!

Montando Pen-Drive no Windows como Read-Only

Opa, e aí galera?

Tudo beleza?
Hoje nós vamos falar sobre como montar uma pendrive no windows no formato RO (Read-Only).
Assim, o usuário não poderá gravar nenhum tipo de informação na pendrive.
É necessário configurar o registro do sistema.

A primeira coisa a fazer é executar o prompt de comando como administrador do sistema. Pra isso, clique com o botão direito do mouse em cima do ícone do prompt de comando e vá em: executar como administrador

Depois, digite o comando: REG ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies /v WriteProtect /t Reg_DWord /d 1.

O parâmetro /v cria uma chave
O parâmetro /t determina o tipo da chave. Neste caso, ela é do tipo DWORD
O parâmetro /d é o valor da chave

O registro ficará assim:

A imagem a seguir mostra o usuário tentando gravar algum dado no pendrive

Para o usuário voltar para o modo antigo (RW - Read Write) basta mudar o valor do parâmetro /d 1 para /d 0

Bom, é isso galera
Um abraço!

Jobs, um dos maiores gurus da tecnologia, está morto

Na semana passada, no dia 05 de outubro, morreu um dos maiores gurus da tecnologia. Guru porque ele entendia como a tecnologia funciona e qual o seu papel para a sociedade.

Um dos momentos mais marcantes foi o seu discurso na Universidade de Stanford para uma turma de formandos. Este momento foi tão importante para a universidade e para os alunos, que sempre que novos candidatos ingressam em Stanford, eles re-passam o discurso de Jobs com o intuito de motivá-los a sempre superar seus limites, tanto na vida acadêmica como em sua vida pessoal.

É um belo momento de reflexão para todos nós. Refletir o sentido da vida e qual o nosso papel diante dela.

Vale a nossa homenagem ao jobs.
Vai com Deus, mestre!

Metadados em arquivos do Office 2007

Opa, e aí galera

Tudo bem?
Eu já falei aqui sobre metadados em arquivos PDF e em imagens. Mas hoje nós vamos falar sobre metadados em arquivos do Microsoft Office 2007.

Em 2009, o Kristinn Gudjonsson (autor da ferramenta log2timeline), criou um script em PERL chamado read_open_xml.pl. Essa ferramenta faz o parsing de metadados do Office 2007. Pra quem não sabe, o Office 2007 utiliza um formato denominado OpenXML. Resumindo, um documento no formato OpenXML é um arquivo "comprimido" e que faz uso do formato ZIP, podendo ser aberto por qualquer ferramenta de descompactação ZIP (é só renomear o arquivo docx para .zip e então utilizar um descompactador ZIP, por exemplo winzip ou até mesmo o winrar).

Assim, o Kristinn começou a estudar este formato ZIP e descobriu que internamente ao arquivo ZIP existem estruturas pré-definidas, em sua maioria são estruturas XML que descrevem o próprio arquivo e seu conteúdo. Portanto, pode-se usar bibliotecas escritas na linguagem PERL para ler estas estruturas. Depois de estudar o assunto o Kristinn escreveu este script que eu citei no começo do post. Para exemplificar o uso deste script, a figura1 mostra um exemplo que eu rodei em cima de um documento do Word:

Este post é um resumo do artigo Office 2007 Metadata, do próprio autor da ferramenta em uso aqui. Neste artigo, o autor demonstra com mais detalhes como foi o processo de desenvolvimento do read_open_xml. Espero que esse post sirvam para vocês

Bom, é isso!
Abração!

Analisador de Vírus Gratuito na Internet

Opa, e aí galera

Tudo beleza?
Dando uma passeada pela internet, encontrei alguns scanners gratuitos na internet. Essas ferramentas online são de grande importância para o perito.
Os links são:

Virustotal

Threatexpert

Anubis

Abração!

File Carving com o Foremost

Opa, e aí galera.

Tudo bem?
Uma técnica muito importante para o perito é a chamada "carving". o termo Carving de arquivos (File Carving) consiste em acessar um arquivo independentemente da sua tabela de endereçamento (alocação). Nós podemos entender melhor essa técnica acessando este POST do Tony Rodrigues.

Existe um programa de file carving chamado Foremost.
O Foremost é um programa que roda em console (terminal) voltado para recuperação de arquivos baseando-se em seus headers, footers e suas estruturas de dados. Os headers são assinaturas ou "impressões" cujo propósito é identificar um formato de arquivo específico. Ou seja, os headers são metadados armazenados na própria estrutura interna do arquivo e são escritos em locais específicos dentro do mesmo. Como o lugar mais fácil para armazenar estes metadados são justamente os primeiros bytes do arquivo, o termo file header é usado quando os metadados possuem mais do que alguns bytes de tamanho; ou então é usado o termo magic numbers quando são somente alguns bytes de tamanho.

Para ilustrar como são visualizados os headers de arquivos, eu criei um PDF e o renomiei como teste.pdf. O conteúdo deste arquivo é o meu nome: anderson. Agora vamos abrir o arquivo teste.pdf em um editor hexadecimal e assim veremos que os primeiros bytes são a confirmação de que o arquivo teste.pdf se trata realmente de arquivo cuja extensão é .PDF:

Notem que na imagem acima o meu offset é 0000, ou seja, eu estou analisando o início do arquivo.

Porque é necessário que o perito realize essa investigação a nível de bytes? Os criminosos normalmente mudam a extensão de um arquivo com o intuito de atrapalhar a detecção de arquivos maliciosos no sistema. Por exemplo, um criminoso de posse de uma imagem pedófila cujo nome seja menininha.jpg. Ele pode então renomear para win23.dll, e assim, esconder pistas de que seja uma imagem comprometedora, dificultando a detecção de crime de exploração sexual de menores. Neste exemplo, o perito poderia utilizar técnicas de data carving para examinar e verificar que o arquivo win32.dll é na verdade uma imagem e não um arquivo interno do sistema operacional Windows, e assim poderia recuperá-la, chegando à conclusão de que se trata de um caso envolvendo exploração sexual de menores. Com esta técnica é mais difícil criminosos esconder seus rastros em sistemas computacionais.

Portanto, File Carving é o processo de analisar headers e footers de arquivos para depois extraí-los e recuperá-los.

Como eu disse anteriormente, o Foremost é um exemplo de software que se utiliza de técnicas de file carving podendo rodar diretamente em uma imagem de disco, por exemplo, as imagens geradas pelo DCFLDD. Além disso, pode ser usado para recuperar arquivos em imagens do EnCase, ou então, pode ser usado diretamente em um drive.

Para instalar o Foremost no Debian ou Ubuntu, pode-se digitar:
# apt-get install foremost

Podemos especificar os headers e footers editando o seu arquivo de configuração (/etc/foremost.conf). Ou então, podemos usar alguns parâmetros na linha de comando para especificar quais dados queremos recuperar.

Para visualizar o help do foremost basta digitar no terminal:
# foremost -h

No primeiro exemplo, eu tenho uma imagem de uma pendrive (imagem.dd). Eu rodei o foremost contra essa imagem digitando o comando (Figura 1):
# foremost imagem.dd -o /home/anderson/Desktop/recuperado

No exemplo acima eu consegui recuperar arquivos de várias extensões. Isso acontece porque não especifiquei nenhum header, então ele recupera tudo o que encontrar. A opção -o especifica qual será o meu diretório de saída, onde vou armazenar os arquivos recuperados. Neste exemplo, eu vou armazenar os arquivos de saída no diretório "recuperado".

OBS: Vale ressaltar aqui que o foremost se baseia em assinaturas de arquivos, denominadas "magic numbers".

No segundo exemplo, eu usei a opção "-T" (Figura 2):

Essa opção vai criar um diretório cujo nome vai ser o horário exato, o dia e o mês (Time Stamp) em que o foremost está sendo utilizado. Por exemplo, se eu rodar o foremost nesse momento com a opção "-T", eu vou ter uma pasta nom eu desktop renomeada como: output_Thu_Apr_28_10_44_54_2011. Isso significa que eu rodei o foremost numa Quinta-feira, do mês de Abril, 28, às 10:44:54, do ano de 2011.

Um site onde vocês podem adquirir maiores informações é a matéria Data Carving with Foremost. Se vocês quiserem aprofundar um pouco mais no assunto, podem acessar os sites Magic Number e File Format.

Outro site que pode ser útil é um site aonde encontramos as assinaturas de arquivos (File Signatures).

Bom, é isso galera.
Abração!

Criando Imagens Forense com o DCFLDD

Opa, e aí galera?

Tudo beleza?
Hoje nós vamos falar sobre como criar uma imagem forense usando o programa DCFLDD.
Primeiramente, gostaria de falar que este post é um complemento a um outro, cujo o autor é o professor Eriberto. Vocês podem encontrar no link: www.eriberto.pro.br/blog/?p=284

A aquisição de uma imagem forense é tarefa rotineira e imprescindível para uma investigação. Muitas vezes o trabalho do perito começa a partir da aquisição de uma imagem forense.

Mas o que é uma imagem forense?
É pura e simplesmente uma cópia (clone) do dispositivo original que se vai investigar. Ela recebe esse nome porque é um cópia fiel do disco. A imagem forense possui todos os dados do HD original, incluindo os dados deletados e espaços não alocados.

Existem vários dispositivos (software e até mesmo hardware) para se obter uma imagem forense. A maioria destes dispositivos implementam o mesmo formato, conhecido como formato RAW. Este formato é uma cópia fiel do HD, e é implementado pela ferramenta DD e DCFLDD.

O DCFLDD foi criado no Laboratório de Forense Computacional do Departamento de Defesa dos EUA e é uma versão melhorada do comando DD pelo fato de já implementar algumas funcionalidades importantes. Por exemplo, ele já implementa funções de cálculo de hash, faz a divisão de uma imagem forense (split), além de possuir um log de toda a operação. Tudo isso facilita o trabalho do perito.

Tomando como exemplo de que vou realizar uma imagem forense de uma pendrive, primeiramente, eu digito o comando "df -h" para ver qual diretório ela está montada. No exemplo abaixo, minha pendrive (/dev/sdb) está montada no diretório /media/1E64-95FA:

O próximo passo agora é realizar a aquisição da imagem forense da pendrive. Para isso, eu digito o comando dcfldd if=/dev/sdb of=/home/anderson/Desktop/pendrive/imagem.dd hashwindow=0 hashlog=/home/anderson/Desktop/pendrive/imagem.md5 (figura 2):

O que eu fiz foi o seguinte: eu criei um diretório na minha área de trabalho chamado "pendrive". E aí eu joguei a imagem forense pra dentro deste diretório e a chamei de "imagem.dd". Este comando ainda possui alguns parâmetros interessantes. O parâmetro hashwindow especifica a quantidade de dados que devem ser copiados para se gerar um hash deste pedaço. Para esclarecer, um exemplo seria se, na linha de comando tivesséssemos hashwindow=100M, significaria que a cada 100 Mega Bytes copiados, criaria-se um hash para este bloco de 100MB. No exemplo acima, a linha de comando especifica o valor 0 (zero) para o parâmetro hashwindow. Isto significa que o hash só vai ser calculado ao fim do processo de aquisição da imagem. O parâmetro hashlog especifica qual diretório o hash da imagem vai ser armazenado; neste caso será em /home/anderson/Desktop/pendrive e o hash vai estar armazenado no arquivo chamado imagem.md5.

Espero que vocês tenham entendido.
Qualquer coisa, é só me contactar.

Abração!

Revisão de Timelines com Excel e Calc

Opa, e aí galera

Tudo beleza?
O Corey Harrell, autor do blog Journey Into Incident Response, colocou uma matéria muito legal no blog dele, falando sobre revisão de timelines fazendo o uso de Excel e do Calc.
Aproveitem para dar uma lida. Parece estar muito interessante

Abração em todos vocês!

Páginas