Digital Forensics Search

Corey Harrel, do blog Journey into Incident Response, criou uma ferramenta de pesquisa online (utilizando o Google Custom Search) de blogs, sites, documentos online e grupos de discussão públicos, chamada Digital Forensics Search.

O link que ele divulgou é este aqui: http://www.google.com/cse/home?cx=011905220571137173365:7eskxxzhjj8

Criei este mais fácil de decorar: http://tinyurl.com/dfsearch

A lista completa de fontes de pesquisa utilizadas podem ser vistas no blog do Corey.

Pelos testes que já fiz, se mostrou um valioso ponto de partida para pesquisas relacionadas à computação forense. Experimentem!

Forense de Memória - Uma comparação de Ferramentas Disponíveis

[ 30/05/2010 - Update]

No post original de 2008 (abaixo) há uma lista de ferramentas de dump e análise de memória. Como não atualizo a lista há muito tempo, aproveito para divulgar um post do Tony sobre uma nova versão do Win32dd (e Win64dd), o MoonSols Windows Memory Toolkit. A grande desvantagem é que a versão free (Community Edition suporta apenas dumps de memória em Windows 32bits).

O FTKImager da AccessData - apesar de não listado originalmente - efetua com sucesso dumps de memória em diferentes versões de Windows 32 e 64 bits.

Como última nota, uma boa lista de ferramentas de dump de memória pode ser encontrada no ForensicsWiki.


[ 14/12/2009 - Update ]

Mais uma comprovação de que live response através de obtenção de dados a partir do sistema vivo a ser analisado não é o melhor a ser feito.

Já está disponível para download uma ferramenta para detecção e subversão dos dados enviados para o toolkit de live response forense "COFEE" da Microsoft: http://decafme.org/

Eu não chamaria de "Anti-Forense" porque a execução de comandos em um sistema vivo não pode ser considerada Fonrense.. Mas é uma ferramenta - anti-análise ..

A ferramenta DECAF por enquanto faz pouco, mas já mostra o que é possível em um cenário como este:

• Contaminate MAC Addresses: Spoof MAC addresses of network adapters
  


• Kill Processes: Quick shutdown of running processes
  


• Shutdown Computer: On the fly machine power down
  


• Disable network adapters
  


• Disable USB ports
  


• Disable Floppy drive
  


• Disable CD-ROM
  


• Disable Serial/Printer Ports
  


• Erase Data: Quick file/folder removal (Basic Windows delete)
  


• Clear Event Viewer: Remove logs from the Event Viewer
  


• Remove Torrent Clients: Removes Azureus and BitTorrent clients
  


• Clear Cache: Remove cookies, cache, and history

O ideal é a utilização de um DUMP de memória e posterior análise - ao menos para validar as capturas feitas via uma ferramenta deste tipo (continue lendo o artigo para mais informações..)

[ 10/11/2009 - Update ]

Tem havido bastante discussao acerca do vazamento da ferramenta "COFEE", que a Microsoft disponibiliza apenas para "Forças da Lei" (Law Enforcement).

Detalhes da ferramenta COFEE com screenshots: http://praetorianprefect.com/archives/2009/11/more-cofee-please-on-second-thought/

A verdade eh que o "COFEE" nao passa de um batch parametrizavel para First Responders com uma colecao de comandos do proprio windows e mais algus da sysinternals (que a MS comprou ha mais ou menos um ano. Alem disto, so funciona para XP e Windows 2000.

Segue a lista de comandos executados por default:

arp.exe ‐a
at.exe
autorunsc.exe
getmac.exe
handle.exe ‐a
hostname.exe
ipconfig.exe /all
msinfo32.exe /report %OUTFILE%
nbtstat.exe ‐n
nbtstat.exe ‐A 127.0.0.1
nbtstat.exe ‐S
nbtstat.exe ‐c
net.exe share
net.exe use
net.exe file
net.exe user
net.exe accounts
net.exe view
net.exe start
net.exe Session
net.exe localgroup administrators /domain
net.exe localgroup
net.exe localgroup administrators
net.exe group
netdom.exe query DC
netstat.exe ‐ao
netstat.exe ‐no
openfiles.exe /query/v
psfile.exe
pslist.exe
pslist.exe ‐t
psloggedon.exe
psservice.exe
pstat.exe
psuptime.exe
quser.exe
route.exe print
sc.exe query
sc.exe queryex
sclist.exe
showgrps.exe
srvcheck \127.0.0.1
tasklist.exe /svc
whoami.exe

Como voces sabem (para mais detalhamentos, basta ler todo o post original), este tipo abordagem de executar multiplos comandos com o sistema ligado caiu em desuso e as melhores praticas* apontam para o dump de memória live e posterior análise.

*Referencia:

http://www.cert.org/archive/pdf/08tn017.pdf (este paper do CERT, entitulado "Computer Forensics: Results of Live Response Inquiry vs. Memory Image Analysis" conclui que a Captura/Análise Posterior de Memória tem múltiplos benefícios sobre a resposta à incidentes tradicional executando multiplos binarios em sistemas "vivos")

[ 11/10/2009 - Update ]

Foram divulgadas as novas versões do excelente windd [ win32dd e win64dd ]

[ 28/03/2009 - Update ]

Um ótimo paper sobre Forense de Memória foi publicado recentemente por Kristine Amari no portal do SANS: Techniques and Tools for Recovering and Analyzing Data from Volatile Memory (pdf)

O material busca definir e mostrar o estado atual da Forense de Memória. Dentre os tópicos apresentados, estão:

• o funcionamento básico da memória volátil;
  


• as técnicas de aquisição;
  


• a localização de dados de interesse e sua persistência;
  


• a enumeração de processos;
  


• a recuperação de arquivos mapeados em memória;
  


• as buscas simples e por assinatura de arquivos;
  


• a detecção e recuperação de dados ocultos.

Adicionalmente, são apresentadas as seguintes ferramentas:

• GPL e gratuitas: Memdump, KnTTools, FATKit, Volatility, VAD Tools, WMFT/Procenum/Idetect

• Comerciais: Encase Enterprise, F-Response, HBGary Responder/FastDump.

[ 13/12/2008 - Post Original ]

O assunto Live/Memory Forensics ou "forense de memória" está cada dia mais em pauta (inclusive em vários posts recentes deste blog).

Os motivos são vários:

1) com o o crescimento do tamanho dos discos rígidos e dos casos a serem investigados - tanto no mundo corporativo quando no mundo da criminalística - é inviável a manutenção do procedimento tradicional de se desligar da tomada o sistema a ser analisado e somente depois executar as análises nos discos relacionados.

2) a possível perda de informações sensíveis à investigação - o que pode ser ainda pior quando se trata de uma máquina com volumes (ou o disco inteiro) criptografados por ferramentas como o PGP Full Disk Encryption ou o TrueCrypt.

3) existem também os casos em que a análise de memória é a única alternativa para obtenção de informações úteis sobre o caso. Por exemplo, quando são usadas as interfaces AJAX de Webmails modernos (Google, Yahoo) - as informações sobre os emails lidos/escritos ficam somente em memória, não havendo artefatos úteis no disco, mesmo nas áreas não alocadas.

A última boa comparação sobre ferramentas deste tipo havia sido publicada em junho por Halan Carvey, autor do livro "Windows Forensics Analysis".

Pois bem, ontem mais um ótimo post sobre o assunto - entitulado "Windows Physical Memory: Finding the Right Tool for the Job" - foi publicado no site sobre computer forensics do Sans Institute.

O melhor é que neste último post do Sans, o autor (Johnh Sawyer) citou uma grande variedade de soluções - tanto free / open source, quanto comerciais - que facilitam o trabalho de capturar e analisar os dumps de memória de máquinas - segue a listagem contendo uma tradução livre e alguns comentários meus:

1 - Ferramentas de Aquisição de Memória:

1a - Mandiant Memoryze : boa ferramenta, capaz de fazer o dump de todo o range físico de memória, independente de APIs do Windows, identificação de drivers, hooks e módulos de kernel presentes na memória.

1b - Mantech Memory DD : como o Sawyer colocou, simples e eficiente.

1c - Win32dd - tem a vantagem de exportar também em formato do WinDbg - para posterior análise.

1d - Guidance Winen.exe/winen64.exe - conforme post de junho, a partir da versão 6.11 o Encase Forensic vem com dumpers de memória (32 e 64 bits). A boa notícia para quem não tem a licença/dongle é que o último Live CD Helix inclui o winen.exe

1e - Encase Forensic - possibilita o dump da memória inteira ou de processos específicos (veja)

1f - F-Response - Não faz o dump por si só mas estabelece um canal de comunicação iSCSI com a máquina para uso das outras ferramentas descritas no post.

1g - KNTTools da GMG Systems - este aqui eu não conhecia, Sawyer comenta que não vem sendo atualizado, então provavelmetne não o conheceremos em detalhes..

1h - FastDump da HBGary - excelente ferramentas gratuita que auxiliam o examinador a entender o funcionamento de executáveis (mais voltadas para estudo de malwares).

2 - Ferramentas de Análise de Dumps de Memória:

2a - Volatility - Excelente Framework - escrito em python e gratuito - que - juntamente com seus plugins - facilita em muito a extração de informações críticas aos examinadores forenses (como a passphrase de um sistema com Full Disk Encryption utilizando TrueCrypt..).

2b - Memoryze - da Mandiant, possui o output em XML (o que pode ser ruim se você busca clareza e bom se você precisa integrar com qq coisa que leia XML).

2c - HbGary Responder - considerada por analistas do mercado por muito tempo como a melhor ferramenta no ramo. Pode ser integrada facilmente a versao Enterprise do Encase.

2d - Enscripts para Encase Forensic/Enterprise - (ver figura) - no site de suporte da Guidance existem alguns Enscripts disponíveis para tarefas relacionadas à análise de memória.

PS: Existem várias outras ferramentas interessantes como referência de "memory analysis", como: FATKit, Flypaper da HBGary, Windows Memory Forensics Toolkit (FrameWork), memparser, PmoDump/Truman (FrameWork), WinDbg - a primeira ferramenta a analisar crash dump de memória física no windows (thanks, msuiche), Hibrshell (para análise de arquivos de hibernação windows de Xp a 2008), e KnTools (comercial - ver comentários do post).

PS2: A imagem no início deste post (tradução livre) faz parte do excelente paper "Computer Forensics: Results of Live Response Inquiry vs. Memory Image Analysis" - do Sans Institute (Ago/2008). Os autores deste paper concluem que a Captura/Análise Posterior de Memória tem múltiplos benefícios sobre a resposta à incidentes tradicional em sistemas "vivos" - leitura recomendada.

PS3: Uma outra boa fonte de referência sobre o assunto - que inclui também um estudo com análise de código rodando em máquinas linux e windows - é o livro "Malware Forensics" - de James M. Aquilina, Eoghan Casey e Cameron H. Malin.

Anti-Forense: DECAF v2

[ Update 2009/12/29 ]

A ferramenta de anti-forense da moda, DECAF (já falamos sobre ela aqui), acaba de renascer em versão repaginada - foi lançada oficialmente ontem a v2. Agora ela pode ser ativada se detectar a presença das seguintes ferramentas: Microsoft COFEE, Helix, EnCase, Passware, Elcomsoft, FTK Imager Port, Forensic Toolkit, ISOBuster, e Ophcrack.

Além disto, o usuário pode incluir novas assinaturas de detecção e foi adicionada a opção de monitoração de CD-Rom. Há também agora opções mais granulares de ações quando estas ferramentas forem executadas. Alguns exemplos são: execução de programas, desabilitar o device onde a ferramenta forense foi identificada, e iniciar em modo de monitoração.

Com as novas funcionalidades, esta versão 2 já pode até ser considerada como uma ferramenta de Anti-Forense, mas obviamente só é útil se a máquina a ser investigada estiver ainda ligada quando o investigador executar as ferramentas citadas.

Espera-se que analistas de resposta a incidentes ou forense minimamente preparados a partir de agora primeiro verifiquem a possibilidade de ferramentas deste tipo estarem em execução antes de executarem os seus procedimentos de coleta de dados voláteis na máquina investigada.

Na verdade esta preocupação já existia com ferramentas anti-forense mais antigas com funcionalidaes similares (Hacker Defender, Antidetection, FUTo, Shadow Walker, ... ). Mas o grau de divulgação do DECAF realmente deve torná-la uma ferramenta mais comum no arsenal utilizado nas máquinas que iremos analisar de hoje em diante.

Site oficial do DECAF v2: http://decafme.org

Breve demonstração da ferramenta: http://www.youtube.com/watch?v=tVFVdwcX5xA&hd=1



Excelente post sobre o assunto do Harlan Carvey: http://windowsir.blogspot.com/2009/12/lions-and-tigers-and-decafoh-my.html




[ Update 2009/12/03 ]

O Tony acabou de fazer um post interessante sobre o assunto Anti-Forensics - não perca!

[ Update 2009/10/29 ]

Dois posts entitulados "Tecnicas anti-forense para ocultação de dados" (parte 1 e parte2) foram recentemente publicados no Grego Weblog.

[ Update 2009/08/31 ]

Este post sobre anti-forense foi incluído na coluna do colega Raffael Vargas, no Imaster.

[ Post Original 2009/08/05 ]

O uso de técnicas de anti-forense é crescente e a sofisticação e automatização do seu uso em ataques reais é visível.

Segundo o último "Verizon Databreach Report 2009", dentre os incidentes de segurança investigados pelo time de resposta a incidentes da Verizon em 2008, em 31% foram utilizadas técnicas de data wiping, em 9% data hiding e em 3% data corruption.

Um dos trabalhos mais divulgados de anti-forense em ambiente Unix foi o feito por Grugq (Phrack 59, 2002 / Black Hat de 2005) ("Blackhat: The Art of Defiling: Defeating Forensic Analysis on Unix File System").

Um artigo interessante foi publicado em 2008 pelos brasileiros Felipe Balestra e Rodrigo Branco sobre o assunto de anti-forense em ambiente Linux: "Kernel Hacking & Anti-Forensics - Evading Memory Analysis" (Obrigado Felipe pelo Link).

Um exemplo da popularização de ferramentas de Anti-Forense em Windows é o projeto Metasploit Anti-Forensics, de 2007, que forneceu ferramentas de fácil uso para:

• mudança de MAC Times (timestomp)
• ocultação de dados em slack space (slacker)
• obtenção dos hashes da SAM diretamente da memória (sam juicer)
  

Como novidade nesta área de Anti-Forense temos a apresentação mais interessante da Black Hat 2009 (ao menos do ponto de vista de resposta a incidentes e forense computacional) chamada "Anti-Forensics: The Rootkit Connection (paper / apresentação)", que foi feita por Bill Blunden.

Neste paper são detalhadas estratégias de:

• Destruição de Dados (File scrubbing, Meta-data wiping, File System Attacks);
• Ocultação de Dados (In-Band, Out-of-Band, and Application Layer Concealment);
  
• Corrupção de Dados (Compression, Encryption, Code Morphing, Direct Edits);
  
• Fabricação de Dados (Introduce known files, String decoration, False audit trails); e
• Eliminação da Fonte de Dados (Data Contraception, In-Memory DLL Injection)

O objetivo é a utilização de Rootkits que permitam que o mínimo de evidências sejam deixadas em disco e que estas evidências sejam difíceis de ser localizadas e tenham o mínimo de utilidade possível para o analista forense. Além disto a fabricação de evidências falsas e a destruição de dados são técnicas também abordadas no paper.

Abordagens para atrapalhar as várias fases seguidas em um processo de forense de disco são detalhados (Duplicação, Recuperação de Arquivos da Cópia, Recuperação de Arquivos Deletados, Coleta de Metadados, Remoção de Arquivos Conhecidos, Análise de Assinatura e Análise de Executáveis).

O pesquisador encerra o paper dizendo que a verdadeira batalha entre white-hats e black-hats já está sendo travada nos âmbitos de forense de memória e forense de rede, pois por mais bem desenvolvido que seja um rootkit ou qualquer outro malware utilizado por um atacante, ele precisa se executar em memória e se comunicar com o exterior de alguma forma...

Black Hat e Defcon 2009 - principais temas

[ Update - 03/08/2009 ]

O material apresentado na Black Hat já está disponível para download. Segue a lista completa:

1. Alessandro Acquisti- I Just Found 10 Million SSN’s
2. Dmitri Alperovitch, Keith Mularski- Fighting Russian Cybercrime Mobsters: Report from the Trenches
3. Andrea Barisani, Daniele Bianco- Sniff Keystrokes With Lasers/Voltmeters
Side Channel Attacks Using Optical Sampling of Mechanical Energy and Power Line Leakage
4. Marc Bevand- MD5 Chosen-Prefix Collisions on GPUs
5. Bill Blunden- Anti-Forensics: The Rootkit Connection
6. Hristo Bojinov, Dan Boneh, Elie Bursztein- Embedded Management Interfaces: Emerging Massive Insecurity
7. Michael Brooks, David Aslanian- BitTorrent Hacks
8. Jesse Burns- Exploratory Android Surgery
9. K. Chen- Reversing and Exploiting an Apple® Firmware Update
10. Matt Conover- SADE: Injecting Agents into VM Guest OS
11. Dino Dai Zovi- Advanced Mac OS X Rootkits
12. Datagram- Lockpicking Forensics
13. Nitesh Dhanjani- Psychotronica: Exposure, Control, and Deceit
14. Mark Dowd, Ryan Smith, David Dewey- The Language of Trust: Exploiting Trust Relationships in Active Content
15. Muhaimin Dzulfakar- Advanced MySQL Exploitation
16. Michael Eddington- Demystifying Fuzzers
17. Egypt- Using Guided Missiles in Drive-by’s: Automatic browser fingerprinting and exploitation with Metasploit
18. Rachel Engel- Gizmo: A Lightweight Open Source Web Proxy
19. Stefan Esser- State of the Art Post Exploitation in Hardened PHP Environments
20. Tony Flick- Hacking the Smart Grid
21. Andrew Fried, Paul Vixie, Dr. Chris Lee- Internet Special Ops: Stalking Badness Through Data Mining
22. Chris Gates- Breaking the “Unbreakable” Oracle with Metasploit
23. Travis Goodspeed- A 16 bit Rootkit and Second Generation Zigbee Chips
24. Joe Grand, Jacob Appelbaum, Chris Tarnovsky- “Smart” Parking Meter Implementations, Globalism, and You
25. Jennifer Granick- Computer Crime Year In Review: MySpace, MBTA, Boston College and More
26. Jeremiah Grossman, Trey Ford- Mo’ Money Mo’ Problems: Making A LOT More Money on the Web the Black Hat Way
27. Peter Guerra- How Economics and Information Security Affects Cyber Crime and What It Means in the Context of a Global Recession
28. Nathan Hamiel, Shawn Moyer- Weaponizing the Web: More Attacks on User-Generated Content
29. Nick Harbour- Win at Reversing: Tracing and Sandboxing through Inline Hooking
30. Riley Hassell- Exploiting Rich Content
31. Mikko Hypponen- The Conficker Mystery
32. Vincenzo Iozzo, Charlie Miller- Post Exploitation Bliss: Loading Meterpreter on a Factory iPhone
33. Dan Kaminsky- Something about Network Security
34. Peter Kleissner- Stoned Bootkit
35.Kostya Kortchinsky- Cloudburst: Hacking 3D (and Breaking Out of VMware)
36. Zane Lackey, Luis Miras- Attacking SMS
37. Aaron LeMasters, Michael Murphy- Rapid Enterprise Triaging (RETRI): How to Run a Compromised Network and Keep Your Data Safe
38. Felix “FX” Lindner- Router Exploitation
39.Kevin Mahaffey, Anthony Lineberry, John Hering- Is Your Phone Pwned? Auditing, Attacking and Defending Mobile Devices
40. Moxie Marlinspike- More Tricks For Defeating SSL
41. John McDonald, Chris Valasek- Practical Windows XP/2003 Heap Exploitation
42. Haroon Meer, Nick Arvanitis, Marco Slaviero- Clobbering the Cloud!
43. Erez Metula- Managed Code Rootkits: Hooking into the Runtime Environments
44. Charlie Miller, Collin Mulliner- Fuzzing the Phone in your Phone
45. David Mortman- A Black Hat Vulnerability Risk Assessment
46. Graeme Neilson- Netscreen of the Dead: Developing a Trojaned ScreenOS for Juniper Netscreen Appliances
47.Steve Ocepek- Long-Term Sessions: This Is Why We Can’t Have Nice Things
48. Jeongwook Oh- Fight Against 1-day Exploits: Diffing Binaries vs Anti-diffing Binaries
49. Alfredo Ortega, Anibal Sacco- Deactivate the Rootkit
50. Danny Quist, Lorie Liebrock- Reverse Engineering By Crayon: Game Changing Hypervisor Based Malware Analysis and Visualization
51. Tiffany Strauchs Rad, James Arlen- Your Mind: Legal Status, Rights and Securing Yourself
52. Daniel Raygoza- Automated Malware Similarity Analysis
53. Peter Silberman, Steve Davis- Metasploit Autopsy: Reconstructing the Crime Scene
54. Val Smith, Colin Ames, David Kerb- MetaPhish
55. Mike Zusman, Alexander Sotirov- Breaking the security myths of Extended Validation SSL Certificates
56. Kevin Stadmeyer, Garrett Held- Worst of the Best of the Best
57. Bryan Sullivan- Defensive Rewriting: A New Take on XSS/XSRF/Redirect-Phishing Defense
58. Chris Tarnovsky- What the hell is inside there?
59. Steve Topletz, Jonathan Logan and Kyle Williams- Global Spying: Realistic Probabilities in Modern Signals Intelligence
60. Michael Tracy, Chris Rohlf, Eric Monti- Ruby for Pentesters
61. Dustin “I)ruid” Trammell- Metasploit Telephony
62. Eduardo Vela Nava, David Lindsay- Our Favorite XSS Filters and How to Attack Them
63. Mario Vuksan, Tomislav Pericin- Fast & Furious Reverse Engineering with TitanEngine
64. Chris Weber- Unraveling Unicode: A Bag of Tricks for Bug Hunting
65. Jeff Williams- Enterprise Java Rootkits

[ Post Original - 27/07/2009 ]

A Black Hat e a Defcon estão entre as mais importantes conferências de segurança computacional do ano. Os eventos acontecerão nesta semana em Las Vegas e a comunidade já está se preparando para um festival de correções de segurança de última hora e uma avalanche de novas informações em todas as áreas de segurança computacional.

Segue um breve apanhado de informações sobre os destaques das duas conferências:

• Mapa Geral: Calendário de eventos da Black Hat, por tópicos.
• Mapa Geral: Talk Choices do pessoal da Tipping Point.
• Forense de Memória: Plugin do Memoryze para detecção do Meterpreter (Metasploit)
• Anti-Forense: Rootkits com funcionalidades de Anti-Forense avançadas.
  
• Patches fora de hora: Microsoft já sinalizou mais correções para o IE e Visual Studio
  
• Criptografia: HP desenvolve darknet para navegadores
  
• Criptografia: Bypass de certificados EV-SSL em todos os navegadores
• Virtualização: CloudBurst - Explorando um Host VMWare a partir do Guest
  
• Segurança de BD: Novo módulo do MSF para exploração de BDs Oracle