Superinteressante: Como funciona a Perícia Digital?

Nas páginas 40 e 41 da última edição da revista Super Interessante foi publicado um interessante infográfico entitulado "Como funciona a Perícia Digital". O consultor forense Fernando Carbone, da Techbiz Forense Digital São Paulo, foi uma das fontes para os jornalistas da Super responsáveis pela matéria.

Para ver uma captura do infográfico que foi publicado na revista, clique para ampliar a imagem abaixo:

As seguintes ferramentas de investigação em meios digitais foram citadas no infográfico:

1o quadro - NetWitness - Ferramenta de forense de rede que possui vários módulos - o citado na matéria (Visualize) pode ser visto neste site de demonstração). Errata: um appliance é conectado à rede investigada (ou na Polícia no caso de interceptações telemáticas) - não há instalação de nada no computador suspeito;

2o quadro - XRY - Esta ferramenta de forense de dispositivos móveis da empresa sueca Micro Systemation é útil para recuperação de informações lógicas e extração de dados apagados de aparelhos como Celulares, Tablets, GPS. Errata:  Ferramenta de forense em dispositivos móveis faz aquisição de dados de pen-drives. Esta coleta normalmente é feita com bloquedores de escrita USB e sua análise é executada em ferramentas como o Encase e o FTK (ver 5o quadro, abaixo);

3o quadro - Freddie - A empresa Digital Intelligence possui uma série de computadores (notebooks, desktops, servidores) especialmente montados para fins de coleta e análise de evidências digitais - esta linha se chama "Forensic Recovery Evidence Device". Errata: o equipamento mostrado na foto do 3o quadro não é o Freddie (desktop portátil robustecido), e sim o FRED-M;

4o quadro - ImageMaster Solo IV - Produzido pela empresa ICS, o Solo IV é um duplicador de mídias suporte a múltiplas interfaces (IDE, SATA, SCSI, USB, FireWire, etc..)

5o quadro - Encase Forensic - Produzido pela Guidance Software, é um dos softwarse de análise mais utilizados para perícia digital no mundo, juntamente com o FTK, da AccessData.

IPhone e IPad guardam detalhes de localização #Privacidade #AppleGate #iOS #iPhoneTracker

Má "notícia" para a privacidade de usuários de dispositivos com o iOS (iPhones e iPads). Há pelo menos um ano seu gadget guarda automaticamente informações de localização sem sua permissão explícita do usuário (basta clicar em aceitar contribuir com "informações anônimas de uso para melhoria da qualidade do software" - o que a maior parte dos usuários acaba fazendo..)

A boa notícia sob o ponto de vista da investigação autorizada é que a informação chama atenção para a importância de se recuperar as várias informações presentes em dispositivos móveis, com ferramentas especializadas de Forense de dispositivos móveis (além obviamente dos dados presentes no iTunes de máquinas apreendidas rodando Windows ou Mac, veja abaixo o iPhoneTracker).

Atualmente nós da Techbiz Forense trabalhamos com 2 fabricantes de Mobile Forensics (estamos no momento testando em laboratório as funcionalidades de um terceiro player):

Cellebrite - UFED (US)
MicroSystemation - XRY (Suécia)

Vamos aos detalhamentos da história:

Notícia da "descoberta" "Iphone Location Fiasco":
http://radar.oreilly.com/2011/04/apple-location-tracking.html

#Caminho do .db sqlite3 contendo - muita - informação de localização (latitude,longitude) do usuário:
Library/Caches/locationd/consolidated.db

#Ferramenta para checar o seu dispositivo: (Para rodar na máquina MacOSX que roda o iTunes)
#Tool
http://petewarden.github.com/iPhoneTracker

#Ports para Linux/Cygwin e Windows

#ScreenShot da ferramenta:
http://radar.oreilly.com/assets_c/2011/04/DC%20and%20NY.html

#Melhor recomendação de contramedidas até o momento:
http://singe.za.net/blog/archives/1029-Quick-note-on-the-iPhone-Location-Tracking-Disclosure.html (@singe)

#Untrackerd: Aplicação para evitar o registro - para dispositivos desbloqueados (jailbroken):

http://thenextweb.com/apple/2011/04/21/worried-about-iphone-tracking-jailbreak-utility-untrackerd-will-fix-that-for-you/

#Como desabilitar o registro de localidades em um Iphone bloqueado:

http://seclists.org/fulldisclosure/2011/Apr/408

#Pontos levantados por Alex Levison (Perito Forense co-autor do livro iOS Forensic Analysis (review)

https://alexlevinson.wordpress.com/2011/04/21/3-major-issues-with-the-latest-iphone-tracking-discovery/ (@alexlevinson)

1) o dado existe, mas não há evidências que a Apple esteja coletando os dados *a confirmar*

2) este arquivo "escondido" não é novo ou secreto

h-cells.plist = Pre iOS 4
consolidated.db = iOS 4+

3) a "descoberta" é uma informação conhecida por analistas forenses há algum tempo e foi divulgada meses atrás (paper)

#Melhor "resumo da ópera, até o momento":
http://www.f-secure.com/weblog/archives/00002145.html (@mikkohypponen)

Interessante o argumento que a Apple quer construir uma base própria de geo-localização usando SSIDs Wireless assim como o Google Street View (veja nosso post sobre o assunto aqui) e o SkyHook fizeram.

#Vídeo mostrando queries sqlite3 no consolidated.db e desmistificando o assunto (só uma observação, antes dos comandos "select", recomendo configurar ".mode line" para facilitar a compreensão dos dados):

http://securitytube.net/video/1774

#Comando para extrair os dados via sqlite3
$ sqlite3 -header " select Latitude, Longitude, datetime( Timestamp/60/60/24 + julianday('2001-01-01'),'localtime') as date from CellLocation "

#Outros links para acontecimentos recentes relacionados a mobilidade + privacidade:
#Ferramenta de visualização de geolocalização (twitter, foursquare, exif de imagens postadas online)
Cree.py: http://ilektrojohn.github.com/creepy/
Download (python): https://github.com/ilektrojohn/creepy/commits/master/creepy/cree.py

#Antes que usuários de Android possam se gabar de vantagens de privacidade, veio o Android-LocDump
Android-LocDump: https://github.com/packetlss/android-locdump

#O MetaSploit Framerwork já tem um plugin para extração destes dados (e outros do backup do iTunes) remotamente em Win e Mac:
https://dev.metasploit.com/redmine/projects/framework/repository/revisions/12425/entry/modules/post/multi/gather/apple_ios_backup.rb

#Na alemanha, um político ligado à Privacidade solicitou as informações de localização do seu celular (de agosto de 2009 a fevereiro de 2010), veja o resultado abaixo:
http://futurejournalismproject.org/post/4110478285/tracking-cell-phones
http://www.zeit.de/datenschutz/malte-spitz-vorratsdaten (vídeo interativo)

Inscreva-se no RSS Feed e receba atualizações automáticas

Inscreva-se no RSS Feed e receba atualizações automáticas