Hackerazzi: Carolina Dieckmann

Tenho acompanhado as várias notícias e reportagens que foram publicadas sobre o vazamento de fotos íntimas e subsequente extorsão que teve como vítima a atriz Carolina Dieckmann.

Um termo foi cunhado e tem sido usado para identificar os perpetradores deste tipo de ação direcionada à privacidade de celebridades: Hackerazzi (corruptela de Hacker + Paparazzi). Vale ressaltar que casos semelhantes já ocorreram no passado, como por exemplo o que envoleu mais de 50 celebridades norte-americanas (press release do FBI), incluindo as atrizes Mila Kunis e Scarlett Johansson e a cantora Christina Aguilera. Neste caso o perpetrador diz ter utilizado a função "esqueci minha senha" e dados pessoais das vítimas para conseguir resetar as contas.

Considero a situação relevante pois tem tido uma repercussão grande na mídia e traz o tema de investigação em meios digitais para a pauta do dia. Porém, para evitar teorizar sem dados mais concretos a disposição (como muitos comentaristas do caso fizeram), preferi aguardar a evolução das investigações em andamento para publicar um post sobre o assunto. Como diria Sherlock Holmes: "It is a capital mistake to theorize before you have all the evidence. It biases the judgment."

Muito já se publicou sobre o assunto, porém infelizmente em certos casos fica claro o objetivo de marketing de produtos e em outros o desconhecimento dos assuntos tratados acaba por minar as informações, por melhores que sejam as intenções dos advogados, jornalistas ou "especialistas" convidados a opinar.

No caso da atriz brasileira, muito se especulou sobre a forma de obtenção das imagens (suporte técnico do notebook da atriz, uso de trojans, etc..) - a realidade acabou mostrando-se mais simples, e comum. Os atacantes costumam fazer apenas o mínimo necessário para obter seus objetivos (low hanging fruit) - neste caso, um email com um formulário a ser preenchido.

Depois de ver na internet a matéria do Fantástico sobre o assunto, e depois de ler o artigo na INFO, abaixo resolvi publicar uma primeira versão, contendo meus comentários e o que de relevante já foi publicado sobre o tema.

Resumo da ópera (ou melhor entendimento até o momento da publicação deste post): http://info.abril.com.br/noticias/seguranca/policia-identifica-5-cracker-do-caso-carolina-dieckmann-14052012-38.shl (INFO).

"Leonam Santos, de 20 anos, invadiu o e-mail de Carolina após enviar uma mensagem para ela se passando por funcionário do provedor de internet. A mensagem continha um formulário, que foi preenchido pela atriz com seus dados pessoais e senha do e-mail. A partir daí, Leonam, que mora em Córrego Dantas, Minas Gerais, teria pego 60 fotos que estavam na pasta de mensagens enviadas.
As fotos foram enviadas a Diego Fernando Cruz, de 25 anos, morador de Macatuba, interior de São Paulo. Ele teria, então, mandado 36 fotos para um site pornográfico. A página na internet pertenceria a Pedro Henrique Mathias. O suspeito de tentar extorquir R$ 10 mil de Carolina para não divulgar as fotos seria um menor, morador de Bauru (SP). Os policiais da DRCI investigam ainda a participação de um quinto hacker, que reside em Goiânia."

Update (23/05/2012) - Em uma entrevista à INFO, o delegado responsável pela investigação detalhou algumas informações sobre o caso: http://info.abril.com.br/noticias/blogs/trending-blog/geral/saiba-como-a-policia-identificou-os-crackers-do-caso-carolina-dieckmann/

Não vou entrar aqui na famosa discussão terminológica "hacker vs cracker" - mesmo porque os perpetradores destes crimes não se encaixariam emnenhuma das duas categorias, na minha opinião. Trata-se de um caso de "171" ou engenharia social, seguido de difamação, danos morais e extorsão. O computador foi um meio utilizado para obter as informações (crime impróprio), e mesmo sem uma lei específica para "crimes digitais" é possível responsabilizar os autores dos crimes.

Uma observação interessante: a vítima publicou em seu twitter, no dia 23/04/2012, o seguinte post:
"Tô sendo constantemente rackeada, sempre segunda-feira de manhã... Que estranho, viu? Tô de olho!!!" (http://twitter.com/#!/cadieckmann/status/194440085549228033)

Sabemos que alguns serviços de webmail como o Gmail disponibilizam os últimos endereços de IP utilizados para acesso à sua conta, e tem inclusive como padrão um alerta para notificação de atividade suspeita (acesso de IPs geolocalizados em outras cidades/países, por exemplo: "Alert preference: Show an alert for unusual activity". Isto pode ajudar o usuário a identificar acessos indevidos à sua conta.

Uma ação que possivelmente foi tomada foi a interceptação telemática e/ou telefônica dos suspeitos, considerando a matéria publicada pelo fantástico (link abaixo);

Diante das ações tomadas pelo advogado da atriz, é possível imaginar que são necessárias solicitações (extra-judicial e depois judicial) endereçadas ao serviço de email utilizado pela atriz para identificar os IPs responsáveis pelos acessos não autorizados, seguido de uma solicitação de quebra de sigilo IP para os provedores e/ou operadoras responsáveis pelo acesso a internet dos suspeitos.

Em casos semelhantes ao que estamos tratando, do ponto de vista da análise dos computadores envolvidos, muitas ações podem ser efetuadas, publico uma pequena lista (não exaustiva) abaixo:

- Análise de URLs visitadas, histórico de navegação, temporários de browser (para idenficar, por exemplo, o envio das fotos para 1o site (inglês);

- Informacoes de envio das imagens via browser para emails ou serviços externos nas máquinas dos suspeitos;

- Informacoes de copia das imagens para dispositivos externos nos computadores dos suspeitos (Recents / MRU / .LNK > MAC  Addresses / USB.. );

- Indícios de acesso remoto não autorizado (busca de MD5 de ferramentas conhecidas, busca de vestígios no registro de máquina windows e equivalentes em MacOSX de instalação de RATs e serviços de acesso remoto) < preparação para casos de "Trojan Defence"

- Busca pelo conteúdo dos emails (enviados, recebidos) no espaço não alocado do computador  dos suspeitos (incluindo arquvo de paginação e hinernação);

- EXIF das imagens pode conter informacoes como maquina fotografica, edicao em softwares, localizacao geografica (lat, long); (o que poderia indicar os endereços onde as fotos foram tiradas);

- MD5/SHA1 e até mesmo FuzzyHashing do .RAR publicado e dos JPEGs individuais podem ser cruzados com a imagem forense feita com os computadores dos suspeitos;

- Análise de linha do tempo (timeline) dos MACE (Modificação, Acesso, Criação e Entrada na $MFT) times dos arquivos / emails e seus vestígios no computador dos suspeitos podem indicar data/hora de cópia das imagens.


Se o tema é popular, certamente ele vai ser usado em outros ataques -  exemplos:

1) Fotos falsas da atriz levam à malware (file sharing): http://www.securelist.com/en/blog/208193496/Carolina_Dieckmann_Brazilian_cybercrime_legislation_and_la_Viveza_criolla

2) Defacers utilizando as fotos em ataques a sites do governo: http://g1.globo.com/sao-paulo/noticia/2012/05/hackers-postam-fotos-de-carolina-dieckmann-nua-em-site-da-cetesb.html


update (28/05/2012): O responsável pela invasão foi preso:
http://www.folhavitoria.com.br/entretenimento/noticia/2012/05/preso-menor-que-postou-fotos-de-atriz-em-site-da-cetesb.html


Do ponto de vista de remoção ou bloqueio do material já publicado:

- O primeiro site onde o material foi publicado (ImageEarn - do reino unido), já o retirou do ar:
http://info.abril.com.br/noticias/internet/site-ira-retirar-fotos-de-carolina-dieckmann-do-ar-07052012-6.shl

- O advogado da atriz notificou o Google e o Yahoo com o objetivo de bloquear as imagens no seu mecanismo de busca:  "Google é notificado para bloquear as imagens": http://diversao.terra.com.br/gente/noticias/0,,OI5758692-EI13419,00-Dieckmann+depoe+no+RJ+Google+e+notificado+para+bloquear+as+imagens.html

- O Google informou que não filtra resultados de busca, e que as solicitações de remoção deveria ser feita diretamente aos sites que publicam as imagens. Neste caso, buscas por imagens reversas como o Tinyeye, e Google reverse image search) - podem mostrar informacoes de onde as imagens estão sendo veiculadas. Para priorizar as solicitações de remoção de conteúdo, pode ser utilizado um mecanismo de avaliação da popularidade dos sites a serem notificados (ex: ranking Alexa)

- O trabalho é inglório, em uma avaliação publicada pela SaferNet, mais de 50.000 cópias não autorizadas  das fotos da atriz já estão disponíveis na Internet.


Conclusão:

O advogado de Carolina, Antônio Kakay - que também defende Demóstones Torres, afirma: "É uma causa interessante que pode ajudar no debate sobre o controle da internet, especialmente das mídias sociais. Hoje estamos diante do fenômeno dessas redes sociais que são uma mídia opressiva. O que aconteceu com essa menina é sórdido, cruel."

No infográfico publicado pelo Alexandre Teixeira (link 5 abaixo), é feita uma ligação entre o caso e a aprovação (ontem, dia 15/05/2012) do Projeto de Lei de Crimes Cibernéticos (não a PL 84/99 do Azeredo, mas o alternativo  PL 2793/2011 de Paulo Teixeira e Erundina - que entre outras coisas, em seu Art. 154A criminaliza a produção de "ferramentas hackers" (Na linha do projeto iniciado na Alemanha em 2007). Outra crítica sobre o assunto pode ser vista no artigo publicado pelo José Milagres (link 8).

Casos envolvendo celebridades são emblemáticos e  impactantes por trazer o assunto com prioridade à diferentes esferas (mídia, legisladores, juízes). Um caso similar ocorreu no Brasil em 2007, quando o acesso ao site Youtube foi afetado, no caso do vídeo na praia de Daniela Cicarelli - quando alguns AS´s (Autonomous Systems) brasileiros acataram a decisão judicial do Tribunal de Justiça do Estado de São Paulo e redirecionaram para 'null/0' todo o tráfego destinado ao Youtube.

Resumo da ópera, cinco anos depois, o tema que engloba os Crimes Digitais é bastante complexo e controverso, e leis e decisões tomadas para resolver um problema que está em destaque podem gerar vários outros - muitas vezes piores...



Repercursão do caso da mídia e blogs:

1) Globo/Jornal Nacional: Entrevista Carolina Dieckmann
http://www.youtube.com/watch?feature=player_embedded&v=sSCXpjZaTYc


2) Globo/Fantástico: "Polícia encontra hackers que roubaram fotos de Carolina Dieckmann" (video)
http://fantastico.globo.com/Jornalismo/FANT/0,,MUL1680311-15605,00-POLICIA+ENCONTRA+HACKERS+QUE+ROUBARAM+FOTOS+DE+CAROLINA+DIECKMANN.html

3) Record: "Identidade de quem roubou fotos íntimas de Carolina Dieckmann ainda é mistério" (video)
http://rederecord.r7.com/video/identidade-de-quem-roubou-fotos-intimas-de-carolina-dieckmann-ainda-e-misterio-4fb04c256b71c3d8bbc9a310/

4) Luiz Rabelo: "Vazam fotos de Carolina Dieckmann nua"
http://forensics.luizrabelo.com.br/2012/05/vazam-fotos-de-carolina-dieckmann-nua.html

5) Pablo Ximenes: "A verdade sobre as "Técnicas de Invasão" usadas no caso Carolina Dieckmann"
http://ximen.es/?p=621

6) Alexandre Teixeira: "Infográfico – Carolina Dieckmann"
http://foren6.wordpress.com/2012/05/16/inforgrafico-carolina-dieckmann/

7) Anchises Morais: "Carolina, suas fotos e o fim da privacidade" e "Hackerazzis"
http://anchisesbr.blogspot.com.br/2012/05/seguranca-carolina-suas-fotos-e-o-fim.html 
http://anchisesbr.blogspot.com.br/2012/05/seguranca-hackerazzis.html


8) José Mariano: "Considerações sobre o caso Caso Carolina Dieckmann: a dura realidade de uma investigação"
http://mariano.delegadodepolicia.com/consideracoes-sobre-o-caso-caso-carolina-dickeman-a-dura-realidade-de-uma-investigacao/

9) Estadão:  "Como não ser a próxima Carolina Dieckmann"
http://blogs.estadao.com.br/radar-tecnologico/2012/05/14/como-nao-ser-a-proxima-carolina-dieckmann/

10) José Milagres: "Projeto de Lei “Dieckmann” reforça agressão aos direitos dos cidadãos na Internet"
http://josemilagre.com.br/blog/wp-content/uploads/2011/10/Artigo-Efeito-Dieckmann-refor%C3%A7a-agress%C3%A3o-aos-direitos-de-usu%C3%A1rios-de-Internet-Jose-Milagre-15-05-20121.pdf

11) Fernando Fonseca: "As questões realmente relevantes no caso Carolina Dieckmann"
http://segurancaobjetiva.wordpress.com/2012/05/17/as-questoes-realmente-relevantes-no-caso-carolina-dieckmann/

Google Street View coleta SSID, MAC e Payload de redes WiFi

[ Update - 30/04/2012 ]

Solução low-tech: Bode expiatório?

"Google Street View Report points the finger at a rogue engineer who intentionally wrote software code that captured payload data information"

Mais informações: 


Exclusive (LA Times): Google releases FCC report on Street View probe

[ Post Original - 15/05/2010 ]

O Google possui um serviço muito interessante e polêmico chamado Street View. Em operação desde 2007, o Street View possibilita a visualização panorâmica de ruas e avenidas de várias cidades do mundo a partir das interfaces do Google Maps e Google Earth. No Brasil, o lançamento do Street View será no segundo semestre de 2010 e incluirá fotografias de Belo Horizonte, São Paulo e Rio de Janeiro.

Desde o seu lançamento o Street View já foi alvo de inúmeros protestos relativos à privacidade ao redor do mundo. Algumas medidas são tomadas pelo Google para evitar este tipo de problema:

• existe (no canto inferior esquerdo da interface do Street View) a opção de solicitar ao Google a remoção de fotos consideradas vexatórias ou comprometedoras como a reproduzida no início deste artigo.
• as fotos são tratadas utilizando algorítimos automatizados para garantir que placas de carro e rostos, por exemplo, sejam adequadamente borrados;
• as fotos originais (não tratadas) são apagadas dos servidores do Google em 1 ano ou 6 meses (dependendo do país);

Os milhões de fotos que são apresentadas no serviço são capturadas por carros (ou triciclos) do Google equipados com um GPS e 9 câmeras que proporcionam uma visão 360 graus. No caso do Brasil, 30 carros cedidos pela Fiat estão percorrendo mais de 1 milhão de quilômetros nas 3 cidades incluídas inicialmente no projeto.

O que pouca gente sabe é que outros equipamentos mais discretos que câmeras são também embarcados nos carros do Street View: são antenas Wi-Fi, GSM e 3G - usadas para coletar informações de redes wireless pelo mundo afora.

O Google já havia divulgado no final do mês passado que estes dados se resumiam aos Mac Addresses (endereços físicos das interfaces de rede dos roteadores wireless) e SSIDs (nomes das redes), que seriam usados para identificação de estabelecimentos em ferramentas como o Google Search e o Google Maps...

Do ponto de vista do mapeamento de redes WiFi, sem dúvida o Google supera grandes esforços de mapeamento de redes públicas, como o http://wigle.net/.

Depois de protestos e pedidos de esclarecimento de países como Alemanha e Austrália e a solicitação germânica de auditoria dos dados de redes wireless coletados - o Google resolveu olhar mais a fundo e publicou um post em seu blog principal hoje, corrigindo a informação citada anteriormente e estarrecendo muita gente.

Na verdade, os carros do Google Street View também capturaram o payload (conteúdo das comunicações, como emails e navegação) de redes sem proteção Wireless.

É isto mesmo, você entendeu certo. O Google possui terabytes e mais terabytes e dados capturados de redes WiFi do mundo todo - possivelmente desde 2007. E nunca reparou isto..

A desculpa que foi dada envolve a reutilização de um código feito anteriormente em um projeto experimental que tinha por objetivo capturar amostras de dados WiFi publicamente acessíveis. A equipe do Google Street View teria usado este código sem saber que além dos dados de SSID e MAC estaria também sendo capturado tráfego de milhões de diferentes access points pelo mundo...

Para minimizar o problema, o Google argumenta que apenas fragmentos de dados foram capturados porque:

• os carros estão em movimento;
• alguém precisa estar usando a rede enquanto o carro passa;
• o equipamento WiFi embarcado troca de canal Wlan 5 vezes por segundo;
• não são coletadas informações trafegando em redes Wifi protegidas por WEP e WPA

Estes argumentos não devem impedir que autoridades de vários países (incluindo os Estados Unidos) avaliem se o Google não violou diferentes leis de sigilo de comunicações.

A máquina de relações públicas do Google até o momento trabalhou bem diante do tamanho do problema, e divulgou que:

• paralizou temporariamente a utilização dos carros do Street View;
• segregou os dados para outra rede separada da rede corporativa e desconectou esta rede;
• vai (e quer) deletar estes dados o quanto antes;
• trabalhará com instituições regulatórias em diferentes países para definir o método de descarte destas informações;
• irá solicitar a uma organização idependente que faça a revisão do software em questão, seu funcionamento, dados coletados e método utilizado para descarte;
• revisão de procedimentos internos para garantir e revisar os controles necessários para evitar este problema no futuro;
• decisão de encerrar a coleta de dados WiFi.

O pedido final de desculpas - no melhor espírito do "Don´t Be Evil" é o seguinte:

The engineering team at Google works hard to earn your trust—and we are acutely aware that we failed badly here. We are profoundly sorry for this error and are determined to learn all the lessons we can from our mistake.

Mais informações:

• The Register - Google Street View snooped WiFi for personal data
• Wired - Google Street View Cams Collected Private Content From WiFi Networks
• ArsTechnica - Google StreetView cars grabbed traffic from open WiFi networks

Hotmail e Skype - falhas de segurança e privacidade

Podemos dizer que esta semana não foi uma das melhores do ponto de vista da Segurança e Privacidade para os produtos online da Microsoft.


1) Hotmail:


Uma falha no processo de reset de senha no Hotmail foi descoberta em 6 de julho e informada à Microsoft no dia 20. Em resumo, o reset do hotmail utiliza um sistema de tokens que não são validados de forma adequada, o que permitiu que qualquer usuário pudesse resetar a senha de qualquer conta! 


Depois de muita divulgação da falha, incluindo vídeos no Youtube com o passo a passo necessário para resetar qualquer conta do Hotmail, a falha  foi corrigida ontem, sem muito estardalhaço por parte da Microsoft. 


Mais infomações: "Microsoft patches major Hotmail 0-day flaw after apparently widespread exploitation" - http://arstechnica.com/microsoft/news/2012/04/microsoft-patches-major-hotmail-0-day-flaw-after-apparently-widespread-exploitation.ars

2) Skype:


Sabemos que o Skype é uma aplicação P2P, mas o senso comum é que a não ser que você faça uma transferência de arquivo, um usuário não pode saber qual é o seu IP externo (e menos ainda o interno!).   



Um grupo de desenvolvedores responsável por uma versão "open-source" do Skype (http://skype-open-source.blogspot.com) divulgou ontem um "how to" de como instalar uma versão que foi disseminado no pastebin ("Skype user IP-address disclosure - http://pastebin.com/rBu4jDm8") e no twitter no dia de hoje. 



Pois bem - hoje um desenvolvedor russo pediu ajuda para testar um novo serviço online que ele estava testando, utilizando os dados já publicados anteriormente sobre a "vulnerabilidade": http://news.ycombinator.com/item?id=3899829


O resultado: o serviço está no ar, e funcionando: http://skype-ip-finder.tk/


O usuário do Skype deve estar logado no momento da query, e o resultado vai conter todos endereços IPs externos e internos de todos os dispositivos do usuário que estiverem logados no Skype, obtidos a partir do wrapper em python desenvolvido pelo russo "zhovner". 



Detalhes:

Perform obscure ip lookup for online skype account.Can find local and remote ip address.Based on deobfuscated Skypekit runtime that write clear debug log

Esta falha, somada a facilidade de buscar por um nome no diretório no Skype, deve ser considerada e usuários que pretendem omitir seu IP (e por consequência localização física) devem evitar utilizar o serviço até que haja uma correção por parte da Microsoft/Skype.

Posts relacionados:

• NSA paga Bilhões por "grampo" no Skype
• Skypeex - análise de dump de memória - chats do Skype
• Skype Chinês - Você está sendo vigiado... e suas conversas estão disponíveis na Internet!

CyberSecurity Reports: Mandiant, Verizon Business, HP, Verisign, WebSense, Trustwave & others

Existem muitos relatórios sobre o atual estado de ataques, a evolução e adaptação das técnicas utilizadas pelos perpetradores. Estamos acostumados a ver estes documentos sendo lançados por diversas fontes diferentes, deste empresas de anti-vírus, passando por fabricantes de sistemas operacionais e consultorias na área de governança corporativa.

A Mandiant e a Verizon Business estão entre as empresas mais especializadas e bem sucedidas em serviços de Resposta a Incidentes no mundo, e por isto mesmo lidam com os mais variados tipos de situações ao tratar inúmeros incidentes de segurança como vazamento de informações e invasão de sistemas em clientes de várias verticais de atuação diferentes.

Lendo este material é possivel perceber a melhoria na qualidade e quantidade de informações à disposição de uma empresa a partir do tratamento adequado de seus incidentes de segurança realmente criticos, o que auxilia as áreas envolvidas a desenvolver uma postura de segurança com foco nas ameaças reais.

Devido a este embasamento em casos reais,  considero que estes relatórios merecem uma leitura detalhada. Ao final deste post eu incluí também referências a outros 6 relatórios interessates publicados por outras organizações (HP, VeriSign, WebSense, TrustWave, ESET e Sophos).

Destaques M-Trends Mandiant:

Tipos de Ataques mais comuns: 

O tipo de ameaça enfrentado por uma organização deve nortear os investimentos em Segurança da Informação, dentre os maiores tipos de ataques investigados pela Mandiant em 2011, 

Indústrias sendo afetadas por ataques avançados:

Utilização de malware publicamente disponível  e Detecção dos incidentes (!)

Tendências (M-Trends)

1. Malware só conta uma parte da história: apenas 54% de todos sistemas comprometidos nos ataques investigados possuiam traços da execução de malware (o uso de credenciais válidas para acesso aos sistemas comprometidos é mais difícil de identificar e possibilita aos atacantes um movimento lateral entre sistemas, explorando senhas iguais e relações de confiança existentes nas redes atacadas) ;
2. Técnicas antigas sendo ressuscitadas: backdoors passivos estão sendo usados para bypassar detecção no host e na rede (... ); 
3. RATs - Remote Access Software & Trojans disponíveis publicamente são cada vez mais usados em ataques direcionados;
4. Processos de Fusão e Aquisição de empresas geram mercado de venda de informações confidenciais roubadas.
5. Empresas que participam de uma mesma cadeia produtiva são comprometidas pelos mesmos atacantes, que buscam obter mais informações de propriedade intelectual sobre o negócio.
6. Vale a pena ser persistente: atacantes que buscam ganho financeiro cada vez mais pretendem permanecer o maior tempo possível nas redes comprometidas.

Evidências de Comprometimentos (ou IOC/Indicators of Compromise) - além da presença de malware:

• Uso não autorizado de credenciais válidas (estas informações normalmente estão presentes em registros do Event Log do Windows, no registro, nas propriedades do arquivo/sistema de arquivo e no tráfego de rede) <= idealmente, parte destas informações está sendo logada remotamente em outros sistemas (AD, SIEM, Network Forensics, CarbonBlack, etc.); 
• Acesso Remoto a Sistema ou a arquivos (...)
• Vestígios de evidência e arquivos parciais (através de técnicas de perícia forense, é possivel 

Um parêntese aqui para um ponto que gosto de salientar - as evidências estão por toda a parte: 

Quanto mais visibilidade e automação na criação de registros que possam ser considerados "indicadores de comprometimento", melhor - de preferência, em memória, no tráfego de rede, nos logs de sistemas, no sistema de arquivo, em bancos de dados - ou seja, aonde quer que informação esteja armazenada ou trafegue temporariamente.

Relatório Mandiant M-Trends: http://fred.mandiant.com/M-Trends_2012.pdf

Relatorio Verizon Business - 2011 CaseLoad Review: http://www.verizonbusiness.com/resources/whitepaper/wp_verizon-2011-investigative-response-caseload-review_en_xg.pdf

Relatório Verizon Business - 2012 Databreach Investigations Report

http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2012_en_xg.pdf

Alguns pontos e tendências relacionados ao relatório da Verizon foram publicados recentemente no blog do Troy Hunt - leitura recomendada! Comento alguns dos principais pontos levantados, abaixo:

• Os ataques estão sendo originados quase sempre de fora das organizações (98%) e apenas 4% envolveram pessoal interno (ativamente) < esta tendência está aumentando nos últimos anos. É importante ressaltar que a segurança das redes e  sistemas internos continua sendo fundamental, para identificar e conter a evolução de ataques iniciados externamente. 

• Hacktivistas estão se tornando um problema real e sério  (58% do roubo de informações) < aqui vale a pena mencionar que pela característica de divulgação do resultado dos ataques, este valor certamente está distorcido em relação aos ataques tradicionais para venda de informações no underground, por exemplo.

• A maioria dos comprometimentos envolve o simples roubo de credenciais < ou seja, ninguém vai ter que desenvolver um StuxNet/DuQu se para obter as informações sensíveis for suficiente adivinhar ou usar ferramentas de bruteforce de senha..

• O tempo entre o comprometimento inicial e sua descoberta e contenção tem levado normalmente meses (54%) ou semanas (29%), e em poucos casos dias (13%) ou horas (2%) < isto é tempo mais do que suficiente para garantir aos atacantes um acesso a diversas informações sensíveis contidas em diferentes sistemas de uma empresa.

Outros Relatórios relevantes e dignos de nota, publicados recentemente:


HP: 2011 Top Cyber Security Risks Report
http://www.hpenterprisesecurity.com/news/download/2011-top-cyber-security-risks-report

Verisign iDefense 2012 Cyber Threats and Trends White Paper
http://www.verisigninc.com/en_GB/forms/idefense2012cybertrends.xhtml


Websense: 2012 Threat Report
http://www.websense.com/content/websense-2012-threat-report-download.aspx

Trustwave: 2012 Global Security Report
https://www.trustwave.com/global-security-report

ESET: Global Threat Report for 2012
http://go.eset.com/us/threat-center/

Sophos: Security Threat Report 2012

http://www.sophos.com/en-us/security-news-trends/reports/security-threat-report.aspx

ADUC 2012 Vegas

A Apura – Inteligência em Cibersegurança, tem o prazer de 
lhe convidar  para a Access Data Users' Conference, evento que
 acontece entre os dias 8 e 10 de maio, em Las Vegas (EUA).

Este evento proporcionará várias atividades de treinamento e 
workshops com os maiores especialistas da indústria da 
investigação digital do mundo.  O evento este ano terá trilhas 
de aprimoramento em computação forense, cibersegurança, 
análises legais e muito mais.

A ADUC é um evento produzido pela Accessdata, 
parceira da Apura. 

Mais informações: 

APURA: http://www.apuratrustedservices.com/apura/aduc2012/

Site oficial: http://accessdata.com/aduc/

PS: Nesta mesma semana estarão ocorrendo o INTEROP 
e o Symantec Vision.

FTK 4 - Evolução, Funcionalidades e evento de lançamento

[ Update 25/03/2012 ]


Mais de 100 inscrições foram feitas no link http://tinyurl.com/ApuraFTK4 e os eventos ocorrerão nesta semana em Brasília (3a) e São Paulo (5a). 


[ Update 07/03/2012 ]


Nos últimos dias alguns profissionais de renome na área comentaram e expandiram o assunto que tratamos neste post:


Em primeiro lugar, agradeço ao meu amigo Andrés Velázquez e expert em pericia forense da Mattica -  empresa mexicana precursora da área na América Latina - que publicou em seu blog sobre Computação Forense em espanhol o seguinte post: 

http://www.andresvelazquez.com/2012/03/la-nueva-version-de-accessdata-ftk-4-la-historia-por-sandro-suffert/ (1)


Aproveito também para agradecer ao SegInfo (2) e ao Luiz Rabelo (3) por publicarem em seus respectivos blogs material sobre o assunto em pauta. Muito obrigado, senhores!


[ Post Original 03/03/2012 ]


O world tour de lançamento da ferramenta FTK4 passará pelo Brasil em março (Brasília - 27 e São Paulo - 29). Caso você tenha interesse em participar do evento, faça seu cadastro neste link.

Tive a oportunidade de iniciar os testes da versão 4.0 do Forensic Toolkit da AccessData em 16 de fevereiro (obrigado Corey Johnson e Marcos Ferrari) e desde então estou esperando ter tempo para apresentar um resumo e capturas de tela das inovações que a ferramenta vem apresentando em suas últimas versões.

Antes de tratarmos algumas das novidades e pontos fortes da solução, gostaria de fazer um breve histórico da evolução da ferramenta nos últimos anos:

FTK 1.x) A versão mais antiga da solução já possuía alguns diferenciais interessantes, como a categorização/overview baseada em assinatura de arquivos; um processo de indexação (baseado no dtSearch) eficiente; e uma capacidade de análise de emails superior.

FTK 2.x e 3.x) Nesta versão foram incluídas funcionalidades como o Banco do Dados Oracle (2.x) para processamento de casos (em oposição ao processamento em memória); foi adicionada a capacidade de processamento distribuído em várias máquinas (1+3); A possibilidade de cálculo de Fuzzy Hashing, reconhecimento e indexação de texto em imagens (OCR); Detecção automatizada de imagens pornográficas (EID); Agente para aquisição de imagem de disco, dados voláteis e memória remotamente - para windows somente, Banco de dados PostGres (3.x), metacarving).

FTK 4.x) Análise de memória incluindo varredura de VAD TREE de processos, e possibilidade de utilização de agentes de "forense enterprise" para aquisição de dados em uma máquina ligada (Mac, Linux, ou Windows); Iremos tratar abaixo várias novidades desta versão e funcionalidades consagradas que se mantiveram, incluindo os novos módulos exclusivos da nova versão;

Alguns screenshots exclusivos do FTK4 em execução:

1) Gerenciamento de Casos é feito de forma transparente em um BD postgres:

2) Barra de navegação e visualização do FTK4 alia facilidade e poder de uso:

3) O Case Overview proporciona múltiplas maneiras de visualizar os dados presentes nas imagem forenses inseridas no caso:

4) Categorias de arquivos agrupadas por assinatura (headers):

5) Análise de dados voláteis e de memória incluindo processos, bibliotecas, sockets, arquivos abertos, parâmetros, etc..

6) Opção "Exportar informações de arquivos .LNK" (hat tip to David Cohen) que possibilita a geração de uma planilha com informações valiososas sobre a atividade de usuários no sistema operacional Windows, incluindo abertura de arquivos de pendrives, discos externos:

7) A Opção acima também facilita a extração de informações relacionadas ao acesso de diretórios de rede:

8) O novo módulo Cerberus de análise estática de binários, calcula uma classificação de risco baseada em uso de comunicações de rede, persistência, criptografia, obfuscação, APIs e funções utilizadas pelo binário - muito útil para casos envolvendo malwares:

9) O novo módulo de Visualização é extremamente flexível, permitindo a geração de gráficos baseados em diferentes informações presentes no caso, como estatísticas de arquivos selecionados:

10) O módulo permite também outros tipos de visualização, como o envio e recebimento de emails:

11) processamento distribuído - para casos maiores e análises mais rápidas, é possível habilitar o processamento distribuido em até quatro máquinas (O FTK4 estará rodando em uma delas e o "Distributed Processing Engine" em outras três) - isto pode significar um aumento significativo de performance.

12) agentes enterprise para Windows, MacOS e Linux - o FTK4 possibilita a aquisição remota de imagens (físicas ou lógicas) e também uma obtenção de dados voláteis e/ou o dump de memória RAM de máquinas dos sistemas operacionais Windows, Linux e MacOS.

13) Para finalizar, podemos verificar o poder da ferramenta observando o menu de Análises Adicionais:

São dignas de nota especial as seguintes funcionalidades adicionais:

a. Detecção de Imagens Pornográficas (EID) - com váras opções de algorítimos com diferentes níveis de precisão (e velocidade);


b. O reconhecimento óptico de caracteres (OCR) em arquivos de imagem, pdf, - com dois algorítimos disponíveis;


c. Fuzzy Hashing - muito útil para identificar mesmo pequenas alterações feitas em documentos e outros arquivos;


d. o poder de customização no carving (recuperação a partir de clusters não alocados) de arquivos e a funcionalidade de meta carving (busca por entradas órfãs na tabela FAT e no índice $MFT do NTFS);

e. a capacidade de geração de relatórios de informações do registro windows baseados em templates pré-configurados;

14) Caso eu tenha esquecido algo de relevante - e para encerrar o post - segue a lista de novidades listadas pela AccessData e ao final um link para os "Release Notes":

Forensic Toolkit 4 is now available! 

This major release is designed to deliver enterprise-class capabilities at a stand-alone price. Now, you can leverage the full functionality of AD Enterprise against a single live remote node. This means FTK users can conduct remote investigations to eliminate travel, reduce response times, and speed acquisitions…. And organizations gain incident response capabilities that are so critical in securing networks. In addition to AD Enterprise functionality, FTK 4 users are able to integrate malware triage and visual analytics with two new FTK add-on modules, the industry-first Cerberus malware triage and analysis module and our new state-of the art Visualization solution. 

FTK continues to be the most innovative solution on the market, as well as the best value, giving you integrated functionality that would normally cost tens of thousands of dollars. It’s time to learn the meaning of next-generation digital investigations…

What’s New in FTK 4?

Single-Node Enterprise
Install a persistent agent on a single computer to enable the remote analysis and incident response capabilities of AD Enterprise. Preview, acquire and analyze hard drive data, peripheral device data, (RAM Windows Only) and volatile data on Windows^®, Apple^® OS, UNIX^® and Linux^® machines. Uninstall the agent at any time, and push it out to a different computer.
WATCH DEMONSTRATION >

Expanded RAM Analysis
FTK 4 now provides VAD tree analysis. To see a full list of static RAM analysis capabilities, view the FTK data sheet.

New File System /File Type Support

• YAFFS and YAFFS2
• Exchange 2010 EDB
• 7zip

Enhanced decryption support (with proper credentials)

• Checkpoint Pointsec disk encryption
• Sophos Safeguard Enterprise (latest version)
• Multi-password capability

Increased processing performance, especially on systems with more than 8 cores.

New Regular Expression Support for Index Searching
FTK users can now search for advanced combinations of characters against the index.

Licensing
Added support for soft dongle licensing in virtual machines.

Add Integrated Malware Analysis with CERBERUS
Cerberus is a malware triage technology that is available as an add-on for FTK 4. The first step towards automated reverse engineering, Cerberus provides threat scores and disassembly analysis to determine both the behavior and intent of suspect binaries.

Add state-of-the-art data analytics with VISUALIZATION*
With our new visualization module you can view data in seconds in multiple display formats, including timelines, cluster graphs, pie charts and more.

SEE RELEASE NOTE FOR ADDITIONAL PRODUCT ENHANCEMENTS>