Sans publica consenso sobre novas tendências de Resposta a Incidentes e Forense

sasO Sans Institute divulgou uma interessante lista de novas tendências das áreas de "Incident Response (I.R.)" e "Computer Forensics":

• Aumento das Investigações de Vazamentos de Dados;
• As empresas que precisam de IR/Forensics não fizeram a preparação adequada
• Necessidade clara de qualificação adequada para execução de Forensics
• Sub-setor de E-Discovery com grande crescimento devido às Federal Rules of Civil Procedure
• Muitos dados para executar Forensics / necessidade de rever processos tradicionais
• Forense para dispositivos móveis (Ipods, PDAs, ...)
• Coleta e Análise de Dados Voláteis têm sido críticos para resolução de casos.

Os especialistas consultados foram:

• Jim Butterworth (Guidance Software)
• Harlan Carvey (IBM ISS)
• Art Ehuan (Forward Discovery)
• Rob Lee (Mandiant)
• Monty McDougal (Raytheon)
• Bret Padres (Stroz Friedberg LLC)
• Jeffrey Palatt (IBM ISS)
• Ed Skoudis (Intelguardians)
• Aaron Walters (Volatile Systems)

Helix3 2.0 lançado

A E-Fense lançou ontem a versão 2.0 do seu Live CD Helix3 - uma ótima alternativa open-source para resposta a incidentes e forense computacional "live"..

Nesta versão, o Linux utilizado como base foi o Ubuntu, o que certamente facilitará no processo de atualização das várias ferramentas que compõem a distribuição - listadas abaixo:

Ferramentas Gráficas:

• Adepto & Air - GUI front-ends to dd/dcfldd/sdd
• linen: EnCase Image Acquisition Tool
• Retriever: (picture/video) capturing utility for “quick peeks”, and general searches
  
• Autopsy Forensic Browser - graphical interface to the command line digital investigation analysis tools in The Sleuth Kit
• pyFlag - simplify the process of log file analysis and forensic investigations
• RegViewer - *Nix viewer / navigator for windows registry file
• xhfs - graphical front-end for browsing and copying files on HFS-formatted
  volumes
• Ethereal - allow you to interactively browse network traffic
• ClamAV and F-Prot Anti Virus Scanners
  

Command Line:

• 2hash: MD5 & SHA1 parallel hashing.
• bmap: Detect & Recover data in used slackspace
  
• ChaosReader: Trace tcpdump files and extract data
  
• chkrootkit: Look for rootkits.
• chntpw: Change Windows passwords.
• dcfldd: dd replacement from the DCFL.
• e2recover: Recover deleted files in ext2 file systems.
• f-prot: F-Prot Anti Virus Scanner.
• fatback: Analyze and recover deleted FAT files.
• faust.pl: Analyze elf binaries and bash scripts.
• fenris: debugging, tracing, decompiling.
• foremost: Carve files based on header and footer.
• ftimes: A toolset for forensic data acquisition.
• galleta: Cookie analyzer for Internet Explorer.
• glimpse: Indexing and query system.
• grepmail: Grep through mailboxes.
• logfinder.py: EFF logfinder utility.
• logsh: Log your terminal session
• lshw: Hardware Lister.
• mac-robber: TCT's graverobber written in C.
• md5deep: Recursive md5sum with db lookups.
• outguess : Steganography detection suite.
• pasco: Forensic tool for Internet Explorer Analysis.
• rifiuti: "Recycle BIN" analyzer.
• rkhunter: Rootkit hunter.
• scalpel: Fast File Carver
• sdd: Specialized dd w/better performance.
• sha1deep: Recursive sha1sum with db lookups.
• sha256eep: Recursive sha1sum with db lookups.
• stegdetect: Steganography detection suite.
• wipe: Secure file deletion.

Várias organizações utilizam o Helix como base para treinamentos :

e-fense: Helix Live Forensics

NW3C: Linux Forensics

SANS Track 508: System Forensics, Investigation & Response

InfoSec Institute: Computer Forensics Training

SEARCH: Basic Investigators Training

Apresentação sobre logs para resposta a incidentes e forense

Anton Chuvakin (LogLogic) disponibilizou uma interessante apresentação sobre a utilização de logs nos processos de resposta a incidentes e forense computacional que ele preparou para o Simpósio "GOVCERT 2008", na Holanda. Vale a pena conferir.

Iphone Forensics Book & Video

Update: Iphone Forensics Video:

http://security4all.blogspot.com/2008/09/iphone-forensics-video-online-and-some.html

Iphone Forensics Book

"This book is a must for anyone attempting to examine the iPhone. The level of forensic detail is excellent. If only all guides to forensics were written with this clarity!" -Andrew Sheldon, Director of Evidence Talks, computer forensics experts With iPhone use increasing in business networks, IT and security professionals face a serious challenge: these devices store an enormous amount of information. If your staff conducts business with an iPhone, you need to know how to recover, analyze, and securely destroy sensitive data. iPhone Forensics supplies the knowledge necessary to conduct complete and highly specialized forensic analysis of the iPhone, iPhone 3G, and iPod Touch. This book helps you:

Determine what type of data is stored on the device Break v1.x and v2.x passcode-protected iPhones to gain access to the device Build a custom recovery toolkit for the iPhone Interrupt iPhone 3G's "secure wipe" process Conduct data recovery of a v1.x and v2.x iPhone user disk partition, and preserve and recover the entire raw user disk partition Recover deleted voicemail, images, email, and other personal data, using data carving techniques Recover geotagged metadata from camera photos Discover Google map lookups, typing cache, and other data stored on the live file system Extract contact information from the iPhone's database Use different recovery strategies based on case needs

And more. iPhone Forensics includes techniques used by more than 200 law enforcement agencies worldwide, and is a must-have for any corporate compliance and disaster recovery plan. This book is still in progress, but you can get going with this vital information right away through the Rough Cuts edition, whichgives you access to the manuscript as it evolves, either online or via PDF."

Esteganografia na Folha de São Paulo para denunciar fraude em licitação de obra do metrô

Numa interessante utilização da técnica de esteganografia, o editor da Folha de São Paulo Online lançou mão desta arte de esconder mensagens dentro de outras para mostrar que era conhecido o vencedor de uma licitação para o Metrô de São Paulo 8 horas antes da divulgação oficial do resultado.

Veja a reportagem original com o texto escondido, falando da ópera Salomé, e a reportagem que mostra os trechos escondidos que denunciam que a licitação foi "dirigida".

Obrigado ao Marcelo Alves por garimpar esta....

Portal Brasileiro de Programação Segura Java

Aumentando o coro em prol da divulgação do novo portal de segurança para programação em Java de Lucas Ferreira.

Já utilizei suas referências em empresas que trabalhei e sempre temos que aplaudir iniciativas como estas de publicações de referências de tão alta qualidade sob licença Creative Commons ..

Seções:

• Validar os dados de entrada
• Proteger a aplicação web contra cross site scripting
• Evitar "command injection"
• Tratar corretamente todos os erros da aplicação
• Validar a origem das requisições
• Usar objetos imutáveis
• Limitar o acesso às variáveis, classes e métodos
• Tornar todos os métodos e classes “final”
• Não usar o escopo de pacote para proteger a classe contra acessos indesejados
• Impedir a clonagem dos objetos
• Usar classes não serializáveis
• Usar classes não desserializáveis
• Não armazenar informações confidenciais no código do programa
• Não comparar classes por nome
• Não usar classes internas (“inner class”)
• Usar os mecanismos de autenticação dos contêineres J2EE
• Usar sockets com criptografia SSL
• Proteger os arquivos criados
• Especificar o diretório onde serão criados os arquivos temporários
• Verificar condições de “overflow”, “underflow” e conversões de tipos numéricos
• Declarar as variáveis estáticas públicas como “final”
• Não armazenar vetores recebidos como parâmetros
• Apagar dados críticos da memória
• Controle de acesso em aplicações web
• Usar os mecanismos de tratamento de exceções
• Verificar métodos nativos (“native methods”)
• Validar unboxing para tipos primitivos

Brasileiro preso na Holanda por aluguel de botnet pode ser extraditado para os EUA

[ Update - 12/12/2009 ]

Depois de 16 meses do post original sobre o assunto, citando várias fontes da mídia especializada se referindo à prisão de um brasileiro acusado de intermediar um aluguel de computadores zumbis da "Shadow Botnet", recebi hoje um comentário anônimo no meu blog (de um IP oriundo da cidade de Taubaté - que já havia chegado ao blog via pesquisas no Google em outra oportunidade) afirmando - de forma bastante exaltada *e por isto não foi publicado na íntegra* - que o brasileiro é "inocente e já estaria no Brasil".

Não encontrei as "reportagens da BAND" que o anônimo citou em seu comentário como "ser a única que foi procurada para auxiliá-lo para provar ao Brasil e ao MUNDO, que ele foi vítima de uma armadilha" - mas informo que se receber um link ou outra referência verificável, publicarei assim que averiguar a fonte.

Voltando a analisar o assunto depois de quase 1 ano e meio, encontrei um detalhamento maior do desenrolar desta história na revista Geek http://www.geek.com.br/blogs/832697695/posts/10243-brasileiro-e-indiciado-por-shadow-botnet-o-rei-do-spam e Galileu http://revistagalileu.globo.com/Revista/Galileu/0,,EDR86914-7943,00.html

Para a Revisa Galileu, na oportunidade da reportagem de junho de 2009 - o brasileiro falou sobre o assunto. Como esta é a única defesa publicada que encontrei, estou a reproduzindo como complemento deste post de 1 ano e meio atrás - tire as suas conclusões:

* Qual era o seu trabalho no Brasil?
Leni de Abreu Neto: Eu trabalhava com o aluguel de servidores dedicados.

* Que negociação você fez na Holanda?
Leni: Intermediei a venda de um CD-ROM com um software, desenvolvido por um holandês, que tinha o código-fonte de uma botnet com 25 mil computadores. Ganhei 10 mil euros.

* Uma rede de "computadores-zumbis"?
Leni: Não, não. Essa botnet é diferente. Ela foi toda feita com download voluntário. Um programa mandava por MSN um link para download, mas sem vírus, sem invasão, sem ação de hacker. Tenho como provar que tudo foi feito dentro da lei.

* Você afirma que toda pessoa que fez o download para que seu computador fosse controlado à distância sabia disso?
Leni: Claro. Só se ela for analfabeta para não saber. Quem faz a instalação é o Windows. Mesmo que a pessoa por MSN tenha passado o link como sendo, por exemplo, a foto de uma mulher pelada, quando ela clicar o Windows vai avisar que é um programa e perguntar pelo menos duas vezes se a pessoa quer a instalação. Quem mandou o programa pode ter mentido, mas mentir não é crime.

* Se era tudo dentro da lei, por que o programa foi negociado pessoalmente, com dinheiro vivo?
Leni: Porque o Ronnie me induziu a trabalhar diferente da maneira com que geralmente eu trabalho. Eu receberia o depósito em conta e mandaria o software por e-mail. Na última hora, ele me entregou o dinheiro e pediu para fazer a negociação. Fiz como um favor para o Ronnie. Foi uma armação da polícia.

* Como é a sua vida hoje?
Leni: Como você acha que é? Na cela em frente, está um cara que matou a esposa. Trato todo mundo com educação para que não venham me matar. Esse lugar não tem nada a ver comigo. Nunca cometi nenhum crime.

[ Post Original - 22/08/2008 ]

Os acordos internacionais e cooperação entre as polícias especializadas no combate ao cyber-crime começaram a mostrar resultados neste ano.

Foi anunciada ontem a prisão do brasileiro Leni de Abreu Neto, de Taubaté-SP, ocorrida no final de julho, depois da cooperação entre a Polícia Federal Brasileira (Cyber Crimes), o Federal Bureau of Investigations (FBI - Cyber Squad Unit of New Orleans) e a Unidade de Combate a crimes de Alta Tecnologia da Holanda (Nederlandse High-Tech Crime Unit). A operação foi batizada como "Conexão Holanda" pela Polícia Federal brasileira.

Além dos brasileiro estão envolvidos os criadores da botnet - que se disseminava principalmente por MSN - que são dois irmãos holandeses - um com 16 e outro com 19 anos (Nordin Nasiri) que serão processados em seu país de origem.

Dentre as atividades investigadas, foi divulgado que o brasileiro fez um acordo com o holandês Nasiri há 4 meses atrás para atuar como negociador do aluguel da botnet a terceiros - para envio de SPAM, o que segundo levantamentos pode ter rendido cerca de R$ 70 mil em apenas uma negociação.

Se condenado, Leni de Abreu Neto pode pegar até cinco anos de cadeia, mais três de condicional, aém de ter de pagar uma multa de até U$ 250 mil dependendo dos prejuízos causados.

Leni está preso na Holanda e pode ser extraditado para os Estados Unidos, onde está sendo acusado de "conspiração para causar dano a computadores" por um juri federal no estado americano da Luisiana.

OpenVas - fork GPL Free do Nessus

Foi anunciada ontem a primeira versão estável do OpenVas - Fork Gratuito e GPL do famoso scanner de vulnerabilidade "Nessus", que trocou seu licenciamento para um modelo comercial.

Assim como o Nessus, o OpenVas possui um componente server e outro client, e inclui uma lista gratuita de plugins para os testes de vulnerabilidade.

China e EUA: Quer privacidade? Desligue e Tire a bateria do seu celular...

Na semana passada escrevi sobre a monitoração da Internet Chinesa nos jogos olímpicos. Hoje o pessoal da belsec chama atenção para esta entrevista de Joel Brenner (executivo de contra-inteligência do governo americano) que vai mais longe: segundo ele, o governo chinês (e outros, certamente), pode ligar seu telefone e ativar o microfone enquanto você pensa que ele está desligado:

Mr. BRENNER: The public security services in China can turn your telephone on and activate its microphone when you think it's off.

Mr. ORR: If the phone's in my pocket and it's off, you're saying an outside force, an outside agent can turn it on.

Mr. BRENNER: Yeah.

Mr. ORR: And listen to what I'm doing?

Mr. BRENNER: That is what I'm saying.

Mr. ORR: And my BlackBerry.

Mr. BRENNER: Same thing.

Presos os hackers responsáveis pelos maiores roubos de números de cartões de crédito (incluindo TJX)

Depois de 3 anos da intrusão inicial e 1 ano e meio da divulgação do incidente pela TJX, o Departamento de Justiça americano divulgou que em conjunto com forças da lei de vários países foram presas 11 pessoas, entre elas 3 americanos, um estoniano, 3 ucranianos, um chinês e um bielorusso (incluindo um informante do serviço secreto americano).

Eles foram os responsáveis pelo maior roubo de números de cartão de crédito da história da internet: o da empresa americana TJX (que foi um grande motivador para a criação do padrão/auditoria "PCI - Payment Card Industry Data Security Standard") .

O total de cartões de crédito afetados pela quadrilha somente na TJX chega a mais de 40 milhões (cerca de 12 milhões de MasterCards e 25 milhões de cartões Visa) . Sem dúvida trata-se do maior caso de roubo de identidades já descoberto/divulgado.

Interessante notar que a empresa TJX divulgou que percebeu que haviam sido roubados números de cartões de crédito em janeiro de 2007, mas investigações indicaram que as primeiras intrusões ocorreram no ano de 2005. Algumas prisões já haviam ocorrido em 2007, mas todas relacionadas aos receptadores dos dados, desta vez foram presos os responsáveis pelas invasões e distribuição dos números de cartões de crédito.

A informação confirma que redes wireless de várias empresas (TJX, BJ’s Wholesale Club, OfficeMax, Boston Market, Barnes & Noble, Sports Authority, Forever 21 e DSW) foram inicialmente exploradas pelos hackers que depois conseguiram se infiltrar nos sistemas internos das empresas. Veja a anatomia do ataque à TJX.

Os perpetradores posteriormente venderam ou gravaram os números de cartões de crédito para saques em ATM's em uma rede de distribuição que envolvia os seguintes países: Ucrania, Bielorussia, Estonia, China, Philipinas e Tailandia.