Material de Forense de Memoria atualizado e disponível para download

Material desenvolvido entre 2010 e 2013, apresentação disponível abaixo:

2010 2013 sandro suffert memory forensics introdutory work shop - public from Sandro Suffert

Forense de Memória para Linux e Mac

[ UPDATE 01/07/2012  ]

Excelente notícia: "Announcing Mac Support in Volatility": http://memoryforensics.blogspot.com.br/2012/06/announcing-mac-support-in-volatility.html


[ POST ORIGINAL: 25/06/12 ]

Duas novas ferramentas para dump/análise de memória nas plataformas Linux e Mac foram anunciadas recentemente - confira:

Linux/Android:

LInux Memory Extractor (LIME): http://digitalforensicssolutions.com/lime/

LiME (formerly DMD) is a Loadable Kernel Module (LKM), which allows the acquisition of volatile memory from Linux and Linux-based devices, such as those powered by Android. The tool supports acquiring memory either to the file system of the device or over the network. LiME is unique in that it is the first tool that allows full memory captures from Android devices. It also minimizes its interaction between user and kernel space processes during acquisition, which allows it to produce memory captures that are more forensically sound than those of other tools designed for Linux memory acquisition.

MacOS:

Mac Memoryze:  http://www.mandiant.com/resources/download/mac-memoryze-1.0trade

Mandiant Mac Memoryze is free memory forensic software that helps incident responders find evil in memory…on Macs.  Mac Memoryze can acquire and/or analyze memory images.  Analysis can be performed on offline memory images or on live systems.

image the full range of system memory; acquire individual processes memory regions; enumerate all running processes (including those hidden by rootkits); report all open file handles in a process (for example, all files, sockets, pipes, etc); list the virtual address space of a process including: loaded libraries, allocated portions of heap and execution stack, list network connections, enumerate all loaded kernel extensions, including those hidden by rootkits. enumerate the System Call Table and Mach Trap Table, enumerate all running Mach Tasks

Outra referência para MacOS - Mac Memory Reader: http://www.cybermarshal.com/index.php/cyber-marshal-utilities/mac-memory-reader

Outros posts sobre forense de memória (em Windows) já publicados por aqui:

Forense em Windows - Aquisição e Análise de Memória http://sseguranca.blogspot.com.br/2011/06/forense-em-windows-aquisicao-e-analise.html

Forense de Memória - Uma comparação de Ferramentas Disponíveis: http://sseguranca.blogspot.com.br/2008/12/forense-de-memria-uma-comparao-de.html

Oficina e Desafio de Análise Forense no Campus Party 2012  http://sseguranca.blogspot.com.br/2012/02/oficina-e-desafio-de-analise-forense-no.html

Aquisição e Análise de Memória ou "Memory Forensics": http://sseguranca.blogspot.com.br/2010/08/docencia-no-mestrado-em-informatica.html

pdymail - Forense de Memória para o Yahoo Mail http://sseguranca.blogspot.com/2009/01/pdymail-forense-de-memria-para-o-yahoo.html

pdgmail: nova ferramenta para Forense de Memória do GMAIL  http://sseguranca.blogspot.com.br/2008/10/pdgmail-nova-ferramenta-para-forense-de.html

Oficina e Desafio de Análise Forense no Campus Party 2012

[ Update: 12/02/2012 ]

A Oficina e Desafio de Análise Forense foi um sucesso - mais de 100 pessoas munidas com seus notebooks participaram do evento no palco Inovação - Segurança e Rede do Campus Party 2012.

Gostaria de agradecer mais uma vez o convite feito pelo Jacomo Piccolini do Team Cymru e também à Cristine Hoepers e ao Klaus Steding-Jessen do CERT.BR.

Depois de várias linhas de comando e muita análise forense utilizando ferramentas open-source de análise de mídias (SleuthKit), de rede (WireShark), de memória (Volatility) e de esteganografia (StegHide), o feedback dos participantes foi muito bom, e a troca de experiências entre os organizadores e os participantes foi gratificante.

Seguem os nomes dos vencedores e o tempo que levaram para vencer o desafio:

1o lugar: Felipe Bessa Coelho, 2h00 
2o: Elomar Souza, 2h08
3o: Reynaldo Allan Fulin, 2h12
4a: Tamires Harumi Dantas Takehara, 2h22

Segue abaixo a foto do campeão, Felipe Coelho, exausto depois da maratona, junto a mim e ao Jacomo Piccolini do Team Cyrmu.

Depois de 3 horas de desafio, apenas 3 outros participantes haviam chegado ao resultado final. A organização do evento resolveu entregar os prêmios restantes (do 8o ao 20o) aos participantes que haviam chegado até o penúltimo passo do desafio.

Parabéns a todos os participantes e especialmente ao Felipe, Elomar, Reynaldo e Tamires, que mostraram muita competência e agilidade na resolução dos problemas propostos.

[ Update: 10/02/2012 ]


Ok. PPTx pronto, VM Linux pronta, VM Windows pronta!

Nos vemos amanhã na Campus Party 2012 #CPBR5 


[ Post Original: 03/02/2012 ]

No ano passado, eu participei modestamente da preparação do Desafio Forense que aconteceu durante o evento Campus Party.

No Campus Party deste ano, eu estarei apresentando uma breve palestra sobre Forense Computacional na Oficina de Análise Forense (Palco de Segurança e Redes) e também coordenando um desafio prático junto aos "campuseiros", e ao lado dos mestres Jacomo Piccolini do Team Cymru e Guilherme Venere. Aproveito para agradecer publicamente o convite do Klaus Steding-Jessen e da Cristine Hoepers do CERT.BR.

Trata-se de um desafio de análise forense de nível intermediário, utilizando apenas soluções open-source e com premiações bem interessantes (veja abaixo) aos que se interessarem pelo enigma.. .


Desafio de Análise Forense do Campus Party 2012:

Envolverá a análise de artefatos e rastros de ataque com a utilização de conhecimentos cobertos na Oficina de Análise Forense.

Tem o propósito de propiciar aos campuseiros a oportunidade de colocar em prática os
conhecimentos que serão apresentados durante a oficina.




Premiações:

1º lugar: tablet Motorola Xoom 10.1'
2º e 3o lugar: kit com camiseta, canecas e outros brindes
4º ao 20º lugar: camisetas do CERT.br/Antispam.br




Datas importantes:
Análise de artefatos e rastros de ataques, com a utilização de conhecimentos cobertos na Oficina de Análise Forense

Início: 11/02/2012 às 14h30, no Palco de Segurança e Redes
Encerramento: 11/02/2012, assim que as 20 primeiras respostas corretas forem entregues aos instrutores

Segue link para o Folder Online do NIC.BR com informações sobre este e outros Desafios que ocorrerão na Campus Party 2012:

http://desafios-cpbr5.nic.br/

10 Curtas: Zeus SpyEye C2C Android IPhone StuxNet China Renault

Segue um resumo de dez links para assuntos interessantes que aconteceram na última semana:

• Zeus+SpyEye: Os toolkits de exploração mais bem sucedidos (Zeus e SpyEye) agora podem ser comprados em ToolKit combinado - infelizmente significa mais poder nas mãos dos criminosos com menos investimento.. (US$300-800);

• RH2.5: Outro Toolkit Malicioso - chamado RH2.5 - está sendo vendido por valores ainda inferiores, e com um Marketing "seja um WhiteHat fazendo o que os BlackHats podem fazer".. não colou;

• patch2poc: Análise interessante mostrando que assim que saem correções de segurança (patches), é muito rápido desenvolver códigos funcionais (proof of concept) para exploração das vulnerabilidades;

• Sumiço: O especialista em segurança Dancho Danchev (especialista em "Contra-Ciber-Inteligência", e BlackHat SEO) está desaparecido há vários meses. As circunstâncias do sumiço do especialista em seu próprio país (Bulgária) são desconhecidas;

• C2C: Falha no site do Ministério do Trabalho permite a criminosos a obtenção de dados como Nome Completo, Data de Nascimento, Filiação e Endereço+CEP - a partir apenas do CPF. No dia de ontem avisei aos envolvidos na investigação que o serviço é revendido há mais de um mês no modelo "C2C" - Criminal 2 Criminal por Phishers. E tem sido usado para envio de phishings personalizados a clientes de bancos;

• VA vs PT: The Evolving Role of Vulnerability Assessment and Penetration Testing in Web Application Security <= tem espaço pra todo mundo?

• Virus Android e Iphone: Excelente abordagem do tema no Quora <= Muito marketing foi feito recentemente dizendo que o IPhone era mais seguro.. Discussão interessante mostrando que às vezes Security é diferente de Safety;

• StuxNet: Mais uma ótima análise - desta vez sumarizando o assunto - do maior especialista no assunto - Ralph Langner.

• Investimento em Segurança: Interessante análise de Gunnar Peterson a distribuição de investimentos em segurança (infraestrutura vence os demais domínios) : What is it you would say that you do here?

• China: A China está novamente envolvida em um escândalo de espionagem, desta vez envolvendo a montadora francesa Renault.