Material de Forense de Memoria atualizado e disponível para download

Material desenvolvido entre 2010 e 2013, apresentação disponível abaixo:

2010 2013 sandro suffert memory forensics introdutory work shop - public from Sandro Suffert

Forense de Memória para Linux e Mac

[ UPDATE 01/07/2012  ]

Excelente notícia: "Announcing Mac Support in Volatility": http://memoryforensics.blogspot.com.br/2012/06/announcing-mac-support-in-volatility.html


[ POST ORIGINAL: 25/06/12 ]

Duas novas ferramentas para dump/análise de memória nas plataformas Linux e Mac foram anunciadas recentemente - confira:

Linux/Android:

LInux Memory Extractor (LIME): http://digitalforensicssolutions.com/lime/

LiME (formerly DMD) is a Loadable Kernel Module (LKM), which allows the acquisition of volatile memory from Linux and Linux-based devices, such as those powered by Android. The tool supports acquiring memory either to the file system of the device or over the network. LiME is unique in that it is the first tool that allows full memory captures from Android devices. It also minimizes its interaction between user and kernel space processes during acquisition, which allows it to produce memory captures that are more forensically sound than those of other tools designed for Linux memory acquisition.

MacOS:

Mac Memoryze:  http://www.mandiant.com/resources/download/mac-memoryze-1.0trade

Mandiant Mac Memoryze is free memory forensic software that helps incident responders find evil in memory…on Macs.  Mac Memoryze can acquire and/or analyze memory images.  Analysis can be performed on offline memory images or on live systems.

image the full range of system memory; acquire individual processes memory regions; enumerate all running processes (including those hidden by rootkits); report all open file handles in a process (for example, all files, sockets, pipes, etc); list the virtual address space of a process including: loaded libraries, allocated portions of heap and execution stack, list network connections, enumerate all loaded kernel extensions, including those hidden by rootkits. enumerate the System Call Table and Mach Trap Table, enumerate all running Mach Tasks

Outra referência para MacOS - Mac Memory Reader: http://www.cybermarshal.com/index.php/cyber-marshal-utilities/mac-memory-reader

Outros posts sobre forense de memória (em Windows) já publicados por aqui:

Forense em Windows - Aquisição e Análise de Memória http://sseguranca.blogspot.com.br/2011/06/forense-em-windows-aquisicao-e-analise.html

Forense de Memória - Uma comparação de Ferramentas Disponíveis: http://sseguranca.blogspot.com.br/2008/12/forense-de-memria-uma-comparao-de.html

Oficina e Desafio de Análise Forense no Campus Party 2012  http://sseguranca.blogspot.com.br/2012/02/oficina-e-desafio-de-analise-forense-no.html

Aquisição e Análise de Memória ou "Memory Forensics": http://sseguranca.blogspot.com.br/2010/08/docencia-no-mestrado-em-informatica.html

pdymail - Forense de Memória para o Yahoo Mail http://sseguranca.blogspot.com/2009/01/pdymail-forense-de-memria-para-o-yahoo.html

pdgmail: nova ferramenta para Forense de Memória do GMAIL  http://sseguranca.blogspot.com.br/2008/10/pdgmail-nova-ferramenta-para-forense-de.html

Remnux - Distribuição para Análise de Malware

[ Update 2011/01/13 - Lançada a versão 2.0 do REMNUX ]

http://blog.zeltser.com/post/2728384129/whats-new-in-remnux-v2

Download: https://sourceforge.net/downloads/remnux/version2/

[ Post Original - 2010/07/08 ]

O Lenny Zeltser - já citado por aqui pelos seus cheat sheets de segurança, acaba de lançar uma VM baseada em Ubuntu com o foco em análise de Malware chamada REMNUX.

Download da VM REMUX: http://www.megaupload.com/?d=WPRV5Z2K (548Mb)

Entre as ferramentas disponíveis na distribuição, estão:

Analyzing Flash malware: swftools, flasm, flare

Analyzing IRC bots: IRC server (Inspire IRCd) and client (Irssi). To launch the IRC server, type “ircd start”; to shut it down “ircd stop”. To launch the IRC client, type “irc”.

Network-monitoring and interactions: Wireshark, Honeyd, INetSim, fakedns and fakesmtp scripts, NetCat

JavaScript deobfuscation: Firefox with Firebug, NoScript and JavaScript Deobfuscator extensions, Rhino debugger, two versions of patched SpiderMonkey, Windows Script Decoder, Jsunpack-n

Interacting with web malware in the lab: TinyHTTPd, Paros proxy

Analyzing shellcode: gdb, objdump, Radare (hex editor+disassembler), shellcode2exe

Dealing with protected executables: upx, packerid, bytehist, xorsearch, TRiD

Malicious PDF analysis: Dider’s PDF tools, Origami framework, Jsunpack-n, pdftk

Memory forensics: Volatility Framework and malware-related plu

Miscellaneous: unzip, strings, ssdeep, feh image viewer, SciTE text editor, OpenSSH server

RegRipper & NIST Forensic Challenge

Para quem não conhece, o RegRipper é um excelente programa desenvolvido em Perl por Harlan Carvey - que também é escritor de um dos livros listados recentemente em outro post.

Pois bem, recentemente o próprio Carvey divulgou que um analista (Paul Stutz) ao trabalhar no caso forense de hacking do CFReDS / NIST utilizou o script rip.pl e publicou os procedimentos utilizados em um documento online.

Gostaria de ressaltar a praticidade e velocidade da utilização desta excelente ferramenta com alguns exemplos de comandos simples executados para responder perguntas comuns em qualquer análise forense:

• Qual versão do sistema operacional do sistema analisado?

$ ./rip.pl -r /Volumes/Untitled/WINDOWS/system32/config/software -p winver

Launching winver v.20081210
ProductName = Microsoft Windows XP
InstallDate = Thu Aug 19 22:48:27 2004

• Qual é o TimeZone (Fuso Horário) do sistema?

$ ./rip.pl -r /Volumes/Untitled/WINDOWS/system32/config/system -p timezone

Launching timezone v.20080324
TimeZoneInformation key
ControlSet001\Control\TimeZoneInformation
LastWrite Time Thu Aug 19 17:20:02 2004 (UTC)
DaylightName -> Central Daylight Time
StandardName -> Central Standard Time
Bias -> 300 (6 hours)
ActiveTimeBias -> 360 (5 hours)

• Quais são os usuários registrados no sistema?
  

$ rip.pl -r evidence/registry/SAM -p samparse | grep Username

Launching samparse v.20080415
Username: Administrator [500]
Username: Guest [501]
Username: HelpAssistant [1000]
Username: SUPPORT_388945a0 [1002]
Username: Mr. Evil [1003]

Para muitos outros exemplos como os apresentados acima, recomendo a leitura do PDF.

Mini-Guia de Uso Seguro de Desktops: 10 dicas essenciais

Este post condensa 10 recomendações básicas para auxiliá-lo na utilização (mais) segura de um Desktop no dia-a-dia:

01 - conheça os riscos ao utilizar um computador e conheça os golpes mais comuns para não ser uma presa fácil - todas as precauções de segurança a seguir são inúteis se você possui um "comportamento de risco";

02 - não aceite o default, faça uma configuração segura (hardening) de sua máquina [WIN, LINUX, MAC];

03 - utilize sempre senhas grandes e fortes [dicas aqui] e não as repita em diferentes sistemas;

04 - jamais utilize no dia-a-dia o computador com o usuário com privilégios de administrador ou root;

05 - mantenha seu sistema operacional sempre atualizado [ WIN / LINUX: default / MAC: default ] e suas aplicações também [ WIN: PSI,Sumo / LINUX: default];

06 - utilize um bom firewall pessoal e saiba quais programas precisam se conectar a internet [WIN: Comodo ou FW do Vista / LINUX: iptables / MAC: application firewall];

07 - utilize um bom anti-virus [WIN: Avira, NOD32 ];

08 - utilize um sandbox [ WIN: SanboxIE, LINUX e MAC: chroot ] para executar navegadores e outros "programas problema";

09 - Somente permita temporariamente que sites confiáveis executem scripts (java,javascript,activex,etc..)
[ Firefox: instale o noscript, Chrome: chrome.exe -disable-javascript -disable-java -disable-plugins. Se insiste em usar o Internet Explorer, use o IE8];

10 - Conheça melhor o funcionamento do seu computador - detalhes como programas de inicialização comuns, processos em execução, portas abertas por default, serviços iniciados, usuários cadastrados, registros/logs...

BluePill - Ataques à BIOS e Bots em Modems Linux

Alguns colegas e leitores (obrigado Lincoln, Marcelo e Otávio) me enviaram links sobre dois "novos" vetores de ataques bastante comentados nos últimos dias pela comunidade de segurança:

1) ataques e rootkits que agem na BIOS; e

2) bots que infectam modems Linux

Ambos os vetores têm um alcance e escalabilidade potencialmente pequenos, porém são interessantes do ponto de vista da inovação, pois nos tiram do lugar comum de ataques envolvendo buffer overflows em executáveis de arquitetura x86 para windows ou linux, vulnerabilidades em browsers /plugins e engenharia social.

Vamos detalhar um pouco as duas novidades:

Vetor (1) ataques e rootkits que agem na BIOS;

Há mais de 10 anos atrás o temido vírus "Chernobyl" sobrescrevia parte da BIOS, deixando o computador inutilizável (aliás, o que motivou as BIOS com proteção de escrita - que está sendo "bypassada" agora).

Ainda no campo dos ataques ao "Basic Input Ouput System" (1), há mais de três anos (pdf 1, pdf 2, pdf 3 ) alguns pesquisadores de segurança (Loïc Duflot, John Heasman, Joanna Rutkowska, Rafal Wojtczuk e Greg Hoglund - autor do mais famoso livro sobre Rootkits) alertam sobre a viabilidade de exploits e rootkits na BIOS (persistentes à formatação/wipe do HD).

Recentemente os poloneses Joanna Rutkowska (que introduziu o conceito de "BluePill") e Rafal Wojtczuk- da InvisibleThings - publicaram mais um paper (pdf 1) / (pdf 2) demonstrando - com código de prova de conceito - um ataque à memória SMRAM via cache-poisoning em CPUs Intel - dois exploits foram desenvolvidos, um para fazer o dump e o outro para execução arbitrária de código, ambos na memória "protegida" SMRAM , durante a operação do SMM - System Management Mode.

A dificuldade na exploração da vulnerabilidade descrita se deve à necessidade de chegar à memória SMRAM a partir de acesso a registradores específicos para o modelo do processador (daí a necessidade de ser root/administrador ou possuir acesso físico à máquina). Uma boa descrição deste ataque foi feita recentemente no blog "Microsoft Malware Protection Center".

Os argentinos Anibal Sacco e Afredo Ortega (da empresa Core Security - fabricante do ótimo software de PenTest "Core Impact") fizeram uma apresentação há poucos dias (pdf) na conferência Consecwest chamada "Persistent BIOS Infection", na qual são detalhados os métodos de persistência de códigos maliciosos, e são apresentados backdoors stealths em nível de BIOS (por isto independentes de sistema operacional).

Os exemplos que foram demonstrados pelos hermanos são a modificação do shadow em Unix (ou seja, mudança de senha de qualquer usuário, inclusive root) e injeção de código em binários windows - tudo isto é executado a partir de recursos disponíveis ao backdoor rodando na BIOS (shellcodes em 16 bits).

Outro detalhe interessante: como as máquinas virtuais também tem BIOS, foram demonstradas técnicas para infectar múltiplas máquinas virtuais (atenção administradores de VMWare Servers) .

Alguma água vai rolar ainda sobre este tópico - segundo a MMPC, a Intel já sabia destas vulnerabilidades e inclusive a documentou no data sheet de um chipset vulnerável (5100 MCH): "The chipset/platform cannot protect against processors who attempt to illegally access SMM space that is modified in another processor's cache".


Vetor (2): bots que infectam modems MIPS e outros rodando Linux

Para um hacker, invadir computadores isoladamente não é a única abordagem possível de se controlar máquinas remotamente. Como já colocamos anteriormente em duas ocasiões, pode ser mais proveitoso para um atacante ter controle de um roteador que é responsável por distribuir IPs (DHCP) em uma rede, resolver nomes de sites (DNS), etc..

Nos nossos post "linkados" acima, descrevemos o código malicioso ZLOB ou DNSChanger - que depois de infectar uma máquina Windows, direciona seus esforçous de invasão (força bruta de senhas padrão) em roteadores no IP registrado como gateway desta máquina infectada.

Já no caso do PsyB0t - personagem das notícias recentes sobre a botnet rodando em modems Linux (como o Netcomm NB5 ADS, openwrt e dd-wrt), a infecção ocorre de modem linux a modem linux.

Em dezembro de 2008 o pesquisador australiano Terry Baume descobriu a botnet, e uma primeira análise (pdf) do Psyb0t 2.5L foi feita por ele em janeiro deste ano. Uma vulnerabilidade em várias revisões deste modem permitiu que o criador utilizasse exploits para invadir os modems - quando isto não é possível, a botnet tenta senhas padrão (a la ZLOB) para tentar acesso à interface administrativa dos modems.

Falando em história mais uma vez e em exploração de vulnerabilidades de modems: em 2001 o pesquisador Tsutomu Shimomura (sim aquele que prendeu o Kevin Mitnick) - achou e divulgou uma falha no modem ADSL Speed Touch Pro da Alcatel - esta falha não foi corrigida em modems distribuídos em vários países, e juntando ao enredo a famosa prática da "senha padrão" - acabou ocasionando a invasão em massa de modems na Itália (2001) e no Brasil (2003), por exemplo.

Adequando o ataque à realidade de hoje, voltamos à botnet PsyB0t - a primeira a ter como alvo modems ADSL e roteadores - já possui mais de 100 mil modems linux zumbis, é controlada via IRC e já está sendo utilizada para ataques de DDOS (um dos ataques que mais repercutiu foi ao site DRONEBL (ainda sob ataque) - que possui um serviço de listagem para bloqueio (DNSBL) de botnets e possivelmente está atrapalhando o seu crescimento). O ataque tem sido chamado de "Network BluePill" - por sua característica Stealth (as máquinas da rede que confiam no Gateway estão completamente à mercê).

É o primeiro caso de uma botnet tão bem sucedida em Linux, e o primeiro caso de uma botnet em "embedded devices". Certamente é preocupante, e pode ficar pior (nada como um bom FUD) - se somarmos este tipo de ataque (usando senhas default em modems/routers) a DNS Rebinding - veja descrição e video de 2008 no site do Dan Kaminsky.

Percebe-se pelas várias análises já publicadas que o PsyBot é um malware perigoso e bem desenvolvido :

• contém shellcode para vários devices de arquitetura mipsel (mips little-endian)
  
• não está atacando computadores ou servidores
  
• utiliza múltiplas estratégias de exploração de modems, incluindo força-bruta de senhas
  
• extrai / rouba usuários e senhas através de deep packet inspection
• varre por servidores com phpMyAdmin e MySQL vulneráveis e os ataca
• faz o modem se juntar a uma botnet via protocolo IRC, porta tcp 5050.
• desabilita o acesso à interface administrativa do modem (SSH, Telnet, and HTTP) - o que dificulta sua remoção, pois a conexão continua a funcionar, mas você perde a habilidade de configurar o seu router (pode ser um indicativo de que você está infectado).

Para garantir sua segurança - tome estes cuidados com seu modem/router (adsl/cabo):

1. troque a senha padrão da interface de administração do modem;
   
2. se certifique que ela não está aberta para a Internet; e
3. faça um upgrade de firmware para a última versão.

Conclusões:

É verdade que a grande maioria dos ataques a que estamos expostos são perpetrados explorando falhas simples como engenharia social e utilização de exploits públicos para vulnerabilidades antigas, porém os dois vetores de ataques que descrevemos nos lembram da importância do conceito de segurança em profundidade. Se você puder escolher, utilize placas-mãe não vulneráveis aos ataques de BIOS (veja a lista aqui) e upgrade de firmware e configuração segura de modems de banda larga [ADSL/Cabo]).

Os vetores de ataques descritos não são prevalentes, porém são viáveis e tem um perigoso componente stealth. Este tipo abordagem permite ao atacante um controle de posições privilegiadas (seja no router, seja na BIOS) e como não atuam na camada de sistema operacional dos computadores da rede, podem permanecer sem detecção por muito tempo.

É claro que uma "percepção situacional" apurada e atualizada é fundamental para nos defendermos de novos ataques e de adversários bem preparados, pois a pesquisa de ontem que virou a prova de conceito de hoje pode se transformar no ataque que você pode sofrer ou terá que analisar amanhã...

TrueCrypt 6.0 - melhor e mais rápido.

A melhor solução open source de criptografia de disco (incluindo Full-Disk Encryption) - TrueCrypt - lançou ante-ontem uma nova versão. Entre as novidades que me chamaram atenção, estão:

• utilização de múltiplos processadores (e multi-cores) para criptografia e descriptografia (veja benchmark)
  
• capacidade de criar e executar sistemas operacionais escondidos (Windows Vista/XP/2008/2003)
• possibilidade de criar volumes escondidos no Mac OS X e distribuições Linux
• no Linux, agora são utilizados os serviços padrão de criptografia do kernel - para volumes criptografados no modo XTS.
  

Download do BackTrack 3 disponível

Lançada a versão final do BackTrack 3 - a melhor distribuição Linux (versões LIVE CD/USB/VMware) para PenTesting / Resposta a Incidentes / Forense Computacional

http://www.remote-exploit.org/backtrack_download.html

Ouça a uma entrevista com os criadores da coleção de ferramentas aqui (Max Moser, Mati Aharoni and Martin Münch)