Forense caso 00e

De Eriberto Wiki
Ir para navegação Ir para pesquisar
A versão imprimível não é mais suportada e pode ter erros de renderização. Atualize os favoritos do seu navegador e use a função de impressão padrão do navegador.

by (C) João Eriberto Mota Filho <eriberto (a) eriberto pro br>

Caso para estudo, ligado diretamente ao artigo perícia forense computacional, existente neste wiki.

Última atualização: veja o rodapé desta página.




Caso 00e - Pendrive no cyber café


Brasília, DF, 22 de agosto de 2012


Atualização em: 16 de março de 2014




No dia 20 de agosto de 2012, Jair, pai de Carolina, foi a um cyber café imprimir um trabalho de escola para a filha, uma vez que a tinta da impressora de casa havia acabado. No entanto, ficou com receio de ter o seu pendrive contaminado com algum vírus ou coisa do tipo e, logo após inserir tal pendrive no computador do cyber, retirou-o e resolveu levá-lo à casa de um amigo que possuía impressora. Mas será que, somente pela simples inserção do pendrive na máquina, já seria tarde?







Exercício de aplicação



Resolva as questões a seguir, analisando a imagem de pendrive (58 MB comprimidos, 64 MB descomprimidos) disponibilizada.

O hash MD5 da imagem comprimida é 9c8c5569f4600c9b6c61c0a38c9c21ca.

Para descompactar a imagem, utilize o comando:

$ bunzip2 pen.dd.bz2



Questões:

  1. Utilizando uma linha do tempo, descubra se houve atuação de algum malware ou não e, se for o caso, quais operações o mesmo realizou no filesystem. (fls -rm + mactime -z BRT)
  2. Utilizando o antivírus Clamav, descubra qual malware afetou o pendrive. (freshclam + clamscan -ri)
  3. Submeta o malware ao site VirusTotal.
  4. Com o comando cat, analize o conteúdo dos arquivos .lnk, criados pelo vírus.



Observação final: o Clamav também pode remover o malware, se utilizado com a opção --remove=yes ou --move=diretório. No entanto, isso nunca será feito em uma análise pericial.