Forense caso 00a: mudanças entre as edições
Ir para navegação
Ir para pesquisar
Sem resumo de edição |
Sem resumo de edição |
||
| Linha 1: | Linha 1: | ||
{{cabeçalho forense|00a - Análise avançada conduzida|Brasília, DF, 29 de março de 2011| | {{cabeçalho forense|00a - Análise avançada conduzida|Brasília, DF, 29 de março de 2011|22 de setembro de 2011}} | ||
[[image:nao-a-pedofilia.jpg|left]]Este caso consiste em um exercício conduzido com o objetivo de utilizar algumas técnicas avançadas de manipulação de filesystems. O cenário está em torno de um pendrive apreendido. Tal pendrive pertencia a um pedófilo, que mantinha fotos eróticas e textos especializados armazenados. O objetivo de manter textos especializados era aprender como atrair crianças na Internet e entender como a polícia poderia rastreá-lo. Este objetivo foi levantado em interrogatório após a sua prisão. | [[image:nao-a-pedofilia.jpg|left]]Este caso consiste em um exercício conduzido com o objetivo de utilizar algumas técnicas avançadas de manipulação de filesystems. O cenário está em torno de um pendrive apreendido. Tal pendrive pertencia a um pedófilo, que mantinha fotos eróticas e textos especializados armazenados. O objetivo de manter textos especializados era aprender como atrair crianças na Internet e entender como a polícia poderia rastreá-lo. Este objetivo foi levantado em interrogatório após a sua prisão. | ||
| Linha 22: | Linha 22: | ||
# Sem realizar montagens, faça um levantamento prévio do conteúdo da primeira partição, calculando o hash MD5 de cada arquivo. (sorter com -md5, -o e -d) | # Sem realizar montagens, faça um levantamento prévio do conteúdo da primeira partição, calculando o hash MD5 de cada arquivo. (sorter com -md5, -o e -d) | ||
# Monte cada partição do pendrive, em modo read-only, e verifique os conteúdos. (mount com loop, ro e offset + find) | # Monte cada partição do pendrive, em modo read-only, e verifique os conteúdos. (mount com loop, ro e offset + find) | ||
# Faça uma linha do tempo do conteúdo de cada partição existente. ( | # Faça uma linha do tempo do conteúdo de cada partição existente. (fls -ro -m e mactime -z BRT) | ||
# Procure, na superfície do disco, por uma mensagem, criada pelo pedófilo, contendo um número de telefone. (1ª técnica: | # Procure, na superfície do disco, por uma mensagem, criada pelo pedófilo, contendo um número de telefone. (1ª técnica: strings + egrep -o + sort -u / 2ª técnica: mcview / ambos utilizando expressões regulares) | ||
# Recupere o trecho exato que contém a mensagem citada no item | # Recupere o trecho exato que contém a mensagem citada no item anterior. ({strings -td ou hexedit} + grep + {dd ou dcfldd, ambos com bs=1 + count + skip}) | ||
# Recupere as figuras apagadas no filesystem da primeira partição. ( | # Recupere as figuras apagadas no filesystem da primeira partição. (fls -rdFo + icat -o, podendo usar um loop for) | ||
# Escolha uma das figuras recuperadas com êxito no item 9 | # Escolha uma das figuras recuperadas com êxito no item 9 e procure-a na imagem de disco, utilizando uma assinatura. A seguir, recupere-a com o comando dd ou dcfldd. (hexedit + dd ou dcfldd + calculadora) | ||
# Corrija, se for o caso, o tamanho da figura recuperada no item | # Corrija, se for o caso, o tamanho da figura recuperada no item anterior, utilizando o GIMP. | ||
# Procure por arquivos existentes na superfície do disco e que não perteçam ao filesystem atual (comando foremost ou magicrescue) | # Procure por arquivos existentes na superfície do disco e que não perteçam ao filesystem atual (comando foremost ou magicrescue) | ||
# Como base no relatório do comando foremost (audit.txt), recupere uma das figuras utilizando o comando dd ou dcfldd. | # Como base no relatório do comando foremost (audit.txt), recupere uma das figuras utilizando o comando dd ou dcfldd. | ||
Edição das 06h09min de 22 de setembro de 2011
by (C) João Eriberto Mota Filho <eriberto (a) eriberto pro br>
Caso para estudo, ligado diretamente ao artigo perícia forense computacional, existente neste wiki.
Última atualização: veja o rodapé desta página.
Este caso consiste em um exercício conduzido com o objetivo de utilizar algumas técnicas avançadas de manipulação de filesystems. O cenário está em torno de um pendrive apreendido. Tal pendrive pertencia a um pedófilo, que mantinha fotos eróticas e textos especializados armazenados. O objetivo de manter textos especializados era aprender como atrair crianças na Internet e entender como a polícia poderia rastreá-lo. Este objetivo foi levantado em interrogatório após a sua prisão.
Serão feitas várias perguntas. Por tratar-se de um exercício avançado, serão citadas ferramentas e técnicas que deverão ser empregadas para obter resultados.
ALERTA: ESTE EXERCÍCIO CONTÉM FIGURAS E PALAVRAS ERÓTICAS.
Exercício: responda às perguntas a seguir, analisando a imagem de pendrive (22 MB comprimidos, 980 MB descomprimidos) disponibilizada. Antes de tudo, leia o conteúdo da página http://bit.ly/tsk-commands.
O hash MD5 da imagem comprimida é 59888d317634cd4b134e66333bf8d37a.
Responda as perguntas a seguir, utilizando as orientações impostas.
Perguntas básicas:
- Inicialmente, confira o hash do arquivo baixado.
- Qual é o esquema de particionamento do pendrive? (fdisk -lcu / mmls / file)
- Sem montar as partições existentes, descubra qual é o inode referente à figura pic_1.jpg, existente na primeira partição. (mmls + fls -ro + grep / fdisk -lcu + fls -ro + grep)
- Analisando os dados no inode levantado no item anterior, descubra o tamanho, o mactime e o primeiro setor do arquivo na imagem. (istat -o)
- Sem realizar montagens, faça um levantamento prévio do conteúdo da primeira partição, calculando o hash MD5 de cada arquivo. (sorter com -md5, -o e -d)
- Monte cada partição do pendrive, em modo read-only, e verifique os conteúdos. (mount com loop, ro e offset + find)
- Faça uma linha do tempo do conteúdo de cada partição existente. (fls -ro -m e mactime -z BRT)
- Procure, na superfície do disco, por uma mensagem, criada pelo pedófilo, contendo um número de telefone. (1ª técnica: strings + egrep -o + sort -u / 2ª técnica: mcview / ambos utilizando expressões regulares)
- Recupere o trecho exato que contém a mensagem citada no item anterior. ({strings -td ou hexedit} + grep + {dd ou dcfldd, ambos com bs=1 + count + skip})
- Recupere as figuras apagadas no filesystem da primeira partição. (fls -rdFo + icat -o, podendo usar um loop for)
- Escolha uma das figuras recuperadas com êxito no item 9 e procure-a na imagem de disco, utilizando uma assinatura. A seguir, recupere-a com o comando dd ou dcfldd. (hexedit + dd ou dcfldd + calculadora)
- Corrija, se for o caso, o tamanho da figura recuperada no item anterior, utilizando o GIMP.
- Procure por arquivos existentes na superfície do disco e que não perteçam ao filesystem atual (comando foremost ou magicrescue)
- Como base no relatório do comando foremost (audit.txt), recupere uma das figuras utilizando o comando dd ou dcfldd.
- Tente obter dados EXIF das figuras existentes. (comando metacam)
- Verifique dados extras interessantes que possam existir no início de cada figura. (comando hexdump ou hexedit ou mcview)
- Verifique os dados referentes às propriedades dos arquivos .doc e .pdf existentes na segunda partição. (comandos file e evince ou okular)
- Tente entender o esquema de MBR do HD do pedófilo. (comando file)
- Relacione todas as URLs citadas na superfície do disco. (comandos strings e grep com expressões regulares e outros)
Questões complementares:
- Crie um arquivo que contenha todos os blocos não alocados e os slack spaces existentes na partição FAT. (comando blkls -o)