Forense caso 00c

by (C) João Eriberto Mota Filho <eriberto (a) eriberto pro br>

Caso para estudo, ligado diretamente ao artigo perícia forense computacional, existente neste wiki.

Última atualização: veja o rodapé desta página.

---

Caso 00c - Análise avançada conduzida (memória RAM)

Brasília, DF, 29 de setembro de 2011

Atualização em: 11 de novembro de 2011

Neste exercício serão realizadas análises de memória coletada em ambiente MS Windows.

Um determinado usuário, chamado Sávio, baixou algumas imagens no seu computador mas, depois, apagou usando uma ferramenta chamada Eraser, que é um Software Livre que realiza uma ação de wipe. Além disso, ele navegou em alguns sites via Internet Explorer. Um deles foi o do próprio Eraser, pois Sávio teve que baixá-lo para poder instalar.

Uma outra ação de Sávio foi enviar um e-mail para uma amiga.

Serão feitas várias perguntas. Por tratar-se de um exercício avançado, serão citadas ferramentas e técnicas que deverão ser empregadas para obter resultados.

Cabe ressaltar que não foi fornecido o dump de memória completo e sim um arquivo strings, uma vez que o referido dump, compactado, ocuparia cerca de 1 GB de espaço, tornando inviável, para muitos, o seu download.

---

Exercício de aplicação

Exercício: responda às perguntas a seguir, analisando os dados encontrados no arquivo ram.dd.strings.bz2 (52 MB comprimidos e 143 MB totalmente descomprimidos).

O hash MD5 da imagem comprimida é 606da3c813731275bee86ce5e1ec912e.

Para descompactar a imagem, utilize o comando:

$ bunzip2 ram.dd.strings.bz2

Responda:

1. Qual é a versão do MS Windows utilizado? (Dica completa: $ cat ram.dd.strings |egrep '(KB[0-9]{6})'| grep -i windows)
2. Explique a lógica do comando utilizado na questão anterior.
3. Há um e-mail criado por Sávio gravado na memória. Encontre o conteúdo desse e-mail, que é destinado a uma moça de nome Cristina. Observe que, na memória, vários caracteres são armazenados em unicode HTML.* (strings + grep)
4. Descubra o endereço de e-mail da Cristina. (strings + grep, podendo ser que o caractere @ esteja no formato unicode* %40).
5. Depois de encontrar a mensagem citada em item anterior, copie e cole o conteúdo original dentro de um arquivo chamado msg.txt. A seguir, execute o seguinte comando para "limpá-la":
   
   $ cat msg.txt | echo -e $(sed 's/%/\\x/g') | sed 's/<br \/>/\n/g'
   
   
6. Explique a lógica do comando utilizado na questão anterior.
7. Descubra o endereço e a senha de e-mail do Sávio. (strings + grep [Pp]ass)
8. Analisando a memória, cite uma URL de download do programa Eraser. (strings + grep)

* Há vários sites citando esses caracteres. O espaço, por exemplo, é representado por %20. Uma referência: http://www.blooberry.com/indexdot/html/topics/urlencoding.htm.