Forense caso 00

by (C) João Eriberto Mota Filho <eriberto (a) eriberto pro br>

Caso para estudo, ligado diretamente ao artigo perícia forense computacional, existente neste wiki.

Última atualização: veja o rodapé desta página.

---

Caso 00 - Análise conduzida

Brasília, DF, 14 de agosto de 2010

Atualização em: 26 de setembro de 2014

Perícia forense computacional é a arte de investigar meios de armazenamento digital, como HDs, memórias, celulares etc. Deveremos sempre tomar todo o cuidado para preservarmos as informações, o que inclui não alterar datas e horas de arquivos e diretórios por acessos de forma errada. Outro fato é que arquivos apagados podem ser recuperados, mesmo depois de uma formatação.

O objetivo deste caso básico será conduzir o iniciante na descoberta de fatos, por meio de perguntas diretas sobre uma imagem de pendrive de 1 GB disponibilizada. Para facilitar a tarefa, inicialmente, foram escritos caracteres "0" sobre toda a superfície do referido pendrive. Ainda, a imagem foi comprimida com bzip2 para diminuir a quantidade de dados para download.

---

Exercício de aplicação

Responda às perguntas a seguir, analisando a imagem de pendrive (5.9 MB comprimidos, 980 MB descomprimidos) disponibilizada.

O hash MD5 da imagem comprimida é 7306b2d44269aa0190c934d46c168374.

Para descomprimir a imagem, utilize os comandos:

# apt-get install bzip2
# bunzip2 caso_00.dd.bz2

Caso necessite, tome o cuidado de montar a imagem como read-only. Isso poderá ser feito com o comando:

# mount -o ro caso_00.dd /mnt

Algumas sugestões de comandos e programas que poderão ser utilizados (incluindo a suíte The Sleuth Kit - TSK):

• md5sum, sha1sum, sha224sum, sha256sum, sha384sum e sha512sum.
• evince (Gnome)
• file
• find
• fls (TSK)
• foremost
• fsstat (TSK)
• hexedit
• icat (TSK)
• istat (TSK)
• libreoffice
• ls (-lua e -lta)
• mactime (TSK)
• metacam
• exif
• exiftags
• exifprobe
• okular (KDE)
• pdfcrack
• pdfinfo (poppler-utils)
• sorter (TSK)
• stat
• strings (binutils)
• sxiv

Perguntas básicas:

1. Defina Unix Epoch.
2. Confira o hash MD5 da imagem comprimida. Sempre faça isso. Depois, calcule os hashes SHA1, SHA224, SHA256, SHA384 e SHA512 da imagem descomprimida, colocando os resultados dentro de um arquivo.
3. Qual filesystem foi utilizado no pendrive? (file / fsstat / disktype)
4. Quantos setores possui o pendrive? (file / fsstat / fdisk -l)
5. Quantos arquivos estão acessíveis para usuários? (fls -ruF + grep -v + wc -l / find + wc -l no ponto de montagem)
6. Quais tipos de arquivos estão acessíveis para usuários? (sorter -d / find -type f + egrep -o + sort -u)
7. Qual é o inode do arquivo "Literary Review.doc" dentro da imagem original? (fls -rF)
8. Qual é o inode do arquivo "Literary Review.doc" no ponto de montagem, dentro do filesystem do seu HD? (ls -li / stat)
9. Explique porque há uma diferença no número dos inodes encontrados nos dois itens anteriores e cite qual deles é o correto para referenciar o arquivo em questão.
10. Qual é a data da criação ou última modificação do arquivo "Literary Review.doc" no filesystem? (fls -rF ou find + grep para encontrar o arquivo) (ls -l / stat / fls + istat para ver a data)
11. Qual é a data do último acesso ao arquivo "Literary Review.doc" no filesystem? (fls ou find para encontrar o arquivo) (ls / stat / fls + istat)
12. Quais são as datas de criação e última modificação do conteúdo arquivo "Literary Review.doc"? (dados no próprio arquivo) (file / libreoffice)*
13. Quem é o criador do conteúdo do arquivo "Fernando_Porcella.xls"? (dados no próprio arquivo) (libreoffice / file)
14. Quem foi a última pessoa que modificou conteúdo do arquivo "Fernando_Porcella.xls"? (dados no próprio arquivo) (libreoffice / file)
15. Quando se deu a última impressão do conteúdo do arquivo "Fernando_Porcella.xls"? (dados no próprio arquivo) (file / libreoffice)*
16. Qual foi a data da última modificação do conteúdo da foto "paola-carvalho.jpg"? (dados no próprio arquivo) (strings + grep / hexedit)
17. Qual foi o software utilizado para fazer a modificação do conteúdo da foto "paola-carvalho.jpg"? (dados no próprio arquivo) (strings + grep / hexedit)
18. Qual foi o software utilizado para produzir o documento "sec-us-networkbasedfirewallservice.pdf"? (evince / okular / strings / strings + grep / hexedit / pdfinfo)
19. Qual foi a data de modificação do conteúdo do documento "1632-1640.pdf"? (dados no próprio arquivo) (evince / okular / strings + grep / hexedit / pdfinfo)
20. Quem criou o conteúdo do documento "1632-1640.pdf"? (dados no próprio arquivo) (evince / okular / strings + grep / hexedit / pdfinfo)
21. Pode-se afirmar que todas as datas levantadas nas perguntas anteriores são verídicas? Por quê?
22. Dentro dos arquivos "sec-us-networkbasedfirewallservice.pdf" e "1632-1640.pdf" existem figuras JPG. Extraia as mesmas. (foremost -Tat jpg arquivo)
23. O que representa o número que o comando foremost utiliza como nome de cada arquivo encontrado?

* O comando file mostra datas em UTC e ainda não tem suporte para documento .*x (docx, xlsx etc). O LibreOffice descarta os segundos.

Na imagem do pendrive, existem arquivos apagados. Um desses arquivos é a foto de alguns animais. Com base nisso, responda:

1. Qual é o conteúdo da foto? (fls -rdF + istat + icat ou fls -rdFl + icat)

Dados EXIF

1. Qual máquina fotográfica digital, incluindo o modelo, foi utilizada para produzir a foto disponível em http://bit.ly/cD7loL? (metacam / exif / exiftags / exifprobe)
2. E no caso da foto http://bit.ly/cfeiN8? (metacam / exif / exiftags / exifprobe)
3. Em relação às duas fotos, qual a diferença entre a utilização de flash?

Timeline

1. Utilizando os comandos fls e mactime, crie uma linha do tempo de todo o conteúdo da imagem. Sugestão: fls -rm / caso_00.dd | mactime -z BRT. Há outras formas.
2. Exiba somente os eventos ocorridos entre 01 de junho de 2009 e 01 de janeiro de 2010.

PDF com senha

1. O PDF "documentos/diversos/manualrv9a.pdf" possui como senha uma palavra de dicionário em portugues. Descubra qual é tal senha. (pdfcrack -w, usando o dicionário /usr/share/dict/brazilian)
2. Tente descobrir a senha do arquivo anterior, usando o método de força bruta do pdfcrack.