Forense caso 00c
by (C) João Eriberto Mota Filho <eriberto (a) eriberto pro br>
Caso para estudo, ligado diretamente ao artigo perícia forense computacional, existente neste wiki.
Última atualização: veja o rodapé desta página.
Neste exercício serão realizadas análises de memória coletada em ambiente MS Windows.
Um determinado usuário, chamado Sávio, baixou algumas imagens no seu computador mas, depois, apagou usando uma ferramenta chamada Eraser, que é um Software Livre que realiza uma ação de wipe. Além disso, ele navegou em alguns sites via Internet Explorer. Um deles foi o do próprio Eraser, pois Sávio teve que baixá-lo para poder instalar.
Uma outra ação de Sávio foi enviar um e-mail para uma amiga.
Serão feitas várias perguntas. Por tratar-se de um exercício avançado, serão citadas ferramentas e técnicas que deverão ser empregadas para obter resultados.
Cabe ressaltar que não foi fornecido o dump de memória completo e sim um arquivo strings, uma vez que o referido dump, compactado, ocuparia cerca de 1 GB de espaço, tornando inviável, para muitos, o seu download.
Exercício: responda às perguntas a seguir, analisando o ambiente de usuário fornecido e a imagem de memória, ambos encontrados no arquivo ram.dd.strings.bz2 (52 MB comprimidos e 143 MB totalmente descomprimidos).
O hash MD5 da imagem comprimida é 2f9a07a97d60562109b034850986a7bc.
Para descompactar a imagem, utilize o comando:
$ bunzip2 ram.dd.strings.bz2
Responda:
- Qual é a versão do MS Windows utilizado? (Dica completa: $ cat ram.dd.strings |egrep '(KB[0-9]{6})'| grep -i windows)
- Explique a lógica do comando utilizado na questão anterior.
- Há um e-mail criado por Sávio gravado na memória. Encontre o conteúdo desse e-mail, que é destinado a uma moça de nome Cristina. Observe que, na memória, vários caracteres são armazenados em unicode HTML.* (strings + grep)
- Depois de encontrar a mensagem citada no item anterior, copie e cole o conteúdo original dentro de um arquivo chamado msg.txt. A seguir, execute o seguinte comando para "limpá-la":
$ cat msg.txt | echo -e $(sed 's/%/\\x/g') | sed 's/<br \/>/\n/g' - Explique a lógica do comando utilizado na questão anterior.
- Descubra o endereço e a senha de e-mail do Sávio. (strings + grep)
- Descubra o endereço de e-mail da Cristina. (strings + grep, podendo ser que o caractere @ esteja no formato unicode* %40).
- Analisando a memória, cite uma URL de download do programa Eraser. (strings + grep)
* Há vários sites sitando esses caracteres. O espaço, por exemplo, é representado por %20. Uma referência: http://www.blooberry.com/indexdot/html/topics/urlencoding.htm.