Forense caso 00c
by (C) João Eriberto Mota Filho <eriberto (a) eriberto pro br>
Caso para estudo, ligado diretamente ao artigo perícia forense computacional, existente neste wiki.
Última atualização: veja o rodapé desta página.
Neste exercício serão realizadas análises de memória coletada em ambiente MS Windows.
Um determinado usuário, chamado Sávio, baixou algumas imagens no seu computador mas, depois, apagou usando uma ferramenta chamada Eraser, que é um Software Livre que realiza uma ação de wipe. Além disso, ele navegou em alguns sites via Internet Explorer. Um deles foi o do próprio Eraser, pois Sávio teve que baixá-lo para poder instalar.
Uma outra ação de Sávio foi enviar um e-mail para uma amiga.
Serão feitas várias perguntas. Por tratar-se de um exercício avançado, serão citadas ferramentas e técnicas que deverão ser empregadas para obter resultados.
Cabe ressaltar que não foi fornecido o dump de memória completo e sim um arquivo strings, uma vez que o referido dump, compactado, ocuparia cerca de 1 GB de espaço, tornando inviável, para muitos, o seu download.
Exercício: responda às perguntas a seguir, analisando os dados encontrados no arquivo ram.dd.strings.bz2 (52 MB comprimidos e 143 MB totalmente descomprimidos).
O hash MD5 da imagem comprimida é 606da3c813731275bee86ce5e1ec912e.
Para descompactar a imagem, utilize o comando:
$ bunzip2 ram.dd.strings.bz2
Responda:
- Qual é a versão do MS Windows utilizado? (Dica completa: $ cat ram.dd.strings |egrep '(KB[0-9]{6})'| grep -i windows)
- Explique a lógica do comando utilizado na questão anterior.
- Há um e-mail criado por Sávio gravado na memória. Encontre o conteúdo desse e-mail, que é destinado a uma moça de nome Cristina. Observe que, na memória, vários caracteres são armazenados em unicode HTML.* (strings + grep)
- Descubra o endereço de e-mail da Cristina. (strings + grep, podendo ser que o caractere @ esteja no formato unicode* %40).
- Depois de encontrar a mensagem citada em item anterior, copie e cole o conteúdo original dentro de um arquivo chamado msg.txt. A seguir, execute o seguinte comando para "limpá-la":
$ cat msg.txt | echo -e $(sed 's/%/\\x/g') | sed 's/<br \/>/\n/g'
Outra alternativa é o comando ascii2uni, provido pelo pacote uni2ascii:
$ ascii2uni -a J msg.txt | sed 's/<br \/>/\n/g' - Explique a lógica dos comandos utilizados na questão anterior.
- Converta por completo o arquivo fornecido, utilizando o comando ascii2uni.
- Descubra o endereço e a senha de e-mail do Sávio. (strings + grep [Pp]ass)
- Analisando a memória, cite uma URL de download do programa Eraser. (strings + grep)
* Há vários sites citando esses caracteres. O espaço, por exemplo, é representado por %20. Trata-se da codificação para URI, descrita na RFC 2396. Uma referência com resumo: http://www.blooberry.com/indexdot/html/topics/urlencoding.htm.