Descobrindo os sites publicados de um domínio

Observando alguns log’s em um servidor de uma determinada empresa em um processo de auditoria interna, que tive a oportunidade de fazer, verifiquei que algumas técnicas comuns são executadas por scripts que ficam vasculhando a internet em busca de informações.

No log gerado dos acessos ao serviço de Web, nesse caso um IIS (Internet Information Service), verifiquei uma excessiva requisição “GET” no qual o final do endereço pesquisado tinha “/robots.txt”. Notei que não só essa empresa mas que diversos sites é comum ter esse arquivo publicado dentro da arquitetura do IIS, inclusive sites com alto nível de acesso, como o Terra e o Google.

Experimente digitar http://www.terra.com.br/robots.txt e http://www.google.com.br/robots.txt e verá a lista de serviços que estão ativos e publicados na internet.

Com esse resultado dessa busca, temos a informação valiosa de quais serviços ou diretórios estão publicados e em funcionamento, aumentando consideravelmente os riscos para que atacantes encontrem alguma pasta com falha nas permissões do diretório, e assim, alterar não só o site da organização mas prejudicar a imagem de uma empresa que levou tanto tempo para se firmar no mercado e demonstrar confiança nos seus negócios.

Identificando o Hardware de um computador

Na internet, existem vários programas que fornecem informações detalhadas de seu computador como processador, memória RAM, HD, dispositivos conectados e etc. Mas vamos hoje, entender de onde esses programas obtêm algumas informações que são mostradas nesses softwares de auditoria.

Podemos dizer que todas as informações que um programa de auditoria consegue sobre os nossos computadores estão armazendas no registro do windows. Não existe muito mistério, apenas, esses programas facilitam a nossa vida.

Por exemplo, onde você extrai as informações sobre o seu processador de seu micro? Simples, basta entrar no registro do windows e procurar a seguinte chave:

HLM -> Hardware -> DESCRIPTION -> System -> CentralProcessor -> O

Existe a chave “Identifier” que descreve o modelo do processador

A chave “ProcessorNameString” é o nome do fabricante do processador e sua velocidade/arquitetura

E finalmente, a chave “VendorIdentifier” que poder ser Intel ou AMD.

Decaf desabilita software forense da MS

SÃO PAULO – Hackers criaram uma nova ferramenta que atrapalha o trabalho da ferramenta COFEE, da Microsoft, utilizada recuperar informações do PC para investigações policiais.

A Decaf, como foi chamada, detecta o programa da MS e dispara mecanismos de segurança que evitam suas rotinas de análise dos sistemas.

A COFEE foi criada para auxiliar a polícia a resgatar informações importantes durante uma investigação. Ela é acionada a partir de um drive USB e é responsável por gerar relatórios de tudo o que foi feito no PC.

Ao identificar o programa, o Decaf é capaz de desabilitar a porta USB e apagar todos os logs, históricos dos navegadores, cookies e até os principais clientes utilizados para baixar torrents.

Fonte: Info Plantão (http://info.abril.com.br/noticias/seguranca/decaf-desabilita-software-forense-da-ms-15122009-6.shl)

Perito quebra sigilo e descobre voto de eleitores em urna eletrônica do Brasil

Durante os testes promovidos pelo Tribunal Superior Eleitoral (TSE) para testar a segurança da urna eletrônica a ser usada nas eleições de 2010, um perito teve sucesso em quebrar o sigilo eleitoral e descobrir, por meio de radiofrequência, o candidato escolhido pelo eleitor.

O consultor Sérgio Freitas da Silva compôs o grupo de 32 especialistas convocados pelo TSE e compareceu à sede do órgão na terça-feira (10/11), primeiro dia dos testes, com a estratégia de detectar a interferência eletromagnética que a urna exerce sobre as ondas de rádio.

“Fiz meu experimento em 29 minutos e obtive sucesso no escopo que estava proposto: rastrear a interferência e gravar arquivos para comprovar a materialidade do fenômeno”, que sintonizam ondas longas e curtas e estações em AM e FM.

Segundo Sérgio, o equipamento usado é encontrado em rádios convencionais vendidos nas lojas, “destes que custam 10 reais”. A técnica acabou dando a Sérgio a primeira posição no concurso de melhorias para urna promovido pelo TSE, o que lhe rendeu prêmio de cinco mil reais.

“Enquanto eu digitava na urna, rastreava através do rádio pra ver se detectava alguma interferência. Consegui rastrear a interferência que isto provocava na onda, gravando um arquivo WAV com estes sons”, explica.

Sérgio explica que após gravar os ruídos que os botões da urna eletrônica exercem sobre a onda é possível decodificar os sons, o que levaria à descoberta dos candidatos escolhidos pelo eleitor, quebrando seu sigilo.

“É como se o teclado da urna eletrônica se transformasse em um teclado musical, conseguindo rastrear a tonalidade da interferência neste arquivo WAV que gravei”, compara.

A técnica descrita por Sérgio é chamada de Van Eck Phreaking, segundo o especialista em segurança Marco Canut, que confirma a possibilidade de quebra do sigilo eleitor caso o método seja aplicado à urna eletrônica brasileira.

No experimento realizado no TSE, o perito precisava estar a até 20 centímetros da urna para que sua interferência fosse sentida no receptor do rádio.

Questionado sobre a possibilidade de uso de equipamento mais potente, levantada pelo próprio Sérgio, Gianino afirmou que se trata “do campo teórico”.  “Se tivesse realmente a possibilidade, ele (Sérgio) teria apresentado um aparelho que faria isto”

Fonte: IDGNOW (http://idgnow.uol.com.br/seguranca/2009/11/20/perito-quebra-sigilo-eleitoral-e-descobre-voto-de-eleitores-na-urna-eletronica/)

Montando um laboratório forense

Quando temos uma situação em que é preciso obter todas as evidências possíveis de um determinado equipamento, é necessário termos um ambiente apropriado para manter o profissionalismo e a ética profissional, para evitar que dados sigilosos sejam divulgados ou que os equipamentos eletrônicos estejam vulneráveis ao acesso de terceiros não autorizados.

Para tanto,o ideal é que o perito forense sempre tenha um laboratório forense para auxiliar nas suas atividades com o maior zelo possível. Primeiramente, tenha em mente qual o orçamento que você terá disponível para montar o seu ambiente de trabalho. Não adianta se planejar com um orçamento que não é a sua realidade financeira.

Pesquise e analise um espaço físico adequado para que tenha um mínimo de conforto e que seus equipamentos possam ser guardados de forma organizada. Tenha em mente também que é nesse local que seus equipamentos que estarão em sua custódia ficarão guardados.

Reúna uma quantidade mínima necessária de equipamentos para que possa começar a trabalhar com perícia forense. Não adianta comprar sofwares caros inicialmente se você não possui nenhum trabalho em vista.

Proteja o seu laboratório fisicamente, controlando o acesso de pessoas no local, registrando dia e horário. Tenha sempre o controle de seu laboratório, evitando assim, surpresas desagradáveis futuras.

Bom trabalho.

Descobrindo o que é executado no boot do windows

Quando ligamos o computador, diversas instruções são executadas (boot da máquina, instrução INT 19, leitura da trilha zero do HD, etc) na máquina até que possamos propriamente ter acesso ao sistema operacional e conseguir  usar o computador.

Nesse momento, vamos analisar quais aplicações ou possíveis scripts poderiam está sendo executados durante o boot do windows, no qual poderemos ter uma noção se algo diferente, como apagar determinados arquvos, estariam sendo realizados antes mesmos do equipamento ser liberado ao usuário / perito.

Uma rápida consulta no registro do windows, poderemos ter a informação desejada. Basta seguir os seguintes passos:

1 – Executar o regedit.exe em Iniciar -> Executar, e entre no registro do windows;

2 – Localize a chave “Session Manager” que pode ser encontrada no seguinte caminho:

HKEY_LOCAL_MACHINE -> System -> ControlSet001 -> Control -> Session Manager

Dentro dessa chave, no lado direito, procure a chave “BootExecute” e visualize o que está sendo executado durante o boot do windows.

Por exemplo, pode aparecer a seguinte informação:

BootExecute

autocheck xmnt2002 /bat=”C:\WINDOWS\TEMP\PQ_BATCH.PQB”

/win=”C:\WINDOWS” /dbg=”C:\WINDOWS\TEMP\PQ_DEBUG.TXT”

/ver=262144 /prd=”PartitionMagic”
autocheck autochk *
–

Visualização de janelas escondidas com o ShowWin

Não duvide, programas “invisíveis” estão rodando junto com o Windows na sua frente e você não vê no Desktop (área de trabalho). O perito quando vai fazer uma investigação e sai em busca de evidências, não pode deixar passar certas situações em que para um usuário leigo, nem imagina que algo está acontecendo diante de seus olhos e ele não pode ver, muito menos imaginar que telas estão abertas e que simplesmente não aparecem.

Em muitos casos, um criminoso instala um programa que roda em segundo plano (processo background) em que não precebemos a sua execução e fica esperando a digitação do teclado para “roubar” (o termo técnico correto é furtar) os seus dados pessoais para utilização futura.

Para um perito experiente, a primeira coisa dentre muitas outras que são planejadas, é ir em busca de evidências de softwares que estão rodando no momento em memória. Uma das ferramentas que te mostra as janelas abertas mas que não aparecem ao usuário é o ShowWin.

Com esse software, o perito clica em um símbolo existente no programa e arrasta por toda a área da janela do ambiente de trabalho. Para cada janela que o ShowWin encontrar, aparece a demarcação da janela ativa e o nome da função em funcionamento. Com um clique com o botão direito do mouse, acontece o “milagre”: a janela que está ativa aparece agora aos olhos do perito, que pode servir como evidência ou até mesmo prova para a confecção do laudo pericial. 

Visualizando o conteúdo do Thumbs.db

Continuando na linha forense, escrevo esse artigo importante sobre a preocupação quanto aos arquivos gerados pelo sistema operacional Windows e que o usuário nem sabe para que existem. Quanta informação é armazenada em nossos computadores e nem damos valor a esses arquivos tão “inofensivos”.

Em uma pasta contendo aquivos de imagens, se um dia você selecionou a forma de visualização “miniaturas”, com certeza encontrará um arquivo com o nome de Thumbs.db. A razão de existência desse arquivo é criar um cache das imagens em miniatura para agilizar o aparececimento das imagens pequenas na visualização dentro da própria pasta, no windows explorer.

Sem esse arquivo, quando você acessa, por exemplo, dentro da pasta “Meus Documentos” a pasta “Minhas Imagens”, caso tenha 100 arquivos de fotos, e você selecionar a opção de visualização “miniaturas”, vai demorar um certo tempo para que o windows mostre a miniaturas de todas as fotos. Ao final de abrir todas as fotos, será criado o arquivo Thumbs.db, com o cache das miniaturas. Quando entrar novamente nessa mesma pasta, e visualizar as miniaturas, as fotos já estarão carregadas (miniaturas) pois foram carregadas diretamente do cache.

Mesmo se você apagar as fotos da pasta e manter o arquivo Thumbs.db no diretório, o perito poderá abrir esse arquivo em uma ferramenta forense, como por exemplo, o Thumbs.db Viewer e visualizar todas as fotos em miniatura, que um dia, estavam armazenadas dentro da pasta.

 

Listando todos os dispositivos que um dia conectaram na USB do computador

Em algum momento, um dispositivo USB é conectado no computador, seja ele uma impressora, pendrive, Cd-ROM ou uma câmera digital. E quando essa conexão é efetuada na porta USB, ficar gravado no registro do windows uma série de informações sobre o dispositivo que um dia foi inserido na USB do micro.

Para um perito forense, esse tipo de informação gravado em uma chave do registro do windows, é uma fonte rica de dados preciosos que pode resolver uma lide emanada no judiciário.

Por exemplo, digamos que um criminoso se defenda e diga que o pendrive dele não foi utilizado no computador da vítima para infectar o computador, e assim, obter informações sigilosas e confidenciais. Basta o perito consultar o registro do windows e pronto, se o dispositivo USB estiver listado na chave de registro, é uma confirmação que o pendrive foi conectado na porta USB. Cabe o Juíz decidir se o criminoso realmente praticou tal ato com intenção de obter dados confidenciais, mas desde imediato, fica comprovado e derrubado a tese da defesa, em que foi alegado que o pendrive nunca foi inserido na USB do computador da vítima.

Para listar os dispositivos que um dia foi conectado na porta USB do computador, basta localizar a seguinte pasta no registro do windows:

1 – Clique em Iniciar, e digite regedit para entrar no registro do windows;

2 – Localize a seguinte chave no registro:

HLM -> System -> ControlSet001 ->  Enum -> USBTOR

Se existir ControlSet002, ControlSet003 e assim por diante… pesquise em todas essas chaves, pois em cada uma delas, na chave USBTOR, estará listado todos os dispositivos USB que um dia, passaram pelo computador.

 

Projeto que regulamenta profissão de analistas de sistema é aprovado

Proposta do senador Expedito Júnior (PR-RO) passa pela Comissão de Constituição, Justiça e Cidadania (CCJ).

Projeto (PLS 607/07), de autoria do senador Expedito Júnior (PR-RO), que regulamenta o exercício da profissão de analista de sistemas foi aprovado na última quarta-feira (19/08) pela Comissão de Constituição, Justiça e Cidadania (CCJ). Agora, segue para análise da Comissão de Assuntos Sociais (CAS), em decisão terminativa -  tomada por uma comissão, com valor de uma decisão do Senado.

Pelo substitutivo aprovado anteriormente pela Comissão de Ciência, Tecnologia, Inovação, Comunicação e Informática (CCT) e acolhido pelo relator na CCJ, senador Marconi Perillo (PSDB-GO), apenas profissionais com diploma superior em Análise de Sistemas, Ciência da Computação ou Processamento de Dados poderão exercer a profissão de analista de sistemas.

Já a profissão de Técnico de Informática poderá ser exercida por portadores de diploma de ensino médio ou equivalente com curso técnico de Informática ou de Programação de Computadores, expedido por escolas oficiais ou reconhecidas.

A proposta torna privativa do analista de sistemas “a responsabilidade técnica por projetos e sistemas para processamento de dados, informática e automação, assim como a emissão de laudos, relatórios ou pareceres técnicos”.

* com informações da Agência Senado

Fonte: ComputerWorld (http://computerworld.uol.com.br/carreira/2009/08/21/projeto-que-regulamenta-profissao-de-analistas-de-sistema-e-aprovado/)