Identificando o Hardware de um computador

Na internet, existem vários programas que fornecem informações detalhadas de seu computador como processador, memória RAM, HD, dispositivos conectados e etc. Mas vamos hoje, entender de onde esses programas obtêm algumas informações que são mostradas nesses softwares de auditoria.

Podemos dizer que todas as informações que um programa de auditoria consegue sobre os nossos computadores estão armazendas no registro do windows. Não existe muito mistério, apenas, esses programas facilitam a nossa vida.

Por exemplo, onde você extrai as informações sobre o seu processador de seu micro? Simples, basta entrar no registro do windows e procurar a seguinte chave:

HLM -> Hardware -> DESCRIPTION -> System -> CentralProcessor -> O

Existe a chave “Identifier” que descreve o modelo do processador

A chave “ProcessorNameString” é o nome do fabricante do processador e sua velocidade/arquitetura

E finalmente, a chave “VendorIdentifier” que poder ser Intel ou AMD.

Decaf desabilita software forense da MS

SÃO PAULO – Hackers criaram uma nova ferramenta que atrapalha o trabalho da ferramenta COFEE, da Microsoft, utilizada recuperar informações do PC para investigações policiais.

A Decaf, como foi chamada, detecta o programa da MS e dispara mecanismos de segurança que evitam suas rotinas de análise dos sistemas.

A COFEE foi criada para auxiliar a polícia a resgatar informações importantes durante uma investigação. Ela é acionada a partir de um drive USB e é responsável por gerar relatórios de tudo o que foi feito no PC.

Ao identificar o programa, o Decaf é capaz de desabilitar a porta USB e apagar todos os logs, históricos dos navegadores, cookies e até os principais clientes utilizados para baixar torrents.

Fonte: Info Plantão (http://info.abril.com.br/noticias/seguranca/decaf-desabilita-software-forense-da-ms-15122009-6.shl)

Perito quebra sigilo e descobre voto de eleitores em urna eletrônica do Brasil

Durante os testes promovidos pelo Tribunal Superior Eleitoral (TSE) para testar a segurança da urna eletrônica a ser usada nas eleições de 2010, um perito teve sucesso em quebrar o sigilo eleitoral e descobrir, por meio de radiofrequência, o candidato escolhido pelo eleitor.

O consultor Sérgio Freitas da Silva compôs o grupo de 32 especialistas convocados pelo TSE e compareceu à sede do órgão na terça-feira (10/11), primeiro dia dos testes, com a estratégia de detectar a interferência eletromagnética que a urna exerce sobre as ondas de rádio.

“Fiz meu experimento em 29 minutos e obtive sucesso no escopo que estava proposto: rastrear a interferência e gravar arquivos para comprovar a materialidade do fenômeno”, que sintonizam ondas longas e curtas e estações em AM e FM.

Segundo Sérgio, o equipamento usado é encontrado em rádios convencionais vendidos nas lojas, “destes que custam 10 reais”. A técnica acabou dando a Sérgio a primeira posição no concurso de melhorias para urna promovido pelo TSE, o que lhe rendeu prêmio de cinco mil reais.

“Enquanto eu digitava na urna, rastreava através do rádio pra ver se detectava alguma interferência. Consegui rastrear a interferência que isto provocava na onda, gravando um arquivo WAV com estes sons”, explica.

Sérgio explica que após gravar os ruídos que os botões da urna eletrônica exercem sobre a onda é possível decodificar os sons, o que levaria à descoberta dos candidatos escolhidos pelo eleitor, quebrando seu sigilo.

“É como se o teclado da urna eletrônica se transformasse em um teclado musical, conseguindo rastrear a tonalidade da interferência neste arquivo WAV que gravei”, compara.

A técnica descrita por Sérgio é chamada de Van Eck Phreaking, segundo o especialista em segurança Marco Canut, que confirma a possibilidade de quebra do sigilo eleitor caso o método seja aplicado à urna eletrônica brasileira.

No experimento realizado no TSE, o perito precisava estar a até 20 centímetros da urna para que sua interferência fosse sentida no receptor do rádio.

Questionado sobre a possibilidade de uso de equipamento mais potente, levantada pelo próprio Sérgio, Gianino afirmou que se trata “do campo teórico”.  “Se tivesse realmente a possibilidade, ele (Sérgio) teria apresentado um aparelho que faria isto”

Fonte: IDGNOW (http://idgnow.uol.com.br/seguranca/2009/11/20/perito-quebra-sigilo-eleitoral-e-descobre-voto-de-eleitores-na-urna-eletronica/)

Descobrindo o que é executado no boot do windows

Quando ligamos o computador, diversas instruções são executadas (boot da máquina, instrução INT 19, leitura da trilha zero do HD, etc) na máquina até que possamos propriamente ter acesso ao sistema operacional e conseguir  usar o computador.

Nesse momento, vamos analisar quais aplicações ou possíveis scripts poderiam está sendo executados durante o boot do windows, no qual poderemos ter uma noção se algo diferente, como apagar determinados arquvos, estariam sendo realizados antes mesmos do equipamento ser liberado ao usuário / perito.

Uma rápida consulta no registro do windows, poderemos ter a informação desejada. Basta seguir os seguintes passos:

1 – Executar o regedit.exe em Iniciar -> Executar, e entre no registro do windows;

2 – Localize a chave “Session Manager” que pode ser encontrada no seguinte caminho:

HKEY_LOCAL_MACHINE -> System -> ControlSet001 -> Control -> Session Manager

Dentro dessa chave, no lado direito, procure a chave “BootExecute” e visualize o que está sendo executado durante o boot do windows.

Por exemplo, pode aparecer a seguinte informação:

BootExecute

autocheck xmnt2002 /bat=”C:\WINDOWS\TEMP\PQ_BATCH.PQB”

/win=”C:\WINDOWS” /dbg=”C:\WINDOWS\TEMP\PQ_DEBUG.TXT”

/ver=262144 /prd=”PartitionMagic”
autocheck autochk *
–

Visualização de janelas escondidas com o ShowWin

Não duvide, programas “invisíveis” estão rodando junto com o Windows na sua frente e você não vê no Desktop (área de trabalho). O perito quando vai fazer uma investigação e sai em busca de evidências, não pode deixar passar certas situações em que para um usuário leigo, nem imagina que algo está acontecendo diante de seus olhos e ele não pode ver, muito menos imaginar que telas estão abertas e que simplesmente não aparecem.

Em muitos casos, um criminoso instala um programa que roda em segundo plano (processo background) em que não precebemos a sua execução e fica esperando a digitação do teclado para “roubar” (o termo técnico correto é furtar) os seus dados pessoais para utilização futura.

Para um perito experiente, a primeira coisa dentre muitas outras que são planejadas, é ir em busca de evidências de softwares que estão rodando no momento em memória. Uma das ferramentas que te mostra as janelas abertas mas que não aparecem ao usuário é o ShowWin.

Com esse software, o perito clica em um símbolo existente no programa e arrasta por toda a área da janela do ambiente de trabalho. Para cada janela que o ShowWin encontrar, aparece a demarcação da janela ativa e o nome da função em funcionamento. Com um clique com o botão direito do mouse, acontece o “milagre”: a janela que está ativa aparece agora aos olhos do perito, que pode servir como evidência ou até mesmo prova para a confecção do laudo pericial. 

Visualizando os arquivos instalados e a data de instalação

Muitas pessoas gostam de experimentar os softwares disponibilizados na internet para download e instalam no computador para verificar o funcionamento deles. Em muitos casos, os programas são instalados e quando expiram o prazo de avaliação ( programa beta) os usuários vão em busca de métodos não convencionais para manter o software em funcionamento (serial clandestino ou crack fornecido pelo mundo “underground”).

Porém, é importante para um perito listar todos os programas instalados na máquina e visualizar a data de instalação de cada um. Caso o serviço do perito seja de identificar os softwares “piratas” que estão no computador do investigado, o perito poderá utilizar ferramentas específicas para determinar se o programa está dentro do perído de teste desde a instalação ou confirmar que foram usados meios ilícitos para manter um programa em eterno período de teste.

Para tanto, uma das ferramentas utilizadas pelo perito para listar todos os programas instalados, versão, caminho de instalação e data da instalação, é o software   Installed Program Finder, muito eficiente e prático, que possibilita salvar a listagem dos softwares instalados em um arquivo texto (txt) para futuras formatação em um relatório para anexar ao laudo pericial produzido pelo perito.

 

Visualizando o conteúdo do Thumbs.db

Continuando na linha forense, escrevo esse artigo importante sobre a preocupação quanto aos arquivos gerados pelo sistema operacional Windows e que o usuário nem sabe para que existem. Quanta informação é armazenada em nossos computadores e nem damos valor a esses arquivos tão “inofensivos”.

Em uma pasta contendo aquivos de imagens, se um dia você selecionou a forma de visualização “miniaturas”, com certeza encontrará um arquivo com o nome de Thumbs.db. A razão de existência desse arquivo é criar um cache das imagens em miniatura para agilizar o aparececimento das imagens pequenas na visualização dentro da própria pasta, no windows explorer.

Sem esse arquivo, quando você acessa, por exemplo, dentro da pasta “Meus Documentos” a pasta “Minhas Imagens”, caso tenha 100 arquivos de fotos, e você selecionar a opção de visualização “miniaturas”, vai demorar um certo tempo para que o windows mostre a miniaturas de todas as fotos. Ao final de abrir todas as fotos, será criado o arquivo Thumbs.db, com o cache das miniaturas. Quando entrar novamente nessa mesma pasta, e visualizar as miniaturas, as fotos já estarão carregadas (miniaturas) pois foram carregadas diretamente do cache.

Mesmo se você apagar as fotos da pasta e manter o arquivo Thumbs.db no diretório, o perito poderá abrir esse arquivo em uma ferramenta forense, como por exemplo, o Thumbs.db Viewer e visualizar todas as fotos em miniatura, que um dia, estavam armazenadas dentro da pasta.

 

Ferramenta Forense para acessar arquivo NTUSER.DAT

Muitos me procuraram para questionar sobre a fucionalidade do arquivo NTUSER.DAT existente dentro de cada perfil de usuário criado no windows. Para um perito, pode ser uma fonte de informação sobre as preferências do usuário, o que ele tem instalado ultimamente no computador e outros dados importantes.

Nesse caso, resumidamente, o arquivo NTuser.dat é a parte do Registro do perfil de usuário. Quando um usuário faz logoff do computador, o sistema descarrega a seção específica do usuário do Registro (ou seja, HKEY_CURRENT_USER) no arquivo NTuser.dat e o atualiza. Para obter mais informações sobre o Registro, consulte estrutura do Registro.

Pra cada usuário criado na maquina existe um arquivo “NTuser.dat”. Só confira o nome do arquivo, pois como já disseram alguns virus imitam o nome de arquivos do windows, mas se o nome for “NTuser.dat” fique tranquilo, e o arquivo varia mesmo de tamanho dependo da configuração do perfil do usuário.

Para ter acesso aos dados desse arquivo, não basta abrir com o bloco de notas ou wordpad, pois as informações estão criptografadas, devido a segurança que o sistema operacional utiliza para evitar problemas de confidencialidade.

Para um perito, particularmente, eu utilizo o Live CD Ubuntu Forensics – FTDK, no qual através da ferramenta regp, você pode observar o conteúdo do arquivo, que contem algumas informações do tipo:

Offline Registry File Parser, by Harlan Carvey

Version 1.1, 20060523

 

\$$$PROTO.HIV\Software\Microsoft\Internet Explorer\TypedURLs

 

LastWrite time: Tue Nov 24 15:35:53 2009

–> url1;REG_SZ;http://www.google.com.br/

–> url2;REG_SZ;http://wordpress.com/

–> url3;REG_SZ;http://www.terra.com.br/

–> url4;REG_SZ;http://www.dealextreme.com/

–> url5;REG_SZ;http://www.gmail.com/

 

Listando todos os dispositivos que um dia conectaram na USB do computador

Em algum momento, um dispositivo USB é conectado no computador, seja ele uma impressora, pendrive, Cd-ROM ou uma câmera digital. E quando essa conexão é efetuada na porta USB, ficar gravado no registro do windows uma série de informações sobre o dispositivo que um dia foi inserido na USB do micro.

Para um perito forense, esse tipo de informação gravado em uma chave do registro do windows, é uma fonte rica de dados preciosos que pode resolver uma lide emanada no judiciário.

Por exemplo, digamos que um criminoso se defenda e diga que o pendrive dele não foi utilizado no computador da vítima para infectar o computador, e assim, obter informações sigilosas e confidenciais. Basta o perito consultar o registro do windows e pronto, se o dispositivo USB estiver listado na chave de registro, é uma confirmação que o pendrive foi conectado na porta USB. Cabe o Juíz decidir se o criminoso realmente praticou tal ato com intenção de obter dados confidenciais, mas desde imediato, fica comprovado e derrubado a tese da defesa, em que foi alegado que o pendrive nunca foi inserido na USB do computador da vítima.

Para listar os dispositivos que um dia foi conectado na porta USB do computador, basta localizar a seguinte pasta no registro do windows:

1 – Clique em Iniciar, e digite regedit para entrar no registro do windows;

2 – Localize a seguinte chave no registro:

HLM -> System -> ControlSet001 ->  Enum -> USBTOR

Se existir ControlSet002, ControlSet003 e assim por diante… pesquise em todas essas chaves, pois em cada uma delas, na chave USBTOR, estará listado todos os dispositivos USB que um dia, passaram pelo computador.

 

Hackers “bombardeiam” urnas eletrônicas em novembro

A segurança das urnas eletrônicas será posta à prova no mês que vem por 26 especialistas em informática e hackers que se inscreveram em um desafio aberto pelo Tribunal Superior Eleitoral (TSE).

“O tribunal decidiu aceitar a inscrição de todas as pessoas que manifestaram interesse em pôr as urnas à toda prova para mostrar que não há intenção de vetar ninguém nem nenhum tipo de estratégia”, disse um representante do TSE.

Os 26 hackers e especialistas, que terão acesso tanto ao hardware como ao software do sistema, participarão entre os dias 10 e 13 de novembro dos testes públicos de segurança do sistema eletrônico de votação na sede do tribunal.

Os dez desafiantes, já que alguns trabalharão em grupo, terão quatro dias para tentar violar os códigos de segurança do software, o sigilo do voto ou para alterar algum voto digitado com a ajuda de diversos programas e equipamentos.

O TSE decidiu promover o desafio em resposta às reclamações de alguns partidos políticos que alegam que a apuração de uma eleição no Brasil pode ser manipulada por especialistas em informática.

Para o secretário de tecnologia da informação do TSE, Giuseppe Janino, o teste também servirá para detectar possíveis lacunas no sistema.

Segundo Janino, entre os desafiantes inscritos figuram desde profissionais em ciência da computação, engenharia eletrônica e análise de sistemas, até especialistas em auditoria.

O secretário acrescentou que a diversidade das estratégias que serão utilizadas pelos desafiantes pode ser medida no prazo que cada um solicitou para tentar violar o sistema, que varia de uma hora até quatro dias.

Planos de ataque

“Um dos inscritos alega que a pesquisa por ondas eletromagnéticas permite identificar as teclas usadas pelo eleitor e, assim, violar o sigilo do voto”, afirmou Janino, citado em comunicado do tribunal.

“Também há planos para tentar invadir o sistema com softwares maliciosos”, acrescentou, ao se referir a um desafiante que pretende chegar à memória da urna com um programa criado especialmente para violações de sistemas.

“Sua intenção é promover desvios nos votos digitados com um software que se autodestrói depois de usado para não deixar vestígios”, disse.

O TSE premiará com R$ 5 mil ao grupo de desafiantes que mais se aproximar do objetivo de violar a segurança do sistema.

Fonte: http://www1.folha.uol.com.br/folha/informatica/ult124u645011.shtml