Mais um ano se passa e quando olhamos para trás, observamos as coisas boas que fizemos e já planejamos para o próximo ano, as ações que não conseguimos fazer nesse ano.
Desejo a todos que tiveram a oportunidade de me acompanhar nesse ano em meu blog, um Feliz Ano Novo !!!
A apartir do dia 05 de janeiro, estarei de volta a postar no blog.
Boas Festas!!!
Observando alguns log’s em um servidor de uma determinada empresa em um processo de auditoria interna, que tive a oportunidade de fazer, verifiquei que algumas técnicas comuns são executadas por scripts que ficam vasculhando a internet em busca de informações.
No log gerado dos acessos ao serviço de Web, nesse caso um IIS (Internet Information Service), verifiquei uma excessiva requisição “GET” no qual o final do endereço pesquisado tinha “/robots.txt”. Notei que não só essa empresa mas que diversos sites é comum ter esse arquivo publicado dentro da arquitetura do IIS, inclusive sites com alto nível de acesso, como o Terra e o Google.
Experimente digitar http://www.terra.com.br/robots.txt e http://www.google.com.br/robots.txt e verá a lista de serviços que estão ativos e publicados na internet.
Com esse resultado dessa busca, temos a informação valiosa de quais serviços ou diretórios estão publicados e em funcionamento, aumentando consideravelmente os riscos para que atacantes encontrem alguma pasta com falha nas permissões do diretório, e assim, alterar não só o site da organização mas prejudicar a imagem de uma empresa que levou tanto tempo para se firmar no mercado e demonstrar confiança nos seus negócios.
Na internet, existem vários programas que fornecem informações detalhadas de seu computador como processador, memória RAM, HD, dispositivos conectados e etc. Mas vamos hoje, entender de onde esses programas obtêm algumas informações que são mostradas nesses softwares de auditoria.
Podemos dizer que todas as informações que um programa de auditoria consegue sobre os nossos computadores estão armazendas no registro do windows. Não existe muito mistério, apenas, esses programas facilitam a nossa vida.
Por exemplo, onde você extrai as informações sobre o seu processador de seu micro? Simples, basta entrar no registro do windows e procurar a seguinte chave:
HLM -> Hardware -> DESCRIPTION -> System -> CentralProcessor -> O
Existe a chave “Identifier” que descreve o modelo do processador
A chave “ProcessorNameString” é o nome do fabricante do processador e sua velocidade/arquitetura
E finalmente, a chave “VendorIdentifier” que poder ser Intel ou AMD.
SÃO PAULO – Hackers criaram uma nova ferramenta que atrapalha o trabalho da ferramenta COFEE, da Microsoft, utilizada recuperar informações do PC para investigações policiais.
A Decaf, como foi chamada, detecta o programa da MS e dispara mecanismos de segurança que evitam suas rotinas de análise dos sistemas.
A COFEE foi criada para auxiliar a polícia a resgatar informações importantes durante uma investigação. Ela é acionada a partir de um drive USB e é responsável por gerar relatórios de tudo o que foi feito no PC.
Ao identificar o programa, o Decaf é capaz de desabilitar a porta USB e apagar todos os logs, históricos dos navegadores, cookies e até os principais clientes utilizados para baixar torrents.
Fonte: Info Plantão (http://info.abril.com.br/noticias/seguranca/decaf-desabilita-software-forense-da-ms-15122009-6.shl)
Durante os testes promovidos pelo Tribunal Superior Eleitoral (TSE) para testar a segurança da urna eletrônica a ser usada nas eleições de 2010, um perito teve sucesso em quebrar o sigilo eleitoral e descobrir, por meio de radiofrequência, o candidato escolhido pelo eleitor.
O consultor Sérgio Freitas da Silva compôs o grupo de 32 especialistas convocados pelo TSE e compareceu à sede do órgão na terça-feira (10/11), primeiro dia dos testes, com a estratégia de detectar a interferência eletromagnética que a urna exerce sobre as ondas de rádio.
“Fiz meu experimento em 29 minutos e obtive sucesso no escopo que estava proposto: rastrear a interferência e gravar arquivos para comprovar a materialidade do fenômeno”, que sintonizam ondas longas e curtas e estações em AM e FM.
Segundo Sérgio, o equipamento usado é encontrado em rádios convencionais vendidos nas lojas, “destes que custam 10 reais”. A técnica acabou dando a Sérgio a primeira posição no concurso de melhorias para urna promovido pelo TSE, o que lhe rendeu prêmio de cinco mil reais.
“Enquanto eu digitava na urna, rastreava através do rádio pra ver se detectava alguma interferência. Consegui rastrear a interferência que isto provocava na onda, gravando um arquivo WAV com estes sons”, explica.
Sérgio explica que após gravar os ruídos que os botões da urna eletrônica exercem sobre a onda é possível decodificar os sons, o que levaria à descoberta dos candidatos escolhidos pelo eleitor, quebrando seu sigilo.
“É como se o teclado da urna eletrônica se transformasse em um teclado musical, conseguindo rastrear a tonalidade da interferência neste arquivo WAV que gravei”, compara.
A técnica descrita por Sérgio é chamada de Van Eck Phreaking, segundo o especialista em segurança Marco Canut, que confirma a possibilidade de quebra do sigilo eleitor caso o método seja aplicado à urna eletrônica brasileira.
No experimento realizado no TSE, o perito precisava estar a até 20 centímetros da urna para que sua interferência fosse sentida no receptor do rádio.
Questionado sobre a possibilidade de uso de equipamento mais potente, levantada pelo próprio Sérgio, Gianino afirmou que se trata “do campo teórico”. “Se tivesse realmente a possibilidade, ele (Sérgio) teria apresentado um aparelho que faria isto”
Fonte: IDGNOW (http://idgnow.uol.com.br/seguranca/2009/11/20/perito-quebra-sigilo-eleitoral-e-descobre-voto-de-eleitores-na-urna-eletronica/)
Quando temos uma situação em que é preciso obter todas as evidências possíveis de um determinado equipamento, é necessário termos um ambiente apropriado para manter o profissionalismo e a ética profissional, para evitar que dados sigilosos sejam divulgados ou que os equipamentos eletrônicos estejam vulneráveis ao acesso de terceiros não autorizados.
Para tanto,o ideal é que o perito forense sempre tenha um laboratório forense para auxiliar nas suas atividades com o maior zelo possível. Primeiramente, tenha em mente qual o orçamento que você terá disponível para montar o seu ambiente de trabalho. Não adianta se planejar com um orçamento que não é a sua realidade financeira.
Pesquise e analise um espaço físico adequado para que tenha um mínimo de conforto e que seus equipamentos possam ser guardados de forma organizada. Tenha em mente também que é nesse local que seus equipamentos que estarão em sua custódia ficarão guardados.
Reúna uma quantidade mínima necessária de equipamentos para que possa começar a trabalhar com perícia forense. Não adianta comprar sofwares caros inicialmente se você não possui nenhum trabalho em vista.
Proteja o seu laboratório fisicamente, controlando o acesso de pessoas no local, registrando dia e horário. Tenha sempre o controle de seu laboratório, evitando assim, surpresas desagradáveis futuras.
Bom trabalho.
Quando ligamos o computador, diversas instruções são executadas (boot da máquina, instrução INT 19, leitura da trilha zero do HD, etc) na máquina até que possamos propriamente ter acesso ao sistema operacional e conseguir usar o computador.
Nesse momento, vamos analisar quais aplicações ou possíveis scripts poderiam está sendo executados durante o boot do windows, no qual poderemos ter uma noção se algo diferente, como apagar determinados arquvos, estariam sendo realizados antes mesmos do equipamento ser liberado ao usuário / perito.
Uma rápida consulta no registro do windows, poderemos ter a informação desejada. Basta seguir os seguintes passos:
1 – Executar o regedit.exe em Iniciar -> Executar, e entre no registro do windows;
2 – Localize a chave “Session Manager” que pode ser encontrada no seguinte caminho:
HKEY_LOCAL_MACHINE -> System -> ControlSet001 -> Control -> Session Manager
Dentro dessa chave, no lado direito, procure a chave “BootExecute” e visualize o que está sendo executado durante o boot do windows.
Por exemplo, pode aparecer a seguinte informação:
BootExecute
autocheck xmnt2002 /bat=”C:\WINDOWS\TEMP\PQ_BATCH.PQB”
/win=”C:\WINDOWS” /dbg=”C:\WINDOWS\TEMP\PQ_DEBUG.TXT”
/ver=262144 /prd=”PartitionMagic”
autocheck autochk *
–
Não duvide, programas “invisíveis” estão rodando junto com o Windows na sua frente e você não vê no Desktop (área de trabalho). O perito quando vai fazer uma investigação e sai em busca de evidências, não pode deixar passar certas situações em que para um usuário leigo, nem imagina que algo está acontecendo diante de seus olhos e ele não pode ver, muito menos imaginar que telas estão abertas e que simplesmente não aparecem.
Em muitos casos, um criminoso instala um programa que roda em segundo plano (processo background) em que não precebemos a sua execução e fica esperando a digitação do teclado para “roubar” (o termo técnico correto é furtar) os seus dados pessoais para utilização futura.
Para um perito experiente, a primeira coisa dentre muitas outras que são planejadas, é ir em busca de evidências de softwares que estão rodando no momento em memória. Uma das ferramentas que te mostra as janelas abertas mas que não aparecem ao usuário é o ShowWin.
Com esse software, o perito clica em um símbolo existente no programa e arrasta por toda a área da janela do ambiente de trabalho. Para cada janela que o ShowWin encontrar, aparece a demarcação da janela ativa e o nome da função em funcionamento. Com um clique com o botão direito do mouse, acontece o “milagre”: a janela que está ativa aparece agora aos olhos do perito, que pode servir como evidência ou até mesmo prova para a confecção do laudo pericial.
Roney Médice 