A Guidance Software Inc. anunciou que a EnCase® App Central abrirá as portas em 18 de fevereiro de 2013, onde disponibilizará softwares para investigação digital, além do SDK para auxiliar os desenvolvedores na produção de programas para sua plataforma. A App Central oferecerá softwares pagos, gratuitos e de terceiros. Também oferecerá ferramentas de integração do EnCase a softwares de terceiros e modelos de relatórios de análise.

O anúncio já havia sido feito na Computer Enterprise Investigation Conference (CEIC) em maio de 2012 por Victor Limongelli, diretor executivo da Guidance Software, que conta com mais de 40.000 usuários em todo o mundo que utilizam os EnScripts para automatizar as análises através EnCase Forensic Editon.

A investigação e perícia de malwares é complexa e pode não chegar a um resultado positivo. Nenhum método é autossuficiente e a combinação de técnicas pode ser altamente produtiva para os resultados. Apresentaremos a seguir as técnicas mais utilizadas para este tipo de trabalho e os aspectos de cada uma delas.

1. Análise das possíveis fontes de infecção – Uma alternativa bastante plausível mas nem sempre possível, é a realização de uma análise nas possíveis fontes de infecção do malware. E o correio eletrônico da vítima ou dos usuários do equipamento suspeito é uma dessas fontes potenciais. Se o correio eletrônico é acessado por software cliente, todo o conteúdo pode estar no próprio equipamento a ser analisado. Mas se o correio é acessado através de webmail, é necessário conhecer as informações de acesso (nome de usuário e senha) e ter o consentimento do usuário para realizar o acesso a sua caixa de mensagens e assim realizar os devidos exames. A análise das mensagens pode apontar a fonte da infecção e o foco principal são as mensagens de phishing, aquelas que têm como objetivo levar o usuário a baixar um arquivo contaminado, direcioná-lo a um falso site, etc. Entretanto, mesmo que as encontremos, não significa que o equipamento esteja contaminado.
2. Softwares antivírus, antispyware, etc. – Esta segunda opção consiste em submeter a mídia onde está o instalado o sistema ou o arquivo suspeito de estar infectado com o malware a programas antivírus. Conforme disse anteriormente, alguns destes conseguem manter-se sem serem descobertos, o que torna a eficácia deste método questionável, principalmente quando se trata de malwares mais elaborados. Esta técnica limita-se apenas ao encontro dos arquivos infectados. Nos casos em que o perito possua um arquivo suspeito, pode recorrer a serviços de verificação de arquivos como o Virus Total (https://www.virustotal.com), que também verifica URLs, ou o verificador de malwares do Jotti (http://virusscan.jotti.org). Ambos utilizam os engines de diversos antivírus do mercado. A utilização de antivírus deve ser precedida do bloqueio de escrita, de forma que não sejam produzidas alterações na mídia em análise. Uma imagem pericial pode ser montada como um dispositivo anexado à estação pericial e submetido ao processo de varredura, preservando a mídia de prova.
3. Análise de processos – O malware pode ser localizado em um processo suspeito/desconhecido. No Windows, o comando netstat -b lista os processos carregados na memória, indicando o executável responsável por cada conexão e a respectiva porta.
4. Hashsets – A utilização de hashsets é muito mais eficaz, mas também não oferece 100% de segurança, já que é necessário a manutenção diária desses hashsets de forma a sempre acrescentar novos valores a esta base de assinatura de arquivos. Esta técnica também limita-se apenas ao encontro dos arquivos infectados.
5. Análise de tráfego de dados – É a técnica mais complexa, que também oferece bons resultados, visto que a ação de apropriar-se de dados e enviar a um destinatário pode ser identificada e nos fornecer elementos suficientes para que a origem e a autoria sejam identificadas. Esta técnica requer a preparação de uma infra-estrutura adequada e a posse do equipamento suspeito. A infra exige um segmento de rede conectado a um hub ou a um switch com recurso de port mirroring (permite a duplicação de tráfego de uma porta para outra), acesso internet, estação com software de captura e análise de tráfego (como o Wireshark) e o equipamento suspeito. Existe a alternativa de fazer uma imagem da mídia deste equipamento e através do Live View, carregá-lo como uma máquina virtual. Entretanto alguns malwares detectam o ambiente virtual e permanecem inativos, prejudicando o exame.

As quatro primeiras técnicas nos levam a determinar se o equipamento estava ou não comprometido, mas a determinação de autoria só seria possível após outra série de procedimentos. A quinta técnica, além de poder exibir o malware em ação, pode também nos mostrar a origem e ajudar a determinar a autoria.

O acesso direto aos arquivos suspeitos, através de técnicas de engenharia reversa, pode ajudar a determinar uma série de informações importantes para se estabelecer a origem e a autoria da ação.

Como vimos, existem algumas técnicas que auxiliam o exame de malwares mas nenhuma delas possui eficácia total. O importante é tentar obter informações sobre o problema relatado, de forma que possamos direcionar os exames, reduzindo tempo gasto e aumentando a probabilidade de êxito. Até o próximo.

Neste final de semana ouvi enfaticamente de duas pessoas diferentes, empolgadas com a aquisição do seu Mac, que “Mac não pega vírus”. Não queria frustrar ninguém, mas infelizmente tive de discordar. O sistema Mac OS é passível de infecção. Em maio de 2011 o MacDefender e uma variante, o MacGuard, malwares disfarçados de antivírus  para furto de dados pessoais como números de cartões de crédito entre outros.

Em novembro de 2011 o DevilRobber fez vários Macs como vítima. Era uma combinação de cavalo de tróia, back door e stealer, ou seja, permitia o controle remoto do equipamento infectado e promovia o furto de dados para o atacante remoto.

Em fevereiro de 2012 o BackDoor.Flashback.39 infectou milhares de Macs pelo mundo. O Java e o Flash era os grandes vilões da história. Somente em abril a Apple corrigiu o problema com seu sistema. Este malware salva um arquivo executável no disco rígido do Mac infectado, que baixa conteúdo malicioso de um servidor para o computador infectado. Era utilizado para o furto de senhas de sites e transformar a máquina infectada em zumbis de uma determinada botnet.

Em julho surgiu o Crisis ou Morcut, capaz de infectar Macs, Windows e máquinas virtuais VMWare., permitindo o furto de dados de cartões e contas bancárias dos usuários.

Lembram-se do caso da Carolina Dieckmann? Pois é, ela teve seu MacBook infectado e a senha de seu correio eletrônico furtada, permitindo aos atacantes acesso à sua conta onde estavam as fotografias que geraram todo aquele incidente.

Praticamente nenhum deles exige senha de administrador do sistema para se instalar.

Portanto trate de instalar um antivírus e, mais importante ainda, cuidado com os seus hábitos no uso do computador. Olhe os sites que você visita e atenção com as mensagens que você recebe.

A Câmara dos Deputados aprovou nesta quarta-feira, 07/11, o Projeto de Lei da Câmara (PLC) número 35/2012, que altera o Código Penal para criminalizar uma série de infrações relacionadas à tecnologia, tais como invasão de computadores, furto de senhas e conteúdos de e-mails, ataques a servidores, etc.  O Senado já havia aprovado no dia 31/10 este projeto de lei, que ficou conhecido como “Lei Carolina Dieckmann” por conta do furto de imagens da atriz. Também foi aprovado na Câmara o Projeto de Lei 84/99, que ficou conhecido como Lei Azeredo, por causa do relator, o deputado Eduardo Azeredo do PSDB de Minas.

A aprovação dos projetos provocou uma série de opiniões controversas e a votação do Marco Civil foi adiada mais uma vez.

Não deixo de reconhecer o valor destes dois projetos, mas na minha humilde opinião, quem investiga e realiza perícia em crimes praticados com auxílio de tecnologias, carece muito mais de uma regulamentação no provimento de acesso à internet do que qualquer outra coisa. Não podemos atuar se não se preservam as provas de origem e autoria dos crimes. Não se trata de monitorar conteúdo ou sites que as pessoas visitam e sim de garantir que qualquer pessoa que acesse a internet deixe registrado o momento inicial e final de sua conexão, por um período mínimo de tempo. Por analogia podemos comparar com uma conta detalhada de telefone onde são registradas as ligações efetuadas e recebidas por uma determinada linha. Muitas vezes só esta informação não será suficiente para determinarmos a autoria, conforme pode ser visto no post Rastreamento de E-mails – Parte I – Origem e Autoria, mas é fundamental para se chegar na origem. Os tipos penais são importantes mas o enquadramento pode ser feito ainda pelos tipos existentes no código penal atual, entretanto sem informações que permitam chegar na origem e autoria, todo o resto fica sem sentido.

É crescente a quantidade de ocorrências policiais e solicitações de perícia em casos nos quais as pessoas acreditam que tiveram seu computadores “hackeados”, perdendo a posse de dados bancários, contas de correio eletrônico, blogs e perfis de redes sociais. Consequentemente o furto destas informações vem gerando, respectivamente, transferências de valores, empréstimos, pagamento de boletos, falsos e-mails, calúnia, difamação, etc. Nessas situações geralmente estaremos tratando de malwares.

O termo malware é originado da combinação das palavras malicious software e representa uma categoria de programa destinada a infectar, danificar ou furtar informações dos sistemas dos usuários, sem conhecimento nem consentimento dos mesmos.

São considerados malwares os vírus, trojans (cavalos de tróia), rootkits, worms (vermes) e keyloggers que contaminam os sistemas de diversas maneiras, sendo que a maioria decorre da ação dos próprios usuários. A execução de anexos suspeitos, visitas a sites inseguros, falta ou desatualização do antivírus, arquivos contaminados em mídias externas, como os pendrives, são as principais portas de entrada das “infecções” por malwares, mas não as únicas. O sistema operacional desatualizado, sem correções de segurança que poderiam evitar certas vulnerabilidades, também proporcionam a infecção de sistemas operacionais. As atualizações de segurança normalmente são aplicadas de forma automática, mas uma falha de configuração, um arquivo da instalação corrompido ou uma instalação de software ilegal pode impedir que isso ocorra. Alguns malwares ainda podem servir de porta de entrada para outros mais complexos e potencialmente mais danosos para os usuários.

A característica principal dos vírus e worms é a rápida propagação, sendo que os vírus, em sua maioria, possuem ação danosa e os worms não, podendo ser utilizados como veículos para a instalação de rootkits e trojans. Os rootkits são programas avançados que se camuflam de muitos antivírus, interceptando e filtrando dados de forma que não sejam detectados. Os trojans por sua vez habilitam recursos que permitem ao agente disseminador obter controle daquele sistema, operando recursos remotamente e acessando e capturando informações do usuário sem que ao menos perceba. Já os keyloggers são programas criados para que, quando instalados, capture informações do usuário e remeta-as para quem os configurou, entretanto não permitem acesso remoto ao sistema instalado. Existem keyloggers comercializados sob a “justificativa” de permitir o monitoramento dos hábitos das crianças, empregados, etc.

Nos próximos posts vamos abordar as técnicas de detecção e análise de malwares.