Analisando equipamentos com suspeita de malware

Dando continuidade ao assunto, vamos falar sobre a análise dos equipamentos infectados e abordar as possibilidades diversas.

Raramente saberemos como o malware chegou e se instalou no equipamento, visto que os caminhos são muitos e a vítima raramente se recorda como isso ocorreu. Ainda assim, se o arquivo for localizado, uma análise baseada em engenharia reversa pode nos dar boas pistas acerca do seu funcionamento e da sua autoria, mas não é uma tarefa das mais simples. O Ronaldo Pinheiro de Lima tem excelentes posts sobre o assunto e podem ser vistos aqui.

Uma alternativa é a interceptação dos dados trafegados a partir do equipamento infectado e isso pode ser obtido em um ambiente preparado para tal. São necessários para este laboratório uma conexão à internet, um roteador, um hub ou um switch com port mirroring e uma estação para efetuar a captura. Os detalhes da configuração do ambiente vemos a seguir:

1. A conexão à internet não deve possuir limitações imposta por firewall ou pelo provedor;
2. O roteador será utilizado para direcionar o tráfego para a rede desejada. A maioria dos roteadores ADSL estão prontos para esta tarefa;
3. Um hub ou um switch que possua o recurso de port mirroring, fazendo com que a estação encarregada da captura dos dados receba o tráfego destinado ao computador infectado;
4. Por fim a estação de captura. Vamos nos deter um pouco mais aqui, pois temos alguma opções que pode ser utilizadas, todas elas gratuitas, o que reduzirá bastante os custos envolvidos (Em se tratando de governo, quanto mais baixo for o custo, maior será a chance de efetivar o projeto).
   • A primeira opção será utilizar uma máquina com sistema operacional Linux, que além de leve, é gratuito e eficiente para nossa tarefa. Certificar- se que o computador possui o Tcpdump instalado e atualizado ou instalar o Wireshark que também é gratuito e conta com uma prática interface gráfica para sua configuração e manuseio.
   • A segunda opção é utilizar uma estação com o Microsoft Windows, que apesar de ser software comercial, pode ser aquele que você domina, lembrando que “ferramenta boa é aquela que você conhece e domina”. Nesta estação instale o Wireshark.

OBS.: O Wireshark é uma ferramenta espetacular e possui recursos incríveis tanto para captura quanto para análise de pacotes, entretanto seria interessante conhecê-lo mais a fundo. Uma boa dica é o livro “Practical Packet Analysis  – Using Wireshark to Solve Real World Network Problems” da No Starch Press.

Utilizando o Tcpdump devemos ter as seguintes variáveis :

• Interface de rede que receberá o tráfego (Adaptador de rede onde está conectado à rede, que por ser cabeada, adotaremos eth0)
• IP do equipamento infectado (192.168.1.10)

# tcpdump -n -i eth0 host 192.168.1.10 -w /path/file.pcap

A opção -i permite indicar a interface a ser utilizada (eth0) e a opção -n desativa a resolução de nomes. “host 192.168.1.10″ indica que será capturado todo o tráfego destinado e recebido do endereço IP listado.

Com o Wireshark selecione a interface desejada e clique em “capture options”. Na janela que se abrirá coloque no “Capture filter” o valor “host 192.168.1.10”, que de forma análoga ao Tcpdump, só irá capturar o tráfego destinado e recebido do endereço IP escolhido.

Outra alternativa é montar esta estrutura em ambiente virtual, entretanto, como vimos no post anterior, alguns malwares detectam o ambiente virtual e permanecem inativos, impedindo o tráfego de dados gerado por estes.

A infraestrutura

Se a estação suspeita estiver disponível, duplique seu disco e instale a mídia de destino nela. Conecte-o em qualquer porta do switch que possa ser duplicada para outra ou em um hub. Conecte então a estação de captura na porta duplicada do switch ou do hub. Em outra porta livre, conecte o roteador que deverá estar configurado para direcionar todo o tráfego de entrada para a estação suspeita.

A imagem acima mostra a configuração indicada, onde o tráfego oriundo do roteador para a estação suspeita é também direcionado para a estação de captura. Após a captura dos pacotes a análise do tráfego nos dirá na maioria das vezes para onde o material capturado pelo malware está sendo enviado, se por e-mail, FTP, etc.

Até o próximo.

A investigação e perícia de malwares é complexa e pode não chegar a um resultado positivo. Nenhum método é autossuficiente e a combinação de técnicas pode ser altamente produtiva para os resultados. Apresentaremos a seguir as técnicas mais utilizadas para este tipo de trabalho e os aspectos de cada uma delas.

1. Análise das possíveis fontes de infecção – Uma alternativa bastante plausível mas nem sempre possível, é a realização de uma análise nas possíveis fontes de infecção do malware. E o correio eletrônico da vítima ou dos usuários do equipamento suspeito é uma dessas fontes potenciais. Se o correio eletrônico é acessado por software cliente, todo o conteúdo pode estar no próprio equipamento a ser analisado. Mas se o correio é acessado através de webmail, é necessário conhecer as informações de acesso (nome de usuário e senha) e ter o consentimento do usuário para realizar o acesso a sua caixa de mensagens e assim realizar os devidos exames. A análise das mensagens pode apontar a fonte da infecção e o foco principal são as mensagens de phishing, aquelas que têm como objetivo levar o usuário a baixar um arquivo contaminado, direcioná-lo a um falso site, etc. Entretanto, mesmo que as encontremos, não significa que o equipamento esteja contaminado.
2. Softwares antivírus, antispyware, etc. – Esta segunda opção consiste em submeter a mídia onde está o instalado o sistema ou o arquivo suspeito de estar infectado com o malware a programas antivírus. Conforme disse anteriormente, alguns destes conseguem manter-se sem serem descobertos, o que torna a eficácia deste método questionável, principalmente quando se trata de malwares mais elaborados. Esta técnica limita-se apenas ao encontro dos arquivos infectados. Nos casos em que o perito possua um arquivo suspeito, pode recorrer a serviços de verificação de arquivos como o Virus Total (https://www.virustotal.com), que também verifica URLs, ou o verificador de malwares do Jotti (http://virusscan.jotti.org). Ambos utilizam os engines de diversos antivírus do mercado. A utilização de antivírus deve ser precedida do bloqueio de escrita, de forma que não sejam produzidas alterações na mídia em análise. Uma imagem pericial pode ser montada como um dispositivo anexado à estação pericial e submetido ao processo de varredura, preservando a mídia de prova.
3. Análise de processos – O malware pode ser localizado em um processo suspeito/desconhecido. No Windows, o comando netstat -b lista os processos carregados na memória, indicando o executável responsável por cada conexão e a respectiva porta.
4. Hashsets – A utilização de hashsets é muito mais eficaz, mas também não oferece 100% de segurança, já que é necessário a manutenção diária desses hashsets de forma a sempre acrescentar novos valores a esta base de assinatura de arquivos. Esta técnica também limita-se apenas ao encontro dos arquivos infectados.
5. Análise de tráfego de dados – É a técnica mais complexa, que também oferece bons resultados, visto que a ação de apropriar-se de dados e enviar a um destinatário pode ser identificada e nos fornecer elementos suficientes para que a origem e a autoria sejam identificadas. Esta técnica requer a preparação de uma infra-estrutura adequada e a posse do equipamento suspeito. A infra exige um segmento de rede conectado a um hub ou a um switch com recurso de port mirroring (permite a duplicação de tráfego de uma porta para outra), acesso internet, estação com software de captura e análise de tráfego (como o Wireshark) e o equipamento suspeito. Existe a alternativa de fazer uma imagem da mídia deste equipamento e através do Live View, carregá-lo como uma máquina virtual. Entretanto alguns malwares detectam o ambiente virtual e permanecem inativos, prejudicando o exame.

As quatro primeiras técnicas nos levam a determinar se o equipamento estava ou não comprometido, mas a determinação de autoria só seria possível após outra série de procedimentos. A quinta técnica, além de poder exibir o malware em ação, pode também nos mostrar a origem e ajudar a determinar a autoria.

O acesso direto aos arquivos suspeitos, através de técnicas de engenharia reversa, pode ajudar a determinar uma série de informações importantes para se estabelecer a origem e a autoria da ação.

Como vimos, existem algumas técnicas que auxiliam o exame de malwares mas nenhuma delas possui eficácia total. O importante é tentar obter informações sobre o problema relatado, de forma que possamos direcionar os exames, reduzindo tempo gasto e aumentando a probabilidade de êxito. Até o próximo.

É crescente a quantidade de ocorrências policiais e solicitações de perícia em casos nos quais as pessoas acreditam que tiveram seu computadores “hackeados”, perdendo a posse de dados bancários, contas de correio eletrônico, blogs e perfis de redes sociais. Consequentemente o furto destas informações vem gerando, respectivamente, transferências de valores, empréstimos, pagamento de boletos, falsos e-mails, calúnia, difamação, etc. Nessas situações geralmente estaremos tratando de malwares.

O termo malware é originado da combinação das palavras malicious software e representa uma categoria de programa destinada a infectar, danificar ou furtar informações dos sistemas dos usuários, sem conhecimento nem consentimento dos mesmos.

São considerados malwares os vírus, trojans (cavalos de tróia), rootkits, worms (vermes) e keyloggers que contaminam os sistemas de diversas maneiras, sendo que a maioria decorre da ação dos próprios usuários. A execução de anexos suspeitos, visitas a sites inseguros, falta ou desatualização do antivírus, arquivos contaminados em mídias externas, como os pendrives, são as principais portas de entrada das “infecções” por malwares, mas não as únicas. O sistema operacional desatualizado, sem correções de segurança que poderiam evitar certas vulnerabilidades, também proporcionam a infecção de sistemas operacionais. As atualizações de segurança normalmente são aplicadas de forma automática, mas uma falha de configuração, um arquivo da instalação corrompido ou uma instalação de software ilegal pode impedir que isso ocorra. Alguns malwares ainda podem servir de porta de entrada para outros mais complexos e potencialmente mais danosos para os usuários.

A característica principal dos vírus e worms é a rápida propagação, sendo que os vírus, em sua maioria, possuem ação danosa e os worms não, podendo ser utilizados como veículos para a instalação de rootkits e trojans. Os rootkits são programas avançados que se camuflam de muitos antivírus, interceptando e filtrando dados de forma que não sejam detectados. Os trojans por sua vez habilitam recursos que permitem ao agente disseminador obter controle daquele sistema, operando recursos remotamente e acessando e capturando informações do usuário sem que ao menos perceba. Já os keyloggers são programas criados para que, quando instalados, capture informações do usuário e remeta-as para quem os configurou, entretanto não permitem acesso remoto ao sistema instalado. Existem keyloggers comercializados sob a “justificativa” de permitir o monitoramento dos hábitos das crianças, empregados, etc.

Nos próximos posts vamos abordar as técnicas de detecção e análise de malwares.