◇ OpenCyber Academy
Pós-graduação · Capítulo 3 · Português

Capítulo 3 — Perícia digital e análise de malware: evidências especializadas

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 3 — Perícia digital e análise de malware: evidências especializadas

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX011.

flowchart TD
  N0["3.1 Um caso paralelo"]
  N1["3.2 Tipos de aquisição"]
  N2["3.3 Isolamento"]
  N3["Laboratório — comparar extrações"]
  N4["3.4 Ler o resultado"]
  N5["3.5 Interpretação"]
  N6["3.6 Relato"]
  N7["3.7 Privacidade"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX011"]

Desenho lógico

flowchart LR
  N0["3.1 Um caso paralelo"]
  N1["3.2 Tipos de aquisição"]
  N2["3.3 Isolamento"]
  N3["Laboratório — comparar extrações"]
  N4["3.4 Ler o resultado"]
  N5["3.5 Interpretação"]
  N6["3.6 Relato"]
  N7["3.7 Privacidade"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX011"]

[3.1 Um caso paralelo]
    |
    v
[3.2 Tipos de aquisição]
    |
    v
[3.3 Isolamento]
    |
    v
[Laboratório — comparar extrações]
    |
    v
[3.4 Ler o resultado]
    |
    v
[3.5 Interpretação]
    |
    v
[3.6 Relato]
    |
    v
[3.7 Privacidade]
    |
    v
[Exemplo resolvido] --> [Exercício EX011]

Objetivos de aprendizagem

Você vai (1) explicar os tipos de aquisição em dispositivos móveis e suas contrapartidas; (2) interpretar as diferenças entre extrações; (3) cuidar do isolamento do dispositivo; (4) relatar evidências especializadas com seus limites.

3.1 Um caso paralelo

Enquanto a resposta ao ransomware continua, o jurídico da Corvane pede à unidade de Marta que examine um celular corporativo entregue a um funcionário suspeito de vazar dados de clientes. A política de dispositivos autoriza o exame de dispositivos da empresa. O caso do celular traz perguntas diferentes das do CF-21: não como um atacante entrou, mas se um funcionário identificado enviou dados de clientes para fora. Como o funcionário pode sofrer medidas disciplinares ou ações judiciais, o exame precisa ser justo e proporcional desde o início. Marta confirma com o jurídico qual pergunta está autorizada antes que Aiyana toque no aparelho.

3.2 Tipos de aquisição

A NIST SP 800-101r1 descreve níveis de aquisição em dispositivos móveis, da extração manual e lógica até métodos físicos como hex dumping/JTAG e chip-off; as ferramentas periciais também oferecem uma extração do sistema de arquivos, situada entre a lógica e a física. A extração lógica usa as interfaces do próprio dispositivo e entrega os dados de usuário que o sistema operacional expõe; a extração do sistema de arquivos entrega mais, inclusive os bancos de dados dos aplicativos. Para o celular da Corvane, a equipe faz uma extração lógica e uma do sistema de arquivos, para que a diferença entre elas possa ser medida, e não suposta. A extração física não é tentada porque o estado de segurança do aparelho não a permite. O laboratório abaixo compara as duas extrações, categoria por categoria, com contagens sintéticas.

3.3 Isolamento

O dispositivo é mantido longe das redes (modo avião ou blindagem) para impedir uma limpeza remota ou a chegada de novos dados, como recomenda a SP 800-101r1, e os passos são registrados. Para o celular da Corvane, Aiyana registra quando o modo avião foi ativado, quem o ativou e se o aparelho foi depois colocado numa bolsa blindada. O isolamento importa aqui porque uma limpeza remota pela conta do funcionário poderia destruir o banco de dados do chat antes da extração. Qualquer notificação ou mensagem que chegue antes do isolamento é anotada como recebida durante o manuseio.

Laboratório — comparar extrações

"""Compare artefact counts from two synthetic mobile extraction types."""
logical = {"sms": 412, "call_log": 230, "contacts": 180, "photos": 1900, "app_chat": 0}
fullfs  = {"sms": 412, "call_log": 230, "contacts": 180, "photos": 1925, "app_chat": 3120}
for k in logical:
    d = fullfs[k] - logical[k]
    print(f"{k:9} logical={logical[k]:5} full_fs={fullfs[k]:5} extra={d}")
print("categories gained only by full_fs:", [k for k in logical if logical[k] == 0 and fullfs[k] > 0])

Execute com python3 lab_mobile.py. Saída verificada:

sms       logical=  412 full_fs=  412 extra=0
call_log  logical=  230 full_fs=  230 extra=0
contacts  logical=  180 full_fs=  180 extra=0
photos    logical= 1900 full_fs= 1925 extra=25
app_chat  logical=    0 full_fs= 3120 extra=3120
categories gained only by full_fs: ['app_chat']

3.4 Ler o resultado

As contagens de SMS, registro de chamadas e contatos são idênticas. As fotos diferem em 25 (provavelmente arquivos em cache ou miniaturas). A diferença decisiva é app_chat: zero na extração lógica, 3.120 mensagens na extração do sistema de arquivos. Uma conclusão de que "não existe atividade de chat", tirada apenas da extração lógica, estaria errada. A diferença nas fotos pouco importa para a pergunta do vazamento, mas mostra que as duas extrações não enxergam o mesmo sistema de arquivos. A categoria do chat importa muito, porque é nela que estaria o suposto vazamento. Aiyana registra que a extração lógica é incompleta para esse aparelho, de modo que nenhuma constatação depende só dela.

3.5 Interpretação

Os bancos de dados dos aplicativos exigem parsers validados; registros apagados podem ser recuperáveis a partir de páginas livres. Os carimbos de tempo e as codificações das mensagens variam conforme a versão do aplicativo. Para as 3.120 mensagens de chat, Aiyana registra a versão do aplicativo e a do parser, e confere o parser com um banco de dados de teste conhecido antes de confiar na sua saída. Os registros apagados recuperados de páginas livres são relatados separadamente dos ativos. Os carimbos de tempo são convertidos com cuidado, porque uma suposição errada sobre o formato de tempo do aplicativo deslocaria as mensagens em horas. Os avisos do parser e os registros não interpretados são listados, em vez de descartados em silêncio.

3.6 Relato

O laudo indica o tipo de extração de cada constatação e declara o que não estava disponível. Para o celular da Corvane, as 14 mensagens com números de contas de clientes são relatadas como encontradas na extração do sistema de arquivos, com a observação de que a extração lógica não mostrou nenhum dado de chat. Tudo o que a extração não conseguiu alcançar, como o armazenamento cifrado de aplicativos, é listado como indisponível. Assim, os leitores podem julgar o que significa a ausência de evidência. A versão do aplicativo e a do parser usadas em cada constatação são informadas ao lado dela.

3.7 Privacidade

As mensagens pessoais no celular corporativo são revisadas apenas para a pergunta autorizada. A pergunta autorizada é se dados de clientes saíram pelo celular, por isso Aiyana busca nos dados do chat números de contas de clientes e contatos externos. Mensagens com familiares ou amigos que não contêm dados de clientes não são lidas além do que essa busca exige. As fotos ficam sem revisão, como explica o juízo de proporcionalidade na discussão de ética. Os termos de busca e os motivos para usá-los são registrados antes de a busca rodar, para que o limite possa ser conferido depois.

Exemplo resolvido

Aiyana relata: "A extração do sistema de arquivos rendeu 3.120 mensagens do aplicativo de chat, ausentes da extração lógica. Entre elas, 14 enviadas a um contato externo contêm números de contas de clientes (ver a lista de anexos)." Ela anota a versão do aplicativo e a do parser utilizadas.

Caso sintético. O dispositivo e as contagens são inventados.

Erros e limites

A capacidade de extração depende do modelo do dispositivo, da versão do sistema operacional e do estado de segurança; alguns dados podem ser inalcançáveis.

Exercícios

Síntese

A evidência especializada exige saber o que cada método de aquisição consegue e não consegue alcançar, e dizê-lo.

Continue estudando — capítulo 03 de 12

← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →