Capítulo 8 — Perícia digital e análise de malware: casos difíceis
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX036.
flowchart TD
N0["8.1 Antiforense"]
N1["8.2 Detectar manipulação"]
N2["8.3 Contradições"]
N3["8.4 Atribuição"]
N4["8.5 Evidência incompleta"]
N5["8.6 Comunicar a incerteza"]
N6["8.7 Revisão por pares"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX036"]
Desenho lógico
flowchart LR
N0["8.1 Antiforense"]
N1["8.2 Detectar manipulação"]
N2["8.3 Contradições"]
N3["8.4 Atribuição"]
N4["8.5 Evidência incompleta"]
N5["8.6 Comunicar a incerteza"]
N6["8.7 Revisão por pares"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX036"]
[8.1 Antiforense]
|
v
[8.2 Detectar manipulação]
|
v
[8.3 Contradições]
|
v
[8.4 Atribuição]
|
v
[8.5 Evidência incompleta]
|
v
[8.6 Comunicar a incerteza]
|
v
[8.7 Revisão por pares]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX036]
Objetivos de aprendizagem
Você vai (1) lidar com atividade antiforense e evidências contraditórias; (2) raciocinar sobre os limites da atribuição; (3) gerir evidências incompletas; (4) comunicar a incerteza a executivos e reguladores.
8.1 Antiforense
Na WS-07, o log de segurança foi apagado, e o ransomware excluiu as cópias de sombra de volume. Alguns carimbos de tempo de arquivo numa ferramenta deixada no sistema mostram o ano de criação 2009 — muito anterior à instalação do sistema operacional. A alteração de carimbos de tempo é uma técnica antiforense conhecida. Cada um desses atos mira uma fonte de evidência diferente: a limpeza remove o log de segurança, a exclusão das cópias de sombra remove versões anteriores dos arquivos, e os carimbos alterados escondem quando uma ferramenta chegou. Nenhum deles, por mais minucioso que seja, detém sozinho uma investigação. Juntos, empurram os peritos a confiar em fontes que o atacante não alterou ou não conseguiu alterar.
8.2 Detectar manipulação
Comparar os carimbos de tempo do sistema de arquivos com outras fontes — o aparecimento do arquivo numa listagem de diretório capturada pela triagem, as entradas do diário de alterações do NTFS, o horário da primeira execução no prefetch — expõe a inconsistência. Carrier (2005) explica as estruturas de metadados separadas que tornam possíveis esses cruzamentos. Na WS-07, o horário de criação de 2009 da ferramenta deixada conflita com a listagem da triagem e com o diário de alterações, que mostra o arquivo chegando durante a intrusão. O prefetch registra a primeira execução da ferramenta na mesma noite da intrusão. Quando três fontes independentes concordam contra um carimbo de tempo, o laudo trata esse carimbo como alterado e diz por quê.
8.3 Contradições
O firewall mostra 18 GB saindo do servidor de arquivos para um host externo às 02:40; os logs do próprio servidor de arquivos não mostram leituras incomuns. Possibilidades: lacunas de registro, outro host de origem por trás de NAT ou dados preparados em outro lugar. Cada uma é testada. A contradição não se resolve escolhendo a fonte mais conveniente. As lacunas de registro são conferidas procurando intervalos ausentes nos logs do servidor de arquivos; o NAT, recuperando a tabela de tradução do firewall; e a preparação, examinando outros hosts que poderiam alcançar o compartilhamento de clientes. Cada teste é descrito com seu método e resultado, inclusive os testes que não encontraram nada.
8.4 Atribuição
A nota de resgate cita um grupo criminoso conhecido. Atribuir o ataque a um grupo específico a partir de uma nota é fraco — notas são copiadas — e não é necessário para as perguntas periciais. O laudo de Marta registra a alegação sem endossá-la. Copiar a nota de outro grupo não custa nada a um criminoso, por isso um nome numa nota prova pouco. As perguntas periciais do CF-21, sobre entrada, propagação e perda de dados, podem ser respondidas sem saber quem foram os atacantes. Se as autoridades policiais atribuírem o ataque mais tarde, as constatações do laudo continuam válidas de qualquer modo.
8.5 Evidência incompleta
Dois hosts foram reconstruídos antes da preservação. O laudo declara quais perguntas isso deixa parcialmente sem resposta. No CF-21, os dois servidores reconstruídos significam que algumas perguntas sobre movimentação lateral não podem ser respondidas por completo. O laudo nomeia essas perguntas, diz quais outras fontes, como os logs centrais e os registros do controlador de domínio, as estreitam quando possível, e declara que a lacuna decorre da reconstrução antes da preservação. Essa franqueza é também o argumento mais forte a favor da barreira pericial acrescentada depois. O laudo não apresenta as respostas estreitadas como se os servidores reconstruídos tivessem sido examinados.
8.6 Comunicar a incerteza
Os executivos querem sim ou não. Marta usa afirmações calibradas: "A evidência sustenta a exfiltração de aproximadamente 18 GB a partir do segmento do servidor de arquivos; quais arquivos ainda não pode ser determinado." A afirmação dá aos executivos um número com que podem agir e um limite claro sobre o que ainda não se sabe. Ela evita tanto "nenhum dado foi levado" quanto "todos os dados de clientes foram roubados", nenhuma das quais a evidência sustenta. Marta usa a mesma estrutura para cada constatação importante: o que a evidência sustenta e o que permanece em aberto.
8.7 Revisão por pares
As constatações difíceis recebem um segundo revisor sênior. No CF-21, a constatação da preparação dos dados no servidor de backup e a manipulação de carimbos de tempo na WS-07 recebem, ambas, um segundo revisor sênior. O revisor trabalha a partir da evidência e das notas do perito, não da conclusão. O segundo revisor não pode ter trabalhado na constatação, para que sua visão seja independente. Quando o revisor discorda, a divergência é resolvida antes de o laudo ir para o jurídico ou para o regulador; o laudo declara a posição final e o motivo, e a divergência permanece nos autos do caso. No CF-21, isso acrescentou um dia antes da saída do laudo, o que Marta julgou valer a pena, dado o interesse do regulador.
Exemplo resolvido
A tabela de NAT, recuperada da exportação de memória do firewall, associa a transferência das 02:40 ao servidor de backup, e não ao servidor de arquivos. Os logs do servidor de backup mostram uma leitura em massa do compartilhamento de clientes às 02:35. A contradição se resolve: os dados foram preparados por meio do servidor de backup.
Caso sintético. A evidência é inventada.
Erros e limites
Resolver uma contradição pode criar uma confiança que não se justifica em outros pontos; continue testando as demais constatações.
Exercícios
- EX036 — Anomalia de carimbo de tempo. Como expor o horário de criação de 2009 como manipulado? Rubrica: 3 = cruzar com o diário de alterações, a listagem da triagem e a primeira execução no prefetch; 2 = parcial; 1 = aceitar; 0 = nada.
- EX037 — Opções para a contradição. Liste três explicações para a contradição dos 18 GB. Rubrica: 3 = lacuna de registro, origem por NAT, preparação em outro lugar; 2 = duas; 1 = uma; 0 = nada.
- EX038 — Resolução. Como a contradição foi resolvida? Rubrica: 3 = a tabela de NAT apontou o servidor de backup; leitura em massa às 02:35; 2 = parcial; 1 = vago; 0 = nada.
- EX039 — Atribuição pela nota de resgate. Por que não endossar o grupo citado na nota? Rubrica: 3 = notas são copiadas; evidência fraca; desnecessária para as perguntas; 2 = parcial; 1 = endossar; 0 = nada.
- EX040 — Afirmação calibrada. Escreva uma afirmação calibrada sobre a exfiltração. Rubrica: 3 = sustenta ~18 GB a partir do segmento; arquivos não determinados; 2 = parcial; 1 = sim/não; 0 = nada.
Síntese
Casos difíceis exigem cruzamentos, alternativas testadas, contenção na atribuição e comunicação calibrada.
Continue estudando — capítulo 08 de 12
← Capítulo 07 (rascunho) · Índice de capítulos do curso · Capítulo 09 (rascunho) →