Capítulo 4 — Perícia digital e análise de malware: laboratório guiado e síntese aplicada | Curso rápido Perícia digital e análise de malware

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX039.

flowchart TD
  N0["4.1 Linhas de base"]
  N1["Laboratório — programas de inicialização contra a li"]
  N2["4.2 Ler o resultado"]
  N3["4.3 Decidir a limpeza"]
  N4["4.4 Antes de restaurar"]
  N5["4.5 O relatório"]
  N6["4.6 Lições"]
  N7["4.7 Próximos passos para quem estuda"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX039"]

Desenho lógico

flowchart LR
  N0["4.1 Linhas de base"]
  N1["Laboratório — programas de inicialização contra a li"]
  N2["4.2 Ler o resultado"]
  N3["4.3 Decidir a limpeza"]
  N4["4.4 Antes de restaurar"]
  N5["4.5 O relatório"]
  N6["4.6 Lições"]
  N7["4.7 Próximos passos para quem estuda"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX039"]

[4.1 Linhas de base]
    |
    v
[Laboratório — programas de inicialização contra a li]
    |
    v
[4.2 Ler o resultado]
    |
    v
[4.3 Decidir a limpeza]
    |
    v
[4.4 Antes de restaurar]
    |
    v
[4.5 O relatório]
    |
    v
[4.6 Lições]
    |
    v
[4.7 Próximos passos para quem estuda]
    |
    v
[Exemplo resolvido] --> [Exercício EX039]

Objetivos de aprendizagem

Você vai (1) comparar um sistema com uma linha de base num laboratório guiado; (2) decidir a limpeza com base em evidências; (3) escrever um relatório curto; (4) listar lições e próximos passos.

4.1 Linhas de base

Uma linha de base é um registro de como o normal se parece. Priya salvou uma lista de programas de inicialização quando os notebooks do banco de alimentos foram configurados. Comparar a lista de hoje com ela mostra o que mudou. A linha de base só ajuda porque foi salva antes do problema. No FB-LAP-02, ela listava três programas de inicialização: OneDrive, AudioService e PrinterHelper. Sem ela, Priya veria cinco programas e teria de julgar cada nome no palpite; com ela, o laboratório imprime os dois que são novos, e a atenção dela vai direto para eles.

Laboratório — programas de inicialização contra a linha de base

"""Compare a synthetic list of startup programs with a saved baseline."""
baseline = {"OneDrive", "AudioService", "PrinterHelper"}
today = {"OneDrive", "AudioService", "PrinterHelper", "TemplateUpdater", "AlertPopup"}
print("baseline:", len(baseline), "today:", len(today))
for name in sorted(today - baseline):
    print("NEW:", name)
for name in sorted(baseline - today):
    print("MISSING:", name)

Execute com python3 lab_startup.py. Saída verificada:

baseline: 3 today: 5
NEW: AlertPopup
NEW: TemplateUpdater

4.2 Ler o resultado

Os três programas da linha de base continuam presentes. Dois são novos: TemplateUpdater e AlertPopup. Seus nomes e o momento em que surgiram batem com o download do modelo, e AlertPopup explica os alertas falsos. O laboratório também não imprime nada em MISSING, o que mostra a Priya que nenhum dos três programas normais foi removido ou substituído. Isso importa: alguns programas nocivos desativam ou substituem os normais. Sua anotação registra os dois nomes novos, o horário em que apareceram e que eles se encaixam no download das 13:48. Ela não os abre; os nomes e o momento bastam para decidir o que fazer em seguida.

4.3 Decidir a limpeza

Evidências até aqui: um instalador de adware conhecido, dois programas de inicialização novos, nenhum sinal de uso indevido do e-mail. Como o notebook é simples e tem cópia de segurança, Priya e Ana decidem restaurá-lo a partir da imagem limpa de configuração em vez de remover os itens um a um; a remoção poderia deixar algo para trás. Restaurar a partir da imagem limpa leva o notebook de volta à sua configuração conhecida. Também remove qualquer coisa que a lista de inicialização não tenha mostrado. A decisão é de Ana, tomada com os fatos de Priya diante dela. Os documentos de Tomás estão seguros porque ficam na unidade compartilhada, não só no notebook.

4.4 Antes de restaurar

Priya copia suas anotações, os resultados de hash e a comparação de inicialização para um pendrive, e Tomás confirma que seus documentos estão na unidade compartilhada. Depois que o notebook é restaurado, o conteúdo antigo do disco desaparece, então tudo o que não for salvo agora se perde para sempre. Priya salva os próprios registros, não o instalador suspeito: as anotações, os três resultados de hash e a comparação de inicialização que mostra TemplateUpdater e AlertPopup. Se o mesmo adware aparecer em outro notebook do banco de alimentos, esses registros mostram o que procurar. Priya identifica o pendrive com a data do caso e o guarda trancado junto com a página de escopo.

4.5 O relatório

Um relatório de uma página: o que aconteceu, quando, o que foi encontrado, o que foi feito e o que vai mudar. Palavras simples para voluntários. O relatório de Priya cabe numa página: na terça-feira, às 13:48, um falso instalador de modelo foi baixado a partir de um anúncio; ele acrescentou dois programas de inicialização, incluindo um que exibia falsos alertas de vírus; nenhum uso indevido do e-mail foi encontrado; o notebook foi restaurado na quinta-feira a partir da imagem limpa; a senha do e-mail foi trocada e a verificação em duas etapas foi ativada. Ele termina com as mudanças: contas padrão para os voluntários e uma lista de sites de modelos aprovados.

4.6 Lições

Baixe modelos apenas de sites conhecidos; use uma conta padrão sem direitos de administrador; mantenha atualizada a linha de base de inicialização; relate pop-ups cedo, como Tomás fez. Cada lição vem de um fato deste caso. Modelos de sites conhecidos, porque o instalador veio de um anúncio. Uma conta padrão sem direitos de administrador, porque isso provavelmente teria impedido o instalador de acrescentar programas de inicialização. Uma linha de base atual, porque a lista de inicialização salva tornou fácil identificar os programas novos. Relato precoce, porque a mensagem rápida de Tomás fez com que o notebook estivesse fora do Wi-Fi poucos minutos depois do relato.

4.7 Próximos passos para quem estuda

Este curso oferece uma primeira amostra, guiada. Os cursos seguintes acrescentam manuseio de evidências, linhas do tempo e casos supervisionados. Neste curso, Priya calculou hashes de arquivos sem executá-los, comparou os programas de inicialização com uma linha de base e ampliou o escopo apenas com a concordância escrita de Ana. Os cursos seguintes avançam a partir de cada passo: cópias de evidência com hashes próprios, linhas do tempo que combinam o histórico do navegador e os logs do sistema, e casos supervisionados por um examinador experiente.

Cada um desses passos posteriores ainda começa onde Priya começou: com permissão por escrito, uma pergunta clara e anotações que outra pessoa consegue conferir.

Exemplo resolvido

Relatório de Priya: "Ter 13:48: um falso instalador de modelo foi baixado a partir de um anúncio. Ele acrescentou dois programas de inicialização, incluindo um que exibia falsos alertas de vírus. Nenhum uso indevido do e-mail encontrado. O notebook foi restaurado na quinta-feira a partir da imagem limpa; a senha do e-mail foi trocada e a verificação em duas etapas foi ativada. Mudanças: contas padrão para os voluntários; uma lista de sites de modelos aprovados."

Caso sintético. Os dados do laboratório e o relatório são inventados.

Erros e limites

Uma linha de base só ajuda se estiver atualizada; linhas de base antigas marcam atualizações normais como novidades.

Exercícios

EX039 — Significado de linha de base. Defina linha de base.
Mostrar critérios de avaliação
Rubrica: 3 = registro do estado normal para comparação; 2 = parcial; 1 = cópia de segurança; 0 = nada.
EX040 — Resultado do laboratório. Quais entradas eram novas?
Mostrar critérios de avaliação
Rubrica: 3 = TemplateUpdater e AlertPopup; 2 = uma; 1 = errado; 0 = nada.
EX041 — Causa dos pop-ups. Qual entrada explica os pop-ups?
Mostrar critérios de avaliação
Rubrica: 3 = AlertPopup; 2 = palpite com motivo; 1 = errado; 0 = nada.
EX042 — Restaurar versus remover. Por que restaurar em vez de remover os itens?
Mostrar critérios de avaliação
Rubrica: 3 = a remoção pode deixar algo para trás; notebook com cópia de segurança e simples; 2 = parcial; 1 = é mais rápido; 0 = nada.
EX043 — Antes de restaurar. O que foi salvo antes de restaurar?
Mostrar critérios de avaliação
Rubrica: 3 = anotações, resultados de hash, comparação; documentos confirmados na unidade compartilhada; 2 = parcial; 1 = vago; 0 = nada.
EX044 — Resumo das evidências. Resuma as evidências que sustentaram a decisão.
Mostrar critérios de avaliação
Rubrica: 3 = hash de adware conhecido, duas entradas de inicialização novas, nenhum uso indevido do e-mail; 2 = duas; 1 = uma; 0 = nada.
EX045 — Público do relatório. Para quem é o relatório, e como ele é escrito?
Mostrar critérios de avaliação
Rubrica: 3 = voluntários; palavras simples, uma página; 2 = parcial; 1 = técnico; 0 = nada.
EX046 — Partes do relatório. Liste as partes do relatório.
Mostrar critérios de avaliação
Rubrica: 3 = o quê, quando, o que foi encontrado, o que foi feito, mudanças; 2 = três; 1 = uma; 0 = nada.
EX047 — Lições. Dê três lições.
Mostrar critérios de avaliação
Rubrica: 3 = sites conhecidos, contas padrão, linha de base atual, relato precoce (três); 2 = duas; 1 = uma; 0 = nada.
EX048 — Direitos de administrador. Como as contas padrão ajudam?
Mostrar critérios de avaliação
Rubrica: 3 = instaladores não conseguem acrescentar programas de inicialização sem aprovação de administrador; 2 = parcial; 1 = vago; 0 = nada.
EX049 — Linha de base antiga. O que acontece com uma linha de base antiga?
Mostrar critérios de avaliação
Rubrica: 3 = atualizações normais aparecem como novidades; alarmes falsos; 2 = parcial; 1 = vago; 0 = nada.
EX050 — A parte de Tomás. O que Tomás fez bem?
Mostrar critérios de avaliação
Rubrica: 3 = relatou rápido; não ligou nem pagou; 2 = uma coisa; 1 = vago; 0 = nada.

Síntese

Compare com uma linha de base, decida a limpeza a partir das evidências, relate com clareza e transforme as lições em mudanças.

Continue estudando — capítulo 04 de 04

← Capítulo 03 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →