Capítulo 9 — Perícia digital e análise de malware: ferramentas e métodos
Mapa da aula
Aula 09 publicada. Mapa, exemplo, EX033.
flowchart TD
N0["9.1 Console do EDR"]
N1["9.2 Captura de memória"]
N2["9.3 Coleta de triagem"]
N3["9.4 Manuseio de amostras"]
N4["9.5 Resultados da triagem estática"]
N5["9.6 Registros das ferramentas"]
N6["9.7 Validação"]
N7["Escolhendo entre ferramentas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX033"]
Desenho lógico
flowchart LR
N0["9.1 Console do EDR"]
N1["9.2 Captura de memória"]
N2["9.3 Coleta de triagem"]
N3["9.4 Manuseio de amostras"]
N4["9.5 Resultados da triagem estática"]
N5["9.6 Registros das ferramentas"]
N6["9.7 Validação"]
N7["Escolhendo entre ferramentas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX033"]
[9.1 Console do EDR]
|
v
[9.2 Captura de memória]
|
v
[9.3 Coleta de triagem]
|
v
[9.4 Manuseio de amostras]
|
v
[9.5 Resultados da triagem estática]
|
v
[9.6 Registros das ferramentas]
|
v
[9.7 Validação]
|
v
[Escolhendo entre ferramentas]
|
v
[Exemplo resolvido] --> [Exercício EX033]
Objetivos de aprendizagem
Você vai (1) usar o EDR, a captura de memória e as ferramentas de triagem conforme o procedimento; (2) entregar arquivos suspeitos aos analistas com segurança; (3) entender os resultados básicos de uma triagem estática; (4) registrar o uso das ferramentas.
9.1 Console do EDR
O console oferece árvores de processos, eventos de arquivo, eventos de rede e contenção. As exportações recebem hash no download. No WARD4-PC2, a árvore de processos mostrou o explorer.exe iniciando o wscript.exe e depois o svch.exe, e os eventos de rede mostraram o contato com update-cdn.example.net. Cada exportação recebe hash quando é baixada, para que a visão do console e o arquivo salvo possam ser comparados depois. A contenção é aplicada no mesmo console, que registra quem a aplicou e quando. Contenção, exportação e download aparecem, cada um, na trilha de auditoria do próprio console, com o nome do operador.
9.2 Captura de memória
Antes da reinstalação, Sana captura a memória do WARD4-PC2 e do PHARM-PC3 com a ferramenta aprovada da unidade do kit, registrando versão da ferramenta, comandos e horários. A memória guarda processos em execução e conexões de rede que desaparecem quando o PC é desligado ou reinstalado. A ferramenta aprovada é executada a partir da unidade do kit KIT-02, e não baixada, então sua versão e seu hash são conhecidos de antemão. No PHARM-PC3, a captura rodou das 11:42 às 11:51, e seu hash foi para o log de coleta. A captura do WARD4-PC2 também rodou antes da reinstalação das 14:30, como a trava do runbook exigia.
9.3 Coleta de triagem
A ferramenta de triagem reúne logs de eventos, hives do registro, prefetch, pastas de inicialização e listagens de arquivos. A saída recebe hash num manifesto. A ferramenta roda a partir da mesma unidade do kit e grava sua saída ali, e não no disco do PC da ala, para que os arquivos do próprio PC não sejam sobrescritos. No PHARM-PC3, a coleta produziu um manifesto de 63 arquivos com hash próprio. É com esse manifesto que a verificação posterior compara cada arquivo. A coleta no PHARM-PC3 levou doze minutos, das 11:55 às 12:07. O espaço livre da unidade do kit é conferido antes de cada execução.
9.4 Manuseio de amostras
O svch.exe e o run.vbs são copiados para um arquivo compactado protegido por senha e enviados ao prestador externo de análise de malware do hospital pelo canal seguro combinado, com hashes e contexto. Os operadores nunca abrem amostras. Entregar os arquivos com hashes e contexto, sem nunca abri-los, mantém Sana dentro do limite de segurança do curso e das regras do hospital. A senha do arquivo compactado segue por um caminho diferente do próprio arquivo. O contrato de análise permite duas amostras por mês, e essas duas consumiram toda a cota, então qualquer amostra adicional precisaria de uma aprovação de compra.
9.5 Resultados da triagem estática
O analista relata: pelo hash, o svch.exe pertence a uma família conhecida de ferramentas de acesso remoto; suas strings incluem update-cdn.example.net; ele persiste pela pasta de inicialização. Sikorski e Honig (2012) descrevem esse tipo de triagem — hashes, strings, importações — como o primeiro passo seguro. O relatório do analista responde a perguntas que Sana não poderia responder sozinha com segurança, como se o domínio estava embutido no programa. A coincidência com a persistência pela pasta de inicialização que ela tinha registrado dá uma verificação independente das suas próprias constatações. Ela cita o relatório em vez de reescrevê-lo e atribui cada afirmação ao analista.
9.6 Registros das ferramentas
O chamado lista cada ferramenta, versão e hash de saída. Para cada ferramenta, o chamado registra o nome, a versão, de onde foi executada, o comando e o hash do que ela produziu. Essa lista permite que outro operador repita a coleta e explica as mudanças que as ferramentas fizeram nos PCs em funcionamento. Ferramentas fora da lista aprovada do kit precisam antes da concordância de Owen, registrada com o motivo. A lista também mostra quais ações alteraram os PCs em funcionamento, para que o analista possa separá-las da atividade do atacante.
9.7 Validação
As ferramentas do kit são validadas antes de entrar nele; os resultados do NIST CFTT são consultados quando existem. Validar significa que cada ferramenta foi testada com dados conhecidos antes de receber a confiança para evidências de um caso. O programa Computer Forensics Tool Testing do NIST publica resultados para algumas ferramentas, e o hospital mantém suas próprias notas de teste para as demais. Uma ferramenta reprovada na validação fica fora da unidade do kit KIT-02 até ser corrigida. Owen guarda as notas de validação junto da lista do kit, para que um revisor veja quando cada ferramenta da KIT-02 foi testada pela última vez.
Escolhendo entre ferramentas
Quando duas ferramentas podem responder a uma pergunta, Sana escolhe a que está na lista aprovada do kit e deixa a menor marca no PC em funcionamento. Uma consulta remota pelo EDR é preferível a um logon interativo, porque deixa menos rastros e já fica registrada pelo console. Sessões interativas só são usadas quando o console não alcança os dados, e então o motivo é escrito no log.
Exemplo resolvido
O log de coleta de Sana para o PHARM-PC3: "11:42 captura de memória iniciada (ferramenta do kit v3.2, unidade KIT-02); 11:51 concluída; SHA-256 registrado. 11:55 coleta de triagem iniciada; 12:07 concluída; manifesto de 63 arquivos; hash do manifesto registrado." Owen revisa e assina junto.
Caso sintético. Os logs são inventados.
Erros e limites
Executar ferramentas num PC em funcionamento o altera; registre cada ação para que os efeitos possam ser explicados.
Exercícios
- EX033 — Entrega das amostras. Como as amostras foram enviadas ao analista? Rubrica: 3 = arquivo compactado protegido, canal seguro, hashes e contexto; 2 = parcial; 1 = por e-mail comum; 0 = nada.
- EX034 — Constatações do analista. Resuma as constatações da triagem estática. Rubrica: 3 = família conhecida de RAT pelo hash; string do domínio; persistência pela inicialização; 2 = duas; 1 = uma; 0 = nada.
- EX035 — Log de coleta. Liste quatro itens do log de coleta de Sana. Rubrica: 3 = horários, versão da ferramenta, identificação da unidade, hashes/manifesto; 2 = três; 1 = um; 0 = nada.
- EX036 — Alteração ao vivo. Por que registrar cada ação num PC em funcionamento? Rubrica: 3 = as ferramentas alteram o estado; explicar os efeitos; 2 = parcial; 1 = hábito; 0 = nada.
Síntese
Use ferramentas aprovadas conforme o procedimento, entregue as amostras aos analistas com segurança e registre cada ação das ferramentas.
Continue estudando — capítulo 09 de 18
← Capítulo 08 (rascunho) · Índice de capítulos do curso · Capítulo 10 (rascunho) →