Capítulo 16 — Perícia digital e análise de malware: métodos II | Tecnólogo Perícia digital e análise de malware

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 16 publicada. Mapa, exemplo, EX046.

flowchart TD
  N0["16.1 Combinando hosts"]
  N1["16.2 A reconstrução"]
  N2["16.3 Hipóteses"]
  N3["16.4 Resultados"]
  N4["16.5 Apresentação"]
  N5["16.6 Cautelas"]
  N6["16.7 Revisão por pares"]
  N7["Visualização"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX046"]

Desenho lógico

flowchart LR
  N0["16.1 Combinando hosts"]
  N1["16.2 A reconstrução"]
  N2["16.3 Hipóteses"]
  N3["16.4 Resultados"]
  N4["16.5 Apresentação"]
  N5["16.6 Cautelas"]
  N6["16.7 Revisão por pares"]
  N7["Visualização"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX046"]

[16.1 Combinando hosts]
    |
    v
[16.2 A reconstrução]
    |
    v
[16.3 Hipóteses]
    |
    v
[16.4 Resultados]
    |
    v
[16.5 Apresentação]
    |
    v
[16.6 Cautelas]
    |
    v
[16.7 Revisão por pares]
    |
    v
[Visualização]
    |
    v
[Exemplo resolvido] --> [Exercício EX046]

Objetivos de aprendizagem

Você vai (1) construir uma linha do tempo combinada entre hosts; (2) ligar eventos por conta e endereço; (3) formular e testar hipóteses sobre o acesso; (4) apresentar a reconstrução com clareza.

16.1 Combinando hosts

Os eventos do CLERK-03, do 10.20.4.12 (o desktop PLAN-07), do controlador de domínio, da aplicação de alvarás e do firewall são combinados em UTC. A combinação só funciona se todas as fontes estiverem na mesma base de tempo e cada evento mantiver uma referência à sua origem. Jonah converte todos os horários para UTC, registra o valor e o fuso originais e acrescenta uma coluna que nomeia o log e a linha de origem. Quando duas fontes divergem por alguns segundos, ele mantém as duas entradas, em vez de escolher uma, para que a visão combinada nunca esconda uma discrepância que um revisor possa precisar ver.

16.2 A reconstrução

07:40: a conta de mfoster faz login no PLAN-07. Jonah primeiro supõe um login pela VPN, depois confere o tipo de logon: foi interativo, no console. 07:58: começam logons malsucedidos do PLAN-07 contra o FILESRV-02. 08:01–08:02: adivinhação e depois sucesso no admin local do CLERK-03 a partir do PLAN-07. 08:05: serviço instalado no CLERK-03. 08:31: relatório de moradores exportado pela aplicação de alvarás sob mfoster no PLAN-07. 08:40: 600 MB para o serviço de compartilhamento de arquivos a partir do PLAN-07. A correção de Jonah sobre o login das 07:40 merece atenção: sua primeira suposição, uma conexão pela VPN, teria apontado a investigação para fora do prédio, enquanto o tipo de logon mostrava uma sessão de console. Conferir um campo antes de construir uma história sobre ele é o hábito que o capítulo ensina. A sequência também mostra a ordem do ataque: as tentativas contra o servidor de arquivos começam antes do logon bem-sucedido no CLERK-03, e a exportação de dados vem quase meia hora depois da instalação do serviço.

16.3 Hipóteses

H1: alguém usou fisicamente a conta de mfoster no PLAN-07. H2: controle remoto do PLAN-07 por malware. H3: o próprio mfoster, apesar dos registros de férias. Testes: os logs de acesso ao prédio para o escritório do planejamento; a memória do PLAN-07, em busca de ferramentas de acesso remoto; a confirmação das férias pelo RH. Cada hipótese é pareada com um teste que daria outro resultado se ela fosse falsa. Os logs de acesso ao prédio separam a presença física do uso remoto; a memória do PLAN-07 pode mostrar uma ferramenta de acesso remoto ou sua ausência; o RH pode confirmar ou contradizer o registro de férias. Escrever os testes antes de reunir os resultados impede Jonah de ler o que quer que encontre como apoio à hipótese que ele já prefere.

16.4 Resultados

A memória do PLAN-07 mostra o helper.exe em execução com uma conexão de saída para um endereço externo, o que é compatível com controle remoto (H2). O controle de acesso ao prédio não mostra nenhuma entrada no escritório do planejamento naquela manhã, o que enfraquece a H1. O RH confirma que mfoster estava no exterior. Os três resultados apontam na mesma direção, mas não têm a mesma força. O helper.exe em execução com uma conexão de saída é evidência direta da máquina; a ausência de uma entrada no prédio depende de o sistema de acesso registrar todas as entradas; a confirmação do RH é uma declaração sobre a viagem de mfoster. Jonah relata cada um com sua fonte, para que o peso da conclusão fique visível, e não apenas implícito.

16.5 Apresentação

Uma tabela: horário, host, fonte, evento, artefato. Segue-se uma narrativa curta, marcada como interpretação. A tabela permite ao leitor conferir cada evento com seu artefato, como o registro de logon ou a linha do firewall, sem ler primeiro a narrativa. A narrativa então explica como os eventos se ligam, e a marcação como interpretação diz aos gestores quais frases são observações e quais são o raciocínio da equipe. Manter as duas separadas torna fácil revisar a história se surgir evidência nova. O diagrama de raias resume as duas para os gestores.

16.6 Cautelas

Um login no console às 07:40 sem nenhuma entrada no prédio sugere que a sessão "de console" pode ter sido uma sessão já existente retomada remotamente; isso precisa de exame. O login no console às 07:40 é o elo mais fraco da reconstrução. Se a sessão foi retomada remotamente, o registro deveria mostrar uma reconexão, e não um logon novo, e a captura de memória pode guardar o histórico de conexões da ferramenta remota. Até que isso seja examinado, Jonah escreve que o evento das 07:40 não tem explicação, em vez de forçá-lo a se encaixar na hipótese de controle remoto.

16.7 Revisão por pares

Renata revisa a linha do tempo antes de ela ser compartilhada. Renata confere se cada horário está em UTC, se cada evento cita sua fonte e se cada interpretação está rotulada. Ela também pergunta que evidência contradiria a reconstrução e se alguém a procurou. Sua revisão do login das 07:40 levou à cautela sobre uma sessão retomada; sem revisão, o logon no console poderia ter sido relatado como presença física. A revisão também pega erros simples, como um horário deixado em hora local ou uma coluna de fonte copiada da linha errada. Renata assina e data a versão revisada, e só essa versão é compartilhada.

Visualização

Um diagrama de raias, com uma raia por host, torna fácil para os gestores acompanhar o movimento do PLAN-07 para o CLERK-03 e o FILESRV-02.

Exemplo resolvido

A narrativa de Jonah: "A evidência é compatível com o PLAN-07 ter sido controlado remotamente por meio do helper.exe, usando a sessão já existente de mfoster, para atacar o CLERK-03 e o FILESRV-02 e para exportar e enviar dados dos moradores. Ela não sustenta a presença física de mfoster."

Caso sintético. Os eventos são inventados.

Erros e limites

As reconstruções dependem dos eventos registrados; as ações não registradas (USB, visualização de tela) continuam desconhecidas.

Exercícios

EX046 — Três hipóteses. Liste as três hipóteses de acesso.
Mostrar critérios de avaliação
Rubrica: 3 = uso físico da conta, controle remoto por malware, o próprio mfoster; 2 = duas; 1 = uma; 0 = nada.
EX047 — Apoio à H2. Que evidência sustenta a H2?
Mostrar critérios de avaliação
Rubrica: 3 = helper.exe em execução com conexão de saída na memória; nenhuma entrada no prédio; RH: no exterior; 2 = parcial; 1 = vago; 0 = nada.
EX048 — Autocorreção. O que Jonah corrigiu em sua reconstrução?
Mostrar critérios de avaliação
Rubrica: 3 = conferiu o tipo de login: console, não VPN; depois questionou se era uma sessão retomada; 2 = parcial; 1 = vago; 0 = nada.

Síntese

Linhas do tempo entre vários hosts, com hipóteses e testes explícitos, transformam eventos dispersos numa reconstrução defensável.

Continue estudando — capítulo 16 de 30

← Capítulo 15 (rascunho) · Índice de capítulos do curso · Capítulo 17 (rascunho) →