Descargar

Análisis forense memoria RAM

Enviado por Pablo Turmero


    edu.red Agenda Introducción Otros métodos de adquisición Análisis memoria en plataformas Windows Verificar la integridad Recuperación de datos Detección procesos ocultos Conexiones de red Representación gráfica Herramientas Preguntas

    edu.red Introducción Análisis de Red

    edu.red ¿Qué es la memoria RAM?

    edu.red Volátil

    edu.red Introducción Qué puede contener un volcado de memoria Procesos en ejecución Iexplore LSASS Procesos en fase de terminación Conexiones activas TCP UDP Puertos

    edu.red ¿Qué hay en la RAM?

    edu.red Ficheros mapeados Drivers Ejecutables Ficheros Objetos Caché Direcciones Web Passwords Comandos tipeados por consola Elementos ocultos Rootkits (Userland & KernelLand)

    edu.red ¿Cómo se estructura la memoria? KernelLand (Ring0) Tendrá permiso para acceder a todo el espacio de memoria Podrá comunicarse con el Hardware UserLand (Ring3) Apis podrán comunicarse con el Kernel Nivel con menor privilegio Acceso a Memoria Virtual

    edu.red Qué se busca y por qué… EPROCESS Estructura que contiene datos relativos a un proceso Representación que hace Windows para cada proceso Fecha Creación, cuotas de uso, Token, PID THREADS Cada proceso puede crear 1 o más hilos en ejecución Como mínimo se crea uno por cada proceso en ejecución (Puntero a proceso) Tiempo de Kernel PEB Información sobre la Imagen Estructuras que residen en el espacio de memoria del usuario Virtual Memory & Physical Memory Permite al proceso usar más memoria que la que hay realmente Cada proceso obtiene 4GB de memoria RAM virtuales (32Bits) El S.O. se encarga de traducir esas direcciones virtuales a direcciones físicas de memoria

    edu.red Captura de memoria RAM Siguiendo el orden de volatilidad, los datos contenidos en la RAM son extremadamente volátiles. Reinicios Apagados Corrupciones Verificar la integridad de los datos Se tiene que preparar el sistema para que lo soporte

    edu.red No sólo se captura lo activo… La información que podemos recopilar depende de muchos factores Sistema operativo Time Live de la máquina Tamaño de la memoria

    edu.red Memoria RAM Paginada Paginación Pagefile.sys Hyberfil.sys Configuración de limpieza http://support.microsoft.com/kb/314834 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerMemory Management Reg_DWORD type ClearPagefileAtShutdown Value = 1 (Activado)

    edu.red Métodos de Adquisición Software: NotMyFault (Sysinternals) SystemDump (Citrix) LiveKD (Sysinternals) Teclado HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesi8042prtParameters DWORD (CrashOnCtrlScroll) Hardware Copiadoras

    edu.red Verificar la integridad DumpChk (Support Tools) Herramienta para verificar la integridad de un volcado de memoria Muy completa (Uptime, Arquitectura, Equipo, fallo, etc…) Línea de comandos DumpCheck (Citrix) Creada por Dmitry Vostokov Nos muestra sólo si cumple con la integridad o no Entorno gráfico

    edu.red [DEMO] Integridad en los volcados Configuración de Registro

    edu.red Análisis memoria RAM

    edu.red Análisis desestructurado de memoria RAM Strings de Sysinternals Herramienta para extraer cadenas (ASCII & UNICODE) de un archivo Podemos identificar objetos almacenados en memoria, datos persistentes, conexiones, Passwords, etc… FindStr (Microsoft nativa) Herramienta utilizada para buscar una cadena de texto en el interior de uno o varios archivos Con la combinación de ambas herramientas podemos extraer gran cantidad de información

    edu.red [DEMO] Extraer información archivo Pagefile.sys Análisis de comandos en CMD.EXE Análisis de navegación (favoritos, historial) Análisis de conversación messenger

    edu.red Análisis estructurado dememoria RAM Windbg Poderosa herramienta de depuración Necesitamos los símbolos para poder trabajar con procesos Pensada para “todos los públicos” Mucha granularidad a nivel de comandos Escalable (Plugins) Se necesita mucha experiencia Memparser Nace con un reto forense de RAM (DFRWS 2005) Válida sólo para Windows 2000 Una de las más completas en cuanto a funcionalidad Evoluciona a las KntTools (Pago por licencia) Ptfinder Desarrollada en Perl Extrae información sobre procesos, threads y procesos ocultos (DKOM) Interpretación gráfica de la memoria Válida para W2K, XP,XPSP2, W2K3

    edu.red Detección de procesos ocultos Wmft Creada por Mariusz Burdach (http://forensic.seccure.net) Demo para BlackHat 2006 Válida para Windows 2003 Memory Analisys Tools Creada por Harlan Carvey (Windows Incident Response) Disponibles en Sourceforge (http://sourceforge.net/project/showfiles.php?group_id=164158) Válida para Windows 2000 Similar a Memparser

    edu.red Conexiones de Red Volatools Desarrollada por Komoku Inc Proyecto vivo! POC capaz de buscar sockets, puertos, direcciones IP, etc.. Válida hasta XP SP3

    edu.red [DEMO] Análisis Estructurado Extracción de procesos Detección de procesos ocultos Extracción de imágenes de ficheros Conexiones de red

    edu.red Representación gráfica Ptfinder En todas sus versiones, esta herramienta es capaz de representar gráficamente el estado de la memoria. Podemos analizar qué procesos son los padres y cuáles los hijos Ideal para proyectos forenses

    edu.red [DEMO] Listar procesos en Windows Vista SP1 Representación gráfica

    edu.red Conclusiones Cifrado de RAM Cumplimiento de LOPD? Ficheros temporales ¿Es sólo la RAM? Ficheros temporales de: Documentos ofimáticos Hyberfil.sys Impresión de documentos

    edu.red Herramientas Pstools (Sysinternals) http://download.sysinternals.com/Files/PsTools.zip PtFinder http://computer.forensikblog.de/files/ptfinder/ptfinder-collection-current.zip Windbg http://www.microsoft.com/whdc/DevTools/Debugging/default.mspx Memparser http://sourceforge.net/projects/memparser Volatools https://www.volatilesystems.com/ Wmft http://forensic.seccure.net/ Hidden.dll (Plugin para Windbg) http://forensic.seccure.net/tools/hidden.zip

    edu.red Referencias Introducción a la informática forense en entornos Windows Autor: Silverhack http://www.elhacker.net/InfoForenseWindows.htm Introducción a la informática forense en entornos Windows 2ª parte Autor: Silverhack http://www.elhacker.net/InfoForenseWindows2.htm Introducción a la informática forense en entornos Windows 3ª parte Autor: Silverhack http://www.elhacker.net/InfoForense3.html Formas de Analizar un Virus Autor: Juan Garrido Formas de analizar un virus. Un paseo por Rapidshare Comportamiento Virus Plataformas Windows Autor: Silverhack http://www.elhacker.net/comportamiento-virus.htm

    edu.red Retos Forenses http://www.seguridad.unam.mx/eventos/reto/ http://www.dfrws.org/2005/challenge/index.html http://retohacking8.elladodelmal.com/

    edu.red WebCast Microsoft Análisis Forense Sistemas Windows Ponente: Juan Luis Rambla (MVP Security Informática 64) Url WebCast http://msevents.microsoft.com/CUI/WebCastEventDetails.aspx?EventID=1032326593&EventCategory=4&culture=es-ES&CountryCode=ES Análisis Forense entorno Malware Ponente: Juan Luis Rambla (MVP Security Informática 64) Url WebCast http://msevents.microsoft.com/CUI/WebCastEventDetails.aspx?EventID=1032326597&EventCategory=5&culture=es-VE&CountryCode=VE

    edu.red TechNews de Informática 64 Suscripción gratuita en http://www.informatica64.com/boletines.html

    edu.red http://Windowstips.wordpress.com

    edu.red http://legalidadinformatica.blogspot.com

    edu.red Elhacker.net