Análise de Malwares
com Software Livre
Por Luiz Vieira luizwt@gmail.com
Objetivos
● Entender como funcionam malwares
● Conhecer as ferramentas utilizadas em análise de malware ● Entender como realizar a análise de um malware
Introdução
Malwares, palavra proveniente do termo “malicious software”, são softwares que destinam-se a se infiltrar ilicitamente no sistema de um computador e danificar ou roubar informações confidenciais ou não.
Como o objetivo de uma investigação forense é, muitas vezes, descobrir como e com qual motivação um sistema foi comprometido, é mais do que normal que o sistema que estamos investigando, tenha sido comprometido por um artefato malicioso que tenha permitido o acesso de um invasor, ou objetivamente possibilitado o vazamento de informações.
Esse capítulo, tem como objetivo explicar um pouco mais sobre esses artefatos e os conceitos de análise dos mesmo, para que saibamos identificá-los e entender como funcionam.
Tipos de Malware
Quando utilizamos o termo malware, não estamos definindo exatamente a espécie de artefato malicioso ao qual estamos nos referenciando, muito menos as suas funções. Por isso, quando utilizamos esse termo, estamos apenas citando uma categoria de programas de computadores, que podem ser de vários tipos diferentes.
Malware, portanto, é apenas uma categoria de programa, e justamente por isso, dentro dessa categoria de programas, temos vários tipos ou espécies diferentes desse tipo de artefato. Sendo as mais conhecidas:
● Vírus ● Trojans ● Rootkits
● Worms
Vírus
Um vírus de computador é um programa malicioso desenvolvido por programadores que, tal como um vírus biológico, infecta o sistema, faz cópias de si mesmo e tenta se espalhar para outros computadores, utilizando-se de diversos meios.
A maioria das contaminações ocorre pela ação do usuário, executando o arquivo infectado recebido como um anexo de um e-mail. A contaminação também pode ocorrer por meio de arquivos infectados em pendrives ou CDs. A segunda causa de contaminação é por Sistema Operacional desatualizado, sem correções de segurança, que poderiam corrigir vulnerabilidades conhecidas dos sistemas operacionais ou aplicativos, que poderiam causar o recebimento e execução do vírus inadvertidamente. Ainda existem alguns tipos de vírus que permanecem ocultos em determinadas horas, entrando em execução em horas especificas.
Trojan
Certos vírus trazem em seu bojo um código a parte, que permite a um estranho acessar o micro infectado ou coletar dados e enviá-los pela Internet para um desconhecido, sem notificar o usuário. Estes códigos são denominados de Trojans ou cavalos de Tróia.
Inicialmente, os cavalos de Tróia permitiam que o micro infectado pudesse receber comandos externos, sem o conhecimento do usuário. Desta forma o invasor poderia ler, copiar, apagar e alterar dados do sistema. Atualmente os cavalos de Tróia agora procuram roubar dados confidenciais do usuário, como senhas bancárias.
Os vírus eram no passado, os maiores responsáveis pela instalação dos cavalos de Tróia, como parte de sua ação, pois eles não têm a capacidade de
se replicar. Atualmente, os cavalos de Tróia não mais chegam exclusivamente transportados por vírus, agora são instalados quando o usuário baixa um arquivo da internet e o executa. Prática eficaz devido a enorme quantidade de e-mails fraudulentos que chegam nas caixas postais dos usuários. Tais e-mails contém um endereço na Web para a vítima baixar o cavalo de Tróia, ao invés do arquivo que a mensagem diz ser. Esta prática se denomina phishing, expressão derivada do verbo to fish, "pescar" em inglês. Atualmente, a maioria dos cavalos de Tróia visam a sites bancários, "pescando" a senha digitada pelos usuários dos micros infectados. Há também cavalos de Tróia que ao serem baixados da internet "guardados" em falsos programas ou em anexos de e-mail, criptografam os dados e os comprimem no formato ZIP. Um arquivo .txt dá as "regras do jogo": os dados foram "seqüestrados" e só serão "libertados" mediante pagamento em dinheiro para uma determinada conta bancária, quando será fornecido o código restaurador.
Também os cavalos de tróia podem ser usados para levar o usuário para sites falsos, onde sem seu conhecimento, serão baixados trojans para fins criminosos, como aconteceu com os links do google, pois uma falha de segurança poderia levar um usuário para uma página falsa. Por este motivo o serviço esteve fora do ar por algumas horas para corrigir esse bug, pois caso contrário as pessoas que não distinguissem o site original do falsificado seriam afetadas.
Outra conseqüência é o computador tornar-se um zumbi e, sem que o usuário perceba, executar ações como enviar Spam, se auto-enviar para infectar outros computadores e fazer ataques a servidores (normalmente um DDoS, um acrônimo em inglês para Distributed Denial of Service – em português, ataque distribuído de negação de serviço). Ainda que apenas um micro de uma rede esteja infectado, este pode consumir quase toda a banda de conexão com a internet realizando essas ações mesmo que o computador esteja sem utilização, apenas ligado. O objetivo, muitas vezes é criar uma grande rede de computadores zumbis que, juntos, possam realizar um grande ataque a algum servidor que o autor do vírus deseja "derrubar" ou causar grande lentidão.
Rootkits
Rootkits são um tipo de Malware surgido nos últimos anos. A principal intenção dele é se camuflar, impedindo que seu código seja encontrado por qualquer antivírus. Isto é possível por que estas aplicações têm a capacidade de interceptar as solicitações feitas ao sistema operacional, podendo alterar o seu resultado. Por exemplo, quando o Windows faz um pedido para a leitura ou abertura de um arquivo (seja a mando do antivírus ou pelo próprio usuário), o rootkit intercepta os dados que são requisitados (intercepção via API) e faz uma filtragem dessa informação, deixando passar apenas o código não infectado. Desta forma, o antivírus ou qualquer outra ferramenta ficam impossibilitados de encontrar o arquivo malicioso.
Um rootkit é um programa com código mal intencionado que busca se esconder de softwares de segurança e do usuário utilizando diversas técnicas avançadas de programação.
Rootkits escondem a sua presença no sistema, escondendo suas chaves no registro (para que o usuário não possa vê-las) e escondendo os seus processos no Gerenciador de Tarefas, além de retornar sempre erros de “arquivo inexistente” ao tentar acessar os arquivos relacionados.
Rootkits também utilizam-se, muitas das vezes, de drivers, isto é, arquivos de sistema para o funcionamento de hardware, para se esconderem de antivírus, que ao lidarem com essas situações, irão "pensar" que o rootkit é um serviço legítimo do sistema operacional.
Diversos tipos de código mal intencionado utilizam essas tecnologias com o objetivo de dificultar sua remoção e o fazem com sucesso: os rootkits mais avançados são bem difíceis de serem removidos. Poucos antivírus hoje conseguem identificar e eliminar essas pragas.
Os rootkits para Linux/Unix geralmente substituem os programas mais comuns, como os programas que listam arquivos, de modo que o administrador do sistema, ao listar os arquivos, não veja a presença dos arquivos do trojan.
toda vez que um processo requisite alguma informação sobre os arquivos desse código mal-intencionado, esta informação seja anulada antes de ser retornada ao programa, o que fará com que os softwares acreditem que estes arquivos não estejam lá.
Worms
Como o interesse de fazer um vírus é ele se espalhar da forma mais abrangente possível, os seus criadores por vezes, deixaram de lado o desejo de danificar o sistema dos usuários infectados e passaram a programar seus vírus de forma que apenas se repliquem, sem o objetivo de causar graves danos ao sistema. Desta forma, os seus autores visam a tornar suas criações mais conhecidas na Internet.
Este tipo de vírus passou a ser chamada de verme ou worm. Eles estão mais aperfeiçoados, já há uma versão que ao atacar a máquina hospedeira, não só se replica, mas também se propaga pela internet, pelos e-mail que estão registrados no cliente de e-mail, infectando as máquinas que abrirem aquele e-mail, reiniciando o ciclo.
Descoberta e coleta de malware
Quando é descoberto o malware em um sistema, há muitas decisões e ações que devem ser tomadas, muitas vezes sob pressão. Para melhor estruturarmos um processo de investigação, incluindo a análise de malwares, podemos dividi-lo em cinco fases:
● Fase 1: Preservação e análise de dados voláteis ● Fase 2: Análise de memória
● Fase 3: Análise de discos
● Fase 5: Análise dinâmica de malware
Dentro de cada uma dessas fases, as metodologias formalizadas e as metas são para ajudar os investigadores a reconstruir uma imagem vívida dos acontecimentos em torno de uma infecção por malware e obter uma compreensão detalhada do próprio malware.
Os investigadores devem sempre usar o pensamento crítico em suas observações e entrevistar os proprietários dos sistemas comprometidos, pois isso muitas vezes ajuda a desenvolver um quadro mais completo do que ocorreu.
Além disso, medidas adicionais podem ser exigidos em alguns casos, dependendo do contexto e das fontes de dados disponíveis. Quando o backup do sistema comprometido estiver disponível, pode ser proveitoso compará-lo com o estado atual do sistema, além de poder ajudar na recuperação do sistema. Algumas organizações recolhem informações que podem ser úteis à investigação, incluindo logs centralizados de antivírus, relatórios de verificação de integridade do sistema de ferramentas como OSSEC, e logs da rede.
Coleta de malware sem alterações no sistema
O ato de coletar dados em um sistema “vivo” causa mudanças que um investigador digital terá de explicar no que diz respeito ao seu impacto sobre as provas digitais. Por exemplo, executar ferramentas como o Helix a partir de uma mídia removível irá alterar dados voláteis, quando for carregado na memória principal, e normalmente irá criar ou modificar arquivos e entradas no registro do sistema probatório. Da mesma forma, usar ferramentas forenses remotas necessariamente estabelece uma conexão de rede, executa instruções na memória, e causa outras alterações no sistema probatório.
Os puristas argumentam que aquisições forense não devem alterar a fonte de evidências de maneira alguma.
Definindo um padrão absoluto que dita "preservar tudo, mas nada alterar" não é apenas incoerente com outras disciplinas forenses, mas perigoso em um contexto legal. Na verdade, os tribunais estão começando a forçar a preservação de dados voláteis de computadores em alguns casos, exigindo que os investigadores preservem os dados de sistemas vivos. Na Côrte americana, no caso Indus Columbia Pictures. vs. Bunnell, por exemplo, o tribunal considerou que a memória RAM em um servidor Web pode conter dados de log relevantes e, portanto, dentro do âmbito da informação detectável no caso.
Uma das chaves para a solidez de uma análise forense é a documentação. Um caso sólido é construído sobre a documentação de apoio que reporta onde se encontram os elementos de prova e como foram tratados. Do ponto de vista legal, o processo de aquisição deve alterar as provas originais o mínimo possível, e quaisquer mudanças devem ser documentadas e avaliadas no contexto dos resultados finais de análise.
Montagem de lab. para análise
Em muitos casos, uma amostra pode ditar os parâmetros do ambiente do laboratório de malware, particularmente se o código exige diversos servidores para funcionar plenamente, ou pior, emprega código anti-virtualização para bloquear os esforços do investigador em observar o código em uma máquina virtual.
Usar virtualização é particularmente útil, principalmente durante a análise comportamental de uma amostra de códigos maliciosos, posto que a análise muitas vezes exige freqüentes paradas e recomeços do programa malicioso em um esforço de observar as nuances do comportamento do mesmo.
Ao analisar um exemplar suspeito, podemos utilizar hosts no Virtual Box para criar a emulação de um sistema "infectado", um "servidor" e um "cliente" para fornecer todos os serviços de servidores e cliente necessários pelo
malware, um sistema de "monitoramento" e de detecção de intrusão, para monitorar o tráfego da rede e do sistema vítima.
Idealmente, seremos capazes de controlar o sistema infectado localmente para reduzir a nossa necessidade de controlar múltiplos sistemas durante uma sessão de análise, mas amostras de malware na maioria das vezes são "consciente de segurança" e usam técnicas anti-forense, tais como a varredura dos nomes dos processos para identificar e finalizar as ferramentas de segurança conhecidas, como sniffers de rede, firewalls, software anti-vírus e outros aplicativos.
Antes de iniciarmos nossa análise da amostra de código malicioso, precisamos ter um "snapshot" do sistema que será usado como "vítima" na qual a amostra de código malicioso será executada. Da mesma forma, precisamos implementar uma ferramenta que nos permite comparar o estado do sistema após o código ser executado com o snapshot original do sistema.
Análise de arquivos suspeitos
Ao analisar um programa suspeito, há uma série de perguntas que o pesquisador deve considerar:
● Qual é a natureza e a finalidade do programa?
● Como funciona o programa para cumprir a sua finalidade? ● Como funciona o programa ao interagir com o sistema vítima? ● Como o programa interage com a rede?
● O que o programa sugere sobre o nível de sofisticação do atacante?
infectar um hospedeiro?
● Qual é a extensão da infecção ou comprometimento do sistema ou rede?
Em muitos casos, é difícil responder a todas estas perguntas, posto que peças-chave para o enigma, como arquivos ou recursos adicionais de rede utiliados pelo programa não estão mais disponíveis para o investigador. Entretanto, a metodologia, muitas vezes prepara o caminho para uma melhor compreensão global sobre o programa suspeito.
Ao trabalhar com este material, lembre-se que a "engenharia reversa" caem dentro das prescrições de determinadas leis internacionais, federais, estaduais ou locais. Da mesma forma, lembre-se também, que alguns dos instrumentos mencionados podem ser considerados "ferramentas hacker" em algumas jurisdições e estão sujeitas a regulamentações jurídicas semelhantes ou restrição de uso.
Diretrizes de exame de um programa malicioso
A metodologia utilizada neste capítulo é uma diretriz geral para fornecer um sentido mais claro das ferramentas e técnicas que podem ser usadas para examinar um binário malicioso no ambiente Linux. No entanto, com o número aparentemente interminável de amostras de códigos maliciosos sendo gerados por atacantes - muitas vezes com diferentes funções e finalidades - flexibilidade e adaptação da metodologia para atender as necessidades de cada caso, certamente será necessário. Alguns dos preceitos básicos que vamos explorar incluem:
● Estabelecer a linha de base do ambiente
● Preparação pré-execução: monitoramento do sistema e da rede ● Execução do binário suspeito
● Observação do processo: monitoramento de bibliotecas e system calls
● Avaliação do processo: análise dos processos em execução ● Análise das portas abertas e conexões de rede
● Análise de arquivos abertos e sockets ● Exploração do diretório / proc
● Quebra de ofuscação: remoção da proteção do malware ● Ajustes de ambiente
● Ganhando controle do malware
● Interagindo e manipulando o malware
● Explorando e verificando as funcionalidades do malware
● Reconstrução de eventos: capturar tráfego de rede, integridade de arquivos e logs de IDS
● Varredura de portas/vulnerabilidades do host comprometido ● Verificação de rootkits
Estudo de caso que será apresentado na prática: análise forense de
malwares, do tipo banking
A empresa X entrou em contato com você para realizar um trabalho de perícia forense em um incidente que ocorreu recentemente.
Um dos empregados recebeu um e-mail de um companheiro de trabalho que possuía um link para um arquivo .pdf. Ao abrir o arquivo, o funcionário não percebeu nada de estranho. Entretanto, recentemente ele percebeu atividades não-usuais em sua conta bancária.
A empresa X conseguiu obter uma imagem da memória da máquina virtual do funcionário que está com suspeita de comprometimento. E a empresa deseja que você analize a memória e reporte qualquer atividade suspeita encontrada.
As questões abaixo devem seguir como base para nortear o processo de investigação:
1. Liste os processos que estavam em execução na máquina da vítima. Qual o processo mais provável de ser responsável pela exploração inicial?
2. Liste os sockets que estavam abertos na máquina da vítima durante a infecção. Existem processos suspeitos com sockets abertos?
3. Liste todas as URLs suspeitas que possam estar na memória do processo.
4. Há quaisquer outros processos que contêm URLs que podem apontar para problemas bancários? Em caso afirmativo, quais são esses processos e quais são as URLs?
5. Estavam lá todos os arquivos que puderam ser extraídas do processo inicial? Como esses arquivos foram extraídos?
6. Se houver algum arquivo extraído do processo inicial, quais as técnicas que usou para realizar a exploração?
7. Liste os arquivos suspeitos que foram carregados por todos os processos na máquina da vítima.
