Um estudo de caso de metodologia de análise de redes de zumbis para investigação criminal

(1)

Universidade Federal Fluminense - UFF

Instituto de Computac

¸˜

ao - IC

Um Estudo de Caso de uma Metodologia de

An´

alise de Redes de Zumbis para Investigac

¸˜

ao

Criminal

Erick Alexim Guedes

(2)

Erick Alexim Guedes

Daniel Augusto Valenc

¸a da Silva

Um Estudo de Caso de uma Metodologia de An´

alise de Redes

de Zumbis para Investigac

¸˜

ao Criminal

Monografia apresentada ao Curso de Gradua¸cão em Sistemas de Informa¸cão da Universidade Fe-deral Fluminense, como requisito parcial para obten¸cão do Grau de Bacharel em Sistemas de Informa¸cão.

Orientador: Prof. Dr. Igor Monteiro Moraes

Niter´oi - RJ 2016

(3)

Ficha Catalográfica elaborada pela Biblioteca da Escola de Engenharia e Instituto de Computação da UFF

G924 Guedes, Erick Alexim

Um estudo de caso de uma metodologia de análise de redes de zumbis para investigação criminal / Erick Alexim Guedes, Daniel Augusto Valença da Silva. – Niterói, RJ : [s.n.], 2016.

49 f.

Projeto Final (Bacharelado em Sistemas de Informação) – Universidade Federal Fluminense, 2016.

Orientador: Igor Monteiro Moraes.

1. Crime por computador. 2. Rede Zumbi. 3. Investigação

(4)

Erick Alexim Guedes

Daniel Augusto Valenc

¸a da Silva

Um Estudo de Caso de uma Metodologia de An´

alise de Redes

de Zumbis para Investigac

¸˜

ao Criminal

Banca Examinadora:

Prof. Dr. Igor Monteiro Moraes (Orientador) UFF

Prof. Dr.Antonio Augusto de Arag˜ao Rocha UFF

Prof. Dr. C´elio Vinicius Neves de Albuquerque UFF

(5)

Erick Dedico este trabalho aos meus familiares e `a minha namorada.

(6)

Agradecimentos - Erick e Daniel

Ao nosso orientador, Professor Igor, que durante todo este tempo pacientemente nos norteou em inúmeras reuniões e revisões.

Aos Professores Antonio Augusto Aragão Rocha e Célio Vinicius Neves de Albu-querque por terem nos honrado com a aceita¸cão do convite para compôr a banca.

Aos demais professores que muitas vezes se dispuseram sanar quaisquer d´uvidas sobre o desenvolvimento do projeto.

Ao Coordenador do Curso de Sistemas de Informa¸cão, Professor Leonardo Cruz, bem como aos servidores daquela Coordena¸cão, que nos auxiliaram nos entraves bu-rocráticos da matéria.

`

A Delegacia de Repress˜ao a Crimes de Inform´atica da Pol´ıcia Civil do Estado do Rio de Janeiro que abriu suas portas para pesquisa sobre sua rotina.

E por fim, aos nossos familiares e entes queridos que suportaram nossas constantes ausˆencias para que este trabalho se concretizasse.

(7)

“The consensus seemed to be that if really large numbers of men were sent to storm the mountain, then enough might survive the rocks to take the citadel. This is essentially the basis of all military thinking.” Eric Terry Pratchett

(8)

Resumo

Dentre todos os crimes que ocorrem atualmente no mundo virtual, aqueles que constituem um dos maiores desafios para os investigadores são os praticados através das chamadas redes de zumbis. Uma rede de zumbis é um conjunto de esta¸cões computaci-onais conectadas à Internet que, embora perten¸cam a usuários idôneos, estão infectadas por códigos maliciosos que as fazem obedecer aos comandos emanados de um controlador mal-intencionado. Este vale-se do seu poder de processamento, armazenamento e banda de rede como um exército digital geograficamente espalhado por todo o mundo, para a prática de delitos cibernéticos. Devido ao ataque aos alvos não ser efetuado diretamente pelo criminoso virtual, mas sim por inúmeras esta¸cões idôneas e sem uma localidade ge-ográfica espec´ıfica, muitas vezes passando através de múltiplas esta¸cões intermediárias, a investiga¸cão desta modalidade delitiva constitui árduo trabalho para os investigadores. Foi verificado que os investigadores costumam basear-se na análise do tráfego de rede, na análise do comportamento do sistema hospedeiro do malware e de técnicas tradicionais de investiga¸cão não relacionadas à computa¸cão. Foram estudadas métricas de eficiência das técnicas investigativas, concluindo-se que dentre estas três categorias, a análise do com-portamento do hospedeiro é a que demanda menor capacidade técnica, estrutura e tempo a troco de maior quantidade de informa¸cão. Foi realizada a simula¸cão em laboratório da investiga¸cão de um ataque através da análise do hospedeiro, com adapta¸cões de técnica proposta por Law et al. Concluiu-se ser esta metodologia de investiga¸cão, complementada no que for necessário pelas outras duas, apropriada e adequada à realidade dos órgãos de persecu¸cão nacionais, sugerindo-se ser a espinha dorsal da investiga¸cão forense de uma rede de zumbis.

(9)

Abstract

Among all the crimes that take place nowadays in the virtual world, one of the greatest challenges for forensic investigators are those committed through the so called BotNets. A BotNet is a set of computer stations connected to the Internet that, in spite of belonging to good-natured users, are infected by malicious codes that causes them to perform several sorts of commands launched by the virtual criminal. By taking advantage of the their huge processing and storage power, so as their bandwidth, geographically spread all over the world, their controller uses them as an army of zombies for practicing his illegal activities. As the target is not directly attacked by the BotMaster, but through several other good-natured systems instead, without a notable geographical location and often passing through multiple intermediate stations, investigation of this kind of offense demands very hard work for officers. It was shown by literature research that investigators usually base upon network traffic analysis, malware host analysis and traditional not computer-related techniques. The use of an efficiency measuring system revealed that, among those three methodological approaches, host analysis is the one which takes less technical expertise, structure and time, in return of the greatest amount of information. A laboratory simulation of an attack with the host being monitored confirmed that this investigation methodology, complemented by the other both on whatever is necessary, can provide the most appropriate and suitable investigation methods for brazilian law-enforcement agencies, and is suggested to be the basic structure of a BotNet forensic investigation.

(10)

Lista de Figuras

2.1 Rede de zumbis estrela. . . 8

2.2 Rede de zumbis multiservidor. . . 9

2.3 Rede de zumbis hier´arquica. . . 11

2.4 Rede de zumbis aleat´oria. . . 12

4.1 Configura¸c˜ao do ambiente de investiga¸c˜ao. . . 20

4.2 Esquema da t´ecnica de Law et al. . . 22

4.3 Imagem da p´agina infectada. . . 23

4.4 C´odigo fonte da p´agina comprometida, com o script do hook para o CeC. . 24

4.5 Hash md5 do arquivo do disco r´ıgido virtualizado. . . 26

4.6 Tr´afego visualizado pelo Wireshark. . . 28

4.7 Lista de processos por conex˜ao. . . 29

4.8 Gerenciador de tarefas apontando para o arquivo firefox.exe. . . 30

(11)

Lista de Tabelas

Tabela 3.1 - Métrica de Análise Custos segundo Cusack...17 Tabela 4.1 - Resultados da Simula¸cão...30

(12)

Lista de Abreviaturas e Siglas

ADFSL - Association of Digital Forensics, Security and Law BeEF - Browser Exploitation Framework

CeC - Comando e Controle

CRFB - Constitui¸c˜ao da Rep´ublica Federativa do Brasil DDNS - Dynamic Domain Name System

DDoS - Distributed Denial-of-Service DGA - Domain Generation Algorithm DNS - Domain Name System

DoS - Denial-of-Service

DRCI - Delegacia de Repress˜ao a Crimes de Inform´atica IP - Internet Protocol

HDT- Hash Distributed Table

HTTP - Hyper Text Transfer Protocol IRC - Internet Relay Chat

NAT- Network Adress Translation p2p - Peer to Peer

UDP - User Datagram Protocol VHD- Virtual Hard Disk VM- Virtual Machine

(13)

Sum´

ario

1 Introdu¸c˜ao 1 2 Redes de Zumbis 3 2.1 Conceitos e Motiva¸c˜ao . . . 3 2.2 Elementos . . . 4 2.3 Protocolos . . . 5

2.3.1 IRC (Internet Relay Chat) . . . 5

2.3.2 HTTP (Hyper Text Transfer Protocol ) . . . 6

2.3.3 p2p (Peer to Peer) . . . 7 2.4 Topologia . . . 7 2.4.1 Estrela . . . 8 2.4.2 Multi-Servidor . . . 9 2.4.3 Hierárquica . . . 9 2.4.4 Aleatória . . . 10 2.5 Ciclo de Vida . . . 11 2.6 Camuflagem . . . 12 3 Metodologias de Investiga¸cão 14 3.1 Técnicas . . . 15

3.2 Métrica de Análise de Custos das Técnicas . . . 16

4 Investiga¸c˜ao do Comportamento do Hospedeiro 19 4.1 M´etodo de Law . . . 19

4.2 A Ferramenta BEeF . . . 21

4.3 Infec¸c˜ao . . . 23

4.4 Preserva¸c˜ao da Cadeia de Cust´odia da Prova . . . 24

4.5 Virtualiza¸c˜ao . . . 26

4.6 Coleta de Rastros de Rede . . . 26

4.7 Coleta de Rastros de Mem´oria . . . 27

(14)

4.9 Resultados Obtidos . . . 29

5 Conclus˜ao 32

5.1 Trabalhos Futuros . . . 32

(15)

Cap´ıtulo 1

Introdu¸c˜

ao

Proporcionalmente aos avan¸cos da tecnologia e ao número cada vez maior de dispo-sitivos conectados à Internet, aumenta a quantidade de crimes cometidos através da rede mundial de computadores. Segundo levantamento feito junto à Delegacia de Repressão a Crimes de Informática – DRCI da Pol´ıcia Civil do Estado do Rio de Janeiro, foram efetuados 1991 registros de ocorrências policiais entre 01 de julho de 2015 e 30 de junho de 2016. Destes registros, 1990 eram referentes a comunica¸cões de crimes cibernéticos impróprios, ou seja, delitos perpetrados através de dispositivos informáticos apenas como meio para atingir o resultado final. Como tais, pode-se exemplificar amea¸ca e crimes contra honra cometidos através de redes sociais, estelionato perpetrado através de sites de compra e venda, tráfico de drogas via internet, etc... Apenas um único registro neste per´ıodo refere-se a um dos chamados crimes propriamente cibernéticos, ou seja, aqueles cujas fases de prepara¸cão, execu¸cão e consuma¸cão ocorrem no ambiente computacional [11] . Inserem-se nesta categoria os crimes de invasão de dispositivos informáticos, in-ser¸cão de dados falsos em sistemas de informática, causar indisponibilidade de servi¸co de informática de utilidade pública – sejam eles cometidos com o fim de acesso não auto-rizado a dados, de obter as credenciais de outrem para a prática de determinado dado, obten¸cão de vantagem financeira indevida ou qualquer outro ou causar indisponibilidade de servi¸co virtual, apenas a t´ıtulo exemplificativo [39]

A quantidade de literatura de computa¸cão forense nacional encontrada nas pesqui-sas realizadas para o trabalho foi parca, tendo sido constatado em pesquisa de campo uma especializa¸cão emp´ırica dos agentes de investiga¸cão dos crimes cibernéticos impróprios, os quais utilizam-se, quase sempre, de meios de investiga¸cão tradicionais (infiltra¸cão de agentes, vigilância de suspeitos, obten¸cão de provas testemunhais ou documentais, dela¸cões,etc) , vez por outra conjugados a meios tecnológicos. Em contrapartida, a inves-tiga¸cão de crimes cibernéticos próprios no Brasil carece de meios e pessoal com expertise no assunto e de profissionais, tanto da área de investiga¸cão criminal como de pesquisa

(16)

CAPÍTULO 1. INTRODUÇ ÃO 2

acadêmica, que se disponham a abordar o tema com maior profundidade. E dentro desta categoria de crimes, um dos de maior dificuldade investigativa é aquele que utiliza redes de máquinas zumbis – as temidas BotNets: redes de esta¸cões idôneas que executam coman-dos a servi¸co do usuário malicioso para os mais diversos fins. A investiga¸cão deste tipo de ataque demanda análise complexa, com pessoal especializado e dedica¸cão integral de recursos humanos, tecnológicos e jur´ıdicos, sendo frequente a necessidade de coopera¸cão internacional. A falta de profissionais qualificados para investiga¸cão forense deste tipo de delito no Brasil decorre dos investigadores forenses governamentais utilizarse do em-pirismo para forma¸cão do seu conhecimento. Logo, a pouca frequência que os órgãos de persecu¸cão penal se deparam com este tipo de ataque torna a habilidade e conhecimento dos agentes de persecu¸cão diminutos. Da´ı o nosso est´ımulo a realizar este estudo sobre as técnicas de investiga¸cão desta modalidade delitiva, por constituir esta um desafio maior para os órgãos de persecu¸cão penal brasileiros e escassez de pesquisas documentadas so-bre o tema, o que nos leva a propor um modelo investigativo mais simples e adequado às realidades jur´ıdicas, técnicas e estruturais nacionais.

Para a busca do modelo ideal, foram pesquisadas diversas técnicas relatadas na literatura, bem como a avalia¸cão de seu fator custo/benef´ıcio, através do sistema de análise de técnicas investigativas relatado no cap´ıtulo 3 desta monografia. Verificou-se que o sistema de análise do hospedeiro é o que gera mais informa¸cões com custo relativamente baixo [17]. Foi realizada simula¸cão de uma investiga¸cão em laboratório, em uma técnica proposta com inspira¸cão na técnica de Law et al[27]. Diante do fato da investiga¸cão por este modelo ser realizada em tempo real, foi necessário a proposi¸cão altera¸cões do modelo para ajustar à realidade do ordenamento jur´ıdico e dos órgãos de persecu¸cão brasileiro com a manuten¸cão da cadeia de custódia das provas. Para tal, avalia¸cão foi feita em snapshots do sistema infectado, preservando a esta¸cão original de qualquer altera¸cão posterior à sua apreensão.

(17)

Cap´ıtulo 2

Redes de Zumbis

2.1 Conceitos e Motiva¸c˜

ao

A empresa de comunica¸cão e seguran¸ca Level (3) Comunications define uma rede de zumbis como um grupo de computadores com um mecanismo de controle comum, frequentemente instalado como software, o qual é voltado a um fim malicioso. O operador da rede de zumbis age como um mestre e a controla, com cada esta¸cão desempenhando o papel de um zumbi inconsciente de que está seguindo o controle do mestre. ( Level(3) Comunications White Paper) . As redes de zumbis costumam ter milhares de esta¸cões integrantes, a maioria sem ter a menor ideia de integrar esta rede de ataque.

Em um conceito mais amplo do que o acima exposto, uma rede de zumbis nem sempre é utilizada para fins maliciosos e nem sempre a máquina controlada não tem ciência de sua participa¸cão na rede. Exemplos de redes l´ıcitas com estrutura semelhante à das redes de zumbis il´ıcitas são as redes de bancos de dados distribu´ıdos, de processamento distribu´ıdo, colaborativas de coleta de dados e sistemas de configura¸cão e manuten¸cão remotos de empresas.

Frequentemente, principalmente as surgidas nas últimas décadas, redes de zumbis operam em várias camadas, com esta¸cões intermediárias que atuam como retransmissoras dos comandos emanados do mestre. Este expediente dificulta enormemente a identifica¸cão do mestre, pois pode haver inúmeras camadas separando o mestre do alvo final do ataque.

As redes zumbis são uma das mais emergentes técnicas utilizadas para obten¸cão de lucro por criminosos virtuais [30]. Inicialmente, nos anos 60 e 70, eram utilizadas para brincadeiras e danificar sistemas por pura diversão. Nos anos 80 e 90 passaram a ser utilizadas com intento pol´ıtico, de protesto contra o monopólio de informa¸cões pelo sistema e até mesmo por hackers em busca de prest´ıgio na comunidade da computa¸cão [10].

(18)

CAP´ITULO 2. REDES DE ZUMBIS 4

de zumbis elevou este tipo de ataque a um novo patamar de utiliza¸cão, com sua explora¸cão por grupos criminosos, que perceberam a possibilidade de ter um conjunto de recursos computacionais de esta¸cões controladas a seu dispor. Um dos mais curiosos trojans uti-lizados é o Ramsom Bot [20], que faz a encripta¸cão do dispositivo de armazenamento persistente do alvo, tornando-o inacess´ıvel ao seu proprietário. Após o ataque bem su-cedido, o atacante oferece à v´ıtima resgate dos dados, mediante pagamento de um valor financeiro. Este rol é apenas exemplificativo, podendo os modos de ataque crescerem de acordo com a criatividade do criminoso virtual.

2.2 Elementos

Uma rede de zumbis é composta por várias classes de elementos, cada qual funci-onando em um papel espec´ıfico, essencial ou não a depender da topologia da rede. São elas o CeC -Centro de Comando e Controle, servidor DNS - Domain Name System, agen-tes intermediários, zumbi final e o alvo do ataque. O CeC é de onde provém o controle da rede. Também chamado de mestre, botmaster, botherder, ou simplesmente herder é operado pelo usuário malicioso que emite comandos através de protocolos espec´ıficos para manipular as máquinas infectadas.

O zumbi final, ou o robô final, é o dispositivo infectado que vai realizar o ataque imediato ao alvo. Nos primórdios das investiga¸cões de crimes virtuais, quando as redes de zumbis ainda eram desconhecidas, as investiga¸cões policiais se direcionavam a usuários inocentes de cujas esta¸cões partiam o ataque. Na verdade, ainda hoje, até mesmo usuários mais experientes podem estar tendo seus sistemas utilizados para atos il´ıcitos sem se dar conta.

Os agentes intermediários, elementos não obrigatórios em uma rede de zumbis, são dispositivos que fazem a conexão entre o CeC e o robô final, a fim de proporcionar uma maior distância do botmaster para o alvo, e consequentemente maior dificuldade de investiga¸cão. Nas redes de zumbis mais elaboradas podem existir várias camadas de agentes intermediários, propiciando uma grande separa¸cão do CeC do zumbi final.

O servidor DNS tem seu papel fundamental nas redes de zumbis, pois a maioria dos dispositivos hoje utiliza IP dinâmico. Da´ı a necessidade de que cada vez que uma máquina zumbi seja acionada obtenha o endere¸co IP de onde deverá receber os comandos e para onde deverá enviar as respostas. Funciona também como uma prote¸cão a mais para o CeC que obviamente não utilizará o seu endere¸co IP real para emitir os comandos, sendo o seu endere¸co frequentemente renovado. A cada renova¸cão de endere¸co de um integrante da rede, a tabela do servidor DNS deve ser atualizada.

(19)

visto que, uma vez que as autoridades tenham o acesso a um servidor DNS, ter˜ao a lista de dom´ınios e endere¸cos IP das esta¸c˜oes que integram a rede de zumbis .

E finalmente, o alvo final, que não é exatamente um elemento da rede de zumbis, mas sim o sistema almejado pelo usuário malicioso com o ataque, ou seja, sua v´ıtima. Pode ser definido ou não.

2.3 Protocolos

Um protocolo é um acordo entre as partes que se comunicam, estabelecendo como se dará a comunica¸cão. Tenebaum explica o conceito de protocolo com a seguinte analogia: ”quando uma mulher é apresentada a um homem, ela pode estender a mão para ele que, por sua a vez, pode apertá-la ou beijá-la, dependendo, por exemplo, do fato de ela ser uma advogada americana que esteja participando de uma reunião de negócios ou uma princesa européia presente a um baile de gala. A viola¸cão do protocolo dificultará a comunica¸cão, se não a tornar completamente imposs´ıvel.”[37] Em uma rede de zumbis, um protocolo são as regras de comunica¸cão entre os seus diversos elementos.

2.3.1 IRC (Internet Relay Chat)

Protocolo que era, longe de qualquer outro, o mais utilizado nas primeiras redes de zumbis. Segundo Rajab et al [4],ainda em 2006, era o protocolo mais comum de comunica¸c˜ao entre o servidor e o zumbi.

O protocolo IRC foi criado com a finalidade espec´ıfica de conversas em canais de bate-papo entre usuários da Internet, muito em voga nos anos 90. O IRC permite que o administrador do canal de bate-papo envie de comando a um grande número de usuários. Inicialmente os bots baseados em IRC eram utilizados para manuten¸cão automática de canais de bate-papo, porém não tardou para que usuários mal-intencionados passassem a utilizá-los como instrumento de controle de redes de zumbis, devido a sua simplicidade de implementa¸cão, escalabilidade e estabilidade [24].

O funcionamento padrão de um chat tipo IRC consiste em obter o aplicativo cliente, escolher um apelido e conectar um canal no seu respectivo servidor IRC. Um servidor pode ter um ou mais canais habilitados simultaneamente. Em geral, o nome do canal reflete a natureza das conversas, e cada canal possui um tópico, geralmente dinâmico [23]. Nestes canais há certos usuários com alguns poderes privilegiados: são os operadores, chamados de OP ou IRCops. Seu apelido vem sempre precedido do s´ımbolo “@”, sendo este o criador do canal ou algum usuário com poderes por este delegado.

(20)

utilizassem para fins maliciosos. Estava criado, portanto, o embrião das hoje chamadas redes de zumbis [13]. Dos pontos de vista técnicos e visuais, um bot nada mais é que um cliente, conectado e listado como se fosse um usuário comum. Diferem-se destes, que por ser um programa ou script, sua atividade limita-se a vigiar os eventos e seguir as instru¸cões que lhe foram atribu´ıdas, mesmo que seu seu operador não esteja online. Seus comandos ”podem ser tanto mensagens para outros usuários ou sa´ıda de escrita em arquivos. Mas a sua caracter´ıstica primordial é fornecer alto n´ıvel de automa¸cão tanto para tarefas tediosas como as que exigem desempenho rápido”[16].

Após a infeçcão inicial do hospedeiro por um código malicioso, conforme será visto no tópico 2.5,a rede de zumbis usa algum protocolo, como FTP, HTTP ou o CSend do próprio IRC, para transferir o código do bot para a esta¸cão infectada. Logo assim que é transferido, o arquivo binário é iniciado e tenta se conectar com o servidor mestre, buscando seu endere¸co em um DNS, geralmente dinâmico [7], e se autentica no canal controlado pelo operador da rede de zumbis, com algum apelido especial que o identifique [4]. Uma rede de zumbis IRC pode ser controlada de várias formas, merecendo destaque aquela que o faz através do tópico do canal. O bot recebe o tópico do canal, o qual tem um comando embutido [16]. Como exemplos de Redes de Zumbis baseadas em IRC, incluem-se o Code Red [32] e o Slammer [31].

2.3.2 HTTP (Hyper Text Transfer Protocol )

Até a década de 1990, a Internet era utilizada apenas no meio acadêmico para transferência e recebimento de arquivos de esta¸cões locais para remotas. A partir do in´ıcio dessa década, surgiu a World Wide Web , que a tornou acess´ıvel ao público em geral. A partir da´ı, qualquer usuário poderia disponibilizar conteúdo para qualquer outro que desejasse acessá-lo [12]. Para tal foi criado o protocolo HTTP, presente em dois programas, sendo um cliente e outro servidor. Este disponibiliza páginas com conteúdo diversos para aquele acessar [25]

A utiliza¸cão do HTTP tem crescido em propor¸cões gigantescas desde o in´ıcio dos anos 90, tanto por parte de empresas como de usuários domésticos (Amélia, 2004), sendo pouqu´ıssimos os administradores de redes comerciais, cooperativas ou domésticas que configuram o firewall para filtrar tal protocolo. Afinal, a navega¸cão na World Wide Web tornou-se mais do que um hábito, uma necessidade para os usuários, inclusive de empresas para pesquisas e comunica¸cões rápidas. Por este mesmo motivo, os botmasters vêm utilizando cada vez mais este protocolo para controlar sua rede. Ao passo que os pacotes IRC trazem desconfian¸ca, e muitas vezes são filtrados por firewalls ou sistemas de seguran¸ca interna dos clientes, os pacotes HTTP costumam ter livre acesso ao navegador do alvo utilizando-se de portas não comumente usadas. Porém, até mesmo as portas mais

(21)

comumente utilizadas pelos navegadores são utilizadas com a anexa¸cão do código malicioso ao método HTTP POST, como no caso do bot Rustok Rootkit [14]. Um comando HTTP GET enviado pela porta 80 de um navegador dificilmente será bloqueado ou levantará qualquer suspeita do administrador de redes de que tenha um payload malicioso.

Um exemplo de ataque feito através do protocolo HTTP é aquele realizado através do framework BeEF - Browser Exploitation Framework, o qual será visto mais detalha-damente no cap´ıtulo 4, tendo sido uma das ferramentas utilizadas na simula¸cão realizada neste trabalho.

2.3.3 p2p (Peer to Peer)

Inobstante propiciarem meio eficaz de comunica¸cão entre o CeC e o zumbi, o protocolos IRC permite fácil identifica¸cão e neutraliza¸cão do malware [33], motivo pelo qual os protocolos p2p se tornaram bastante populares entre os criadores de redes de zumbis [24].

Uma maneira de mitigar este risco é com a ausência de um servidor central fun-cionando como CeC. Cada zumbi faz o papel ao mesmo tempo de servidor e cliente, formando uma rede em malha. Desta forma, cada zumbi funciona como repetidor, não havendo um caminho único. Assim, se um ponto qualquer for derrubado, a rede encon-trará outros caminhos alternativos para a entrega da informa¸cão, escolhendo dentre todos os poss´ıveis. Geralmente usa-se o próprio protocolo IRC, mas sem que o servidor de con-trole tenha comportamento diferente dos demais integrantes da horda zumbi, pois cada nó retransmite o comando de controle, tornando a identifica¸cão do botmaster bem mais dif´ıcil.

Tem como desvantagens a arquitetura de um modelo p2p ser muito mais complexa do que a de um modelo centralizado. Ademais, não há confiabilidade de entrega dos pacotes ou do cálculo de sua latência, dito que não há controle da comunica¸cão entre os enlaces, o que pode fazer com que vários zumbis não recebam o comando. A latência irregular pode prejudicar ataques que demandem sincronia entre os zumbis, como é o caso dos ataques de DoS.

Entre as redes de zumbis que utilizam p2p, encontra-se a TDL-4 [?] a qual utiliza a leg´ıtima rede p2p Kademilia, baseada no protocolo DHT-Distributed Hash Table, tornando praticamente imposs´ıvel a retirada da rede de opera¸cão sem afetar o tráfego idôneo [2].

(22)

ponentes da rede (topologia f´ısica) e a ilustra¸cão de como os dados fluem dentro desta (topologia lógica). Da mesma forma, a topologia de uma rede de zumbis ilustra a estrutura de interliga¸cões entre os seus elementos [18].

2.4.1 Estrela

A topologia estrela, adotada nas primeiras redes de zumbis baseadas em IRC, é o modelo pelo qual todos os zumbis se conectam a uma única CeC, lá se registrando e esperando os comandos da central. Cada vez que um zumbi é inicializado, acessa o DNS para atualizar o seu IP e aguarda comandos do CeC, que periodicamente busca atualiza¸cões da tabela de endere¸cos dos seus zumbis no servidor De NS.

Trata-se de um sistema simples e de baixa latência , pois a comunica¸cão da CeC com a rede é ponto a ponto. Todavia é extremamente fácil de ser detectado e neutralizado, pois toda rede se conecta a uma única central, que uma vez derrubada, põe fim a toda a rede.

(23)

2.4.2 Multi-Servidor

´

E um avan¸co da topologia estrela. Difere-se dela, porque há múltiplos servidores, todos comunicando-se entre si, e cada um deles controlando uma sub-rede de zumbis.Os diversos CeC são normalmente espalhados por áreas geográficas distintas, de forma que a neutraliza¸cão de um servidor comprometerá apenas a parcela de sistemas zumbis a ele diretamente ligados, mantendo os demais operantes. Também propicia um melhor balan-ceamento de carga, aumentando o seu potencial lesivo em rela¸cão à topologia estrela.

Figura 2.2: Rede de zumbis multiservidor.

2.4.3 Hier´

arquica

Esta topologia compreende duas classes de agentes zumbis infectados por malwares: os zumbis que disparam os ataques diretos aos alvos e os proxies de camadas intermedi´arias

(24)

tru¸cões. O proxy, um sistema também infectado, remete o tráfego recebido a outros proxies de n´ıvel hierquicamente mais alto até chegar no CeC. Este por sua vez, emite as instru¸cões para um ou mais servidor de proxy infectado, que vai repassa-las a outros proxies infectados de hierarquia menor até chegar ao zumbi final. Nota-se uma estrutura de camadas hierárquicas, tendo no topo o CeC, logo abaixo alguns poucos servidores de proxy, que se comunicam cada um outros poucos, em uma estrutura de árvore que vai se ramificando até chegar nas folhas, que são os zumbis finais.

A topologia hierárquica traz inúmeras vantagens para o atacante, principalmente no que concerne à seguran¸ca e à dificuldade de rastreamento. Cada folha só tem conhe-cimento do IP do proxy imediatamente acima em sua ramifica¸cão. E cada nó apenas tem conhecimento do endere¸co do nó da camada imediatamente superior, e somente os proxies de segundo n´ıvel tem conhecimento do IP da raiz (o CeC). Outra vantagem é que o comprometimento de um servidor de proxy apenas comprometerá o funcionamento daqueles abaixo deste na sua ramifica¸cão, tornando a rede mais estável.

Como desvantagem temos a latência grande na comunica¸cão entre o CeC e os zumbis, devido às diversas camadas de proxy pelas quais os dados têm que passar. Tal caracter´ıstica inviabiliza a utiliza¸cão desta topologia para ataques em tempo real.

2.4.4 Aleat´

oria

Na topologia aleatória não há hierarquia entre os sistemas zumbis. Todos agem como servidor e cliente, e estão conectados em um grafo complexo e sem padrão definido. Formam, portanto, uma rede p2p (peer to peer). O CeC envia o comando para um dos zumbis dispon´ıveis, e este, além de executar o comando, o replica para outros sistemas infectados, aleatoriamente escolhidos, que por sua vez vão repassa-lo a outros infectados, e assim sucessivamente.

Este sistema é o mais dif´ıcil de investigar, pois não há um comportamento signi-ficantemente diferente do CeC dos demais elementos da rede, sem nenhuma hierarquia vis´ıvel. É também o mais estável, pois a queda de um zumbi não impedirá o normal funcionamento da rede, que achará caminhos alternativos para difundir os comandos.

Todavia, a latência continua sendo um problema, e a queda de um simples nó, embora não vá comprometer a estabilidade da rede, pode causar atrasos imprevis´ıveis. Ainda assim, a latência é menor do que uma rede hierárquica [9].

Outro problema é que a identifica¸cão de um único nó permite a identifica¸cão de inúmeros outros elementos da rede, que por sua vez permite a de tantos outros. Os investigadores, contudo, apesar de poderem identificar inúmeros sistemas infectados, di-ficilmente poderão saber se um deles é o CeC ou se todos são zumbis.

(25)

Figura 2.3: Rede de zumbis hier´arquica.

2.5 Ciclo de Vida

Uma rede de zumbis, durante sua cria¸cão e existência, passa por cinco fases: in-feçcão inicial, inin-feçcão secundária, conexão, inser¸cão dos comandos maliciosos e manu-ten¸cão [8].

Na fase inicial, o atacante busca vulnerabilidades comuns no sistema da esta¸cão a ser infectada e suas sub-redes, infectando-no com software malicioso através dos diver-sos métodos de explora¸cão existentes. Em uma segunda fase, o hospedeiro executa um código de script que busca o verdadeiro código que o transformará em zumbi em alguma localidade espec´ıfica da internet. Na terceira fase, cada vez que o sistema é reiniciali-zado o código é executado transformando a esta¸cão em um zumbi. Após esta infeçcão

(26)

Figura 2.4: Rede de zumbis aleat´oria.

executam, tais como explorar outros sistemas, ataques DDoS, entre outros. E na última fase, a de manuten¸cão, as máquinas que já realizaram ataques mantém contato com o CeC e recebem comandos que atualizam o código binário para camuflagem, adi¸cão outras funcionalidades ou até mesmo migrar de CeC ou de DNS, utilizando o DDNS - Distributed Domain Name Service, servi¸co de resolu¸cão de nomes dinâmico que muda frequentemente de localiza¸cão para dificultar a investiga¸cão [21].

2.6 Camuflagem

Bano (2012) [9]lista uma série de técnicas de camuflagem a rede de zumbis, ocul-tando o código, os comandos, o servidor DNS e, acima de tudo, a própria CeC. Elas incluem o embaralhamento ou encripta¸cão do código do malware, sendo o primeiro bem mais eficaz. Em primeiro lugar, porque a encripta¸cão demanda grande poder de pro-cessamento que pode revelar atividade at´ıpica de memória e de processador que podem denunciar a existência do código, além de causar maior atraso no in´ıcio da execu¸cão do

(27)

código. Em segundo lugar, porque para que haja encripta¸cão, é necessário que a chave es-teja presente no código malicioso em plain text para posterior decripta¸cão para execu¸cão, o que torna o meio frágil. Outras técnicas de oculta¸cão como desativa¸cão dos sistemas de seguran¸ca, acesso a privilégios do sistema para rodar sem restri¸cão são utilizadas. Técnica também citada é a utiliza¸cão de mecanismos que detectam máquinas virtuais e sandboxes, evitando que o malware infecte tais sistemas, comumente utilizados em honeypots para investiga¸cão de redes de zumbis.

Entre as formas de camuflar o DNS, estão a já citada utiliza¸cão de DDNS e a mudan¸ca frequente do IP do CeC através de uma técnica denominada domain-flux, que consiste na associa¸cão de diversos IPs a determinado dom´ınio, de maneira que se houver bloqueio à troca de informa¸cões com o IP do servidor DNS, o zumbi buscará IPs alternati-vos vinculados àquele mesmo dom´ınio, mantendo a estabilidade da rede de zumbis.Através do domain-flux, a rede gera periodicamente uma lista de nomes de dom´ınio, através de um algor´ıtimo presente no malware denominado DGA- Domain Generation Algorithm. O DGA das esta¸cões integrantes da rede de zumbis são sincronizados a fim de gerarem a mesma lista de dom´ınios. As esta¸cões infectadas requisitam os nomes de dom´ınio da lista até obter uma resposta bem sucedida do nome de dom´ınio do CeC [22].

(28)

Cap´ıtulo 3

Metodologias de Investiga¸c˜

ao

A metodologia utilizada na investiga¸cão de uma rede de zumbis é uma fun¸cão complexa e um crescente campo de pesquisa acadêmica. Constantemente são publicados artigos propondo novas técnicas de investiga¸cão. Ashok et al [6] propõem uma metodologia de investiga¸cão baseada na análise estat´ıstica do tráfego no servidor DNS. Bijalwan et al [5] demonstram que os pacotes UDP - User Datagram Protocol oriundos de uma rede zumbi em um ataque DDoS diferem daqueles do tráfego normal de rede e que a análise destes pacotes pode ser utilizada como evidência investigativa. Já Stevanovic et al [36] sugerem a cria¸cão de um framework colaborativo, que através de um algor´ıtimo de inteligência artificial de aprendizado de máquina, receba padrões de tráficos de redes zumbis detectado pelas diferentes técnicas e forme o seu próprio padrão de deteçcão, o qual estará sempre sendo aprimorado pelas constantes colabora¸cões. As técnicas a serem utilizadas variam de acordo com a topologia da rede, com o tipo de malware utilizado, com o comportamento da rede, com o objetivo da investiga¸cão e com os recursos técnicos e jur´ıdicos do investigador.

O objetivo da investiga¸cão realizada por um administrador de redes é tão somente bloquear o ataque espec´ıfico ao seu sistema, ao passo que uma empresa de consultoria em seguran¸ca deseja adquirir maior conhecimento e técnicas que possam ser utilizadas com diversos clientes. Da mesma forma, uma empresa desenvolvedora de antiv´ırus tem como alvo a descoberta da assinatura dos malwares utilizados para que possam ser detectados e isolados por seus produtos. E todos estes objetivos se diferem da investiga¸cão forense, cujo propósito é identificar os operadores da rede e seus beneficiários, adquirindo provas juridicamente válidas que possam ser utilizadas em um processo judicial. E é esta última abordagem o foco do presente trabalho.

A investiga¸cão forense por particulares costuma sofrer maiores restri¸cões jur´ıdicas, devido às leis que visam proteger a privacidade do usuário. Restri¸cões também existem por ocasião das investiga¸cões realizadas pelo poder público, mas normalmente são mitiga-das por outras normas que sopesam a prote¸cão à privacidade com o interesse público, tais

(29)

CAPÍTULO 3. METODOLOGIAS DE INVESTIGAÇ ÃO 15

como as que permitem intercepta¸cão e acesso de dados de provedores e companhias de comunica¸cão, coopera¸cão internacional intergovernamental, acesso a bases de dados go-vernamentais e particulares, entre outros. Os limites do poder de acesso a dados privados dado aos investigadores varia de acordo com o ordenamento jur´ıdico de cada pa´ıs.

No Brasil, as investiga¸cões criminais cabem às pol´ıcias judiciárias – ou seja, à Pol´ıcia Federal e às Pol´ıcias Civis dos Estados e do Distrito Federal, a depender do tipo de crime que se investiga (Art. 144, §§ 1o

e 4o

da Constitui¸cão da República ). Há grande celeuma quanto à possibilidade de investiga¸cões criminais serem realizadas pelo Ministério Público e quanto aos seus limites, visto que por ser o órgão que irá realizar e sustentar a acusa¸cão visando a condena¸cão em ju´ızo, tem sua isen¸cão investigativa comprometida, isen¸cão esta necessária à análise sem viés e de forma técnico-cient´ıfica de um fato e suas provas. [29, 34, 40]

3.1 T´

ecnicas

As metodologias de investiga¸cão são tra¸cadas mediante a utiliza¸cão de um conjunto de técnicas, formando um modelo genérico. Tais técnicas se dividem basicamente em três categorias: análise do comportamento da rede, análise de um ou mais sistemas hospedeiros do malware e técnicas de investiga¸cão tradicionais.

As técnicas de análise de rede demandam estrutura diretamente proporcional ao tamanho e à complexidade da rede de zumbis. Englobam monitoramento de portas, análise de fluxo de dados, recolhimento de grande número de dados de onde deve ser extra´ıdo o modelo comportamental da rede para descoberta da origem comum de partida dos comandos de controle.

A análise do hospedeiro é bem menos custosa, e pode ser feita com parcos recursos, pois basta a análise comportamental de apenas um sistema infectado para extrair grande gama de informa¸cões. O objetivo deste trabalho é justamente simular uma investiga¸cão com este foco para aferir sua eficiência, o que será feito no cap´ıtulo 4.

E por fim, as técnicas de investiga¸cão tradicionais, como infiltra¸cão de agentes, intercepta¸cões de conversas telefônicas, monitoramento de fluxo bancário, provas teste-munhais e colabora¸cões premiadas também não perdem sua importância pelo fato do crime ser cometido no mundo virtual. Controladores de grandes redes de zumbis as uti-lizam para obten¸cão de lucro através de sequestro de sistemas, fraudes bancárias, ataque a sistemas governamentais ou corporativos, de maneira que em determinado momento o criminoso virtual irá monetizar sua a¸cão e o lucro deverá se manifestar no mundo f´ısico de

(30)

Como dizem os franceses : -Chercher l’argent!.

3.2 M´

etrica de An´

alise de Custos das T´

ecnicas

Cusack [17] propôs um modelo de avalia¸cão de custo/benef´ıcio das metodologias de investiga¸cão criminal de uma rede de zumbis. Para tal, fez experimentos com di-versas técnicas, avaliando os seus custos baseado na demanda de recursos técnicos, de complexidade e de tempo, dividindo cada um destes parâmetros em baixo, médio e alto. Posteriormente, comparou os resultados obtidos com cada uma destas técnicas ou com-bina¸cões destas, os categorizando em cinco diferentes n´ıveis de custo, os quais receberam a numera¸cão correspondente. No n´ıvel dois, considerou que os custos finais de três me-todologias diferentes acabavam se equiparando, pois há meme-todologias que exigem maior grau técnico e menor tempo e vice-versa. Por esta razão subdividiu as técnicas de custo n´ıvel dois em três subcategorias, que chamou de 2a, 2b e 2c.

No n´ıvel 1, está a simples análise de assinatura por agente terceirizado. O custo é baix´ıssimo, tanto de tempo, como de complexidade e de técnica. Naturalmente com todo o servi¸co delegado a terceiros, as v´ıtimas não tem qualquer custo nestes aspectos, arcando apenas com o custo financeiro da terceiriza¸cão. Como benef´ıcio tem-se somente o aperfei¸coamento dos mecanismos de defesa, como atualiza¸cão dos antiv´ırus e alertas. Tais benef´ıcios são apenas preventivos e em nada contribuem para o escopo deste trabalho, que é a investiga¸cão forense.

O n´ıvel 2, como já dito acima, é dividido em 3 subn´ıveis, sendo todos combina¸cão do procedimento do n´ıvel 1 com outras técnicas. No n´ıvel 2a, os procedimentos do n´ıvel 1 são acrescidos do teste estático do ambiente, além da observa¸cão do código binário (também presente no n´ıvel 2b). Os benef´ıcios são grandes, tais como análise de portas, processos, bibliotecas e reconstru¸cão do vetor de ataque, todos de interesse à investiga¸cão forense. Os custos, porém, são altos em todos os critérios, praticamente inviabilizando os processos no âmbito da persecu¸cão penal pátria.

No n´ıvel 2b, a análise do n´ıvel 1 é acrescida somente da execu¸cão e observa¸cão do código binário do malware. Exige um tempo um pouco maior, mas os custos de comple-xidade e técnica permanecem baixos. Traz como benef´ıcios a importante observa¸cão do comportamento da rede, tal como no n´ıvel 2a, mas com automatiza¸cão de vários proces-sos.

O n´ıvel 2c combina os procedimentos dos n´ıveis 2a e 2b, mas com o com a opera¸cão humana no hospedeiro e sua explica¸cão dos acontecimentos. O n´ıvel técnico exigido é um pouco maior do que o do n´ıvel 2b, mantendo tempo e complexidade baixos. O maior benef´ıcio é que todo o resultado dos subn´ıveis anteriores podem ser analisados sob o

(31)

prisma do operador humano.

O n´ıvel 3 traz a observa¸cão do comportamento da rede para verificar a existência de esta¸cões zumbis. Demanda media técnica e tempo, e serve para disparar alertas. Os benef´ıcios estão fora do escopo forense.

O n´ıvel 4 consiste na intercepta¸cão de todas as comunica¸cões da CeC. Obtêm-se todo escopo da Rede de Zubis, servindo não só para desmontar a Rede, como sendo de grande valia para identifica¸cão dos seus operadores. O custo, porém, é alto em termos de tempo, técnica e complexidade.

E finalmente o n´ıvel 5 consiste na penetra¸cão e destrui¸cão dos mecanismos de defesa da Rede de Zumbis. Além dos benef´ıcios que podem ser obtidos no n´ıvel 4, possibilita a restaura¸cão do controle das esta¸cões zumbis para quem de direito. Como era de se esperar, o custo é alto em todos os parâmetros.

Segue abaixo tabela de custos extra´ıda do trabalho de Cusack que ser´a usada para mensurar os custos de nossa proposta final de metodologia investigativa.

(32)

(33)

Cap´ıtulo 4

Investiga¸c˜

ao do Comportamento do

Hospedeiro

Dentre as diversas metodologias citadas até o momento, buscamos uma cuja técnica predominante seja de custo compat´ıvel com os parcos recursos técnicos, de pessoal e de infraestrutura da realidade brasileira. Acreditamos ser a técnica de melhor custo benef´ıcio aquela classificada na tabela de Cusack como n´ıvel 2b, ou seja, a observa¸cão e monitoramento da execu¸cão do código binário, que demanda técnica e complexidade baixas e tempo médio. Os benef´ıcios, porém, não se diferem em grandes propor¸cões daqueles das técnicas de maior custo, a exce¸cão do que tange à contra inteligência e neutraliza¸cão do ataque. Como tais aspectos não interessam ao escopo deste trabalho que foca na investiga¸cão criminal para persecu¸cão penal, será feita uma abordagem desta técnica com mais destaque, sendo lhe dedicada este cap´ıtulo inteiro.

4.1 M´

etodo de Law

Pouca literatura foi achada sobre este tema em nossa pesquisa, sendo a mais com-pleta o trabalho de Law et al [27], a qual será detalhada ao longo deste cap´ıtulo. Neste cap´ıtulo, também é documentada simula¸cão bastante simplificada da proposta de Law et al feita em laboratório através de um conjunto de máquinas virtuais.

Esta técnica leva em conta a ordem de volatilidade dos dados, considerando que eles se dissipam na seguinte ordem: tra¸cos de rede, de memória e, por último, de memória auxiliar, que é aonde o malware se aloca de forma perene. A investiga¸cão deve seguir esta mesma ordem. Diante disto, a proposta é de dividir a investiga¸cão em duas fases, ambas seguindo este ciclo: coleta de vest´ıgios de rede, vest´ıgios de memória (principal) e por ´

ultimo, vest´ıgios do malware. Após o término do primeiro ciclo, a máquina é reiniciada para que se conecte automaticamente com o CeC e o seu comportamento estudado durante

(34)

CAPÍTULO 4. INVESTIGAÇ ÃO DO COMPORTAMENTO DO HOSPEDEIRO 20

a conex˜ao

A configura¸cão do ambiente de investiga¸cão é extremamente simples. Consiste na conexão da máquina infectada à máquina investigadora através de um hub, o qual funciona como gateway para Internet e, consequentemente para a rede de zumbis. A máquina infectada irá rodar seu sistema normalmente, sem nenhuma modifica¸cão. A máquina investigadora utilizará um software de captura de tráfego de rede (sniffer ) com adaptador de rede configurado para modo prom´ıscuo. O motivo da utiliza¸cão do hub, ao invés do switch, assim como da configura¸cão do adaptador de rede para modo prom´ıscuo, é que todo o tráfego da esta¸cão infectada possa ser capturado pela máquina investigadora. A figura abaixo mostra o esquema da configura¸cão e sua simplicidade. Traz ainda um disco r´ıgido externo conectado à máquina investigadora, para armazenamento do que for colhido.

Figura 4.1: Configura¸c˜ao do ambiente de investiga¸c˜ao.

O primeiro passo é a inicializa¸cão normal do sistema hospedeiro, preferencialmente com o usuário que costuma utilizar o sistema realizando atividades semelhantes às que realiza no dia a dia, obtendo-se o fluxo de rede normal que passa pelo sistema. Inicia-se o monitoramento pelo sniffer na máquina investigadora, com a ferramenta Wireshark utlizando um filtro de IP para que capture apenas os pacotes destinados ou ouriundos do

(35)

endere¸co IP da máquina hospedeira , a fim de que não haja confusão com o tráfego das demais máquinas por ventura conectadas na rede. Passa-se então a observar conexões suspeitas, como aquelas de portas muito altas, comuns nos bots baseados em IRC, ou nas portas mais baixas, como a 26 e 27 no caso de bots por HTTP ou p2p. No caso do tráfego estar criptografado, impõe-se primeiramente a análise do algort´ıtimo de desencripta¸cão. Outra op¸cão é a busca pela autentica¸cão do servidor, passo necessário para desembaralhar ou decriptar o bot camuflado.

Na segunda fase, passa-se a fazer a análise de memória. Uma vez que temos as conexões suspeitas, devemos procurar quais processos as utilizam. Para tal, podem ser utilizadas ferramentas como Fport ou Openport. Até mesmo o comando Netstat do Windows, com o parâmetro Netstat -ano, pode ser utilizado para identifica¸cão dos processos.Estes comandos identificam o PID do processo em execu¸cão, que posteriormente com o próprio gerenciador de tarefas do Windows, pode ter o servi¸co a ele associado indentificado, bem como o executável que o gerou.

Na segunda fase, Law ressalva que tais ferramentas, por serem invasivas, podem ser facilmente detectadas pelo malware. Por isto, sugere que sejam feitos snapshots do sistema em execu¸cão, para que a avalia¸cão seja feita nestas imagens. Para esta análise nos snaphots, sugere-se a utiliz¸cão de ferramentas tais como Memorize e Volatility Fra-mework.

E por fim, seguindo a ordem de volatilidade, analisa-se o código fonte do arquivo executável que acessara a porta suspeita, o que pode trazer inúmeras informa¸cões sobre o comportamento da Rede de Zumbis e, consequentemente do CeC.

Após percorridas todas as fases, o sistema hospedeiro é reinicializado e todas as etapas refeitas, a fim de ser verificado o comportamento do hospedeiro durante a reinicia-liza¸cão, haja visto que muitos malwares são carregados em memória durante a inicializa¸cão do sistema operacional. Este procedimento pode auxiliar a verificar o arquivo de registro de inicializa¸cão responsável pelo carregamento do malware.

A Figura 4.2 traz o fluxograma passo a passo da t´ecnica de Law et al.

4.2 A Ferramenta BEeF

BEef é um projeto open sourse, consistente em um framework escrito em Ruby on Rails, desenvolvido para testes de penetra¸cão, que explora vulnerabilidades nos navega-dores web, fazendo com que o navegador da v´ıtima que visite certa página comprometida fique sob o comando do atacante. A referência mais completa sobre o framework é o

(36)

Figura 4.2: Esquema da t´ecnica de Law et al.

pode enviar uma ampla gama de comandos para o navegador, que vão desde o mapea-mento da rede interna da v´ıtima até fazer com que o navegador envie requisi¸cões a outros servidores. Os comandos estão em um conjunto de módulos presentes no framework, os quais estão sempre sendo atualizados.

O atacante pode induzir a v´ıtima a acessar a página com o código malicioso através de técnicas de engenharia social ou de Xss-Cross Site Scripting. Dentre as técnicas de engenharia social aplicáveis, cita-se o envio de spam com link da página maliciosa, clones de páginas idôneas, spoofing de DNS e até mesmo cria¸cão de páginas com conteúdo atraente às v´ıtimas. O Xss, por sua vez, consiste na inje¸cão do código javascript em um servidor idôneo através de caixas de entrada de texto da página, e necessita que a página seja vulnerável a este tipo de ataque [41].

O ataque, via de regra, perdura enquanto a v´ıtima está conectada à página, não sendo persistente. Todavia há módulos que podem dar persistência ao hook, através de uma pop-up oculta, oferecendo uma atualiza¸cão falsa do flash ou através de uma extensão

(37)

maliciosa para o navegador. Vallentin et al [38] relatam terem conseguido a persistˆencia no BEeF inserindo c´odigo javascript no cache do navegador.

A op¸cão pela utiliza¸cão do BEeF na simula¸cão deste cap´ıtulo ocorre pela sua ampla utiliza¸cão em redes zumbis e extrema facilidade de uso (Campbell et al, 2007)

4.3 Infec¸c˜

ao

Para simula¸cão da investiga¸cão, inicialmente foi feita a infeçcão em uma esta¸cão virtual com disco r´ıgido f´ısico com o sistema operacional Windows 7. A inser¸cão de um disco r´ıgido f´ısico na rede virtual foi poss´ıvel através do recurso raw hard disk acess, nativo do Virtual Box. A infeçcão foi feita com a utiliza¸cão da ferramenta BEeF, vista na última se¸cão. Para tal, acessou-se através do navegador Mozilla Firefox da esta¸cão a ser infectada uma página previamente comprometida instalada na rede interna (ip 192.168.123.208), conforme pode ser visto nas Figuras 4.3 e 4.4. Como CeC, utilizou-se uma máquina virtual com o sistema operacional Kali - uma distribui¸cão do Linux baseada em Debian voltada para seguran¸ca da informa¸cão, instalada no software de virtualiza¸cão Virtual Box. Utilizou-se como sistema hospedeiro da virtualiza¸cão um notebook com o sistema operacional Windows 10. Nesta instala¸cão do Virtual Box foi criada uma rede NAT -Network Adress Translation, na qual foi realizada toda a simula¸cão da investiga¸cão. O BeEF já encontra-se pré-instalado no sistema Kali Linux.

(38)

vascript fazendo a liga¸cão ao endere¸co da máquina utilizada como CeC destacado em vermelho. Ressalta-se que em um ataque real, normalmente seria utilizado o endere¸co do DNS ao invés do endere¸co do CeC. Contudo, para simplificar a simula¸cão, optou-se pelo direcionamento direto ao CeC.

Figura 4.4: Código fonte da página comprometida, com o script do hook para o CeC. Em um segundo momento, para tornar a conexão com o BeEF persistente no sistema hospedeiro, utilizou-se o MITMf - Man in The Middle framwork , dispon´ıvel como módulo do BEeF para tornar o comprometimento do navegador persistente. Se anteriormente conexão do CeC era interrompida sempre que a v´ıtima não estava na página comprometida, através da persistência basta que o navegador seja aberto, não importando a página, que inicializar-se-á a conexão com o CeC.

4.4 Preserva¸c˜

ao da Cadeia de Cust´

odia da Prova

A CRFB- Constitui¸cão da República Federativa do Brasil garante que todo litigio judicial ocorra sob a égide dos princ´ıpios do contraditório e da ampla defesa em seu art.5o

, inciso LV. A ampla defesa, já prevista na Declara¸cão Universal dos Direitos do Homem em seu Artigo XI, é o poder de defender-se de qualquer pretensão de outrem, sendo atributo da personalidade e por isto, pertencendo à categoria dos denominados direitos c´ıvicos [28]. Já o contraditório significa que toda alega¸cão fática ou apresenta¸cão de provas por uma

(39)

das partes gera a outra o direito de manifestar-se [19]. Logo, ”A preserva¸cão das fontes de prova é, portanto, fundamental, principalmente quando se trata de provas cuja produ¸cão ocorre fora do processo, como é o caso da coleta de DNA, intercepta¸cão telefônica, etc. Trata-se de verdadeira condi¸cão de validade da prova”[3].

A investiga¸cão digital forense divide-se em estática e dinâmica. A estática ocorre após a consuma¸cão do crime, com a análise dos vest´ıgios, ao passo que a dinâmica ocorre durante o ataque [26]. Naturalmente, a investiga¸cão dinâmica provoca altera¸cões dos dados armazenados na esta¸cão hospedeira durante a sua realiza¸cão.

A proposta deste trabalho traz modifica¸cões nas configura¸cões propostas por Law, a fim de que possa ser adequada à realidade jur´ıdica brasileira. Law sugere que a análise de rede seja feita no sistema hospedeiro infectado original, e somente na análise de memória (segunda fase do ciclo) sejam os processos estudados em uma imagem criada a partir do sistema original para que o CeC não identifique a investiga¸cão dos processos. Contudo, a análise de rede diretamente no sistema infectado pode trazer consequências jur´ıdicas aptas a até mesmo, em casos extremos, acarretar na anula¸cão das provas obtidas. Isto porque a per´ıcia policial é feita em fase inquisitiva e não contraditória, e para ter o condão de sustentar um processo judicial pode necessitar ser repetida em fase judicial sob a égide do contraditório e da ampla defesa. E para que tal ocorra, é imperioso que o dispositivo de m´ıdia a ser analisado não tenha sofrido qualquer altera¸cão posterior a sua apreensão pelos técnicos policiais. A simples inicializa¸cão do sistema já provoca altera¸cão em vários segmentos do dispositivo de armazenamento decorrentes do uso normal do sistema, incluindo metadados de diversos arquivos, isto para não mencionar armadilhas colocadas propositalmente pelo usuário malicioso para adulterar ou destruir evidências, caso o malware capte certos comportamentos padrões de análise. Diante deste quadro, sugere-se que assim que o sistema hospedeiro for apreendido, seja desligado diretamente da tomada de alimenta¸cão, seus dispositivos de armazenamento protegidos contra a grava¸cão, (normalmente possuem jumpers que possibilitam esta fun¸cão) extra´ıdas no m´ınimo duas cópias de sua imagem bit a bit e que todo processo de análise seja feito nas imagens clonadas [15]. É fortemente sugerido nesta fase a aplica¸cão de um algor´ıtimo de hash na imagem original, cujo código resultante deve constar no laudo como forma de refor¸car a garantia de sua não altera¸cão posterior [35]. A reprodu¸cão das imagens pode ser feita em um software de virtualiza¸cão (Virtual Box ou VM Ware,p. ex), em uma máquina virtual criada com exatamente as mesmas configura¸cões da máquina f´ısica clonada e com a placa de rede em modo bridge. Sugere-se ainda a mudan¸ca do MAC da placa de rede virtual

(40)

4.5 Virtualiza¸c˜

ao

Para manuten¸cão da cadeia de custódia probatória, importou-se o sistema hospe-deiro para uma máquina virtual através da ferramenta DISK2VHD da Microsoft. Retirou-se o disco r´ıgido do desktop hospedeiro, o qual foi conectado como escravo a um note-book utilizando-se um adaptador SATA/USB. A ferramente da Microsoft converte o disco r´ıgido f´ısico em disco virtual no formado VHD - Virtual Hard Disk, sistema proprietário da Microsoft. Converteu-se este arquivo para o formato OVA, próprio do Virtual Box, utilizando-se o próprio Virtual Box.

Posteriormente, extraiu-se o c´odigo hash MD5 do arquivo do disco virtualizado, garantindo-se contra eventuais questionamentos de que o conte´udo do disco r´ıgido tenha sido alterado. Para tal, utilizou-se a ferramenta online md5online, dispon´ıvel no endere¸co onlinemd5.com, conforme figura 4.5.

Figura 4.5: Hash md5 do arquivo do disco r´ıgido virtualizado.

A partir deste ponto, toda simula¸c˜ao passou a ser feita no ambiente virtual do Virtual Box.

4.6 Coleta de Rastros de Rede

Terminada a fase preparatória, aqui inicia-se a investiga¸cão propriamente dita. A simula¸cão foi realizada inteiramente no ambiente virtual criado pelo Virtual Box, hos-pedado no notebook com o sistema Windows 10. Utilizou-se três máquinas virtuais. A primeira com o sistema infectado conforme descrito nas se¸cões 4.5 e 4.3, Foi utilizado

(41)

nesta máquina o sistema operacional Windows 7 ; a segunda, como máquina investiga-dora, com o sistema Kali Linux e com a utiliza¸cão do sniffer de rede Wireshark com sua instala¸cão nativa do Kali Linux, e interface de rede no modo prom´ıscuo; e por fim, outra com o sistema Kali Linux para fazer o papel de CeC. Foi utilizado o framework BEeF em sua instala¸cão nativa no Kali Linux. Em todas as VMs, as interfaces virtuais de rede foram configuradas para o modo bridge,

O primeiro passo é a inicializa¸cão normal do sistema hospedeiro, preferencialmente com o usuário que costuma utilizar o sistema realizando atividades semelhantes às que realiza no dia a dia, obtendo-se o fluxo de rede normal que passa pelo sistema. Iniciou-se o monitoramento pelo sniffer na máquina investigadora, com a ferramenta Wireshark utilizando um filtro de IP para que capture apenas os pacotes destinados ou oriundos do endere¸co IP da máquina hospedeira (192.168.123.66), a fim de que não haja confusão com o tráfego das demais máquinas por ventura conectadas na rede. Passou-se então a observar conexões suspeitas, como aquelas de portas muito altas (porta 3000 e acima), comuns nos bots baseados em IRC, ou nas portas mais baixas, como a 26 e 27 no caso de bots por HTTP ou p2p. No caso do tráfego estar criptografado, impõe-se primeiramente a análise do algor´ıtimo de desencripta¸cão. Outra op¸cão é a busca pela autentica¸cão do servidor, passo necessário para desembaralhar ou decriptar o bot camuflado.

Na simula¸cão, iniciou-se a busca de pacotes filtrando pelo IP da esta¸cão atacada (192.168.123.66) , tendo sido notado uma constante solicita¸cão de acesso ao endere¸co 192.168.123.58. Ao analisar-se esta solicita¸cão, nota-se que ela esta sendo feita através da porta 3000, não muito utilizada por aplica¸cões conhecidas. Ademais, há outras conexões com este mesmo endere¸co sendo feitas pelo protocolo HTTP e pela porta 80, o que está na normalidade. Isso somado ao fato de todo o conteúdo da solicita¸cão estar criptografado, leva a ter como significante o ind´ıcio de que a máquina que está enviando essa solicita¸cão está realizando um ataque (figura 4.6).

4.7 Coleta de Rastros de Mem´

oria

Seguindo a ordem de volatilidade proposta por Law et al, passa-se a fazer a an´alise dos rastros de mem´oria.

Iniciou-se esta fase com a extra¸cão de um snapshot da máquina hospedeira durante sua utiliza¸cão, salvando-se assim o contexto de memória. A extra¸cão foi feita através de recurso do próprio Virtual Box e continuando-se a análise em uma outra VM criada com osnapshot extra´ıdo, a fim de não alertar o CeC do processo investigativo. Em uma

(42)

inves-CAPÍTULO 4. INVESTIGAÇ ÃO DO COMPORTAMENTO DO HOSPEDEIRO 28

Figura 4.6: Tr´afego visualizado pelo Wireshark. maior legitimidade e confiabilidade.

Passou-se a análise dos processos de memória que realizam a conexão. Para isto iniciou-se o prompt de comando do Windows 7 e utilizou-se o comando netstat com o parâmetro -ano, obtendo-se a lista de todos os processos ligados às conexões (figura 4.7) .

Pôde-se então identificar facilmente o número do processo de memória associado às conexões suspeitas, a saber o de PID 2732. Restou apenas identificar qual arquivo ou aplicativo responsável por este processo, o que pode ser facilmente feito através do Task Manager do próprio Windows 7 (figura 4.8).

Verificou-se, ent˜ao, que o processo que realizava a conex˜ao suspeita origina-se do arquivo firefox.exe.

4.8 Reinicializa¸c˜

ao da M´

aquina Virtual

Dando prosseguimento a simula¸cão, iniciou-se a segunda etapa da investiga¸cão. Reiniciou-se a máquina virtual hospedeira, e realizou-se nova rodada dos processos de

(43)

co-CAPÍTULO 4. INVESTIGAÇ ÃO DO COMPORTAMENTO DO HOSPEDEIRO 29

Figura 4.7: Lista de processos por conex˜ao.

leta de rastros de rede e de memória realizados na etapa anterior. Tal repeti¸cão visa colher dados na reinicializa¸cão do sistema, visto que muitos v´ırus se iniciam automaticamente durante o processo de inicializa¸cão do sistema operacional.

Durante e logo após a inicializa¸cão não foram verificadas quaisquer conexões sus-peitas pelo Wireshark. Foram verificados os processos ativos através do Gerenciador de Tarefas, não tendo sido encontrada a atividade do arquivo firefox.exe, o qual demonstrou-se na primeira rodada demonstrou-ser o responsável pela conexão suspeita, o que evidencia não haver altera¸cão no registro para iniciar o processo automaticamente. Porém, após o navegador ter sido iniciado por a¸cão do usuário, imediatamente verificou-se a conexão ao endere¸co 192.168.123.58 pela porta 3000, justamente a conexão suspeita. Deste fato, confirma-se que o arquivo firefox.exe foi, de fato, infectado.

4.9 Resultados Obtidos

Da simula¸c˜ao realizada, obteve-se, com recursos m´ınimos de material e em curto tempo, os seguintes resultados:

(44)

Figura 4.8: Gerenciador de tarefas apontando para o arquivo firefox.exe. - Identifica¸c˜ao da conex˜ao maliciosa e de seu endere¸co de origem;

- Identifica¸c˜ao do arquivo infectado.

Na tabela 4.1 encontra-se descri¸c˜ao pormenorizada das etapas e resultados da simula¸c˜ao.

(45)

(46)

Cap´ıtulo 5

Conclus˜

ao

A metodologia de investiga¸cão a ser escolhida deve ser norteada por inúmeros fatores como o tamanho da rede, sua topologia, custos de tempo, estrutura e expertise dos investigadores e, acima de tudo, pelo objetivo que se pretende alcan¸car com a inves-tiga¸cão. No caso da investiga¸cão forense criminal, a metodologia deve manter o foco na responsabiliza¸cão penal dos operadores da rede, devendo para isto desprezar técnicas que consumam recursos de quaisquer espécies, mas pouco ou nada contribuam para este fim por serem voltadas à preven¸cão e à administra¸cão dos sistemas. Diante deste quadro, des-cartamos qualquer modelo r´ıgido de investiga¸cões de redes de zumbis. Em contrapartida, a otimiza¸cão de recursos sugere a predominância da utiliza¸cão da análise do hospedeiro do v´ırus, por ser a mais eficiente sob o aspecto custo-benef´ıcio.

A observa¸cão minuciosa do comportamento do hospedeiro traz informa¸cões mais relevantes e com consumo de menos recursos do que as técnicas baseadas unicamente no comportamento da rede, que demandam grande quantidade de dados e monitoramento de diversos elementos da rede em tempo real. Por este motivo, sugere-se esta técnica como protagonista na investiga¸cão de uma rede de zumbis, sem embargo da complementa¸cão, quase sempre obrigatória, por técnicas de análise de rede e principalmente, por técnicas de investiga¸cão tradicionais.

5.1 Trabalhos Futuros

Sugere-se para trabalhos futuros o aprimoramento de estudos sobre a técnica pro-posta, com seu experimento em uma infeçcão real e fora de ambiente controlado.

Sugere-se a instala¸cão de honeypots para coleta de malwares reais, operando em redes zumbis verdadeiras. Sugere-se ainda a continuidade do processo investigativo, com a análise por antivirus do arquivo identificado como infectado, o que pode servir como uma prova a mais para lastrear a investiga¸cão forense. O aprofundamento da verifica¸cão

(47)

CAP´ITULO 5. CONCLUS ˜AO 33

da eficácia da técnica pode ser feito com continua¸cão do experimento através de consultas e pesquisas aos endere¸cos de onde partem as conexões.

A expectativa é de que o experimento traga, além dos resultados obtidos na si-mula¸cão, endere¸co do servidor DNS da rede zumbi, informa¸cões sobre esta¸cões utilizadas como proxies, ou qui¸cá, até mesmo identifica¸cão do CeC.

(48)

Referˆ

encias Bibliogr´

aficas

[1] Beef - the browser exploitation framework. http://beefproject.com/. acessado em 09/05/2016. 21

[2] Botnet usa p2p e criptografia própria para se manter invenc´ıvel. https:// tecnoblog.net/69303/botnet-tdl-4-invencivel/. acessado em 14/01/2017. 7 [3] A importância da cadeia de custódia para preservar a prova penal. http://www.

conjur.com.br/2015-jan-16. acessado em 06/06/2016. 25

[4] M. Abu Rajab, J. Zarfoss, F. Monrose, and A. Terzis. A multifaceted approach to understanding the botnet phenomenon. In Proceedings of the 6th ACM SIGCOMM conference on Internet measurement, pages 41–52. ACM, 2006. 5, 6

[5] B. Anchit and S. Harvinder. Investigation of UDP bot flooding attack. Indian Journal of Science and Technology, 9(21), 2016. 14

[6] P. Ashok, J. Velmurugan, M. Abinaya, and B. U. S. Jayanthi. An investigation of botnet activity based on DNS analysis. Indian Journal of Science and Technology, 9(16), 2016. 14

[7] P. Bacher, T. Holz, M. Kotter, and G. Wicherski. Know your enemy: Tracking botnets. Technical report, The Honeynet Project and Research Alliance, 2005. 6 [8] M. Bailey, E. Cooke, F. Jahanian, Y. Xu, and M. Karir. A survey of botnet technology

and defenses. In Conference For Homeland Security, 2009. CATCH’09. Cybersecurity Applications & Technology, pages 299–304. IEEE, 2009. 11

[9] S. Bano. A Study of Botnets: Systemization of Knowledge and Correlation-based Detection. PhD thesis, Department of Computing A thesis submitted in partial fulfillment of the requirements for the degree of Masters in Computer and Communi-cation Security (MS CCS) In School of Electrical Engineering and Computer Science, National University of Sciences and Technology, 2012. 10, 12

(49)

REFER ˆENCIAS BIBLIOGR ´AFICAS 35

[10] M. T. Britz. Computer Forensics and Cyber Crime: An Introduction, 2/E. Pearson Education India, 2009. 3

[11] E. M. Castella. Investiga¸cão criminal e informática. Inteligência Artificial X Boletin de Ocorrência. Curitiba: Juruá, 2005. 1

[12] L. D. Catledge and J. E. Pitkow. Characterizing browsing strategies in the world-wide web. Computer Networks and ISDN systems, 27(6):1065–1073, 1995. 6

[13] A. Charalabidis. The Book of IRC – The Ultimate Guide to Internet Relay Chat. San Francisco: No Starch Press, 2000. 6

[14] K. Chiang and L. Lloyd. A case study of the rustock rootkit and spam bot. HotBots, 7:10–10, 2007. 7

[15] M. A. Costa and S. Lemos. Computa¸c˜ao Forense, da cole¸c˜ao Tratado de Per´ıcias Criminal´ısticas. Millenium Editora, 2003. 25

[16] J. O. Cunha Filho. Simula¸cão e análise de botnet com controladores em servidores irc: uma implementa¸cão com máquinas virtuais. 2016. 6

[17] B. Cusack. Botnet forensic investigation techniques and cost evaluation. In Procee-dings of the conference on digital forensics, security and law, page 171. Association of Digital Forensics, Security and Law, 2014. 2, 16

[18] D. Dagon, G. Gu, C. P. Lee, and W. Lee. A taxonomy of botnet structures. In Com-puter Security Applications Conference, 2007. ACSAC 2007. Twenty-Third Annual, pages 325–339. IEEE, 2007. 8

[19] G. de Souza Nucci. C´odigo de processo penal comentado. Editora Revista dos Tri-bunais, 2009. 25

[20] D. Emm. Focus on trojans–holding data to ransom. Network Security, 2006(6):4–7, 2006. 4

[21] M. Feily, A. Shahrestani, and S. Ramadass. A survey of botnet and botnet de-tection. In Emerging Security Information, Systems and Technologies, 2009. SE-CURWARE’09. Third International Conference on, pages 268–273. IEEE, 2009. 12 [22] H. Guerid, K. Mittig, and A. Serhrouchni. Privacy-preserving domain-flux botnet