Podemos realizar ingeniería inversas de procesos en Windows a nivel de API con la herramienta oSpy. Al trabajar a nivel de API permite una vista muy profunda de los procesos, sus comportamientos y ver su código. Con esta herramienta podemos monitorizar los accesos a la red de los procesos: puertos que abre, servicios que emplea…
Además podemos simular como afectaría un entorno firewall en un proceso con una función llamada softwalling que permite aplicar reglas firewall al proceso monitorizado.
Esta herramienta simplifica un análisis de conexiones de una aplicación ya que no hay que capturar el tráfico y separarlo, como seria en el caso de usar un sniffer.
Esta técnica se puede utilizar para analizar procesos sospechosos de malware. Pero también para análisis forense de malware, ya que se detectan las acciones del malware en el sistema, las conexiones de red que establece y a que direcciones las establece.
Más información y descarga de oSpy: http://code.google.com/p/ospy/

Fuente: http://vtroger.blogspot.com/2008/08/ingeniera-inversa-de-procesos-que.html

Compartelo:

[?]

Una técnica de análisis en sistemas muertos que se utiliza para saber que elementos contiene la papelera de reciclaje, cuando han sido eliminados y quien los elimino. En primer lugar necesitamos saber donde almacena Windows la papelera de reciclaje:

• Windows 95/98/ME en “C:\Recycled\”
• Windows NT/2000/XP/ en “C:\Recycler\”

Un ejemplo en de la estructura en un Windows XP con dos usuarios:
C:\RECYCLER\S-1-5-21-1417001333-343818398-1801674531-1004
C:\RECYCLER\ S-1-5-21-1417001333-343818398-1801674531-500
Dentro de estas carpetas de los dos usurarios de este sistema se encuentran los archivos borrados de cada uno. Además de estos archivos se encuentra también un archivo llamado INFO2 donde se almacena la información sobre cuando se borro y de donde se borro el archivo. Se puede extraer esta información con un editor hexadecimal, aunque es más fácil utilizar la herramienta rifiuti.
Ejemplo:
Entramos en la carpeta de usuario en la ruta “C:\RECYCLER”.
C:\RECYCLER\S-1-5-21-1417001333-343818398-1801674531-500>
Y ejecutamos rifiuti:
rifiuti INFO2>e:\analisis.txt
Y el resultado se genera en el archivo “analisis.txt” donde aparecerá: la fecha y hora de eliminación, la ruta de donde se eliminaron y el tamaño, de todos los archivos que se enviaron a la papelera de reciclaje.
Rifiuti también esta disponible para Linux.
Más información y descarga de rifiuti:

http://www.foundstone.com/us/resources/proddesc/rifiuti.htm

Fuente: http://vtroger.blogspot.com/2008/07/anlisis-forense-de-elementos-borrados_14.html

Compartelo:

[?]

Con el aumento del delito informático, Recovery Labs, compañía líder en el desarrollo y comercialización de aplicaciones y servicios de recuperación de datos, borrado seguro y peritaje informático, lanza su nueva página Web sobre Delitos Informáticos destinada a ofrecer información práctica para las empresas y usuarios finales.

El continuo avance de las Tecnologías de la información está ocasionando, además de múltiples beneficios para la sociedad, la proliferación de los denominados delitos informáticos. De hecho, y como ya se anunció hace unas semanas, el número de solicitudes de peritaje informático para investigar fugas intencionadas de información, ha aumentado considerablemente con respecto al año pasado. Conscientes de esta realidad, Recovery Labs expertos en peritaje informático, ha creado esta Web para explicar de forma transparente el servicio que ofrece, los tipos de delitos más frecuentes y para ayudar a resolver aquellos litigios relacionados con la confidencialidad, la integridad y la disponibilidad de los sistemas informáticos, redes y datos informáticos.

“El crecimiento e implementación del uso de sistemas informáticos tiene asociado un constante incremento del número de litigios relacionados con delitos informáticos que requieren peritajes informáticos como medio de prueba”, afirma Juan Martos, Responsable del Departamento de Informática Forense de Recovery Labs. Fraude informático, abuso de correo electrónico y de uso de Internet, piratería informática, violación de seguridad en los sistemas de información, competencia desleal o borrado fraudulento de archivos son sólo algunos ejemplos de delitos informáticos.

A través de la nueva web, Recovery Labs propone una serie de consejos de seguridad informática para ayudar a los usuarios a proteger sus equipos y su información. Algunos de ellos son:

• Actualizar regularmente el sistema operativo y el software instalado en el equipo, poniendo especial atención a las actualizaciones del navegador web.
• Instalar un Antivirus, un Firewall o Cortafuegos y un Antispyware y actualizarlos con frecuencia.
• Utilizar siempre contraseñas seguras, es decir, aquellas compuestas por ocho caracteres, como mínimo, y que combinen letras, números y símbolos.
• Navegar por páginas web seguras y de confianza.
• Prestar especial atención en el tratamiento de su correo electrónico, ya que es una de las herramientas más utilizadas para llevar a cabo estafas, introducir virus, etc.

Lamentablemente, en ocasiones las medidas de seguridad no son suficientes, y nos convertimos en víctimas de delitos informáticos. Cuando se producen estos hechos, y es necesario demostrarlos ante un Tribunal de Justicia, se hace imprescindible la actuación y el testimonio de peritos informáticos. Un cuidadoso protocolo de Peritaje Informático garantiza la seguridad, la autenticidad y la cadena de custodia de la prueba, desde su adquisición hasta su presentación ante los tribunales. Más información en www.delitosinformaticos.info

Tags: delitos, informáticos,, peritaje, informático,, computer, forensic,, investigaciones, informaticas, foreses

Tags: delitos, informáticos,, peritaje, informático,, computer, forensic,, investigaciones, informaticas, foreses

Tags: delitos, informáticos,, peritaje, informático,, computer, forensic,, investigaciones, informaticas, foreses

Compartelo:

[?]

Sobre el análisis forense hay mucho material, y muy bueno, pero si hacemos un recuento de los materiales libres o gratuítos, la lista se vuelve más pequeña.

Es por esto que traigo a portada la disponibilidad de un informe especial del National Institute of Justice, un órgano dependiente del Departamento de Justicia norteamericano, ente que, al igual que otras agencias similares, suele publicar periódicamente informes para la consulta de los interesados.

El libro se titula Electronic Crime Scene Investigation: A Guide for First Responders, y su descarga en formato PDF es gratuíta. Consta de los siguientes apartados:

* Introducción
* Tipos de dispositivos electrónicos
* Herramientas y equipo de investigación
* Aseguramiento y evaluación de la escena del crimen
* Descripción de la escena
* Recolección de evidencias
* Empaquetado, transporte y almacenamiento de evidencias digitales
* Delitos tecnológicos y pruebas digitales, en función del tipo de crimen

Una lectura interesante, y no excesivamente profunda. Visto en el blog de Xavi

Fuente: http://www.sahw.com/wp/archivos/2008/06/16/delitos-tecnologicos-la-investigacion-de-escenarios/

Compartelo:

[?]

Informática Forense o Forensic

- ¿Para qué sirve? Para garantizar la efectividad de las políticas de seguridad y la protección tanto de la información como de las tecnologías que facilitan la gestión de esa información.

- ¿En qué consiste? Consiste en la investigación de los sistemas de información con el fin de detectar evidencias de la vulneración de los sistemas.

- ¿Cuál es su finalidad? Cuando una empresa contrata servicios de Informática forense puede perseguir objetivos preventivos, anticipándose al posible problema u objetivos correctivos, para una solución favorable una vez que la vulneración y las infracciones ya se han producido.

- ¿Qué metodologías utiliza la Informática forense? Las distintas metodologías forenses incluyen la recogida segura de datos de diferentes medios digitales y evidencias digitales, sin alterar los datos de origen. Cada fuente de información se cataloga preparándola para su posterior análisis y se documenta cada prueba aportada. Las evidencias digitales recabadas permiten elaborar un dictamen claro, conciso, fundamentado y con justificación de las hipótesis que en él se barajan a partir de las pruebas recogidas.

- ¿Cuál es la forma correcta de proceder? Y, ¿por qué? Todo el procedimiento debe hacerse tenido en cuenta los requerimientos legales para no vulnerar en ningún momento los derechos de terceros que puedan verse afectados. Ello para que, llegado el caso, las evidencias sean aceptadas por los tribunales y puedan constituir un elemento de prueba fundamental, si se plantea un litigio, para alcanzar un resultado favorable.

Objetivos de la Informática forense

En conclusión, estamos hablando de la utilización de la informática forense con una finalidad preventiva, en primer término. Como medida preventiva sirve a las empresas para auditar, mediante la práctica de diversas pruebas técnicas, que los mecanismos de protección instalados y las condiciones de seguridad aplicadas a los sistemas de información son suficientes. Asimismo, permite detectar las vulnerabilidades de seguridad con el fin de corregirlas. Cuestión que pasa por redactar y elaborar las oportunas políticas sobre uso de los sistemas de información facilitados a los empleados para no atentar contra el derecho a la intimidad de esas personas.

Por otro lado, cuando la seguridad de la empresa ya ha sido vulnerada, la informática forense permite recoger rastros probatorios para averiguar, siguiendo las evidencias electrónicas, el origen del ataque (si es una vulneración externa de la seguridad) o las posibles alteraciones, manipulaciones, fugas o destrucciones de datos a nivel interno de la empresa para determinar las actividades realizadas desde uno o varios equipos concretos.

Cuestiones técnicas y legales de la informática forense
Para realizar un adecuado análisis de Informática forense se requiere un equipo multidisciplinar que incluya profesionales expertos en derecho de las TI y expertos técnicos en metodología forense. Esto es así porque se trata de garantizar el cumplimiento tanto de los requerimientos jurídicos como los requerimientos técnicos derivados de la metodología forense.
Fuente: http://www.microsoft.com/spain/empresas/legal/forensic.mspx

Fuente: http://seguinfo.blogspot.com/2008/06/qu-es-la-informtica-forense-o-forensic.html

Compartelo:

[?]

Con la herramienta Evidence Collector se puede hacer una recolección de evidencias forenses en sistema vivo de la plataforma Windows, de una forma muy rápida. Es ideal para un primer análisis general. Esta herramienta esa compuesta por varias aplicaciones de SysInternals y nirsoft utilities entre otras. Y genera varios log clasificados por herramientas y aspectos analizados.

Con esta herramienta podemos extraer las siguientes evidencias:

• Información de sistema: Usuarios, IP y MAC .
• Recursos compartidos y las políticas que se aplicaron a los recursos: Muy práctico para detectar si a través de que recursos compartidos se pudo acceder a la maquina.
• Servicios iniciados y parados: Algunos servicios pueden ser las puertas para conseguir accesos desautorizados.
• Software instalados: Listado del software instalado en la maquina.
• Actualizaciones instaladas: Enumeración de actualizaciones instaladas. El no tener el sistema actualizado es vulnerabilidad potencialmente explotable.
• Enumeración de procesos: Enumera los procesos que se cargan al inicio del sistema.
• Registros de sucesos: Se recogen los registros de aplicación, sistema y seguridad. Los registros del sistema guardan rastros de intrusiones.
• Conexiones TCP/UDP: Muestra las conexiones TCP/UDP, los procesos que tienen puertos abiertos y a que direcciones se conectan. Ideal para detectar aplicaciones de administración remota y troyanos.
• Seguimiento de proceso: Inspecciona la actividad de los procesos: cuando se cargan, si acceden al registro y si modifican archivos. Útil para ver si existen procesos sospechosos.
• Programas que se añaden al inicio: Al reiniciar las computadoras, muchos malware se añaden en el registro para ser recargados otra vez.
• Módulos sospechosos: Explora módulos en busca rootkit.
• Historia USB: Muestra información sobre los dispositivos USB que fueron conectados al sistema.
• Políticas de usuarios: Recoge lo usuarios del sistema y las políticas.

Para utilizar esta herramienta se necesitan permisos de administrador. Os recomiendo que para usar la herramienta copiéis la carpeta del programa en c: para que no tenga problemas a la hora de generar los log, en rutas con nombres largos tiene algunos problemillas.
Más información y descarga de Evidence Collector:
http://www.security-database.com/evidence.php

Fuente: http://vtroger.blogspot.com/2008/06/recoleccin-de-evidencias-forenses.html

Compartelo:

[?]

HFind: Explora el disco buscando archivos ocultos. Encontrará cualquiera archivo oculto incluso los ocultados por el sistema, usando el atributo archivos del sistema. Éste es el método que utiliza Internet Explorer para ocultar datos. HFind también enumera los tiempos de acceso pasados.
Sintaxis:
HFind v3.0 – Copyright(c) 2000, Foundstone, Inc.
Hidden file finder with last access times
Usage – hfind [path] /ns
[dirpath] Directory to search – none equals current
-ns Skip sub-directories
- or / Either switch statement can be used
-? Help

SFind: Explora el disco buscando secuencias de datos ocultas y enumera los tiempos de acceso pasados.
Sintaxis:
SFind v2.0 – Copyright(c) 1998, Foundstone, Inc.
Alternate Data Stream Finder
Usage – sfind [path] /ns
[dirpath] Directory to search – none equals current
-ns Skip sub-directories
- or / Either switch statement can be used
-? Help

FileStat: Muestra todas los permisos de los archivo. Trabaja solamente con un archivo a la vez. También enumera tiempos de acceso pasados clasificado por usuarios.
Sintaxis:
FileStat v2.0 Copyright(c) 1998, Foundstone, Inc.
Dumps NTFS security, file, and stream attributes Command Line Switches
[Filename] Name of file to list
-? Help

DACLchk: Muestra las ACL con la información de accesos pasados, de todos los archivos de un directorio, en orden inverso.
Sintaxis:
DACLchk v2.0 – Copyright(c) 1999, Foundstone, Inc.
NTFS DACL ACE Order Detector
Dumps any ACL that has Denied and Allowed ACE’s in reverse order
Usage – sfind [path] /ns
[dirpath] Directory to search – none equals current
-d Dump all DACL’s – Don’t detect reversed ACE’s
-ns Skip sub-directories
- or / Either switch statement can be used
-? Help

Audited: Esta herramienta combina la información de acceso a ficheros con la información de auditoria de Windows. Solo funciona si se tiene habilitado las políticas de auditoria.
Sintaxis:
Audited v2.0 – Copyright(c) 1998, Foundstone, Inc.
NTFS SACL Reporter – Finds audited files
Usage – audited [path] /ns
[dirpath] Directory to search – none equals current
-d Dump file audit attributes
-r [hivekey] Dump registry audit attributes
-s [subkey] Optional sub-key to search
-v Verbose mode
-ns Skip sub-directories/sub keys
- or / Either switch statement can be used
Reg key constants are – HKLM, HKCR, HKCU, HKU, HKCC
Dumps entire reg if no keyname is specified
-? Help

Hunt: Es una herramienta para mostrar si un sistema revela demasiada información vía NULL sessions.
Sintaxis:
Hunt v2.0 – Copyright(c) 1998, Foundstone, Inc.
SMB share enumerator and admin finder
Usage – hunt \\servername
/? = Help
Estas herramientas solo funcionan si se usan con privilegios de administrador.
Más información y descarga de Forensic ToolKit:
http://www.foundstone.com/us/resources/proddesc/forensictoolkit.h

Fuente: http://vtroger.blogspot.com/2008/05/anlisis-forense-de-accesos-no.html

Compartelo:

[?]

Al igual que Sherlock Homes, los investigadores forenses de la informática descubren, analizan y recopilan evidencias digitales que incriminan a los atacantes virtuales, quienes hace más de dos décadas vienen afectando desde el universo computacional el mundo real.

Muchos pensarán que la informática forense tiene que ver con los programas o aplicaciones que se utilizan en la medicina forense, aquella especialidad que se encarga de la investigación penal en sus aspectos médicos con el fin de resolver problemas civiles, penales o administrativos y para cooperar en la formulación de leyes; pero la realidad es que la informática forense realiza las mismas funciones que esta medicina pero en otros “cadáveres” y en otros delitos, no físicos sino on line.

Con el auge de los computadores y la TI, la seguridad informática se ha visto afectada. Durante la última década los ataques virtuales han crecido inimaginablemente estableciendo un escenario oscuro sobre la seguridad de la infraestructura informática en todo el mundo, lo que ha suscitado una serie de acciones que favorecen y refuerzan la seguridad, sin embargo, los hackers y delincuentes informáticos cada vez encuentran nuevas formas para continuar con su accionar.

En días pasados, en algunos medios latinos, rondaron variadas noticias sobre fraudes electrónicos, espionajes, pornografía infantil, virus y hackeos, entre otras prácticas que debilitan la estructura informática de empresas, gobiernos y personas, por tal motivo los encargados de la seguridad han creado estrategias e implementado soluciones que impidan estas acciones, sin embargo no han sido suficientes.

Fuente: http://seguinfo.blogspot.com/2008/03/computacin-forense-anlisis-de-cadveres.html

Compartelo:

[?]

Su filosofía de funcionamiento se basa en la buena práctica forense partiendo de dos tipos de análisis:

• Un análisis de sistema muerto, en este caso se utiliza la herramienta desde otro sistema operativo y con el sistema a investigar en su soporte sin cargar. En este caso, los datos que se obtienen corresponden a la integridad de archivos, estructura de ficheros, logs del sistema y datos borrados.
• Un análisis de sistema vivo ocurre cuando se está analizando el sistema sospechoso mientras está funcionando. Este análisis se utiliza mientras que se está produciendo el incidente y se analiza básicamente: procesos, memoria, ficheros… Después de que se confirme la amenaza, el sistema puede ser adquirido en una imagen para conservarlo sin corrupciones posteriores y así realizar análisis de sistema muerto.

Esta aplicación posee las siguientes técnicas de búsqueda de evidencias:

Listado del archivo: Analiza los archivos y los directorios, incluyendo los nombres de archivos suprimidos.

El contenido de archivos: Se puede ver en formato raw, hex o ASCII. Cuando se interpretan los datos, la autopsia los esteriliza para prevenir corrupción por parte del análisis del sistema local.

Bases de datos de Hash: Los archivos son reconocidos como buenos o perjudiciales para el sistema basándose en la biblioteca de referencia del software NIST (NSRL) y las bases de datos creadas por el usuario.

Clasificación de tipos de archivo por extensiones: Clasifica los archivos basándose en sus firmas internas para identificar extensiones conocidas. La autopsia puede también extraer solamente imágenes gráficas y comparar el tipo de archivo para identificar posibles cambios en la extensión para ocultarlos.
Línea de tiempo de la actividad del archivo: En algunos casos, tener una línea de tiempo de la actividad del archivo puede ayudar a identificar áreas de un sistema de ficheros que puedan contener evidencias. La autopsia puede crear la línea de tiempo que contienen los registros de: modificación, acceso, y cambios de fechas en los archivos.

Búsqueda de palabra clave: Las búsquedas de palabra clave de la imagen del sistema de ficheros se pueden realizar usando secuencias del ASCII y expresiones regulares. Las búsquedas se pueden realizar en la imagen completa del sistema de ficheros.

Análisis de los meta datos: Las estructuras de los meta datos contienen los detalles sobre archivos y directorios. La autopsia permite una visión los detalles de cualquier estructura de los meta datos en el sistema de ficheros. Esto es útil para recuperar el contenido eliminado. La autopsia buscará los directorios para identificar la trayectoria de los archivo.

Detalles de la imagen: Se pueden ver los detalles del sistema de ficheros, incluyendo la disposición en disco y épocas de actividad. Este modo proporciona información útil durante la recuperación de datos.
En los que se refiere a la gestión de diferentes casos y la elaboración de informes esta suite posee módulos como:
Gerencia del Caso: Las investigaciones son organizadas por casos, que pueden contener uno o más anfitriones. Cada anfitrión se configura para tener su propia posición, ajuste de reloj y de zona horaria de modo que los tiempos examinados sean iguales a los del usuario original. Cada anfitrión puede contener unas o más imágenes del sistema de ficheros para analizar.

Secuenciador de acontecimientos: Los acontecimientos se pueden agregar de los log de un IDS o de un cortafuegos. La autopsia clasifica los acontecimientos para poder determinar más fácilmente la secuencia de los acontecimientos del incidente.

Notas: Las notas se pueden clasificar en una base de datos organizados por anfitrión y investigador. Esto permite hacer notas rápidas sobre archivos y estructuras.

Integridad de imagen: Es crucial asegurarse de que los archivos no están modificados durante análisis. La autopsia, por defecto, generará un valor MD5 para todos los archivos. Se puede validar en cualquier momento, la integridad de cualquier archivo que la autopsia utiliza.

Informes: La autopsia puede crear los informes para los archivos y otras estructuras del sistema de ficheros.

Registros: Los registros de la intervención se crean en un caso, un anfitrión, y un nivel del investigador para poder recordar fácilmente las acciones y los comandos ejecutados.

Entre las características de este kit hay que destacar que esta basado en una aplicación cliente-servidor en HTML por lo tanto no hay trabajar en el mismo sistema que las imágenes del sistema de ficheros. Esto permite que múltiples investigadores utilicen el mismo servidor y conecten sus sistemas personales.

Más información y descarga de Autopsy Forensic Browser:

http://www.sleuthkit.org/autopsy/desc.php

Herramientas forenses del sistema de ficheros
http://vtroger.blogspot.com/2006/08/herramientas-forenses-del-sistema-de.html

Fuente: http://vtroger.blogspot.com/2008/01/suite-completa-para-informtica-forense.html

Compartelo:

[?]