LABORATÓRIO DE PERÍCIA DIGITAL

Transcrição

1 PÓS-GRADUAÇÃO LATO SENSU EM PERÍCIA DIGITAL LABORATÓRIO DE PERÍCIA DIGITAL PROFESSOR: DIEGO AJUKAS

2 ANÁLISE DE DISPOSITIVOS MÓVEIS ANÁLISE DE MEMÓRIA E DE MALWARE Extração de Memória no Android Análise de Malware em Android Malware em ios?

3 EXTRAÇÃO DE MEMÓRIA NO ANDROID Etapas: Preparação do ambiente Criação do Dispositivo Virtual de Android (Opicional) Baixar Código Fonte do Android Compilação Cruzada Carregar o LiME LKM no Android e fazer o dump de Memória Criar um profile pro volatility

4 PREPARAÇÃO DO AMBIENTE Download do Android SDK e NDK: Android SDK: Android NDK: E descompactar: ~/android-sdk ~/android-ndk Inicializar o ambiente de build (Opcional): Download do código fonte: Criar o sistema (Opcional):

5 CRIAÇÃO DO DISPOSITIVO VIRTUAL DE ANDROID (OPICIONAL)

6 BAIXAR CÓDIGO FONTE DO ANDROID Pode se baixar o código fonte do fabricante específico (modelo específico) ou baixar o código específico para o emulador de Android se for realizar apenas testes (Conhecido como Goldfish): $ git clone ~/android-source Cloning into '/Users/Michael/android-source'... remote: Total (delta ), reused (delta ) Receiving objects: 100% ( / ), MiB 395 KiB/s, done. Resolving deltas: 100% ( / ), done. $ cd ~/android-source/ $ git branch -a * master remotes/origin/head -> origin/master remotes/origin/android-goldfish remotes/origin/android-goldfish-3.4 remotes/origin/linux-goldfish-3.0-wip remotes/origin/master $ git checkout -t remotes/origin/android-goldfish b goldfish Checking out files: 100% (26821/26821), done. Branch goldfish set up to track remote branch android-goldfish from origin. Switched to a new branch 'goldfish

7 COMPILAÇÃO CRUZADA Etapas: Crosscompile do kernel; e Download e crosscompile do LiME; Alterar o Makefile adicionando as linhas: KDIR_GOLDFISH := ~/android-source CCPATH := ~/android-ndk/toolchains/arm-linux-androideabi-4.7/prebuilt/darwin-x86/bin E substituir as linhas: $(MAKE) -C /lib/modules/$(kver)/build M=$(PWD) modules strip --strip-unneeded lime.ko mv lime.ko lime-$(kver).ko Pelas linhas: $(MAKE) ARCH=arm CROSS_COMPILE=$(CCPATH)/arm-linux-androideabi- -C $(KDIR_GOLDFISH) EXTRA_CFLAGS=-fno-pic M=$(PWD) modules mv lime.ko lime-goldfish.ko

8 CARREGAR O LIME LKM NO ANDROID E FAZER O DUMP DE MEMÓRIA Basta usar o adb: $ cd ~/android-sdk/sdk/platform-tools/ $./adb push ~/lime-forensics/src/lime-goldfish.ko /sdcard/lime.ko Para o dump podemos fazer via sdcard ou remoto: $ adb shell root@android:/ # insmod /sdcard/lime.ko "path=/sdcard/lime.dump format=lime" root@android:/ # ls -al /sdcard/lime.dump ----rwxr-x system Ou sdcard_rw :48 lime.dump $ adb forward tcp:4444 tcp:4444 $ adb shell root@android:/ # insmod /sdcard/lime.ko path=tcp:4444 format=lime E no computador: $ nc localhost 4444 > lime.dump

9 CRIAR UM PROFILE PRO VOLATILITY Crosscompile do volatility: Alterar o Makefile: $ svn checkout ~/android-volatility $ cd ~/android-volatility/tools/linux obj-m += module.o KDIR := ~/android-source CCPATH := ~/android-ndk/toolchains/arm-linux-androideabi- 4.7/prebuilt/darwin-x86/bin DWARFDUMP := /usr/bin/dwarfdump -include version.mk all: dwarf dwarf: module.c $(MAKE) ARCH=arm CROSS_COMPILE=$(CCPATH)/arm-linuxandroideabi- -C $(KDIR) CONFIG_DEBUG_INFO=y M=$(PWD) modules $(DWARFDUMP) -di module.ko > module.dwarf

10 CRIAR UM PROFILE PRO VOLATILITY Criar vtypes: $ make $ head module.dwarf.debug_info <0><0x0+0xb><DW_TAG_compile_unit> DW_AT_producer<GNU C 4.7> DW_AT_language<DW_LANG_C89> DW_AT_name<~/volatility_android/tools/linux/module.c> DW_AT_comp_dir<~/android-source> DW_AT_stmt_list<0x > <1><0x1d><DW_TAG_base_type> DW_AT_byte_size<0x > DW_AT_encoding<DW_ATE_unsigned> DW_AT_name<long unsigned int> <1><0x24><DW_TAG_pointer_type> DW_AT_byte_size<0x > DW_AT_type<<0x a>> Fazer o Profile: $ zip ~/android-volatility/volatility/plugins/overlays/linux/golfish zip module.dwarf ~/android-source/system.map adding: module.dwarf (deflated 90%) adding: Users/Michael/android-source/System.map (deflated 73%)

11 EXAMINAR A MEMÓRIA Processos em execução; Acesso a dados protegidos (lockscreen) /system/gesture.key Dados que não vão ao disco: /app-cache/com.android.browser/cache/webviewcache Etc.

12 ANÁLISE DE MALWARE EM ANDROID Ferramentas Engenharia reversa Exemplos

13 FERRAMENTAS ONLINE Sites de antivírus de desktop virustotal.com metascan-online.com Sites específicos: OFFLINE Androtools

14 ENGENHARIA REVERSA apk = zip + xmls AndroidManifest.xml Permissões e outras informações relevantes Usar outras ferramentas de engenharia reversa similares ao Java: Decompilação

15 EXEMPLOS FakeBank.apk ZITMo.apk

16 MALWARE EM IOS? Jailbreak Vulnerabilidades Outros ataques

17 JAILBREAK Processo de jailbreak elimina uma série de restrições em equipamentos com ios, permitindo modificar algumas configurações e instalar aplicações fora da App Store. Libera funções desconhecida para muitos usuários que podem ser exploradas por atacantes/malwares: Ex: ssh

18 VULNERABILIDADES Distribuição de vulnerabilidades identificadas nos SO em 2014 Sistema Operacional # total de vulnerabilidades # de vulnerabilidades altas # de vulnerabilidades médias # de vulnerabilidades baixas Apple Mac OS X Apple ios Linux Kernel Windows Android Fonte:

19 VULNERABILIDADES Distribuição por Sistema Operacional (Desktop) Mac OS X 7,72% Linux 1,74% Outros 0,31% Windows 90,23% Windows Mac OS X Linux Outros Fonte:

20 VULNERABILIDADES Fonte:

21 VULNERABILIDADES Comparação: Os.html?vendor_id=49 Windows-7.html?vendor_id=26 VS Mesmo vale para Android:

22 MALWARE EM IOS? XcodeGhost (set/15) Plataforma de desenvolvimento Xcode modificada para injetar código malicioso nos aplicativos de ios no momento da compilação.

23 PÓS-GRADUAÇÃO LATO SENSU EM PERÍCIA DIGITAL LABORATÓRIO DE PERÍCIA DIGITAL PROFESSOR: DIEGO AJUKAS