PERICIA LEGAL EM AMBIENTES DIGITAIS

Transcrição

1 PERICIA LEGAL EM AMBIENTES DIGITAIS Ivandeclei Mendes da Costa¹ Maria Renata silva furtado² Rodrigo Vitorino Moravia³ Resumo Com o advento da tecnologia novas profissões passaram a existir assim também como novos crimes e neste artigo mostraremos o que é a computação forense e quais as habilidades necessárias para realizar uma pericia forense e atuar nesta área e quão amplo é a mesma em uma investigação criminal ou outro tipo de investigação, mostra uma breve descrição de algumas ferramentas utilizadas e quais são os critérios necessários para se realizar uma boa pericia e extrair ao máximo possível as evidencias nos equipamentos apreendidos, embora são os muitos desafios existentes o perito forense deve se atualizar cada dia afim de extrair ao máximo as evidencias dos dispositivos analisados. Palavras chave Pericia, forense, Perito, Computação forense, Computação. 1.Introdução A definição para crimes digitais tem muitos conceitos distintos e muitos dos usuários de computadores desconhecem que as vezes cometem crimes graves sujeitos a penalidades.( TAVARES PERICIAS 2013) Para muitos, crimes digitais refere-se apenas propagação de conteúdo como pedofilia, roubo de senhas, roubo de bancos utilizando computadores entre outros tipos de crimes, mas desconhecem que atos simples como propagar informações preconceituosas, spam entre outras constituem crimes digitais.( TAVARES PERICIAS,2013). De acordo com o site da SAFERNET 2013 crime digital se caracteriza da seguinte forma: Práticas criminosas utilizando meios eletrônicos como a Internet. Uso das novas tecnologias para ações ilícitas como roubo, chantagem, difamação, calúnia e violações aos Direitos Humanos fundamentais. O ciberespaço também é um espaço público que reflete a diversidade

2 e complexidade da sociedade, tanto nas qualidades quanto na possibilidade de atos ilegais.( SAFERNET 2013 ) Nos meios digitais ainda se há liberdade no uso das informações e não há ainda órgãos que controlem o acesso a informação na rede mundial ( internet ), pode se caracterizar crime digital de duas formas, sendo elas o uso do meio digital para praticas de crimes comuns no âmbito físico como propagação de mensagens falsas, calunia e difamação, a segunda forma caracteriza-se no uso do meio digital para se realizar crimes no próprio meio digital como invasão, plagio, uso e propagação de materiais de direitos autorais, roubo de senhas entre outros crimes, tais crimes realizados no meio digital podem trazer danos desastrosos as vitimas.(drjonatas 2013, TAVARES PERICIAS 2013) Mas na atualidade a internet e os meios digitais não são mais terra sem lei, hoje há leis especificas relacionadas a crimes cometidos no meio digital, a lei mais conhecida como Carolina Dieckmann, a mesma tipifica como crime as invasões de sistemas de informação, computadores ou Smartphones, indisponibilidade de informações, acessos remoto indevidos, controle de computadores tornando os mesmos dispositivos computacionais zumbis que são usados para tentar esconder rastros do verdadeiro criminoso, envio de vírus entre outros.( GAZETA DO POVO 2013 ) A legislação aborda diversos assuntos, más para se caracterizar crime de acordo com a nova lei, o mesmo deve se enquadrar no seguinte aspecto : invasão com rompimento de sistema de segurança + obtenção, exclusão ou modificação de dados sem a devida autorização = crime 154-A do Código Penal. Mas a mesma lei como outras ainda há lacunas, pois para muitos advogados, segundo Eduardo da Silva. Só é constituído crime caso haja violação a algum tipo de sistema de segurança logo se não houver nenhum dispositivo ou software que garanta a segurança poderia não ser caracterizado crime ( INFO ABRIL 2013 ) Como todo o tipo de crime,para ser comprovado deve-se ter a evidencia para que comprove o crime e descubra quem foi o autor do mesmo. s.f. Caráter do que é evidente, manifesto: a evidência de uma prova. // Evidência de fato, a que se obtém por meio da observação. // Recusar-se à evidência, não querer convencer-se. // Estar em

3 evidência, em destaque, em bom conceito ou situação.( DICIONARIO DO AURELIO ) Qualquer dado em meio digital que possa colaborar no sentido de provar que uma fraude ou irregularidade foi cometida e que possa estabelecer vinculo de relação entre fraude ou irregularidade e a vitima e entre a vitima e o agente 2.Computação forense. Com o advento da tecnologia novas profissões passaram a existir assim também como novos crimes, e neste artigo mostraremos o que é a computação forense e quais as habilidades necessárias para realizar uma pericia forense e atuar nesta área, e quão amplo é a mesma em uma investigação criminal ou outro tipo de investigação, mostrar uma breve descrição de algumas ferramentas utilizadas e quais são os critérios necessários para se realizar uma boa pericia e extrair ao máximo possível as evidencias nos equipamentos apreendidos, embora são os muitos desafios existentes o perito forense deve se atualizar cada dia afim de extrair ao máximo as evidencias dos dispositivos analisados. Computação forense é o estudo da extração e analise e documentação de evidencias de um sistema de computador ou rede incluindo outros dispositivos como telefones celulares, roteadores etc.( REGISTRO BR 2013 ) Geralmente usada por policiais para algum julgamento criminal ou outras áreas como funcionários públicos, empresas, profissionais de negócios de diversos tipos, os mesmos podem precisar de um especialista em técnicas de computação forense. Embora fundada a pouco tempo na década de 80 pouco tempo depois que os computadores se tornaram uma opção viável aos consumidores. Em 1984 foi criado um programa do FBI, conhecido como programa de Mídia Magnética e agora sendo chamado de Análise de Computador e Equipe de Resposta(CART), pouco tempo depois um homem reconhecido como o pai da computação forense começou a trabalhar no IRS (Serviço de Receita do Governo Federal dos Estados Unidos). Alguns programas iniciados nesta década foram IACIS(Associação Internacional de Especialistas em Computação de Investigação) fruto de uma reunião realizada em 1988 em Oregom, e as primeiras aulas ministradas foram para treinar SCERS (Especialistas em Recuperação de Provas de Computadores Apreendidos). Já na

4 década de 90 após ser reconhecido que as autoridades policiais precisavam ser treinadas para adquirir evidencias de computadores tal fato foi evidenciado em um comunicado do G-8 na mesma década. Em 1998 a Interpol realizou um simpósio sobre computação forense e em 1999 o programa CART do FBI investigou 2000 casos individuais. O numero de casos analisados em 1999 continuou crescendo e foram analisados 17 Terabytes já em 2003, o grupo examinou 782 Terabytes de dados em apenas um ano. ( EHOW 2013 ) No Brasil o perito forense é necessário realizar concurso publico sendo o requisito diploma de curso superior, pois para fazer uma analise forense é necessário seguir o Decreto-Lei nº 3.689, de 3 de outubro 1941 que em seu artigo 159 prevê que O exame de corpo de delito e outras perícias serão realizados por perito oficial, portador de diploma de curso superior. (Redação dada pela Lei nº , de 2008). perito é uma pessoa sábia erudita, é sabedor ou especialista em determinado assunto; experto. E em termos jurídico é aquele nomeado judicialmente para exame ou vistoria. (PROFISSIONAIS TI) No âmbito de pericia forense a mesma não existia no ambiente computacional mais profundo, más existia apenas o perito de informática, más com o advento da tecnologia e a mesma sempre em crescimento foi necessário um profissional mais qualificado para as novas tendências de crimes, devido os mesmos passarem a ser realizados no âmbito tecnológico direto ou indireto, por isso a necessidade de um profissional qualificado para uma analise mais profunda. (PROFISSIONAIS TI 2013) O perito que realiza a coleta e analise dos dados deve assegurar que as evidencias estejam no computador ou meio digital periciado sem sofrer nenhuma alteração, quando se trata de informações digitais mantê-la integra é complicado devido ser muito volátil e um simples ato de ligar ou desligar um dispositivo periciado pode destruir ou comprometer a evidencia. (ELEUTERIO 2013 ) Portanto é importante que o perito digital siga alguns procedimentos para realizar a pericia, para garantir que a evidencia coletada, preservada e analisada esteja livre de contaminações ou perda de informações, além do mais o perito deve

5 usar métodos científicos para realização da pericia e alguns passos são importantes como: coleta, manipulação e preservação, extração, analise e formulação do laudo. A realização de coleta de uma evidencia é uma parte importantíssima na pericia forense pois a forma que for realizado coleta pode invalidar legalmente a evidencia, por isso deve-se estar ciente de como será feito a coleta das informações e evidencias, por isso é necessário tomar alguns cuidados como saber o que será encontrado e como possivelmente será a cena de analise para que se leve as ferramentas necessárias para se realizar a coleta, deve-se ter foco no expediente legal que dará o norteamento para a coleta para que a mesma tenha valor legal e esteja dentro do foco estabelecido, seja por ordem judicial, guia pericial, ou qualquer outro expediente qualquer emitido pela autoridade que solicitou a pericia, pois assim terá valor a evidencia coletada. Em situações que não se tem um norteamento na hora de realizar a coleta pode se coletar acidentalmente evidencias que não terão valor para o solicitante, em situações em que não se é possível remover as evidencia de seu local de origem deve-se realizar copia ou imagem das mesmas. Deve-se preservar a evidencia na hora da coleta, deve-se manter afastados do local da coleta, suspeitos, curiosos, testemunhas ou transeuntes, após averiguar e certificar que nenhum deles estão de posse de alguma evidencia de interesse do local de origem. (ELEUTERIO 2013 ) O local de crime deve ser inspecionado com cuidado e critério em busca de evidencias em potencial e de valor legal, no mesmo local o perito forense pode utilizar algumas ferramentas como sistemas operacionais forenses que permitem acessar o conteúdo dos HDs apenas como leitura para não alterar uma possível evidencia, também utilizar hardwares forense que são dispositivos criados especificamente para realização de copias de mídias, sempre garantindo que o conteúdo original não seja alterado. Se o perito não estiver preparado com estas ferramentas poderá apenas realizar a coleta das evidencias dos locais de origem, estas apreensões somente devem ser feitas se caso o equipamento tiver relevância para o caso. (ELEUTERIO 2013 ) No que diz respeito a manipulação e preservação da evidencia é importante ter em mente que o manuseio incorreto da evidencia pode inviabilizar e anular por completo a evidencia, o manuseio só pode ser

6 realizado por pessoas devidamente capacitadas para tal tarefa. A manipulação e a preservação consiste em deixar inalterável os dados da mídia coletada, pois se houver alguma alteração a evidencia perderá a validade, logo deve-se ter cuidado pois o simples ato de ligar ou desligar uma maquina pode comprometer a evidencia, devido isto é importante ter alguns cuidados nesta fase, pois se o computador estiver desligado não o ligue pois ao ligar o computador ou dispositivo é caracterizado como violação da cena do crime, podendo colocar a evidencia encontrada sem valor legal, por estes fatores é importante documentar as condições das possíveis evidencias da cena, através de fotos de itens que serão apreendidos do local de origem e esboços sobre as conexões existentes com outros dispositivos em torno da evidencia coletada, se toda via a evidencia apresentar danos devem ser os mesmos documentados. Os dispositivos com memória volátil devem ser tratados de forma adequada para que não se perca os dados ali existentes ao se desligar o equipamento de sua fonte de energia, os mesmos devem ser desligados com os comandos do próprio sistema operacional após a captura dos dados contidos na memória. Já os cabos de forca das estações e servidores ou de qualquer outro equipamento devem ser removidos e colocando lacres nos conectores dos equipamentos impossibilitando o uso dos mesmos sem autorização e para preservar a evidencia para que a mesma não seja perdida ou alterada ao se ligar os equipamentos, estas devem ser lacradas e armazenadas em embalagens adequadas para que ao se transportar a evidencia não cause danos, seja por vibrações ou campos eletromagnéticos, eletricidade estática e variações de temperatura e umidade. (ELEUTERIO 2013 ) A informações devem ser coletadas de acordo com o seu tempo de vida pois a medida que o tempo passa devido sua volatilidade pode se perder a chance de obtenção da evidencia. ( REGISTRO BR 2013 )

7 Imagem 1( REGISTRO BR 2013 ) referente a volatilidade de cada evidencia levando em consideração tempo de vida e a volatilidade das informações. Registradores e cache. Contém pouca informação aproveitável. ( REGISTRO BR 2013 ) Memória de periféricos. Podem possuir informações não disponíveis na memória principal como documentos enviados via fax, imagens exibidas no monitor, etc. ( REGISTRO BR 2013 ) Memória RAM. Contém informações sobre o sistema operacional e os processos em execução podem conter senhas e informações em texto que estão cifradas no disco. ( REGISTRO BR 2013 ) Discos Rígidos e mídias secundárias. Contém a maior parte das informações usadas para extração de evidências nas mídias de DVDs e CDs RW, deve se dar atenção especial a estes pois podem conter dados e se manuseados sem o devido cuidado pode gerar perda dos mesmos. Já nas mídias de armazenamentos portáteis como cartões de memória, Pendrivers deve-se ter muito cuidado pois o simples fato de conectá-los em uma porta USB em um computador que utiliza o sistema operacional Windows pode resultar em gravação de algum dado no dispositivo causando assim uma alteração do mesmo e devido esta ação invalidando a evidencia. (ELEUTERIO 2013 ) Pelo fato de ser muito frágil as mídias de armazenamento, a análise deve ser feita em copias fiéis dos dispositivos apreendidos e para isso pode se usar as seguintes técnicas como espelhamento ou imagem das mídias, é recomendado que nesta fase o perito utilize técnicas para registrar a evidencia, pois como em uma analise convencional o perito tira fotos de evidencias como: pegadas, sangue,fios de

8 cabelo etc. O mesmo deve ser feito nos equipamentos digitais, más para isso devese utilizar cálculos de HASH de partes ou da mídia por completo para comprovar que a mesma não sofreu alteração. (ELEUTERIO 2013 ) Espelhamento: Consiste em uma copia exata e fiel dos dados contidos em um dispositivo de armazenamento, o disco de destino deve ter a capacidade igual ou superior ao disco de origem e verificar se o disco de destino tem o tamanho real ou nominal igual. Caso o disco de destino seja maior deve-se certificar que o espaço livre esteja completamente limpo para não confundir os dados que existem na parte que ficou livre com evidencia. Nos casos de espelhamento deve-se certificar que o disco de destino não contem nenhum setor defeituoso pois o dado do setor correspondente não será copiado. (ELEUTERIO 2013 ) Imagem: Imagem é semelhante ao espelhamento más a diferença é que não é copiado (bit-a-bit ) e sim copiado os dados de um para o outro, há algumas vantagens nesta opção como: O dispositivo de destino pode receber varias imagens de diversos dispositivos, pode se compactar a copia para se economizar espaço, mas se caso esta for a opção escolhida deve se tomar outras precauções na preservação da evidencia, nesta ação também há uma certa facilidade na replicação dos dados e mesmos que o disco de destino contenha setores defeituosos os dados serão gravados em locais em bom estado. (ELEUTERIO 2013 ) Os equipamentos para realizar estas ações foram criados para acesso e copias de leitura. Os bloqueadores de discos rígido são dispositivos mais comuns e simples de serem utilizados e garantem que nenhum dado seja escrito no disco questionado e esta garantia se dá via hardware e não via software alguns dos equipamentos utilizados nesta fase são: Espion Forensics Faz Block 3FE Logicube Forensics Talon Logicube Forensics Quest Estes garantem velocidade em copias, suporte a múltiplas intervenções, e não precisa de PC dedicado. Mesmo sem equipamentos o perito pode utilizar outras formas de preservação da evidencia e acessar o disco rígido utilizando o sistema

9 operacional Windows XP utilizando uma porta USB, embora este sistema operacional não ser um bloqueador pode-se acessar uma mídia somente como leitura, para isso basta alterar no registro a seguinte informação. (ELEUTERIO 2013 ) HKEY_LOCAL_MACHINE\SYSTEM\currentControlSet\Control\StorageDevice \policies] writeprotect =dwerd: Assim as USBs disponíveis no sistema serão tratadas somente como leitura e para desfazer a alteração e voltar ao normal basta alterar o registro novamente. HKEY_LOCAL_MACHINE\SYSTEM\currentControlSet\Control\StorageDevice \policies] writeprotect =dwerd: Pode se utilizar esta técnica durante a replicação de Pendrivers e cartões de memória. (ELEUTERIO 2013 ) Na fase de extração a mesma consiste basicamente na recuperação das copias realizadas das mídias originais coletadas da cena do crime. Esta extração é a recuperação de dados apagados e a indexação dos mesmos. (ELEUTERIO 2013 ) Os dispositivos de armazenamento podem conter mais informações do que estão visíveis a usuários comuns, pois ao apagar um arquivo o sistema operacional não sobrescreve todo o arquivo no disco, apenas tem um controle das partes que estão livres e quais estão ocupados, por isso os dados podem ser recuperados a qualquer momento mas também corre-se o risco de ser sobrescrito a qualquer instante. (ELEUTERIO 2013 ) A recuperação se da com base na procura de cabeçalhos conhecidos em toda a área livre do disco, quando um cabeçalho é encontrado realiza-se uma busca pelo conteúdo do arquivo e algumas ferramenta utilizadas nesta fase são: Ontrack Easy recovery winhex, FTK (forensic toolkit), Encase. (ELEUTERIO 2013 ) A fase de analise consiste em examinar as informações extraídas na fase anterior, as mesmas são examinadas afim de encontrar evidencias digitais presentes no material examinado, más realizar uma análise arquivo por arquivo tanto os recuperados quanto os visíveis pode levar muito tempo, pois em um disco pode conter milhões de arquivos, devido isto utiliza-se algumas ferramentas como:

10 Know File Filter que é uma lista com resumos unidirecionais (hash) de arquivos conhecidos e que pode ser utilizado para filtrar os arquivos que não servirão para o escopo da analise. Pesquisa por palavras chave: Que é onde será percorrido todo o disco e apresentará somente o que for relevante a busca realizada de acordo com a palavra e isto pode ser muito eficaz na hora de produzir o laudo pericial. Visualização adequada de arquivos: que é a situação onde o perito deverá contar com ferramentas que interprete os dados recuperados para analisar. Virtualização: Nos casos de analise de discos que contenha sistemas operacionais, os mesmos poderão conter varias informações dando Boot pelo próprio sistema instalado, ao se emular um computador em um ambiente virtualizado será mais fácil a analise de certas informações, que caso contrario seria muito difícil para o perito conseguir com apenas copias dos dados instalado na mídia de armazenamento. (ELEUTERIO 2013 ) Laudo pericial é a fase final em que o perito forense descreve tudo que foi feito colocando tudo que foi achado e analisado nas evidencias ou o que não foi encontrado nas mesmas, deve ser escrito de forma que qualquer pessoa que ler o laudo possa entender o conteúdo nele contido, muito das vezes as evidencias digitais encontradas são copiadas e apresentadas por meio de conteúdo digital em forma de anexo, o laudo é um documento técnico - cientifico que tem como objetivo a clareza dos métodos e exames realizados pelo perito e esta clareza é para segurança e transparência no processo por isso o laudo deve conter alguns critérios como identificação, histórico, materiais analisados, objetivos, considerações técnicas, exames, respostas aos quesitos. (ELEUTERIO 2013, SLIDE SHARE 2013) Identificação do laudo detalhando os envolvidos no exame incluindo as autoridades solicitante e os peritos, numero do processo ou inquérito e outras informações necessárias para a correta identificação do laudo no processo vinculado. (ELEUTERIO 2013 ) O histórico que geralmente é opcional pode conter descrições de eventos passados relacionados com o material examinado e questionado. (ELEUTERIO 2013 )

11 Na seção material é onde se detalha todos os materiais analisados, o detalhamento deve ser minucioso pois o material questionado nunca pode ser confundido com outro, por isso deve ser descrito todo detalhamento como fabricante, tamanho quando se tratar de HD, modelo, serie, etc.(eleuterio 2013 ) O objetivo deve ser breve destacando os pontos principais do exame realizado seguindo características de um documento técnico - cientifico. (ELEUTERIO 2013 ) As considerações técnicas do laudo pode ser utilizada para descrever os procedimentos e conceitos técnicos necessários para o entendimento do mesmo. (ELEUTERIO 2013 ) A seção de exames é a principal do laudo onde se descreve todos os procedimentos, técnicas e métodos realizados pelo perito para a localização e analise da evidencia. O perito pode descrever cada passo como técnicas de preservação, extração e recuperação de informações contidas nos materiais analisados, nesta seção pode ser utilizado termos técnicos más lembrando que o laudo deve ser de fácil entendimento e transparente para que qualquer pessoa possa entender, neste passo as descrições devem ser de cada ação que foi realizada para responder os quesitos solicitados. (ELEUTERIO 2013 ) Após a seção de exames, as repostas aos quesitos é uma das mais importantes devido ser a mais lida pois mostra as conclusões das atividades realizadas pelo perito, as informações devem ser o mais claro e objetivo, além ser entendido por qualquer pessoa sendo ou não formada na área. Nesta seção é necessário conter o numero de paginas do laudo e a assinatura e identificação dos peritos que fizeram a analise. (ELEUTERIO 2013 ) 3. Conclusão Concluímos que a computação forense é uma área em grande expansão pois a medida que a tecnologia avança esta área precisa de maior busca de conhecimento para extração e analise das informações contidas em algum material questionado e surge com este avanço novos desafios a serem superados pelo perito forense, nesta especialidade o perito forense deve estar bem capacitado e atualizado com as novas tendências e ferramentas existentes para fazer uma correta

12 analise de cada evidencia e de cada caso, o profissional deve conseguir ver o que esta além do que é aparente más que possivelmente está por trás do que é visível para usuários comuns. Esta profissão é de grande importância para os casos da atualidade pois muito dos crimes cometidos são realizados utilizando direta ou indiretamente um meio computacional e todo o crime deixa alguma evidencia que pode ser utilizada em algum momento como prova de um crime, por isso o profissional torna-se importante na busca destas evidencias que confirme a participação ou não em um crime cometido no meio digital ou real. Como a computação forense é um campo em constante expansão e muitos desafios como trabalhos futuros pretendemos fazer uma analise do uso de ferramentas e softwares livres para recuperação de informações para serem usadas como evidencias, além de realizar testes e acompanhar a vida de um perito forense desde o inicio de um caso ate sua conclusão, buscando entender a complexidades e importância de seu trabalho, e ainda mais desenvolver técnicas para extração de informação sem uso de ferramentas de terceiros utilizando apenas habilidades de observação e buscas utilizando apenas o sistema operacional, isto devido muito das vezes pode ser necessário para que o perito não perca uma evidencia importante por falta de ferramenta especifica.

13 Referencias Bibliográficas EHOW. Disponível em: Acessado em 21 de junho de 2013 ELEUTERIO,Pedro Monteiro da Silva;MACHADO, Marcio Pereira. Desvendando a computação forense São Paulo: Novatec Editor, Jan/2011 (ISBN: ). DICIONARIO DO AURELIO. Disponível em Acessado em 21 de junho de 2013 DRJONATAS. Disponível em: Acessado em 21 de junho de 2013 GAZETA DO POVO. Disponível em: Acessado em 21 de junho de 2013 INFO ABRIL. Disponível em : Acessado em : 21 de junho de PROFISSIONAIS TI. Disponível em : Acessado em 21 de junho de 2013 REGISTRO BR. Disponível em : ftp://ftp.registro.br/pub/gts/gts0205/05-tech-toolsforensics.pdf. Acessado em 21 de junho de 2013

14 SAFERNET. Disponível em : Acessado em 21 de junho de 2013 SLIDE SHARE. Disponível em : Acessado em 21 de junho de 2013 TAVARES PERICIAS. Disponível em : Itemid=75. Acessado em 21 de junho de 2013