Pró-Reitoria Acadêmica Escola Politécnica Lato Sensu em Perícia Digital Trabalho de Conclusão de Curso

Transcrição

1 Pró-Reitoria Acadêmica Escola Politécnica Lato Sensu em Perícia Digital Trabalho de Conclusão de Curso ANÁLISE DA MEMÓRIA DE ACESSO RANDÔMICO: ARQUIVOS MAPEADOS PELO VERACRYPT Autor: Anderson Luís Moreira Orientador: Prof. João Eriberto Mota Filho Brasília DF 2015

2 ANDERSON LUÍS MOREIRA ANÁLISE DA MEMÓRIA DE ACESSO RANDÔMICO: ARQUIVOS MAPEADOS PELO VERACRYPT Artigo apresentado ao curso de pós-graduação em Perícia Digital da Universidade Católica de Brasília, como requisito parcial para obtenção do Título de Especialista em Perícia Digital. Orientador: Prof. João Eriberto Mota Filho Examinador: Prof. Msc. Paulo Roberto Corrêa Leão Brasília

3 2015 Artigo de autoria de Anderson Luís Moreira, intitulado ANÁLISE DA MEMÓRIA DE ACESSO RANDÔMICO: ARQUIVOS MAPEADOS PELO VERACRYPT, apresentado como requisito parcial para obtenção do grau de Especialista em Perícia Digital da Universidade Católica de Brasília, em 30 de outubro de 2015, defendido e aprovado, pela banca examinadora abaixo assinada: Professor Esp João Eriberto Mota Filho Orientador Curso de Perícia Digital - UCB Professor Msc. Paulo Roberto Corrêa Leão Examinador Curso de Perícia Digital - UCB Brasília 2015

4 Dedico à minha família Daniele, minha esposa, aos meus filhos Gabriel, Gabriely, Daniel e a minha mãe Irene que sempre me apoiaram na busca do conhecimento e é graças a Deus e a eles que consegui.

5 AGRADECIMENTOS Aos meus gestores que, no início da minha carreira, despertaram em mim o desejo e a paixão pela Perícia Digital. Aos meus professores e orientadores por partilharem seus conhecimentos e experiências. Aos meus colegas e amigos de curso por todos os trabalhos que juntos construímos, as conversas e sem esquecer as celebrações que ajudaram na construção deste trabalho.

6 O valor da informação está diretamente ligado a como ela auxilia os tomadores de decisões a atingir os objetivos da organização. Ralph M. Stair

7 6 ANÁLISE DA MEMÓRIA DE ACESSO RANDÔMICO: ARQUIVOS MAPEADOS PELO VERACRYPT ANDERSON LUÍS MOREIRA Resumo: A popularidade crescente da criptografia é um grande desafio para o perito forense. Evidências digitais criptografadas corretamente podem tornar impossível o acesso às informações e identificar as chaves criptográficas na memória pode facilitar o processo de descoberta das informações. Este artigo se propõe a recuperar as chaves criptográficas e os key-files (arquivos-chave), que são utilizados para que se possa abrir o container, mapeados na memória pelo software livre de criptografia de disco VeraCrypt, que é o substituto do TrueCrypt, com o objetivo de descriptografar as informações. Metodologicamente utilizou-se a pesquisa aplicada, explicativa e bibliográfica. Além destas metodologias, foi utilizado, também, um estudo de caso com a montagem de um laboratório para comprovar o que o artigo se propõe. Como resultado, esta pesquisa apresentou as evidências digitais e os motivos pelos quais alguns dados não foram recuperados. Palavras-chave: Forense Digital. Mapeamento de arquivos em memória. Evidências criptográficas. VeraCrypt. 1. INTRODUÇÃO A criptografia, que é considerada como a ciência e a arte de escrever mensagens em forma cifrada ou em código, é um dos principais mecanismos de segurança para se proteger dos riscos causados pela globalização, tornando-se uma importante coluna de sustentação para a privacidade nos diversos dispositivos atualmente em uso pelas pessoas conectadas através da Internet. Usa-se a criptografia para proteger os dados sigilosos armazenados em um computador, como arquivos, senhas, imposto de renda, dentre outros. Pode-se usá-la também para criar áreas (partições) específicas no computador, nas quais informações lá gravadas serão automaticamente criptografadas, proteger backups contra acessos indevidos e também proteger comunicações realizadas na Internet. A criptografia deixou de ser utilizada apenas por grandes empresas, por áreas de Tecnologia da Informação (TI) julgadas como sensíveis a uma organização ou por Hackers com conhecimento suficiente para criptografarem todos os seus dados e conversas. Atualmente, aplicativos de uso comum na Internet, como por exemplo o Google, o WhatsApp, o Facebook e aplicativos da Apple estão cada vez mais utilizando-se da criptografia para aumentar a segurança do usuário comum, que não possui conhecimento suficiente para empregá-la, sem a necessidade deste possuir a capacidade de utilizar técnicas avançadas de criptografia ou softwares externos às aplicações anteriormente citadas para proteger a sua privacidade de forma simples e eficiente. No entanto, o que protege os cidadãos também facilita a ocultação de práticas criminosas (GROSSMAN, 2015), dificultando o trabalho da polícia e, é neste contexto que investigadores de forense digital são testados.

8 7 Neste artigo serão estudados alguns métodos que podem facilitar a localização e a extração das chaves criptográficas e key-files (arquivos-chave) da memória volátil de um computador que utilize o VeraCrypt para gerar os containers com os arquivos criptografados. Neste contexto, arquivos-chave, chaves e qualquer conteúdo criptografado com relação ao container serão considerados como evidência digital. 1.1 JUSTIFICATIVA Profissionais da área de perícia forense muitas vezes são forçados a tentar quebrar criptografias através de força bruta ou estudar algoritmos criptográficos para conseguir o acesso à evidência digital, no entanto, este método não é plenamente eficiente quando se trata de uma criptografia que utiliza senha forte. O interessante é que durante a fase de apreensão, as chaves criptográficas e key-files necessários para descriptografar as evidências podem estar presentes na memória volátil, mas infelizmente, poucas vezes estas evidências são procuradas. 1.2 CONTEXTUALIZAÇÃO DA PERGUNTA O VeraCrypt é um sistema de software para a criação e manutenção de volumes criptografados (containers) on-the-fly-encrypted. Ou seja, os dados são criptografados automaticamente antes de serem salvos e decodificados logo após serem carregados, sem intervenção do usuário. Nenhum dado armazenado em um container pode ser lido (descriptografado) sem a utilização das chaves de criptografia corretas, como senha e key-file (s) este último se existir. O software criptografa o sistema de arquivo inteiro, como por exemplo: Nomes de arquivos, nomes de pastas, o conteúdo de cada arquivo, espaço livre, metadados, etc. Os arquivos são automaticamente descriptografados (em memória / RAM) enquanto são lidos ou copiados. Da mesma forma, os arquivos que estão sendo gravados ou copiados para o container VeraCrypt são automaticamente criptografados on-the-fly (antes de serem escritos no disco) na RAM. 1.3 PROBLEMA É possível enquanto o software está em execução localizar as chaves criptográficas e o key-file(s) utilizado pelo Veracrypt, quando da criação de um container qualquer, e utilizar estas evidências digitais para reabrir o container? 1.4 PRESSUPOSTO Uma arquitetura PC (Personal Computer) possui uma organização física onde destacam-se como componentes importantes a CPU (Central Process Unit) e a memória principal RAM (Random Access Memory). A CPU acessa a memória principal para obter as instruções necessárias para a execução de um processo ou software que esteja em seu tempo

9 8 de execução. Desta forma, para um acesso mais rápido e eficiente em relação ao HD (Hard Disk) os dados relativos às execuções são armazenadas na RAM. O software VeraCrypt envia para a memória volátil, enquanto em execução, as informações e os arquivos necessários para o seu correto funcionamento. Sendo assim, é possível localizar e extrair as chaves criptográficas e os arquivos-chave da RAM para uso posterior. 1.5 PROPÓSITOS Traça os objetivos e a organização adotada na elaboração do trabalho Objetivo Geral Analisar o funcionamento em memória do software VeraCrypt para a localização e extração da chave criptográfica e os arquivos-chave para uso posterior Objetivos Específicos Para alcançar o objetivo geral é necessário: a) avaliar o funcionamento em memória do software Veracrypt; b) determinar um padrão de funcionamento do software Veracrypt no que tange à chave criptográfica; c) identificar um padrão de funcionamento do software Veracrypt no que tange aos arquivos-chave; e d) propor uma metodologia aceitável para a localização e extração das evidências digitais localizadas. 1.6 ORGANIZAÇÃO DO TRABALHO O presente trabalho encontra-se dividido em: a) Desenvolvimento: onde apresentam-se os principais conceitos encontrados na literatura; b) Materiais e métodos: representam os recursos e as didáticas utilizadas para alcançar os objetivos; c) Resultados da pesquisa: são os dados e as informações obtidas em resposta à aplicação dos métodos; d) Discussões e análise dos resultados: as informações colhidas são confrontadas com a literatura; e e) Conclusão: é o desfecho do trabalho em que se apresenta a resposta ao problema.

10 9 2. REFERENCIAL TEÓRICO A seguir apresentam-se alguns conceitos de componentes de hardware e estruturas de SO (Sistema Operacional) que afetam a análise da memória volátil. 2.1 Arquitetura do PC: Organização física O PC é composto por placas de circuitos conectados que possibilitam a conexão entre si e entre dispositivos periféricos. Dentre as placas de circuitos existe a placa-mãe que é responsável por conectar diversos dispositivos e estabelecer a conexão entre eles através de canais de comunicação conhecidos como computer busses (TANENBAUM, 2006, p102). Os dois mais importantes componentes conectados à placa-mãe são o processador (CPU), que executa programas, e a memória principal (RAM), que armazena temporariamente os programas em execução bem como os dados relativos a eles. No entanto, a leitura na memória principal (RAM) é muitas vezes mais lenta que a memória da própria CPU (TANENBAUM, 2007, p38). Sistemas modernos definem vários níveis de memórias menores e mais rápidas que a RAM chamados de memória cache, onde os níveis da memória cache são chamados de L1, L2, e assim por diante, de forma que um nível mais alto é sempre mais lento que o seu antecessor. Caso o dado não seja encontrado em um nível de cache ele será buscado no outro até a memória RAM. A CPU requisita a MMU (Memory Management Unit) a localização de onde o dado que será manipulado está. A MMU é uma unidade de hardware responsável por relacionar o endereço requerido pela CPU ao endereço da memória principal (RAM) onde o dado está armazenado. Para prover mais performance os sistemas mais modernos possibilitam aos dispositivos de entrada e saída (I/O devices) a capacidade de acessar e transferir dados armazenados na RAM diretamente, sem a intervenção da CPU. Essa capacidade é chamada de DMA (Direct Memory Access) o que permite um aumento no desempenho do sistema e também gera um impacto na forense, pois possibilita o acesso direto a memória sem a utilização de softwares proprietários (LIGH, CASE, LEVY, WALTERS, 2014, p6). Também conhecida como memória principal, a RAM é responsável por armazenar todos os dados necessários a CPU para a execução de um programa. Dois registradores são utilizados na CPU como interface entre ela e a memória principal, o memory address register (MAR) e o memory data register (MDR) sendo este o responsável por alocar os dados que devem ser armazenados ou recuperados a partir de um endereço de memória localizado no MAR (MOSTAFA E HESHAM, 2005, p136). A Figura 1 ilustra o que foi explicado. Figura 1 Interface entre a CPU e a Memória principal Fonte: Mostafa e Hesham (2005, p136).

11 Sistema Operacional O Sistema Operacional ( SO ) atua como um intermediário entre o hardware e o usuário para fornecer um ambiente no qual a pessoa possa executar suas tarefas sem a preocupação com o funcionamento do computador (TANENBAUM, 2010, p39). O SO aloca recursos de maneira eficiente para que os softwares executados funcionem corretamente. A aplicação de um usuário faz uma solicitação de serviço ao kernel do SO utilizando o que chamamos de chamada de sistema. Por exemplo, quando um aplicativo precisa interagir com um arquivo, comunicar através da rede, ou de desdobrar-se em outro processo, são necessárias as chamadas de sistema. No entanto, antes de executar a chamada, a aplicação deve através de argumentos passados para o kernel configurar o ambiente de execução para possibilitar interrupções de software no contexto do usuário (LIGH, CASE, LEVY, WALTERS, 2014, p18) criando um processo, que é uma instância de um programa em execução na memória, gerando um ambiente de recursos e contexto para os próprios processos e subprocessos a serem executados. O sistema operacional é responsável por gerenciar todo o processo de forma que quando um programa é executado, um novo processo é criado e associado com seu próprio conjunto de atributos, incluindo um ID único de processo e espaço de endereço que se torna um recipiente para o código do aplicativo, bibliotecas compartilhadas, dados dinâmicos, e pilha de execução (LIGH, CASE, LEVY, WALTERS, 2014, p19). Gerenciamento refere-se a capacidade do SO lidar com alocações, desalocações, e organização da memória física através dos algoritmos de gerência de memória existente no próprio Sistema Operacional (LIGH, CASE, LEVY, WALTERS, 2014, p20). Desta forma os Sistemas Operacionais proveem para cada processo um endereço privado e virtual de memória, o que possibilita uma separação entre a memória lógica da memória física da máquina. Desta forma, programas utilizam uma parte da memória sem a necessidade de conhecer o espaço total da memória real. Aparentemente há mais espaço que o que realmente há, pois o sistema utiliza uma técnica chamada memória virtual que permite a execução de um processo sem que ele esteja totalmente na memória. O princípio básico é a paginação e segmentação por demanda, que mantém em memória apenas as páginas/segmentos necessários (LIGH, CASE, LEVY, WALTERS, 2014, p20). A Figura 2 ilustra o que foi explicado. Uma política de gerenciamento de memória é estabelecida para determinar qual processo ficará na memória residente e qual será transferido para uma memória mais lenta, quando for o caso. A técnica de paginação sob demanda tenta carregar apenas as páginas que realmente são necessárias na memória em vez de processos inteiros, possibilitando um ganho substancial ao SO e é transparente para as aplicações em execução mas, é um fator complicador para a forense em memória (LIGH, CASE, LEVY, WALTERS, 2014, p21). Com a criação de processos isolados o ambiente torna-se seguro e estável, no entanto, isso pode consumir a memória rapidamente. É com o propósito de evitar isto que o compartilhamento de memória foi criado. Os dados que são iguais são criados como instâncias de dados de páginas e é feito um mapeamento de várias regiões de memória virtual para ela (LIGH, CASE, LEVY, WALTERS, 2014, p22).

12 11 Figura 2: Ilustração de vários espaços de endereço virtuais compartilhando memória e armazenamento secundário. Fonte: Michael Hale Ligh, Andrew Case, Jamie Levy, AAron Walters, 2014, p Volatility O software escolhido para realizar a análise da memória coletada foi o Volatility, sendo um Framework aberto, multiplataforma, extensível através de scripts, com uma comunidade ativa e com uma coleção de ferramentas que possibilita uma análise profunda o suficiente para atingir os objetivos propostos neste artigo científico. 3. MATERIAIS E METODOLOGIA A seguir apresenta-se os conceitos que caracterizaram esta pesquisa, os métodos utilizados para a coleta e tratamento dos dados, o resultado obtido e as análises dos dados. 3.1 Metodologia Científica Para a consecução deste trabalho foi realizada uma pesquisa bibliográfica a fim de consolidar os principais conceitos afetos ao tema, bem como a criação de um laboratório para a realização dos testes sobre a possibilidade de recuperação ou localização em HD das evidências digitais em memória. 3.2 Instrumentos e Procedimentos Os trabalhos foram realizados em dois computadores, um notebook com windows SP1 7 instalado sendo a máquina periciada. A imagem da memória da máquina periciada foi coletada com o aplicativo DumpIt, aplicativo este que não necessita estar instalado na máquina. A imagem do disco da máquina periciada foi coletada com o dcfldd, sendo a unidade montada como somente leitura em um outro notebook com o sistema operacional GNU/Linux.

13 12 Todos os trabalhos de análise da memória e HD foram realizados no notebook com SO GNU/Linux, utilizando-se de diversas técnicas de forense computacional para se tentar alcançar o objetivo e utilizando-se do software Volatility para a análise da memória RAM. A coleta e análise foram realizadas 4 vezes para se poder evidenciar um padrão de funcionamento do software VeraCrypt Localização dos arquivos chave: Os arquivos-chave (key-files) são arquivos que servem como uma espécie de senha secundária para abrir o container criptografado. Alguns passos lógicos devem ser seguidos para a localização dos arquivos, a saber: a) Determinar a data e a hora que o processo principal do software VeraCrypt iniciou. Isto é possível analisando o arquivo de memória coletado. No caso, para a análise foi utilizado o software Volatility. - #volatility -f memoryw7.raw --profile=win7sp1x64 pslist egrep -i veracrypt Volatility Foundation Volatility Framework xfffffa8003ec2750 VeraCrypt.exe :36:50 UTC+0000 Como resultado a data e hora que o processo do software VeraCrypt iniciou é mostrada. Foi no dia 03/10/2015 às 13:36:50 UTC b) O software VeraCrypt cria volumes para relacionar os arquivos com seus respectivos containers criptografados, desta forma, os volumes criados devem ser localizados. - #volatility -f memoryw7.raw --profile=win7sp1x64 filescan egrep -i veracrypt Volatility Foundation Volatility Framework R--r-d \Device\HarddiskVolume2\Program Files\VeraCrypt\VeraCrypt.exe R--r-d \Device\HarddiskVolume2\Program Files\VeraCrypt\VeraCrypt.exe R--rw- \Device\HarddiskVolume2\Users\Public\Desktop\VeraCrypt.lnk R--r-d \Device\HarddiskVolume2\Windows\System32\drivers\veracrypt.sys R--rwd \Device\HarddiskVolume2\Program Files\VeraCrypt\VeraCrypt Format.exe R--rwd \Device\HarddiskVolume2\Program Files\VeraCrypt R--rw- \Device\VeraCryptVolumeI:\arquivoExemplo.txt O resultado foi sanitizado para fins didáticos, no entanto, é possível verificar dois volumes relacionados com o software VeraCrypt. HarddiskVolume2 e VeraCryptVolumeI. Como o volume HarddiskVolume2 possui uma maior quantidade de retorno na pesquisa, ele será o volume analisado em primeiro momento. c) O retornado são os arquivos que se relacionam com o volume escolhido para a análise. O resultado será guardado em um arquivo tipo txt, somente os nomes serão mantidos e os arquivos duplicados da lista gerada serão excluídos. - #volatility -f memoryw7.raw --profile=win7sp1x64 filescan egrep -i HarddiskVolume2 >> hdv2.txt - #cat hdv2.txt rev cut -d'\' -f1 rev egrep ".*\\..*" >> nomedosarquivos.txt - #cat nomedosarquivos.txt sort uniq -u > nomedosarquivossd.txt

14 13 Como resultado uma lista dos nomes dos arquivos localizados em memória que se relacionam com o volume HarddiskVolume2 encontrado anteriormente é exibida. No exemplo foi localizado cerca de 4525 prováveis arquivos que podem ter sido usados para abrir o container. d) Após a lista de nomes dos arquivos serem geradas é necessário localizar de uma maneira mais precisa para localizar os prováveis arquivos que foram utilizados para abrir o container, desta forma, a referência será a data e a hora em que os mesmos foram abertos pois, para que o mesmo possa ser aberto primeiro o software VeraCrypt é iniciado, o arquivo do próprio container é apontado e depois os arquivos-chave são indicados. Sendo assim, serão localizados os arquivos que foram acessados logo após o start do VeraCrypt. Uma imagem do disco foi coletada e é nela que será buscada a localização e as datas dos acessos aos possíveis arquivos-chave. - #for line in $(cat nomedosarquivossd.txt);do find /mnt/users/anderson/ -iname "$line" -printf "%A+T %p\n"; done egrep " \+10:3[6-8]:" :38:08 /mnt/users/anderson/appdata/.../arquivoexemplo.lnk :37:04 /mnt/users/anderson/container.txt.txt :38:21 /mnt/users/anderson/desktop/tudoquenãousamos//.../data :38:20 /mnt/users/anderson/desktop/tudoquenãousamos//.../data :38:27 /mnt/users/anderson/desktop/tudoquenãousamos/.../data :37:37 /mnt/users/anderson/appdata/local/temp/jusched.log :37:27 /mnt/users/anderson/keyfile :37:32 /mnt/users/anderson/downloads/keyfile :38:21 /mnt/users/anderson/desktop/tudoquenãousamos/.../data :38:20 /mnt/users/anderson/desktop/tudoquenãousamos/.../data :38:27 /mnt/users/anderson/desktop/tudoquenãousamos//.../data :38:21 /mnt/users/anderson/desktop/tudoquenãousamos/.../data :38:20 /mnt/users/anderson/desktop/tudoquenãousamos/.../data :38:27 /mnt/users/anderson/desktop/tudoquenãousamos/.../data Como resultado sanitizado é exibida uma lista de possíveis arquivos-chave, no resultado os arquivos estão ordenados, lembrando que o start do software VeraCrypt foi dia 03/10/2015 às 13:36:50 UTC O UTC dos arquivos é -3, desta forma, para comparar as datas devemos somar 3 horas ao resultado obtido :37:04 /mnt/users/anderson/container.txt.txt :37:27 /mnt/users/anderson/keyfile :37:32 /mnt/users/anderson/downloads/keyfile :37:37 /mnt/users/anderson/appdata/local/temp/jusched.log :38:08 /mnt/users/anderson/appdata/.../arquivoexemplo.lnk Analisando os resultados é possível verificar que o primeiro arquivo é provavelmente o do próprio container, pois este deve ser o primeiro arquivo a ser indicado, logo em seguida são vistos três arquivos com horários muito próximos, keyfile1, keyfile2 e jusched.log. Podese ver também um último arquivo que está na casa dos 38 minutos. O restante dos arquivos devem ser considerados conforme o caso, pois, geralmente, não se leva tanto tempo para apontar os arquivos-chave. Depois do arquivo do container os arquivos subsequentes devem ser apontados para abri-lo de maneira a respeitar os horários. Desta forma, na primeira tentativa o keyfile1 seria apontado, na segunda tentativa o keyfile1 e o keyfile2 seriam apontados e assim até atingirmos todos os arquivos listados. A Figura 3 mostra a seleção dos arquivos-chave e a Figura 4 mostra o container montado na unidade G do computador.

15 14 Figura 3: Selecionando os arquivos-chave para a abertura do container. Figura 4: O container foi montado. No exemplo proposto no artigo os arquivos utilizados para abrir o container são keyfile1 e keyfile2. Desta forma a metodologia empregada para localizar os arquivos-chave utilizados pelo software VeraCrypt quando da abertura do container satisfaz a exigência de localizar os prováveis key-files.

16 Localização do hash e da senha Em teoria o hash é uma sequência única gerada por um algoritmo a partir de um conteúdo qualquer, como por exemplo, um arquivo de texto e no caso deste artigo uma senha. Este hash pelas características apresentadas no referencial teórico é enviado para a memória RAM do computador que por sua vez o mantém até o desligamento da máquina. No entanto, no caso do software VeraCrypt os dados da senha e Hash pelo que se pode concluir da observação do comportamento do software são sobrescritos assim que utilizados, ou seja, o VeraCrypt inicia, o usuário digita a senha que é criptografada em memória e logo após ao container ser montado o hash e a senha digitada são sobrescritos pelo software. Desta forma, a localização da senha em claro ou mesmo do hash da senha não puderam ser definidas. Uma busca foi realizada em toda a imagem da memória adquirida e, mesmo se sabendo a senha para abrir o container, as evidências digitais não foram encontradas. 3.3 RESULTADOS DA PESQUISA Foi possível localizar os arquivos-chave do software VeraCrypt, no entanto, o hash ou a senha em claro não foram encontradas na memória RAM do computador, pois pelo comportamento observado, o software sobrescreve os dados em memória. 3.4 DISCUSSÕES E ANÁLISES DOS RESULTADOS Com a não localização do hash ou senha para a montagem do container uma solução indicada seria o crack da senha, no entanto, a equipe do VeraCrypt aumentou a segurança com chaves derivadas, o que inviabilizaria a descoberta da senha devido ao tempo para a quebra. Levando-se em consideração de que o usuário seguiu as boas práticas para a elaboração de sua senha. A senha ainda é passível de ser quebrada em um tempo aceitável mesmo com o aumento da complexidade do algoritmo no caso de o usuário decidir utilizar uma senha fraca, o que elevada a probabilidade de quebra da mesma. 4. CONCLUSÃO O software VeraCrypt se apresenta como uma solução viável à descontinuidade do seu antecessor (TrueCrypt) e possui algumas características que o tornam mais seguro e confiável. Dentre os fatores que a equipe de desenvolvimento do VeraCrypt se propôs a melhorar, o tratamento dos dados armazenados temporariamente na memória RAM foi um ponto de fundamental importância para o presente artigo. Tendo como base a arquitetura de John Von Neumann que possui como componentes a CPU e a Memória, todos os dados que entram na CPU, antes de gerarem uma saída com o resultado do trabalho executado pelo computador, passam pela memória. Desta forma, os dados relacionados a um programa específico são carregados para a memória de acesso

17 16 randômico e ali permanecem até que sejam alterados, sobrescritos ou perdidos quando do desligamento do computador. A premissa é válida, pois foi possível mapear os prováveis arquivos-chave utilizados na montagem de um container gerado pelo software VeraCrypt que armazena os mapeamentos e dados descriptografados temporariamente dentro da memória RAM, conforme informações do próprio fabricante. No entanto, no caso da senha e do hash, pela característica do software que provavelmente os sobrescrevem logo após a montagem do container o que inviabiliza a localização, ou seja, assim que um container qualquer é aberto uma função do VeraCrypt é responsável por sobrescrever a senha e o hash para que não seja possível a localização em memória dos mesmos. Isto é o que se conclui pelo comportamento evidenciado quando da utilização do Software. Deve-se destacar que a possibilidade de descobrir a senha utilizada ainda é passível de estudos, pois não foi realizado nenhum esforço para testar a senha do usuário que, no caso apresentado no artigo, era uma senha fraca. Conclui-se que é possível localizar os arquivos-chave utilizados para a abertura do container para uma futura tentativa de abertura do container por outra pessoa que não o dono. Não foi possível recuperar a senha, pois, no caso, nenhuma referência em memória foi encontrada. 4.1 TRABALHOS FUTUROS Como sugestão para que novas pesquisas possam complementar este trabalho, recomenda-se que sejam realizados testes para tentar quebrar as senhas (força bruta) e a realização de buscas destas em disco rígido. 4. RESUMO EM LÍNGUA ESTRANGEIRA ANALYSIS RANDOM ACCESS MEMORY: FILE MAPPED BY VERACRYPT ANDERSON LUÍS MOREIRA Abstract: The growing popularity of cryptography is a major challenge for a forensics expert. Digital evidence when right encrypted may make it impossible to access any information. Thus, identify the cryptographic keys in memory can facilitate the process of finding information. This article proposes to recover cryptographic keys and key-files, which can be used to open the container, memory-mapped by VeraCrypt, a free software disk encryption tool and a TrueCrypt substitute, in order to decrypt the information. The methodology used encompassed a bibliographic and an explanatory research. Additionally a case study was carried out with the installation of a laboratory to test the research results. As a result, this research presented the digital evidence and the reasons why some data were not recovered. Keywords: Forensic Digital. Mapping files in memory. Cryptographic evidence. VeraCrypt.

18 17 5. REFERÊNCIAS ABD-EL-BARR, Mostafa, EL_REWINI, Hesham. Fundamentals of computer organization and architecture. New Jersey: John Wiley & Sons, Inc,2005. CODEPLEX. VeraCrypt. Disponível em: < Acesso em: 3 out GROSSMAN, Luís Osvaldo. CPI dos crimes cibernéticos vai chamar presidentes de Vivo, TIM, Claro e Oi. Disponível em: < Acesso em: 2 out LIGH, Michael Hale, CASE, Andrew, LEVY, Jamie, WALTERS, AAron. The Art of Memory Forensics: Detecting Malware and Threats in Windows, Linux, and Mac Memory. Indianapolis: John Wiley & Sons,Inc, TANENBAUM, Andrew Stuart. Organização Estruturada de Computadores. São Paulo: Prentice Hall, Sistemas Operacionais Modernos. São Paulo: Prentice Hall, VOLATILITY FOUNDATION. Volatility. Disponível em: < Acesso em: 3 out