Deep dive into digital forensics and incident response - (ISC)2 latam congress 2016
•
0 recomendaciones•181 vistas
Este documento presenta una introducción a Mateo Martínez, un experto en seguridad digital y forense. Cubre temas como malware, respuesta a incidentes, forense digital y herramientas. También incluye información sobre la adquisición y análisis de memoria y malware usando herramientas como Volatility.
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (6)
Similar a Deep dive into digital forensics and incident response - (ISC)2 latam congress 2016
Similar a Deep dive into digital forensics and incident response - (ISC)2 latam congress 2016 (20)
Más de Mateo Martinez
Más de Mateo Martinez (10)
Último
Último (20)
Deep dive into digital forensics and incident response - (ISC)2 latam congress 2016
- 2. Deep Dive into Digital Forensics and Incident Response Mateo Martínez CEO KOD LATAM SECURITY www.kod.uy 2
- 3. Mateo Martínez ∗Papá (x2) ∗CISSP ∗C|EH ∗ISO 27001 Lead Implementer ∗ex PCI QSA ∗ITIL ∗Gerente General de KOD LATAM SECURITY (www.kod.uy) ∗Docente Hacking Ético en Universidad ORT ∗Líder del capítulo OWASP Uruguay ∗OWASP Web Application Security Person of the Year 2015 ∗Contacto: @mateomartinez1
- 4. Teoría • Malware • Respuesta ante Incidentes • Forense Digital • Herramientas Práctica • Adquisición de memoria • Análisis de memoria • Análisis de malware
- 5. Malware
- 7. El mayor vector de infección… PEBKAC
- 8. El RFC 2828 “Un evento de seguridad en el que la política de seguridad ha sido desobedecida o vulnerada” http://www.ietf.org/rfc/rfc2828.txt (212 páginas)
- 9. Principio de intercambio de Locard “Every contact leaves a trace” Dr. Edmond Locard (13 diciembre 1877 – 4 mayo 1966)
- 10. Respuesta ante Incidentes actual - Adquirir de lo más volatil a lo menos volatil - El malware residente en memoria no puede analizarse a partir de una imágen de disco - La memoria puede contenter claves de información que haya sido cifrada en el disco
- 11. El RFC 3227 define el orden básico - Memoria del Sistema - Archivos temporales (swapfile / paging file) - Procesos y conexiones de red - Información de routeo & ARP Cache - Adquisición de Discos (Forense) - Logs Remotos & Datos de Monitoreo - Configuración física & Topología de Red - Backups http://www.ietf.org/rfc/rfc3227.txt (10 páginas)
- 12. Información a revisar • Archivos de Logs • Procesos de Sistema • Archivos ocultos inusuales • Backdoors • Tareas Programadas • Nivel de Parches • Relaciones de confianza • Archivos temporales • SWAP Files • Reconstruir papelera de reciclaje • Reconstruir el pool de impresión • Extraer correos y archivos adjuntos • Historia de navegación web • Aplicaciones instaladas
- 13. Windows Prefetch Es un registro de los programas ejecutados en un sistema. C:WindowsPrefetch> strings filename
- 14. Windows Prefetch Es un registro de los programas ejecutados en un sistema. C:WindowsPrefetch> strings filename
- 15. ¿Qué contiene la memoria en Windows?
- 16. Pagefile.sys » No se puede copiar directamente ya que el SO lo está “utilizando” » Una opción es la herramienta FGET de HBGary » FTK Imager es otra opción (pero es una GUI)
- 17. Dumping System Memory w/Software En Windows, se accede a la memoria física a través de .PhysicalMemory and .DebugMemory devices Herramientas • Moonsols/win32dd • FTK Imager • FD.exe (HBGary) • KnTDD • Encase Enterprise • F-response
- 18. Dumping System Memory w/Software FTK Imager: File Capture Memory
- 19. Dumping System Memory w/Software Moonsol’s DumpIT
- 20. Dumping System Memory w/Hardware » Con Firewire, el OHCI controller puede leer y escribir los primeros 4 GiB de memoria » Ver : http://www.storm.net.nz/projects/16
- 21. Analizando Dumps de Memoria Volatility • Advanced memory forensics framework • Es un script en Python • Es posible escribir plugins propios • Varios plugins de detección de malware • Gratis! Yara • Malware plugins para Volatility
- 22. • malfind • svcscan • ldrmodules • impscan • apihooks • idt Analizando Dumps de Memoria • gdt • orphanthreads • callbacks • driverirp • psxview
- 23. Analizando Dumps de Memoria https://code.google.com/p/volatility/
- 24. Identificar imágen Plugin: imageinfo Identificar Procesos Sospechosos Plugin: pslist & psscan Identificar conexiones activas Plugin: connections, connscan2, socks, sockscan2 Identificar archivos y dll`s sospechosas Plugin: dlllist, files, fileobjscan Analizando Dumps de Memoria
- 25. # volatility pslist –f memorydump.name Analizando Dumps de Memoria
- 26. LAB TIME!
- 27. 1.Abrir Kali Linux 2.Abrir una terminal 3.Ejecutar: # vol –h
- 28. 4. imageinfo –f vmem1 5. pslist --profile=WinXPSP3x86 - f vmem1 > output_path 6. psscan --profile=WinXPSP3x86 -f vmem1 > output_path
- 29. #volatility imageinfo –f dump.vmem
- 30. #volatility pslist –f dump.vmem
- 31. #volatility pslist –f dump.vmem
- 32. #volatility sockets –f dump.vmem
- 33. 7. threads -- profile=WinXPSP3x86 –vmem1-p 680 8. threads -- profile=WinXPSP3x86 –vmem1 - p 1928
- 34. 9. vol --profile=WinXPSP3x86 procexedump -p 868,680,1928 -D processes/ -f vmem1 10. dlllist --profile=WinXPSP3x86 –f vmem1 -p 1928,868,680
- 35. #volatility procdump –p 680 –f dump.vmem --dump-dir=.
- 37. 9. vol --profile=WinXPSP3x86 procexedump -p 868,680,1928 -D processes/ -f vmem1 10. dlllist --profile=WinXPSP3x86 –f vmem1 -p 1928,868,680
- 38. #volatility dlllist –p 680 –f dump.vmem
- 39. 11. vol.py dlllist -- profile=WinXPSP3x86 -f vmem1 - p 680 | grep 0x | wc –l Repetir para cada proceso (Revisar “Command Line”)
- 40. 12. mkdir malfind 13. malfind -- profile=WinXPSP3x86 -f vmem1 - D malfind/ 14. --profile=WinXPSP3x86 ldrmodules -p 868 -f vmem1
- 41. #volatility malfind –f dump.vmem
- 42. • Muchos procesos iguales (lsass.exe) • Prioridad de Procesos • Pocas DLLs • Malfind Plugin • DLLs Ocultas • Mutex • Nuevos Archivos • Conexiones • Kernel Drivers LAB TIME!
- 43. ?
- 44. ST UX NE T Siemens’ SCADA software Siemens SIMATIC WinCC/STEP 7 CVE-2010-2772 +4 Vulnerabilidades en MS Win 14 Plantas de Enriquecimiento ST UX NE T
- 46. » RPC server » Tareas programadas » UPX packing » Certificados digitales falsificados… En el Lab ni miramos…
- 47. http://ics-cert.us-cert.gov/alerts Alerts Feed ICS-ALERT-14-099-01C : Situational Awareness Alert for OpenSSL Vulnerability ICS- ALERT-14-015-01 : Ecava IntegraXor Buffer Overflow Vulnerability ICS-ALERT-13-304-01 : Nordex NC2 – Cross-Site Scripting Vulnerability ICS-ALERT-13-259-01 : Mitsubishi MC-WorX Suite Unsecure ActiveX Control ICS-ALERT-13-256-01 : WellinTech KingView ActiveX Vulnerabilities ICS-ALERT-13-164-01 : Medical Devices Hard-Coded Passwords ICS-ALERT-13-091-01 : Mitsubishi Electric Automation MX Buffer Overflow ICS-ALERT-13-091-02 : Clorius Controls ICS SCADA Information Disclosure ICS-ALERT-13-016-01A : Schneider Electric Product Vulnerabilities (Update A) ICS-ALERT-13-016-02 : Offline Brute-Force Password Tool Targeting Siemens S7 ICS-ALERT-13-009-01 : Advantech WebAccess Cross-Site Scripting
- 48. http://ics-cert.us-cert.gov/alerts ABB (Multiple, Buffer Overflow) Arbiter (Denial of Service) C3-ILEX (Multiple) EMERSON (Buffer Overflow) GE (Multiple) HONEYWELL (Buffer Overflow) ICONICS (Multiple) INVENSYS (DLL Hijack, ActiveX, Buffer Overflow) OSISOFT (Buffer Overflow) ROCKWELL (Multiple PLC Vulnerabilities) SCHNEIDER (Remote Auth bypass, multiple) SIEMENS (XSS, Buffer Overflow)
- 49. Nombre Fecha de alerta Fecha de Parche Meses abb_1 10 oct 2011 22 feb 2012 +4 indusoft_* 27 apr 2011 16 nov 2011 +7 ifix_1 06 feb 2011 07 nov 2011 +9 rtip_1 17 oct 2011 22 aug 2012 +10 ifix_2 17 oct 2011 03 aug 2012 +10
- 50. La infraestructura crítica no puede parar (99% de los casos) La prioridad es la disponibilidad y timing Existen vulnerabilidades desconocidas por los Vendors y otras (muy) conocidas Hay que perfeccionar la respuesta ante Incidentes
- 52. ¡Muchas gracias! Mateo Martínez CEO KOD LATAM SECURITY www.kod.uy @mateomartinez1