Jeśli myślicie, że informatyka śledcza to nudne ślęczenie sądowego biegłego przed monitorem, praca zautomatyzowana i odtwórcza oraz polegająca jedynie na katalogowaniu “pirackich” mp3 lub dziecięcej pornografii, to jesteście w błędzie. Analiza zawartości dysków twardych to intelektualna przygoda, niekiedy pełna zaskakujących zwrotów akcji. Ale zacznijmy od początku… Uwaga! Poniższa historia wydarzyła się naprawdę. Z wiadomych przyczyn, dane firmy i pracowników zostały zmienione. Klonowanie pod osłoną nocy W pewnej warszawskiej firmie w dziale zamówień pracowały Ania, Zosia i Kasia. Miały ładne wizytówki, całkiem przyzwoite pensje, ale co najważniejsze — całkowity wgląd do bazy kontrahentów. Kiedy przedsiębiorstwo zaczęło tracić kluczowych klientów, postanowiło zbadać zawartość komputerów swoich pracowników i zebrać ewentualne dowody ich nieuczciwych działań. Tuż po zamknięciu firmy, późnym wieczorem nastąpiło sklonowanie dysków trzech komputerów stacjonarnych i jednego laptopa. Wiedział o tym jedynie prezes i jeden z ochroniarzy który wpuścił nas do budynku. Dyski twarde zostały wymontowane i za pomocą blokera podłączone do przenośnego komputera w celu wykonania ich kopii. Gdy suma kontrolna potwierdziła, że w trakcie klonowania nie dokonano żadnych zmian w zawartości nośników, zamontowano je ponownie. Mieliśmy pewność, że żadna z pracownic nie zauważy niczego następnego dnia. Blocker Tableau (fot. ErrantX) Kiedy firma rozpoczynała kolejny dzień pracy, po naszej stronie trwała już wstępna analiza zabezpieczonych nośników. Pierwsze spostrzeżenie — wyczyszczona historia przeglądania stron na kilka minut przed wyjściem pracy. Ciekawe dlaczego? Za pomocą specjalnego oprogramowania dało się ją i nie tylko ją odzyskać. Wynik: pełno wejść na strony konkurencyjnych firm, e-maile po angielsku, chińsku, zamówienia, Facebook, pudelek i przepisy kulinarne. Jak jednak odróżnić co stanowi „normalne” działanie firmy od działalności konkurencyjnej? Tu z pomocą przyszła oferta telefonii komórkowej… Promocja na 1000 minut Kasia, pracująca najdłużej w dziale zamówień usłyszała tego dnia dobrą wiadomość. Skończyła się umowa na jej telefon i w ramach nowej promocji dostanie świeżutkiego iPhone’a. Uff, ten Samsung z klapką pójdzie do lamusa. Telefon, zamiast do utylizacji trafił jednak do naszego laboratorium. Po włączeniu telefonu okazało się, że wszystkie SMS-y i kontakty zostały w nim usunięte. Jednak obecność rejestru połączeń upewniła nas, że nie doszło do przywrócenia telefonu do ustawień fabrycznych (por. Zanim sprzedasz swój stary telefon, zobacz jak go wyczyścić…). Za pomocą specjalnego narzędzia udało się odzyskać kilkaset skasowanych wiadomości z ostatnich 5 miesięcy, akurat z okresu który nas najbardziej interesował. W SMS-ach pojawiał się wielokrotnie trzyliterowy skrót sugerujący nazwę jakiejś firmy… prezesowi nic on jednak nie mówił. Po nitce do kłębka Wszystkie dyski twarde zostały zindeksowane za pomocą słów kluczowych. Dzięki temu mogliśmy przystąpić do przeszukiwania zarówno przestrzeni przydzielonej jak i nieprzydzielonej, to znaczy danych usuniętych i częściowo nadpisanych na dysku twardym. Znaleziona w pamięci telefonu fraza pokazała kilkanaście tysięcy rekordów, które należało dokładnie przebadać. Po dwóch godzinach klikania i odznaczania „false positivów” zostało zaledwie kilkaset plików, w których pojawiał się ten akronim. Te pliki stanowiły …usunięte fragmenty rozmów za pomocą komunikatora Gadu Gadu, w których to Ania tłumaczyła się Zosi, że od tego momentu „naszą” nową firmę będą oznaczać w taki sposób. No wiecie, tak, żeby nikt na to nie wpadł. Wpis do KRS został dokonany na męża Kasi, tak na wypadek wpadki. Kolejne informacje – kolejne słowa kluczowe… Wszyscy kochamy Internet Explorer Z ciekawości, pozyskane z zewnętrznej bazy dane wpisujemy w wyszukiwarkę naszego programu do analizy nośników. Kilka tysięcy wyników, wszystkie z przestrzeni nieprzydzielonej. Tym razem natrafiliśmy na obszerne fragmenty korespondencji e-mail. Nie są to szczątki informacji, nie są to przypadkowe śmieci. To prawie całe zachowane strony WWW webmaila z jednej z dużych firm hostingowych. Wyciągnęliśmy wszystko co się dało i przystąpiliśmy do tworzenia ścieżki czasowej. Mając do dyspozycji: a) odzyskane wiadomości SMS ze starego telefonu Kasi b) udostępnione nam bilingi operatora telefonów używanych przez Zosię i Anię c) fragmenty rozmów za pomocą komunikatora GG u każdej z pracownic d) e-maile i usunięte dokumenty (faktury, zamówienia) znalezione za pomocą słów kluczowych, …udało się odtworzyć cały proceder przejmowania klientów. Nauka na przyszłość Niestety tego typu spraw jest coraz więcej. Jako technicy nie wnikamy w przyczyny ani nie oceniamy tego w kategoriach moralnych. Dostrzegamy tylko to, że dzięki zastosowaniu zdobytej wiedzy — nie tylko tej stricte technicznej, ale także dzięki umiejętność łączenia ze sobą przesłanek jesteśmy w stanie udowodnić, a tym samym uchronić firmy przed nie do końca uczciwymi pracownikami. Ty też możesz posiąść część z tych umiejętności. Od dziś w ofercie szkoleniowej Niebezpiecznika dostępne są szkolenia z zakresu informatyki śledczej (nag. computer forensics). Szkolenie, wbrew innym tego typu, kierujemy nie tylko do biegłych sądowych, ale przede wszystkim do administratorów firmowych sieci LAN — bo tę wiedzę powinien posiadać każdy z nich. Oczywiście informacje przekazywana na naszym szkoleniu przydadzą się także audytorom i pentesterom (zwłaszcza te pokazujące sztuczki związane z odzyskiwaniem danych i korelacją informacji pobranych z systemów). W ramach dwudniowych warsztatów pokazujemy jak: W odpowiedni sposób zabezpieczyć ślady incydentu, aby można je było wykorzystać w trakcie ewentualnej rozprawy sądowej Uczymy obsługi kilkunastu specjalistycznych narzędzi pozwalających zebrać “materiał dowodowy” i poszerzyć wiedzę na temat tego “co właściwie się stało” oraz “jak do tego doszło”. Pokazujemy jak analizować dane zebrane z systemów Windows, przeglądarek internetowych oraz komunikatorów. Z pełną agendą zapoznacie się na stronie dedykowanej naszemu szkoleniu z informatyki śledczej. Szkolenie prowadzą doświadczeni trenerzy z z firmy VS DATA, którzy od kilku lat posiadają status biegłych sądowych, a na co dzień zajmują się zabezpieczaniem elektronicznych materiałów dowodowych, odzyskiwaniem danych i tworzeniem ekspertyz zarówno dla organów ścigania i wymiaru sprawiedliwości jak i zwykłych firm. Zachęcamy do rejestracji na jego najbliższe terminy tego szkolenia, które znajdziecie tutaj. Przeczytaj także: