SECURIDAY Dans le cadre de SECURINETS. Et sous le thème de Computer Forensics Investigation. Analyse Données et Système

Dimension: px

Commencer à balayer dès la page:

Download "SECURIDAY 2010. Dans le cadre de SECURINETS. Et sous le thème de Computer Forensics Investigation. Analyse Données et Système"

Gautier Lebel
il y a 8 ans
Total affichages :

1 Dans le cadre de SECURIDAY 2010 Et sous le thème de Computer Forensics Investigation SECURINETS Vous Présente l atelier : Analyse Données et Système Chef Atelier : Kouki TAWKANE (RT3) Bourguiba MOUNA (RT4) Ktari RAYEN (RT4) Wertani AMIRA(RT5)

Analyse Données et Système Chef Atelier : Kouki TAWKANE

2 1. Présentation de l atelier Dans le cadre de l investigation ou le Computer Forensics la phase d analyse suit celle de collecte de données et ça représente donc le deuxième axe sur lequel s articule ce thème. Cet atelier concerne l analyse des données et système et notamment l analyse des registres, de la mémoire volatile RAM ainsi que les fichiers systèmes et processus. 2. Environnement logiciel Afin de pouvoir analyser les différentes données système, nous avons utilisé plusieurs outils dont la majorité se trouve dans un live cd HELIX qui présente un large éventail d outils avec différentes utilisations. On a réparti le travail en quatre principales parties à savoir celle de l analyse des registres et la simulation de la présence d anomalie sous l effet d un scénario d attaque, de plus nous avons analysé la mémoire RAM après avoir fait une image avec l utilitaire d HELIX, nous sommes passé par la suite à l analyse des processus ainsi que des fichiers systèmes. 3. Installation et configuration sous windows Le live HELIX nous a permis d exploiter ces différentes fonctionnalités et notamment concernant les outils dont nous avons eu besoin pour faire l analyse des différentes composantes citées précédemment. 3.1 Analyse de la mémoire RAM Pour avoir une image de notre RAM on a utilisé l outil Nigilant32 qui se trouve aussi parmi les outils de HELIX Live. Appuyer sur Agile Risk Management s Nigilant32

Environnement logiciel Afin de pouvoir analyser les différentes données système, nous avons utilisé plusieurs outils dont la majorité se trouve dans un live cd HELIX qui présente un large éventail d

Une fois la fenêtre de Niigilant32 est ouverte, appuyer sur Tools Image Physical Memory, puis préciser le chemin de destination et lancer l acquisition de l image.

3 Une fois la fenêtre de Niigilant32 est ouverte, appuyer sur Tools Image Physical Memory, puis préciser le chemin de destination et lancer l acquisition de l image. Remarque : Notre fichier résultant est nommé «RAM.img». L analyse de l image de la mémoire physique(ram) : Elle se fait à l aide de l outil Memoryze : Mandiant Memoryze (anciennement connu sous le nom Mandiant Free Agent) est un utilitaire gratuit d'analyse de la mémoire qui permet d acquérir la mémoire physique d'un système Microsoft Windows, et il peut aussi effectuer des analyses avancées de mémoire vive alors que l'ordinateur est démarré. Tous les analyses peuvent être effectuées soit contre une image acquise ou d'un système en direct. Lien de téléchargement de Memoryze : Commandes utilisées : MemoryDD.bat : pour acquérir une image de la mémoire physique. ProcessDD.bat : pour acquérir une image de l'espace d'adressage du processus. DriverDD.bat :pour acquérir une image d'un conducteur. Process.bat : permet d'énumérer tout ce qui concerne un processus, y compris les handles, la mémoire virtuelle, les ports réseau, et les strings. HookDetection.bat : permet chercher des Hook dans le système d'exploitation. DriverSearch.bat : permet de trouver des pilotes. DriverWalkList.bat : permet d'énumérer tous les modules et les conducteurs dans une liste chaînée. Exemple : détermination des processus Cette commande permet d ouvrir une autre invite de commande affichant la liste de processus.

L analyse de l image de la mémoire physique(ram) : Elle se fait à l aide de l outil Memoryze : Mandiant Memoryze (anciennement connu sous le nom Mandiant Free Agent) est un utilitaire gratuit

4 3.2 Analyse des registres : Pour assurer cette partie, on a opté pour l utilisation de l outil RegScanner qui est disponible sur Le live CD HELIX. Cet outil permet d afficher simplement et rapidement les résultats de recherches effectuées sur la base de registre et ce sans installation. Voici l interface qui nous permet d effectuer la recherche dans la base de registre : La première ligne permet d insérer la chaîne de caractères à rechercher. La ligne de dessous présente la méthode utilisée. La recherche peut s effectuer selon plusieurs critères selon les valeurs, les clés ou les données. L affichage peut être trié suivant la date de modification, la longueur des données, le type des valeurs ou les bases de clés.

Voici l interface qui nous permet d effectuer la recherche dans la base de registre : La première ligne permet d insérer la chaîne de caractères à rechercher.

Une fois la recherche est effectuée, on peut afficher les propriétés des clés. On peut également enregistrer la liste des résultats dans un fichier texte, Html ou Xml ou avec l extension.reg 3.

5 Une fois la recherche est effectuée, on peut afficher les propriétés des clés. On peut également enregistrer la liste des résultats dans un fichier texte, Html ou Xml ou avec l extension.reg 3.3 Analyse des processus : Dans cette partie nous avons eu recours à l outil Process Explorer et Autostart And Process Viewer afin d analyser les processus lancés et en exécution sur notre machine. Process Explorer : Cet outil se trouve sous HELIX sous le nom de procexp.exe. En effet, l'affichage de Process Explorer est composé de deux sous-fenêtres comme suit :

3 Analyse des processus : Dans cette partie nous avons eu recours à l outil Process Explorer et Autostart And Process Viewer afin d

6 La fenêtre supérieure affiche toujours une liste des processus actuellement actifs, y compris les noms de leurs propres comptes comme on peut voir par exemple de processus, tandis que les informations affichées dans la fenêtre inférieure dépendent du mode dans lequel se trouve Process Explorer : En mode descripteur où sont affichés les handles, des informations sur les descripteurs ouverts par le processus sélectionné. On peut découvrir alors les programmes qui ont un fichier ouvert, ou voir les types d'objet et les noms de tous les descripteurs d'un programme. Si on désactive l affichage de la fenêtre inférieure : Figure 1: Utilitaire procexp.exe

affichés les handles, des informations sur les descripteurs ouverts par le processus sélectionné.

7 Figure 2: Activation en mode descripteur Ou en mode DLL, où on visualise les DLL et les fichiers de mémoire que le processus a chargés:

Figure 3: Activation en mode DLL Process Explorer dispose également d'une fonctionnalité puissante de recherche qui affichera rapidement les processus ayant des descripteurs particuliers ouverts ou

8 Figure 3: Activation en mode DLL Process Explorer dispose également d'une fonctionnalité puissante de recherche qui affichera rapidement les processus ayant des descripteurs particuliers ouverts ou des DLL chargés. La figure précédente montre que l outil est en mode dll comme il affiche les fichiers systèmes utilisés par les différents processus. On s intéresse à l utilisation de cet outil car il permet de trouver les fichiers systèmes correspondants ce qui faciliterait de trouver des processus malveillants ou les fichiers systèmes susceptibles à une faille pour se protéger d une éventuelle attaque. Autostart And Process Viewer : Autostart and Process Viewer est un outil à travers lequel on peut voir et définir quels sont les fichiers qui travaillent avec Windows, tant sur le démarrage du système comme pendant ses opérations. Le logiciel fonctionne tout comme l Administrateur de travaux de Windows: En le démarrant, on peut voir les processus qui fonctionnent au même moment dans le système d exploitation. Si l on veut, on peut les arrêter avec un clic.

On s intéresse à l utilisation de cet outil car il permet de trouver les fichiers systèmes correspondants ce qui faciliterait de trouver des processus malveillants ou les fichiers systèmes

9 Aussi, il permet d afficher le taux d utilisation de la RAM et CPU. 4. Installation et configuration sous Linux Sleuth Kit est un ensemble d outils open source en ligne de commande Unix permettant de retrouver/investiguer sur des partitions de types : NTFS, FAT, EXT2FS, EXT3FS et FFS. Autopsy fourni une interface graphique pour Sleuth Kit. -Analyse approfondie de vos disques durs. - Récupération de données supprimées - Fonction de recherche/trie sur les données récupérées - Statistiques sur les systèmes de fichiers 4.1 Installation de Sleuth Kit et Autopsy Etape1: - Télécharger afflib.tar.gz et le décompresser avec tar xvf afflib.tar.gz - Taper sudo apt-get install build-essential zlib1g-dev libssl-dev - Entrer dans le dossier décompressé Afflib et l installer comme suis./configure, make, sudo make install Etape2: - Installer uuid-dev avec la commande : sudo apt-get install uuid-dev - Télécharger sleuthkit tar.gz

EXT3FS et FFS. Autopsy fourni une interface graphique pour Sleuth Kit. -Analyse approfondie de vos disques durs.

- Le décompresser et l installer comme suit :./configure, make, sudo make install Etape3 : - Télécharger autopsy-2.21.tar.gz - Extraire autopsy et l installer :.

10 - Le décompresser et l installer comme suit :./configure, make, sudo make install Etape3 : - Télécharger autopsy-2.21.tar.gz - Extraire autopsy et l installer :./configure, make, sudo make install Pour lancer autopsy, il suffit de taper : sudo./autopsy et suivre les instructions. 4.2 Configurations -ajouter un cas en y précisant le nom et les investigateurs. -ajouter un nom de hôte. -ajouter l image de disque à analyser en appuyant sur «add image». Une fois l image est ajoutée avec succès, on peut commencer l analyse. File Analyse :

/autopsy et suivre les instructions. 4.2 Configurations -ajouter un cas en y précisant le nom et les investigateurs.

De ce fait, il s est emparé de la machine et il s est amusé à endommager les fichiers et les dossiers.

11 Image détails : Meta Data : 5. Un petit scénario de test : On s est fourni un disque dur d une machine victime attaquée par un pirate. Les investigations préliminaires nous ont permis de conclure que ce pirate a volé le mot de passe de l utilisateur. De ce fait, il s est emparé de la machine et il s est amusé à endommager les fichiers et les dossiers. A priori, le pirate a injecté un Keylogger dans la machine victime pour pouvoir intercepter le mot de passe, et c est ce qu on va vérifier. A l aide de Regscanner, on va fouiller dans les programmes qui se lancent au démarrage du système.

$En vérifiant les programmes lancés au démarrage du système dans la clé HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, on trouve qu il y a une entrée qui semble être non ordinaire.$

12 On applique une recherche Dans les 2 bases de clés HKEY_LOCAL_MACHINE qui comporte les paramètres de la machine et HKEY_CURRENT_USER qui affiche les paramètres de l utilisateur courant. En vérifiant les programmes lancés au démarrage du système dans la clé HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, on trouve qu il y a une entrée qui semble être non ordinaire. En examinant la propriété de cette entrée, on trouve qu il s agit d un keylogger.

$HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, on trouve qu il y a une entrée qui semble être non ordinaire.$

13 5. Conclusion Cet atelier nous a permis de manipuler différents outils d analyse système et de bien comprendre ce que peut engendrer une menace sur un système. En effet, notre tâche est de cerner les différents états du système à une date précise et d en détecter une anomalie d où la facilité de la génération de rapport qui décriait la menace qui a eu lieu afin de mener à bien l investigation.

En effet, notre tâche est de cerner les différents états du système à une date précise et d en

Documents pareils

SECURINETS CLUB DE LA SECURITE INFORMATIQUE INSAT. SECURIDAY 2012 Pro Edition [Investigation :Digital Forensics]

SECURINETS CLUB DE LA SECURITE INFORMATIQUE INSAT SECURIDAY 2012 Pro Edition [Investigation :Digital Forensics] Chef Atelier : Wissem BACHA (RT4) Wael EL HAJRI (RT3) Rim LAMOUCHI (RT4) Cheima BEN FRAJ