DOI: http://dx.doi.org/10.5769/C2011004 Identificação de Artefatos Periciais do eMule
Rodrigo Lange1, and Célia Ghedini Ralha2 (1) Departamento de Polícia Federal, Setor Técnico-Científico do Paraná, Curitiba, PR, Brasil, [email protected] (2) Universidade de Brasília, Departamento de Ciências da Computação, Brasília, DF, Brasil, [email protected]
Resumo — Houve um grande aumento da demanda pela arquiteturas. Atualmente, o sítio oficial do eServer 1 não está realização de exames periciais para a identificação de atividades ativo. criminosas realizadas através do compartilhamento de arquivos por redes peer-to-peer (P2P), principalmente de material A primeira versão do eMule (0.02) foi disponibilizada envolvendo a exploração sexual de crianças e adolescentes. O em julho de 2002, mas ainda não era operacional. A partir eMule é um dos programas P2P mais utilizados no Brasil e da versão 0.05a, lançada em agosto de 2002, este aplicativo representa uma significativa parcela dos casos identificados passou a apresentar as funcionalidades necessárias para a de disponibilização e divulgação de material envolvendo troca de arquivos através de redes P2P. pornografia infantojuvenil. Neste trabalho, são detalhados alguns vestígios deixados pelo aplicativo P2P eMule, os Atualmente, o eMule é um software livre, distribuído quais permitem a comprovação da materialidade delituosa. sob a GNU General Public License, e seu código-fonte é Com os resultados apresentados neste trabalho é possível o disponibilizado no sítio oficial do aplicativo2 . desenvolvimento de ferramentas para automatizar a tarefa de captura de dados do eMule, o que pode facilitar o procedimento O código-fonte do eMule, escrito em Microsoft Visual pericial de comprovação de crimes cometidos através de C++, foi utilizado para o desenvolvimento de diversos outros compartilhamento de arquivos via rede P2P. aplicativos como o DreaMule, aMule, jMule, dentre outros. A versão atual do eMule (0.50a), lançada em abril de Palavras-chave — eMule; KAD; eD2k; perícia em informática; 2010, apresenta diversas características, como o acesso às informática forense; ponto-a-ponto; P2P redes eD2k e Kademlia (também conhecida como KAD), compactação do conteúdo dos pacotes transferidos, sistema de créditos para recompensar os clientes que disponibilizam 1. Introdução arquivos, utilização de técnicas de detecção de erros na O eMule é um aplicativo peer-to-peer (P2P) de comparti- transferência de arquivos e a possibilidade de recebimento lhamento de arquivos criado para ser executado em sistemas simultâneo de partes do mesmo arquivo de clientes diferentes operacionais Microsoft Windows. Seu desenvolvimento foi (swarming) [2]. iniciado em maio de 2002, por Hendrik Breitkreuz (também O restante deste artigo será apresentado da seguinte forma: conhecido como Merkur), como uma alternativa ao progra- na Seção II discutimos aspectos de utilização do eMule; na ma eDonkey. Embora tenha sido baseado no eDonkey, fo- Seção III apresentamos o funcionamento do eMule; na Seção ram implementadas tantas funcionalidades que é possível IV descrevemos como é realizado o armazenamento de afirmar que se trata de um sistema totalmente novo [1]. dados no eMule; e finalmente, na Seção V, apresentamos as O eDonkey, um aplicativo P2P criado pela empresa Meta- conclusões e trabalhos futuros. Machine, foi lançado em 2000 e possuía algumas vantagens sobre os programas P2P da época, como o Napster. Para 2. Utilização do emule o desenvolvimento do eMule, foi realizado um processo de engenharia reversa no protocolo de rede utilizado pelo Até o início de 2011, haviam sido realizados mais de eDonkey, pois este protocolo era fechado e de propriedade 500 milhões de downloads do eMule, segundo a lista do 3 da empresa MetaMachine. Em 2006, a empresa MetaMa- SourceForge Top Downloads , tornando-o um dos aplicativos chine, em decorrência de uma ação judicial, concordou em P2P mais utilizados no mundo. O eMule foi responsável parar de dar suporte à rede eD2k, utilizada pelo eDonkey, e por aproximadamente 17% do tráfego P2P na América do pagar à Recording Industry Association of America (RIAA), Sul em 2008/2009, tendo milhões de usuários conectados entidade que representa grande parte da indústria fonográ- diariamente, compartilhando aproximadamente um bilhão fica dos Estados Unidos, trinta milhões de dólares por infra- de arquivos [3]. ções de direitos autorais. O eMule foi o aplicativo P2P mais utilizado no Brasil em O aplicativo utilizado para gerenciar a maioria dos 2008, estando presente em 17,2% dos computadores [4]. servidores do eMule é o eServer . Este aplicativo, distribuído de forma gratuita, substituiu a versão desenvolvida pela empresa MetaMachine. O eServer possui versões 1 http://lugdunum2k.free.fr/kiten.html compatíveis com diversos sistemas operacionais e diferentes 2 http://www.emule-project.net/ 3 http://sourceforge.net/top/topalltime.php?type=downloads
43 A utilização de aplicativos P2P para o compartilhamento comunidade da área. O resultado do presente estudo também de arquivos pode ser legítima como, por exemplo, a foi aplicado em ocorrências reais de perícias relacionadas distribuição de software livre. Entretanto, também é possível ao compartilhamento e disponibilização de pornografia que o emprego desse tipo de aplicativo seja ilícito, como no infantojuvenil através de redes P2P, para a verificação de uso caso de distribuição de material envolvendo a exploração do aplicativo no contexto específico. sexual de crianças e adolescentes. De acordo com [5, 6]with important consequences for child protection, policy making, 3. Funcionamento do emule and internet regulation. However, cur- rent knowledge of this activity remains very limited. We consider here a widely Nesta seção serão apresentados os conceitos básicos used P2P system, eDonkey, and focus on two key statistics: relacionados ao funcionamento do eMule. the fraction of paedophile queries entered in the system and the fraction of users who entered such queries. We A. Identificação do usuário do eMule (User ID) collect hundreds of millions of queries, design and assess a Durante a primeira execução do eMule, é criado um paedophile query detection tool, and use it to estimate these identificador do usuário denominado User ID. Esse statistics. We conclude that approximately 0.25% of queries identificador, também chamado de User Hash, possui 16 are paedophile, and that more than 0.2% of users enter bytes de tamanho e é composto de caracteres aleatórios, such queries. These statistics are by far the most precise and com exceção do 6º e o 15º bytes que são, respectivamente, 14 reliable ever obtained in this domain.”, “author” : [ { “family” : (0x0E) 4 e 111 (0x6F). “Latapy”, “given” : “Matthieu” }, { “family” : “Magnien”, “given” : “C.” }, { “family” : “Fournier”, “given” : “R.” } ], “container- title” : “IEEE Infocom Mini-Conference”, “id” : “ITEM-1”, B. Identificação da conexão do cliente do eMule “issued” : { “date-parts” : [ [ “2011” ] ] }, “note” : “
44 servidor. Assim, na próxima vez que este cliente se conectar ed2k://|file|
45 b) Advanced Intelligent Corruption Handling (AICH): O pacote de recuperação contém os hashes dos blocos da para solucionar os problemas do ICH, foi desenvol- parte solicitada, bem como os hashes de verificação de toda a vido o AICH. Neste sistema, cada parte de 9,28MB árvore de hashes. Um diagrama de um pacote de recuperação é subdividida em 53 blocos (52 de 180KB e 1 de para um arquivo com quatro partes é apresentada na Figura 1. 140KB), sendo calculado sobre cada bloco, através Para aceitar o pacote de recuperação, é realizada uma do algoritmo SHA1, o hash, denominado Block Hash. comparação do Root Hash recebido no pacote com o Root Esse conjunto de hashes forma o nível mais baixo de Hash que o eMule havia considerado confiável. Se forem um Hashset AICH. Em seguida, é calculado o hash idênticos, o eMule calcula os hashes dos 53 blocos para de dois Block Hashes adjacentes, sendo gerado um identificar qual deles está corrompido e seleciona apenas esse hash de verificação num nível acima do nível atual, bloco para ser baixado novamente. até chegar ao hash AICH da parte. Esse processo con- tinua, calculando os hashes de verificação, até chegar- -se a um único hash, denominado Root Hash. F. Compartilhamento de arquivos O número de hashes de verificação por arquivo é O eMule utiliza duas pastas para o recebimento de arquivos. A proporcional ao número de partes (chunks) desse arquivo, primeira, denominada Pasta de Arquivos Temporários, armaze- sendo necessário calcular 108 hashes para cada parte de na os arquivos enquanto ainda não foram totalmente recebidos. 9,28MB. Quando os arquivos são completamente recebidos, são movi- Caso esteja disponível toda a estrutura de hashes (Hashset dos, de forma automática, para a Pasta de Arquivos Completos. AICH), é possível a verificação de cada bloco para identificar Além de compartilhar o arquivo quando ele for qual bloco está corrompido. Caso não esteja disponível o completamente recebido, o eMule compartilha, de forma Root Hash, o eMule escolhe aleatoriamente 10 clientes que automática, as partes (chunks) do arquivo após terem sido estão compartilhando esse arquivo e solicita o Root Hash. Se recebidas e verificadas se não estão corrompidas. Assim, o pelo menos 92% dos clientes enviarem o mesmo Root Hash, conteúdo das pastas de Arquivos Temporários e de Arquivos o eMule irá considerá-lo confiável e irá utilizá-lo para a Completos é compartilhado de forma automática. identificação de corrupção do arquivo recebido. O ideal é que o Root Hash seja enviado no próprio eD2k link do arquivo. Além dessas duas pastas, o usuário também pode selecionar, de forma manual, outras pastas para compartilhamento. Quando ocorre a detecção de corrupção de uma parte, o eMule envia um pedido de um pacote de recuperação (recovery packet) para outro cliente do eMule e que esteja G. Sistema de créditos do eMule compartilhando esse arquivo. A escolha é realizada O sistema de créditos do eMule foi criado como forma de aleatoriamente e é exigido que o cliente escolhido possua incentivo para que os usuários compartilhem seus arquivos. o Hashset AICH completo, ou seja, os hashes de todos os A primeira versão do eMule a ter implementado esse sistema blocos, mais os hashes de verificação, até chegar ao Root Hash. foi a 0.19a, lançada em setembro de 2002.
Figura 1 - Exemplo de um pacote de recuperação de um arquivo com quatro partes. Adaptado da documentação oficial do eMule (http://www.emule-project.net/).
46 O sistema de créditos propicia uma maior velocidade para para armazenar informações. De acordo com o código fonte iniciar o recebimento de arquivos, pois permite avançar na do eMule, os tipos utilizados são apresentados na Tabela I. fila de espera mais rapidamente. Seu objetivo é desestimular Tabela I - Tipos Utilizados Pelo eMule a existência de usuários que apenas baixam arquivos sem compartilhar nada (free riders) [9]. Nome Código Tipo Tamanho O eMule divide a banda de envio de arquivos (upload) em X HASH 0x01 Matriz de bytes 16 bytes canais (slots), onde são atendidos os X clientes com maior pon- STRING 0x02 Caractere Variável tuação. Essa pontuação é calculada através da divisão do tempo UINT8 0x09 Inteiro (8 bits) 1 byte que o cliente está esperando na fila (em segundos) por 100 e UINT16 0x08 Inteiro (16 bits) 2 bytes a multiplicação desse resultado por um modificador (crédito). UINT32 0x03 Inteiro (32 bits) 4 bytes O modificador, por sua vez, é calculado com base na UINT64 0x0B Inteiro (64 bits) 8 bytes quantidade de dados enviados pelo cliente que está solicitando o arquivo e quanto esse cliente recebeu de dados do usuário FLOAT32 0x04 Flutuante (32 bits) 4 bytes do eMule. Quanto maior for a taxa, mais rápido será o avanço BOOL 0x05 Booleano 1 bit na fila de envio desse cliente. BOOLAR- 0x06 Matriz de bytes Variável São calculadas duas taxas (modificadores de crédito), RAY medidas em MB: BLOB 0x07 Dados binários Variável BSOB 0x0A Matriz de bytes Variável No sistema empregado pelo eMule para identificar os dados em posições variáveis, são utilizados códigos denominados TAGS. Esses códigos podem ser específicos para cada conjunto de dados (TAGs para servidores, para O menor valor entre Taxa e Taxa é utilizado como 1 2 arquivos que já foram baixados, entre outros) ou gerais. TAGs modificador da fila de envio de dados. Existem alguns limites podem ser identificadas por uma string ou por um código de para o modificador: (1) se o Total Enviado for menor que identificação (TAG especial). 1MB, o modificador é 1; (2) se foram recebidos dados desse cliente, mas nada foi enviado para ele, o modificador é 10. Se Os dados são armazenados em TAGS da seguinte forma: o cálculo acima resultar em um modificador menor que 1, ele i. Tipo da TAG (1 byte), conforme a Tabela I. é definido como 1, e se for maior que 10, é definido como 10. ii. Tamanho do nome da TAG (2 bytes) – se o tamanho for O User ID é um elemento essencial no sistema de créditos igual a 1, indica que será utilizado o código da TAG. do eMule. Para evitar fraudes, é empregado um sistema de iii. Nome ou o código da TAG. autenticação baseado em chaves pública e privada. iv. Tamanho do conteúdo da TAG (2 bytes) se for um campo de comprimento variável. Caso contrário, será o Os créditos dos clientes são armazenados localmente, não tamanho de acordo com o tipo definido. sendo propagados para outros usuários do eMule. Dessa v. Conteúdo da TAG. forma, os próprios créditos não ficam registrados localmente, mas sim nos outros clientes do eMule. Se o arquivo que Um exemplo de uma TAG de nome de arquivo é armazena os créditos for apagado, todos os clientes que apresentado na Figura 2. enviaram dados perdem o respectivo crédito.
4. Armazenamento de dados utilizado pelo emule O eMule emprega o formato little endian para armazenamento das informações. Os campos de data/hora são gravados como Unix time, que emprega quatro bytes para registrar o número de segundos desde 01/01/1970. Figura 2 - Exemplo de uma TAG de nome de arquivo. O eMule utiliza diversos arquivos para armazenar configurações e dados sobre seu funcionamento. Esses A relação dos códigos das TAGS, conforme encontrado no arquivos, descritos em detalhes nesta seção, podem conter arquivo Opcodes.h, parte do código fonte da versão 0.50a do informações em posições fixas ou podem apresentar variações eMule, é apresentado na Tabela IV, localizada na Seção VII - na posição em que os dados são gravados. Anexo. Para delimitar os dados nas posições variáveis, é empregado Serão apresentados os principais arquivos do eMule que um sistema baseado na estrutura TLV (Type, Length, Value) contém informações de interesse pericial.
47 a) Known.met: é o arquivo com o maior número de um determinado arquivo, significa que foi criado um arquivo informações com interesse pericial. Aqui são gravadas temporário (extensão .part) durante o recebimento pelo eMule. informações sobre todos os arquivos que foram Entretanto, a ausência dessa TAG não significa, com certeza, compartilhados ou baixados pelo eMule. Dentre que o arquivo não tenha sido obtido através do eMule, pois o essas informações, pode-se citar o nome do arquivo, arquivo Known.met pode ter sido apagado ou se corrompido e o tamanho, o identificador do arquivo (File ID), a o eMule, ao recriá-lo, irá adicionar todos os arquivos que estão data e hora da última modificação, a quantidade de nas pastas compartilhadas, sem a TAG 0x12. bytes transferida para outros usuários, entre outras Caso a opção “Lembrar os arquivos baixados” (Remember informações. downloaded files) seja desmarcada, o eMule não irá atualizar O primeiro byte do arquivo Known.met indica a versão o arquivo Known.met. desse arquivo, podendo ser 14 (0x0E), que não possui suporte a TAGs de 64 bits, limitanto o tamanho máximo de b) Known2_64.met: os hashes AICH dos arquivos que arquivos compartilhados a 4 GB, ou 15 (0x0F), que suporta estão sendo compartilhados são armazenados aqui. A TAGs de 64 bits e amplia o tamanho máximo dos arquivos. atualização deste arquivo também pode ser desabilitada Do segundo até o quinto byte, está armazenado o número de na opção “Lembrar os arquivos baixados”. registros presentes no arquivo. Um exemplo da análise parcial c) Cancelled.met: neste arquivo são registrados os de um arquivo Known.met é apresentado na Figura 3. arquivos que estavam sendo baixados e, antes de terem sido completamente recebidos, foram cancelados. A atualização desse arquivo pode ser desabilitada pelo usuário, caso a opção “Lembrar os arquivos cancelados” (Remember cancelled files) seja desabilitada. Até a versão 0.48a BETA1 do eMule, lançada em Deslocamento Valor Descrição 29/04/2007, era gravado o identificador (File ID) do arquivo. Cabeçalho do arquivo Known.met 0 0x0E A partir dessa versão, para aumentar a privacidade, o eMule (versão) passou a gravar o hash do File ID, dificultando, dessa forma, Número de registros presentes no 1 – 4 0x00000001 arquivo Known.met (1) a identificação dos arquivos cancelados. Data da última modificação 5 – 8 0x9E573F4E O cabeçalho atual (que mantém apenas o hash do File ID) é (08/08/2011 03:27:26 UTC) 0x0F. O cabeçalho do arquivo que mantém o File ID ao invés 0x9BE6AEE7C2 9 – 24 822AA5943549 Identificador do arquivo (File ID) do hash é 0x0E. A estrutura atual desse arquivo é apresentada Posição fixa Posição CDAB5DBF93 na Figura 4: Número de partes (chunks) em que é 25 – 26 0x0000 dividido o arquivo Número de TAGs referentes a este 27 – 30 0x00000007 registro (7) 31 0x02 Tipo da TAG (2=string) Deslocamento Valor Descrição Tamanho do nome da TAG Cabeçalho do arquivo Can- 32 – 33 0x0001 0 0x0F (0x01=código) celled.met Nome da TAG (0x01=nome do 34 0x01 1 0x01 É a versão do arquivo arquivo) É a semente (seed) para evi- 1ª Tag Tamanho do conteúdo da TAG 35 – 36 0x000F 2 – 5 0XCBDDEEE0 tar o uso de tabelas de hash (0x0F=15 bytes) Posição fixa Posição pré-calculadas (3420319456) ARQUIVO_001. Conteúdo da TAG Nome do Arqui- Número de registros presen- 37 – 51 6 – 9 0x00000014 ZIP vo (ARQUIVO_001.ZIP) tes no arquivo (20) 52 0x03 Tipo da TAG (0x03=inteiro 32 bits) 0x7EBDBA8C93 Hash do identificador do Tamanho do nome da TAG 53 – 54 0x0001 10 – 25 F070DF6B8E69 arquivo (File ID) que foi (0x01=código da TAG) 2B478C583A cancelado Nome da TAG (0x02=tamanho do 55 0x02 Tag (atualmente não são 2ª Tag 2ª Tag
arquivo) 1º Registro 26 0x00 utilizadas, apresentando Conteúdo da TAG Tamanho do 56 – 59 0x00100000 sempre o valor 0x00) Arquivo (1048576 bytes) Figura 4 - Exemplo da análise parcial de um arquivo Cancelled.met. Figura 3 - Exemplo da análise parcial de um arquivo Known.met. d) Clients.met e clients.met.bak: informações de outros Tendo em vista que o eMule armazena no arquivo Known. clientes com quem o usuário teve contato são met os arquivos que foram baixados pelo aplicativo e os que armazenados nestes arquivos. O arquivo com extensão foram compartilhados pelo usuário, é necessário criar uma .bak é uma cópia de segurança do arquivo Clients.met. forma de diferenciar essas situações. Dentre as informações armazenadas, pode-se citar Uma forma é apresentado em [8] e consiste na busca pela o identificador do cliente (User ID), a quantidade de TAG 0x12 (Nome do arquivo Part). Se existe essa TAG para bytes enviados e recebidos do cliente, a chave pública
48 do cliente (para fins de autenticação) e data e hora da última vez em que foi visto. A estrutura desse arquivo é apresentada na Figura 5. Como o identificador do cliente (User ID), armazenado no arquivo Clients.met, não guarda relação com o endereço
IP utilizado pelo cliente, a utilidade desta informação é Figura 6 – Exemplo de um arquivo downloads.txt. limitada. Entretanto, é possível a realização de pesquisas na rede eD2k tendo por objetivo a localização do cliente. Caso f) Emfriends.met: o eMule possibilita ao usuário adicionar o cliente seja encontrado, pode-se identificar o respectivo clientes a uma lista denominada Amigos (Friends). Client ID, que é baseado no endereço IP (se a conexão for Os clientes que estão presentes na lista de amigos High ID) e que pode, por sua vez, possibilitar a localização possuem alguns privilégios como, por exemplo, ter um física do computador onde está sendo executado o cliente canal (slot) específico para a transferência de dados, do eMule. sem a necessidade de esperar na fila geral de envio. As informações sobre os clientes presentes na lista de amigos como, por exemplo, o identificador do usuário (User ID), último endereço IP e porta utilizados, data e hora da última conversa (chat) com esse cliente, dentre outras, são armazenadas neste arquivo. g) Preferences.ini: neste arquivo o eMule salva diversas configurações relacionadas ao seu funcionamento. Deslocamento Valor Descrição Assim, como exemplo, a variável AppVersion=0.50a Cabeçalho do arquivo Clients. met (0x12=possui suporte para indica que a versão do eMule é 0.50a. Se a configuração 0 0x12 o sistema de créditos; 0x11 não for do tipo Ligado/Desligado, é atribuído o valor 1 para possui suporte para o sistema ligado e 0 para desligado. A Tabela II apresenta algumas de créditos)
Posição fixa Posição das informações relevantes encontradas neste arquivo. Número de clientes no arquivo 1 – 4 0x0000001A (26) Tabela II – Exemplos de Informações relevantes encontradas no arquivo 0x1528596AB80E Preferences.ini Identificador do cliente (User 5 – 20 5EEA338795EC8B ID) Variável Descrição 886F75 AppVersion Versão do eMule Quantidade de bytes enviados 21 – 24 0x00000000 Pasta de arquivos completos (local para para o cliente (0) IncomingDir onde são movidos os arquivos quando Quantidade de bytes recebidos 25 – 28 0x00007800 forem completamente recebidos) do cliente (30720) Pasta de arquivos temporários (local de Data e hora em que o clien- TempDir armazenamento dos arquivos durante o 29 – 32 0xC4D3424E te foi visto pela última vez recebimento) (10/08/2011 18:53:56) Se habilitado, o eMule será executado UploadHi (utilizado para AutoStart * juntamente com a inicialização do siste- 33 – 36 0x00000000 armazenar 64 bits de dados 1º Cliente ma operacional enviados ao usuário) Se habilitado, o eMule irá conectar-se de Autoconnect * DownloadHi (utilizado para forma automática 37 – 40 0x00000000 armazenar 64 bits de dados Se habilitado, o eMule irá se reconectar recebidos do usuário) Reconnect * de forma automática 41 – 42 0x0000 Reservado Se habilitado, o eMule irá registrar no Tamanho da chave pública do 43 0x4C UseAutocompletion * arquivo AC_SearchStrings.dat os termos cliente (76). O máximo é 80. utilizados para a busca por arquivos 44 – 119 0x 304A300D[...] Chave pública do cliente Se habilitado, o arquivo Cancelled.met 120 0x00000000 Preenchimento até chegar a 80 RememberCancelledFiles * será atualizado quando arquivos forem cancelados Figura 5 - Exemplo da análise parcial de um arquivo Clients.met. Se habilitado, o arquivo Known.met será RememberDownloadedFiles * atualizado para os arquivos que forem e) Downloads.txt e Downloads.bak: no arquivo downloads. compartilhados txt estão armazenadas a data de utilização e a pasta * Indicam variáveis do tipo ligado/desligado (0=Opção desabilitada; 1=Opção habilitada) de Arquivos Temporários. Além disso, também são registrados todos os nomes dos arquivos temporários h) Ipfilter.dat: este arquivo é utilizado como um filtro de com extensão .part (utilizado durante o recebimento conexões não desejadas. As requisições de clientes cujos de dados) e os respectivos links eD2k. O arquivo com endereços IP estão relacionados neste arquivo não extensão .bak é uma cópia de segurança do arquivo com serão respondidas pelo eMule, nem serão permitidas extensão .txt. Um exemplo de arquivo downloads.txt é conexões para estes clientes. O eMule permite que seja apresentado na Figura 6. informada uma URL para a atualização automática
49 desse arquivo. Dentre os IPs bloqueados encontram- de histórico)” (Auto completion (history function)) se, normalmente, endereços de órgãos relacionados estejam habilitadas (variável “UseAutocompletion” do à segurança pública e de entidades privadas, como a arquivo Preferences.ini). Polícia Federal e a Associação de Defesa da Propriedade Intelectual. Em cada linha deste arquivo é informado o endereço IP (ou conjunto de endereços IP) e uma breve identificação desses endereços. i) Preferences.dat: o identificador do usuário (User ID) e Deslocamento Valor Descrição informações sobre o posicionamento e tamanho das Cabeçalho do arquivo Server.met 0 0xE0 janelas do eMule são armazenados neste arquivo. A (versão) Figura 7 apresenta a análise de um arquivo Preferen- fixa Número de registros presentes no Posição Posição 1 – 4 0x00000004 arquivo Server.met ces.dat. Endereço IP do servidor 5 – 8 0x58BF516F (88.191.81.111) Porta utilizada para comunicação 9 – 10 0x1BC7 (7111)
Posição fixa Posição 11 – 14 0x00000010 Número de TAGs deste registro (16) Deslocamento Valor Descrição 15 0x02 Tipo da TAG (0x02=string) Tamanho do nome da TAG 0 0x14 Versão do arquivo Preferences.dat 16 – 17 0x0001 0x46051FC274 (0x01=código) 1 – 16 0E992015E1BE Identificador do usuário (User ID) Nome da TAG (0x01=nome do 18 0x01 servidor) E59DC46FDC 1ª Tag Tamanho do conteúdo da TAG Posição fixa Posição Configurações sobre o posiciona- 19 – 20 0x000C 17 – 60 0x2C00[...] (12 bytes)
mento das janelas do eMule 1º Servidor 21 – 32 PEERATES.NET Nome do servidor Figura 7 – Exemplo da análise de um arquivo Preferences.dat. 33 0x02 Tipo da TAG (0x02=string) Tamanho do nome da TAG 34 – 35 0x0001 j) Sharedir.dat: os nomes das pastas selecionadas pelo (0x01=código) usuário para serem compartilhadas são armazenados 36 0x0B Nome da TAG (0x0B=descrição) Tamanho do conteúdo da TAG neste arquivo, em formato Unicode. A ordem em que as 2ª Tag 37 – 38 0x0017 (23 bytes) pastas compartilhadas aparecem no arquivo não guarda http://edk. 39 Descrição do servidor relação com o momento em que foram compartilhadas, peerates.net pois o Emule ordena as pastas de forma alfabética. Figura 8 - Exemplo da análise parcial de um arquivo Server.met. k) Server.met: a relação dos servidores utilizados pelo eMule encontra-se neste arquivo. A relevância pericial o) AC_ServerMetURLs.dat: o eMule permite que sejam está na identificação do país em que está localizado informadas URLs para obtenção de arquivos Server.met o servidor, pois se houver o envio de material ilícito atualizados. Os endereços digitados pelo usuário para ao exterior, tal parâmetro poderá determinar em que a obtenção de arquivos Server.met são armazenados no esfera o fato será investigado. Um exemplo de análise arquivo AC_ServerMetURLs.dat. desse arquivo é apresentado na Figura 8. Na Tabela V p) Storedsearches.met: arquivo utilizado para o apresentada na Seção VII – Anexo encontramos os armazenamento do resultado de buscas. É atualizado códigos das TAGs localizadas no arquivo Server.met. caso a opção “Lembrar pesquisas abertas entre sessões” l) Staticservers.dat: aqui são registrados os servidores do (Remember open searches between restarts) esteja eMule cadastrados pelo usuário e que possuem endereço habilitada. IP estático ou que possuem nomes de domínio que q) Cryptkey.dat: armazena a chave privada RSA de 384 podem ser resolvidos por servidores DNS. É possível bits do usuário. É utilizada na autenticação com outros que o eMule seja configurado para acessar somente os usuários no sistema de créditos do eMule, para evitar servidores presentes nesta lista. que um cliente malicioso tente aproveitar-se de créditos m) Addresses.dat: o eMule permite que sejam informadas alheios. URLs para obtenção, de forma automática, de arquivos r) Statistics.ini: é o local onde as estatísticas de server.met atualizados quando o eMule é executado. funcionamento do eMule são armazenadas. A Tabela Esses endereços são armazenados neste arquivo e, III apresenta algumas informações que podem ser encontradas neste arquivo. embora seja possível informar mais de um, apenas o primeiro endereço que fornecer um arquivo server.met Tabela III – Exemplos de informações relevantes presentes no arquivo válido será utilizado. Statistics.ini n) AC_SearchStrings.dat: cada palavra utilizada pelo Variável Descrição Quantidade total de bytes recebidos (down- usuário na busca por arquivos é armazenada neste TotalDownloadedBytes arquivo, desde que as opções “Auto-conclusão (função load)
50 Variável Descrição TotalUploadedBytes Quantidade total de bytes enviados (upload) Quantidade de arquivos que foram inteira- DownCompletedFiles mente recebidos Tempo (em segundos) em que o cliente do Deslocamento Valor Descrição ConnRunTime eMule ficou conectado Cabeçalho do arqui- Tempo (em segundos) em que o cliente do vo com extensão .part. ConnUploadTime eMule enviou dados (upload) 0 0xE0 met (0xE0=normal; 0xE2=arquivos com mais de Tempo (em segundos) em que o cliente do ConnDownloadTime 4GB) eMule recebeu dados (download) Data da última gravação Data e hora (em formato Unix time) da últi- 1 – 4 0x4E43A84A (11/08/2011 10:0:42 UTC) statsDateTimeLastReset ma vez em que as estatísticas de uso foram 0x71A3550F7C86
reiniciadas Fixa Posição Identificador do arquivo 5 – 20 21475DA1CB5FC3 (File ID) s) Arquivos com extensão .part: os arquivos, enquanto 33CAC0 estão sendo recebidos pelo eMule, ficam armazenados 21 – 22 0x0000 Número de partes (chunks) na pasta de Arquivos Temporários. Os nomes dos 23 – 26 0x00000008 Número de TAGS (8) arquivos são substituídos por uma sequência numérica 27 0x02 Tipo da TAG (0x02=string) Tamanho do nome da TAG e possuem extensão .part. Quando o recebimento do 28 – 29 0x0001 (0x01=código) arquivo é concluído, ele é renomeado para o nome Nome da TAG (0x01=nome 30 0x01 do arquivo) original, movido para a pasta de arquivos completos e 1ª Tag Tamanho do conteúdo da seu conteúdo é compartilhado. Quando uma parte do 31 – 32 0x0013 arquivo é recebida, o eMule calcula o identificador da TAG (19 bytes) parte e verifica se está corrompida. Caso o identificador 33 – 51 arq_0_000_010kb_000 Nome do arquivo esteja correto, a parte é compartilhada de forma 52 0x03 Tipo da TAG (0x03=int32) Tamanho do nome da TAG automática. O compartilhamento de arquivos que estão 53 – 54 0x0001 (0x01=código) sendo recebidos não pode ser desabilitado 5. 2ª Tag Nome da TAG t) Arquivos com extensão .part.met e .part.met.bak: 55 0x02 (0x02=tamanho do arquivo) armazenam as informações relacionadas à transferência 56 – 59 0x000028E1 Tamanho do arquivo do arquivo com extensão .part (descrito acima). O Figura 9 - Exemplo da análise parcial de um arquivo com extensão .part.met. arquivo .part.met.bak é uma cópia de segurança, criada pelo eMule, do arquivo .part.met. A análise de Este trabalho apresentou alguns dos principais vestígios um exemplo desse arquivo é apresentada na Figura deixados pelo aplicativo P2P eMule. A identificação, 9. Na Tabela VI, apresentada na Seção VII – Anexo, localização e interpretação correta dos dados obtidos pela encontramos os códigos das TAGs dos arquivos com perícia são de fundamental importância para a determinação extensão .part.met. de autoria e materialidade criminosa. u) src_index.dat, preferencesKad.dat, nodes.dat, key_index. dat, load_index.dat: as informações relacionadas à rede Com as informações apresentadas no presente artigo, KAD são armazenadas nestes arquivos. A rede KAD é possível o desenvolvimento de ferramentas que possam funciona de forma descentralizada e pode ser acessada automatizar a tarefa de obtenção de dados relacionados concomitantemente com a rede eD2k. A principal ao eMule. Também pode servir como ponto de início para utilização dessa rede é a busca de fontes de arquivos. uma abordagem em tempo real (live Forensics). Outra possibilidade seria a localização de artefatos com relevância 5. CONCLUSÃO pericial em fluxos de rede, possivelmente com o emprego de técnicas de Inteligência Artificial para a identificação dos Como apresentado em [10], a utilização de técnicas pacotes relativos ao aplicativo eMule, tendo em vista a grande periciais problemáticas pode levar a conclusões incorretas. quantidade de informações que são transferidas nas atuais Dessa forma, é necessário que os peritos criminais tenham conexões de rede. grande conhecimento sobre os artefatos deixados pelos programas que estão sendo analisados. Referências Erros na avaliação podem acarretar desperdício de [1] L. Caviglione and F. Davoli, “Traffic volume analysis of a nation-wide recursos e na redução da confiança da sociedade no trabalho eMule community,” Computer Communications, vol. 31, no. 10. pp. policial [11]. 2485-2495, Jun-2008. [2] L. Sheng, X. Dong, J. Song, and K. Xie, “Traffic Locality in the eMule System,” 2010 First International Conference on Networking and Distributed Computing, pp. 387-391, Oct. 2010. [3] H. Schulze and K. Mochalski, “Internet Study 2008/2009,” IPOQUE 5 Perguntas e respostas do eMule. Disponível em: http://emule-project. Report. 2009. net/home/perl/help.cgi?l=1&rm=show_to pic&topic_id=311#unshare. [4] J. R. S. de Oliveira and E. E. da Silva, “EspiaMule e Wyoming ToolKit: Acesso em: 28/jul/2011. Ferramentas de Repressão à Exploração Sexual Infanto-Juvenil em
51 Redes Peer-to-Peer,” in The Fourth International Conference on Forensic Principais TAGs encontradas no arquivo KNOWN.MET Computer Science, 2009, pp. 108-113. Nome e código da [5] M. Latapy, C. Magnien, and R. Fournier, “Quantifying paedophile Tipo Descrição TAG activity in a large P2P system,” in IEEE Infocom Mini-Conference, 2011, Lastshared Última vez que o arquivo foi pp. 1-24. uint32 [6] M. Taylor, J. Haggerty, D. Gresty, and P. Fergus, “Forensic investigation (0x34) compartilhado of peer-to-peer networks,” Network Security, vol. 2010, no. 9, pp. 12-15, Aichhashset uint32 Hashset AICH Sep. 2010. (0x35) [7] P. Fagundes, “Fighting Internet Child Pornography - The Brazilian Utilizada em conjunto com a TAG de Experience,” The Police Chief, vol. LXXVI, no. 9, 2009. tamanho do arquivo de 32 bits para Filesize_hi [8] S. Christensen, An IT-Forensic Examination of P2P Clients. 2009, p. 145. uint32 representar o tamanho de arquivos em (0x3a) [9] Y. Li and D. Gruenbacher, “Analysis of P2P file sharing network’s credit 64 bits. Empregada apenas quando o system for fairness management,” in 2010 IEEE Network Operations cliente não suportar Tags de 64 bits. and Management Symposium - NOMS 2010, 2010, pp. 88-95. Attransferred Quantidade de bytes enviados (uplo- uint32 [10] M. Piatek, T. Kohno, and A. Krishnamurthy, “Challenges and directions (0x50) ad) for monitoring P2P file sharing networks -or- why my printer received Atrequested Número de pedidos de transferência a DMCA takedown notice,” in Proceedings of the 3rd conference on Hot uint32 (0x51) de arquivos topics in security, 2008, pp. 1–7. Ataccepted Número de pedidos aceitos de transfe- [11] M. Liberatore, R. Erdely, T. Kerle, B. N. Levine, and C. Shields, “Forensic uint32 Investigation of Peer-to-Peer File Sharing Networks,” Computer, no. (0x52) rência de arquivos October, pp. 1-11, 2009. Category uint32 Categoria (0x53) Utilizada em conjunto com a TAG ANEXO Attransferredhi uint32 Attransferred para representar o tempo (0x54) Tabela IV – Principais TAGs Encontradas no Arquivo Known.Met de transferência de arquivos. Maxsources Número máximo de fontes (pode ser Principais TAGs encontradas no arquivo KNOWN.MET uint32 (0x55) configurado pelo usuário) Nome e código da Tipo Descrição Media_artist TAG string Nome do artista da mídia (0xd0) Filename string Nome do arquivo Media_album (0x01) string Nome do álbum da mídia (0xd1) Tamanho do arquivo. Se for utilizado Media_title Filesize uint32 o tipo de 32 bits, o limite de tamanho string Título da mídia (0x02) uint64 de arquivo é 4 GB. O tipo de 64 bits (0xd2) Media_length Tempo de duração da mídia (em suporta arquivos maiores de 4 GB. uint32 Tipo do arquivo. Valores possíveis: (0xd3) segundos) Filetype string “Audio”, “Video”, “Image”, “Doc” e Media_bitrate (0x03) uint32 Bitrate da mídia “ P r o”. (0xd4) Fileformat Media_codec string Formato do arquivo string Codec da mídia (0x04) (0xd5) Lastseencomplete Última vez que foi visto completo uint32 (0x05) (Unix time) Quantidade de bytes que foi transfe- Tabela V –TAGs Encontradas no Arquivo Server.Met rido. Se for utilizado o tipo de 32 bits, Transferred uint32 TAGs do arquivo SERVER.MET o limite de tamanho de arquivo é 4 (0x08) uint64 Nome e código da GB. O tipo de 64 bits suporta arquivos Tipo Descrição TAG maiores de 4 GB. Servername Nome do arquivo .part (nome tempo- string Nome do servidor (0x01) rário utilizado enquanto é realizado Partfilename string o recebimento do arquivo). Só existe Description (0x12) string Breve descrição do servidor para arquivos que foram recebidos (0x0b) Tempo (em milissegundos) necessário através do eMule. Ping uint32 para se comunicar com o servidor Prioridade de download. (0x0c) Dlpriority Valores possíveis: 0=Baixa; 1=Normal; (ping) uint8 Fail Número de vezes em que não foi pos- (0x18) 2=Alta; 3=Lançamento; 4=Muito uint32 Baixa; 5=Automática (0x0d) sível comunicar-se com o servidor Preference Prioridade dada a este servidor Prioridade de upload. uint32 Ulpriority Valores possíveis: 0=Baixa; 1=Normal; (0x0e) (0=Normal, 1=Alta, 2=Baixa) uint8 (0x19) 2=Alta; 3=Release; 4=Muito Baixa; Port uint32 Porta principal utilizada 5=Automática (0x0f) Kadlastpublishsrc Data e hora em que foi compartilhado Ip uint32 uint32 Endereço IP do servidor (0x21) pela última vez na rede KAD (0x10) Dl_active_time Dynip uint32 Tempo de download (em segundos) string Nome de domínio do servidor (0x23) (0x85) Aich_hash Maxusers Número máximo de usuários simultâ- hash Hash AICH uint32 (0x27) (0x87) neos que o servidor suporta Filehash Softfiles hash Identificador do arquivo (File ID) uint32 Número de “soft files” (0x28) (0x88)
52 TAGs do arquivo SERVER.MET Principais TAGs encontradas nos arquivos com extensão .PART.MET Nome e código da Nome e código da Tipo Descrição Tipo Descrição TAG TAG Hardfiles Prioridade de download. uint32 Número de “hard files” (0x89) Dlpriority Valores possíveis: 0=Baixa; 1=Normal; uint8 Lastping Última vez que o servidor respondeu (0x18) 2=Alta; 3=Release; 4=Muito Baixa; uint32 (0x90) ao pacote ping 5=Automática Version string Versão ou nome do servidor (pode ser Prioridade de upload. Ulpriority Valores possíveis: 0=Baixa; 1=Normal; (0x91) uint32 numérico ou sequência de caracteres) uint8 Udpflags Informa se o servidor aceita conexões (0x19) 2=Alta; 3=Lançamento; 4=Muito uint32 (0x92) através do protocolo UDP Baixa; 5=Automática Portas adicionais (além da porta Compression uint32 Quantidade de bytes economizados Auxportslist padrão) utilizadas pelo servidor para (0x1a) uint64 com a compressão string (0x93) comunicação com os clientes do Corrupted uint32 Quantidade de bytes desperdiçados eMule (0x1b) uint64 com a corrupção de dados Lowidusers Número de usuários conectados com Kadlastpublishsrc Data e hora em que foi compartilhado uint32 uint32 (0x94) Low ID (0x21) pela última vez na rede KAD Udpkey Utilizado para ofuscar a comunicação Dl_active_time uint32 uint32 Tempo de download (em segundos) (0x95) através de pacotes UDP (0x23) Udpkeyip Utilizado para ofuscar a comunicação Aich_hash uint32 Hash AICH (0x96) através de pacotes UDP (0x27) Tcpportobfuscation Porta TCP utilizada pelo servidor para Attransferred Quantidade de bytes enviados (uplo- uint16 uint32 (0x97) ofuscação (0x50) ad) Udpportobfuscation Porta UDP utilizada pelo servidor Atrequested Número de pedidos de transferência uint16 uint32 (0x98) para ofuscação (0x51) de arquivos Ataccepted Número de pedidos aceitos de transfe- uint32 (0x52) rência de arquivos Category Tabela VI – Principais TAGs Encontradas nos uint32 Categoria Arquivos com Extensão .PART.MET (0x53) Utilizada em conjunto com a TAG Attransferredhi Principais TAGs encontradas nos arquivos com extensão .PART.MET uint32 Attransferred para representar o tem- Nome e código da (0x54) Tipo Descrição po de transferência de arquivos. TAG Filename string Nome do arquivo (0x01) Tamanho do arquivo. Se for utilizado Filesize uint32 o tipo de 32 bits, o limite de tamanho (0x02) uint64 de arquivo é 4 GB. O tipo de 64 bits suporta arquivos maiores de 4 GB. Tipo do arquivo. Valores possíveis: Filetype string “Audio”, “Video”, “Image”, “Doc” e (0x03) “ P r o”. Lastseencomplete Última vez que foi visto completo uint32 (0x05) (Unix time) Quantidade de bytes que foi transfe- rido. Se for utilizado o tipo de 32 bits, Transferred uint32 o limite de tamanho de arquivo é 4 (0x08) uint64 GB. O tipo de 64 bits suporta arquivos maiores de 4 GB. Início do intervalo que ainda não foi recebido. Se for utilizado o tipo de 32 Gapstart uint32 bits, o limite de tamanho de arquivo é (0x09) uint64 4 GB. O tipo de 64 bits suporta arqui- vos maiores de 4 GB. Final do intervalo que ainda não foi recebido. Se for utilizado o tipo de 32 Gapend uint32 bits, o limite de tamanho de arquivo é (0x0a) uint64 4 GB. O tipo de 64 bits suporta arqui- vos maiores de 4 GB. Nome do arquivo .part (nome tempo- Partfilename string rário utilizado enquanto é realizado o (0x12) recebimento do arquivo). Status uint32 Status da transferência (1=pausado) (0x14)
53