Tecnicas Anti-Forenses Informaticas
Total Page：16
File Type：pdf, Size：1020Kb
Universidad Nacional de C´ordoba Facultad de Matem´atica,Astronom´ıay F´ısica Especializaci´onen Criminal´ısticay Actividades Periciales Trabajo Final Integrador "T´ecnicasAnti-Forenses Inform´aticas" Autor: Lic. Miguel Dar´ıoVasquez Director: MCs. Ing. Eduardo Casanovas C´ordoba- Marzo 2016 Este trabajo se distribuye bajo una Licencia Creative Commons Atribuci´on-NoComercial-CompartirIgual2.5 Argentina. Para ver una copia de esta licencia, visitar: http://creativecommons.org/licenses/by-nc-sa/2.5/ar/ TECNICAS´ ANTI-FORENSES INFORMATICAS´ v Agradecimientos A Fernando Comu~nez, docente del m´odulode Marco Jur´ıdico,qui´enfacilit´oparte de la bibliograf´ıapara dar el contexto legal con respecto a los delitos inform´aticos. A la empresa Intel, que permiti´otener horarios laborales flexibles para cursar la especializaci´onen tiempo y forma durante estos dos ´ultimosa~nos. A Eduardo Casanovas, quien acepto dirigir el trabajo, revisarlo y sugerir mejoras. A los miembros del Tribunal Evaluador, quienes accedieron participar de la evaluaci´on del Trabajo Final Integrador. TECNICAS´ ANTI-FORENSES INFORMATICAS´ vi Prefacio El Trabajo Final Integrador fue concebido como una monograf´ıacon el estado del arte de las t´ecnicasanti-forenses inform´aticasm´asutilizadas en la actualidad. Se han abordado conceptos de los siguientes m´odulos: Inform´atica Forense: estudiando las diferentes t´ecnicas anti-forenses que pueden dificultar la investigaci´onde un perito forense inform´atico. An´alisisde Im´agenes: analizando los formatos de im´agenesy videos para uso de esteganograf´ıa. Metodolog´ıa de la Investigaci´on: resaltando que los procedimientos y metodolog´ıas forenses no son infalibles y tambi´enpueden ser atacados. Marco Jur´ıdico: comparando la legislaci´onargentina con la internacional, respecto a los delitos inform´aticos. Etica´ y Deontolog´ıa: tratando de justificar la importancia del "hacker ´etico"como impulsor de nuevas t´ecnicasanti-forenses y mencionado los principios ´eticosque deber´ıa adoptar un profesional inform´atico. El objetivo general es entender c´omopiensa y act´uaun delincuente inform´aticopara dificultar la investigaci´onde un perito forense inform´atico.El conocimiento de las t´ecnicas anti-forenses resulta de utilidad al perito oficial que lleva adelante la investigaci´on,para pensar en formas alternativas de buscar la evidencia digital. Por otro lado tambi´enle resulta ´utilal perito de control, para defender a su parte y cuestionar los procedimientos forenses. Notar que este conocimiento tambi´en podr´ıa ser mal utilizado por un "hacker anti-forense". En ese sentido este trabajo no realiza apolog´ıade delitos inform´aticos,sino que tiene fines educativos y profesionales. Se pretende concientizar que estas pr´acticasexisten y hay que saber lidiar con ellas. TECNICAS´ ANTI-FORENSES INFORMATICAS´ vii ´Indice General Prefacio . vi ´Indice General . ix ´Indice de Abreviaturas . xi ´Indice de Figuras . xii ´Indice de Tablas . xiii Resumen . xiv Summary . xv 1 Introducci´on 1 I T´ecnicasAnti-forenses 3 2 Ocultamiento de Datos 4 2.1 Criptograf´ıa . 4 2.1.1 Cifrado de Discos . 4 2.1.2 Cifrado de Discos por Hardware . 5 2.1.3 Cifrado de Discos Virtuales . 6 2.1.4 Sistemas de Archivos Criptogr´aficos. 6 2.1.5 Sistemas de Archivos con Cifrado . 6 2.1.6 Protocolos de Comunicaci´on. 6 2.2 Esteganograf´ıa. 11 2.2.1 Texto . 12 2.2.2 Audio . 12 2.2.3 Imagen . 13 2.2.4 Video . 15 2.2.5 Protocolos de Red . 15 2.3 Empaquetadores de Programas . 16 2.4 Otras Formas de Ocultamiento . 16 3 Eliminaci´onde Datos 17 3.1 Sanitizaci´on . 17 3.1.1 Tipos . 17 3.1.2 Taxonom´ıade los Datos . 18 3.1.3 Sanitizaci´onpor Software . 19 TECNICAS´ ANTI-FORENSES INFORMATICAS´ viii 3.2 Destrucci´onF´ısica . 20 4 Anticoncepci´onde Datos 22 4.1 Syscall Proxying . 22 4.2 Compiladores/Emsambladores en Memoria . 22 4.3 Inyecci´onde C´odigoen Memoria . 23 4.4 Manipulaci´ondel Kernel . 23 4.5 Live Distros . 23 4.6 M´aquinasVirtuales . 24 5 Ofuscaci´on 25 5.1 Sobrescritura de Metadatos . 25 5.1.1 Atributos de Archivos . 25 5.1.2 Im´agenesJPEG . 25 5.2 E-mails . 26 5.2.1 Sistema de Punto Muerto . 27 5.2.2 Spam combinado con Esteganograf´ıa . 27 5.2.3 Falsificaci´onde Encabezados . 28 6 Ataques al Software Forense 30 6.1 Fallas en la Validaci´onde Datos . 30 6.2 Denegaci´onde Servicio . 30 6.3 Heur´ısticasFr´agiles . 31 6.4 Integridad del Hash . 32 6.5 Contrarrestar el An´alisisForense . 32 6.6 Detectar el Monitoreo de Red . 32 7 Ataques a Procedimientos Forenses 33 II Marco Legal y Etico´ 35 8 Marco Legal 36 8.1 Delitos Inform´aticos . 36 8.1.1 Perfiles de Delincuentes . 36 8.1.2 Legislaci´onRetrasada . 37 8.1.3 Dificultad para Juzgar . 37 8.1.4 Dificultad para Capturar . 38 8.2 Legislaci´onInternacional . 39 8.2.1 Legislaci´onen Sudam´erica . 39 8.2.2 Legislaci´onde EE.UU. 40 TECNICAS´ ANTI-FORENSES INFORMATICAS´ ix 8.2.3 Convenio sobre Ciberdelincuencia de Budapest . 42 8.2.4 Ley de Protecci´onde Datos de la Uni´onEuropea . 44 8.2.5 Contenido Restringido . 44 8.2.6 Criptograf´ıa . 44 8.3 Legislaci´onArgentina . 45 8.3.1 Evoluci´on . 45 8.3.2 Ley 26.388 . 46 8.3.3 Comparaci´oncon el Convenio de Budapest . 47 9 Marco Etico´ 49 9.1 Concepto de Hacker . 49 9.2 El Hacker Etico´ . 50 9.3 Test de Penetraci´on. 51 9.4 C´odigosde Etica´ . 51 III Discusi´on 53 10 Conclusiones 54 10.1 Aspectos T´ecnicos. 54 10.2 Aspectos Metodol´ogicos . 55 10.3 Aspectos Legales . 55 10.4 Aspectos Eticos´ . 56 10.5 Reflexi´onFinal . 56 Anexo I: Herramientas Anti-forenses 57 Glosario 61 Bibliograf´ıa 62 TECNICAS´ ANTI-FORENSES INFORMATICAS´ x ´Indice de Abreviaturas ACM Association for Computing Machinery. 51 AES Advanced Encryption Standard. 5, 7 AIFF Audio Interchange File Format. 12 ATA Advanced Technology Attachment. 16 BPCS Bit-Plane Complexity Segmentation. 14 CEI Computer Ethics Institute. 52 DBAN Darik's Boot and Nuke. 20 DCO Device Configuration Overlay. 16 DCT Discrete Cosine Transform. 14, 15, 25 DFT Discrete Fourier Transform. 13, 14 DNS Domain Name Server. 32 DoS Denial of Service. 30, 37 DWT Discrete Wavelet Transform. 14 EBE Edges Based Embedding. 14 FDE Full Disk Encryption. 5 HDD Hard Disk Drive. 5, 19 HPA Host Protected Area. 16, 19 ICMP Internet Control Message Protocol. 15 IEEE Institute of Electrical and Electronic Engineers. 8, 51 IMEI International Mobile Equipment Identity. 47 IMSI International Mobile Suscriber Identity. 47 IP Internet Protocol. 7, 9, 15, 32, 47 JPEG Joint Photographic Experts Group. 25 LSB Least Significative Bit. 13 MD5 Message Digest Algorithm 5. 7 MP3 MPEG Audio Layer 3. 12 NSA National Security Agency. 17 OSI Open System Interconnection. 15 PVD Pixel Value Differencing. 14 RC4 Rivest Cipher 4. 7 RGB Red Green Blue. 25 RPE Random Pixel Embedding. 14 SED Self Encrypting Drive. 5 TECNICAS´ ANTI-FORENSES INFORMATICAS´ xi SHA Secure Hash Algorithm. 7 SMART Self-Monitoring Analysis and Reporting Technology. 32 SOCKS Socket Secure. 10 SSD Solid State Drive. 5, 20, 54 SSL Secure Socket Layer. 7 TCP Transmission Control Protocol. 7, 10, 15 TKIP Temporal Key Integrity Protocol. 8 TLS Transport Layer Security. 7 TPVD Tri-way Pixel Value Differencing. 15 UDP User Datagram Protocol. 15 USB Universal Serial Bus. 5, 20, 24, 54 US-CERT United States Computer Emergency Readiness Team. 1 VPN Virtual Private Network. 7 WAV Waveform Audio File Format. 12 WEP Wired Equivalent Privacy. 8 WPA Wi-Fi Protected Access. 8 TECNICAS´ ANTI-FORENSES INFORMATICAS´ xii ´Indice de Figuras 2.1 SSL durante la navegaci´onweb . 8 2.2 Red privada virtual . 8 2.3 Handshake del protocolo WPA2 . 9 2.4 Usos reales de Tor . 10 2.5 Esquema de una conexi´onen Tor . 11 2.6 Esquema general de un sistema esteganogr´afico . 12 4.1 Diagrama de secuencia de Syscall Proxying . 23 5.1 Proceso de compresi´onJPEG y proceso de modificaci´onanti-forense . 26 5.2 Sistema de e-mail dead drop . 27 5.3 Spam combinado con esteganograf´ıa. 28 5.4 Falsificaci´onde encabezados utilizando SquirrelMail . 29 6.1 Estructura del archivo 42.zip . 31 TECNICAS´ ANTI-FORENSES INFORMATICAS´ xiii ´Indice de Tablas 3.1 Sanitizaci´onen diferentes medios de almacenamiento . 21 7.1 Ataques contra los procedimientos forenses . 34 9.1 Contraste de ley vs. ´etica . ..