CASO PRACTICO

CASO PRACTICO

1. 1. IDENTIFICACION DEL SISTEMA

2. 2. IDENTIFICACION DE EVIDENCIAS VOLATILES

   • Recoleccion de evidencias volatiles
     • Por que su disponibilidad es temporal
     • y por que normalmente es eliminada tras el apagado del sistema.
   • Comprobacion de integridad de ficheros
     • Hash en algoritmo SHA-512

3. 3. HORA Y FECHA DEL SISTEMA

   • Nos ayuda a crear una linea temporal que dara forma al analisis
   • Powershell
     • Haremos que se muestre y guarde en un fichero local la informacion
       • date /t > FechaYHoraDeInicio.txt &time /t >> FechaYHoraDeInicio.txt
       • Sistema FAT
         • Sel almacenan en base al tiempo local del ordenador
         • Se encuentra afectados si se visualiazan en una region u otra con diferente franga horaria o verano respecto a invierno
       • Sistema NTFS
         • Se almacena en formato UTC
         • No se ven afectados por cambios en la zona horaria o en el horario de verano

4. 4. VOLCADO DE LA MEMORIA

   • Paso mas delicado del análisis
     • arrojará información relacionada con la mayoría de los malware.
     • Datos de diversas fuentes
       • conexiones establecidas
       • procesos
       • etc...
       • Instrucciones de memoria
   • Obtener la memoria
     • Memoria Fisica
       • Memoria real del sistema
     • Memoria virtual
       • fichero de paginación pagefile.sys.
       • Optimiza el uso de memoria ram
         • S.O. envía ahí temporalmente la información que no sea necesaria en ese momento para los procesos en ejecución y posteriormente la recupera en el caso de alguno se la solicite.
     • Aparte de la memoria física del sistema, también es de gran interés obtener la memoria virtual,
   • Herramienta
     • Belkasoft Live RAM Capturer.
     • Dumplt
   • Imagen de memoria

5. 5. PROCESOS

   • Nos indica que acciones esta llevando el equipo en el momento de la extraccion
     • Actividad fuera de lo comun ejcutandose en un momento dado
   • Herramienta para el analisis y extraccion
     • Volatility
     • A partir de la imagen de memoria

6. 6. SERVICIOS

   • Extraeremos la informacion de los servicios en ejecucion actualmente

7. 7. USUARIOS

   • Es de utilidad saber que usuarios estan actualmente con la sesion iniciada en el sistema o qeu alguna vez lo hayan hecho
   • Aplicacion
     • PSLoggedOn

8. 8. ESTADO DE LA RED

   • Identificar
     • nuestro equipo mediante su direccion IP
     • Lista de interfaces de red
   • ipconfig
   • Vamos a intentar localizar cualquier comunicacion
     • nos dara una idea de cual es la amenaza que estamos enfrentando

9. 9. CONEXIONES ESTABLECIDAS

   • Conexiones de red nos indican
     • actividad oculta
     • nos indicará si tenemos alguna puerta trasera esperando a ser utilizada para acceder al sistema.
     • que otros equipos estan dentro de su radio de accion
   • Detectamos
     • conexiones establecidas a nivel de NetBios

10. 10. Conexiones activas y puertos abiertos

    • buscaremos indicios de puertos en escucha fuera de lo común, que podría estar a la de un “knock-code” o acceso remoto malintencionado.

11. 11. Caché DNS

    • En este se puede visualizar dicha asociación con respecto a los dominios a los que se ha accedido desde el equipo.
      • nombre y direccion de dominio
    • Obtener listado
      • Ipconfig /displaydns

12. 12. Caché ARP

    • Podemos investigar la tabla ARP
      • Contiene relacion entre
        • IP
        • Mac
    • Llegados a este punto desconectaremos el equipo de la red con el fin de minimizar la fuga de información.

13. 13. Contraseñas

    • comprobar las contraseñas almacenadas en el equipo para recursos de red.
      • Podemos saber si una contraseña ha sido comprometida, y por lo tanto debemos cambiarla

14. 14. Registros y autoejecutables

    • Registro de Windows
      • Todo lo que esta configurado en el equipo tiene una entrada de registro asociada
      • Relacion de llaves y valores
        • Describen con lujo de detalles el comportamiento del S.O.
      • fichero de registros
        • no son volatiles
        • son accesibles desde una imagen forense

15. 15. Arbol de directorios

    • para extraer el árbol de carpetas mientras el equipo sigue vivo.

16. 16. Ficheros recientes

    • Informacion que se incluye en el regitro
    • Cuando sospechamos que el equipo pueda estar infectado por un malware
      • Aislar ultimos fichero abiertos
      • recuperar un hilo temporal

17. Otras capturas no aplicables

    • A pesar de que hemos tomado muestras y datos de varios apartados del sistema, existen algunos otros que pueden ser extraídos mediante técnicas en el sistema operativo,
      • Dispositivos USB conectados
      • Listado de redes WIFI a las que se ha conectado un equipo
      • Configuracion de
        • Windows Security Center
        • Windows Action Center
      • Firewall de windows
      • Asociaciones de ficheros con depuradores
      • MUICache
      • LastVisitedMRU / LastVisitedPidlMRU
      • OpenSaveMRU
      • Browser Helper Objects (BHO)
      • Información cacheada de los navegadores
      • Histórico de la pantalla de consola
      • Información de portapapeles
      • Historial de Internet
      • Últimas búsquedas
      • Cookies
      • Volúmenes cifrados
      • Unidades mapeadas
      • Carpetas compartidas
      • Grabaciones pendientes