Deftcon 2012 - Paolo Dal Checco - Timeline e Supertimeline

Timeline e SupertimelineAnalisi temporale dell’attività di un PC con DEFT 7

Creative Commons Attribuzione-Non opere derivate 2.5

Dr. Paolo Dal [email protected]

DEFTCON 2012 - Torino

Friday, March 30, 2012


Dr. Paolo Dal Checco - [email protected]

La cosiddetta “timeline”

• Con “timeline” ci si riferisce a un documento, un elenco, una lista di attività (manuali o automatiche) avvenute sul PC ordinata per giorno e ora esatta in cui sono avvenute

• I formati di visualizzazione possono essere diversi, alcuni testuali, altri grafici, alcuni ideali per ricerche altri per display su video




Un esempio naif di “timeline”• 2012 03 30 10:16 GMT+2 computer acceso

• 2012 03 30 10:23 GMT+2 documento “deftcon-slides.key” aperto

• 2012 03 30 10:35 GMT+2 aperta pagina web “www.facebook.com/DEFTlinux”

• 2012 03 30 12:01 GMT +2 documento “deftcon-slides.key” salvato

• 2012 03 30 12:12 GMT +2 inserita USB key VERBATIM con s/n 234cb42a73

• 2012 03 30 12:18 GMT +2 PDF “deftcon-slides.pdf” creato

• 2012 03 30 12:22 GMT +2 documento “deftcon-slides.key” cancellato

• 2012 03 30 12:25 GMT+2 computer spento

• 2012 03 30 14:30 GMT+2 computer acceso

• 2012 03 30 14:35 GMT +2 driver schermo esterno PC avviato

• 2012 03 30 14:37 GMT +2 PDF “deftcon-slides.pdf” aperto su chiavetta con VOL ID 0x3bd2cd22

• 2012 03 30 15:00 GMT +2 computer spento


http://www.facebook.com/DEFTlinux

http://www.facebook.com/DEFTlinux



Cosa vogliamo ottenere• Vogliamo avere con immediatezza lo storico ordinato di:

• inserimento periferiche USB, utilizzo driver

• creazione, apertura, salvataggio e cancellazione file e documenti, valutandone le tempistiche (copia massiva)

• data di scatto delle fotografie o di documenti con exif

• date rilevanti Office/PDF (creazione, stampa, salvataggio, autore, etc...)

• esecuzione programmi

• avvio e spegnimento del computer

• login/logout utenti




Cosa vogliamo ottenere• Vogliamo avere con immediatezza lo storico ordinato di:

• file ‘lnk’ di Windows (che mantengono info e S/N sulle periferiche su cui risiedevano i file aperti, comprese USB esterne)

• navigazione internet (Chrome, Firefox, Explorer, Opera, Safari, etc...)

• eventi di sistema (errori, notifiche, violazioni, etc...)

• log antivirus

• traffico di rete

• cestino e punti di ripristino di Windows

• log webserver Apache/IIS

• Skype chat




Timeline vs Supertimeline

• Timeline tradizionale: esaminati soltanto i timestamp dei file ricavati dal filesystem anche per taluni file cancellati (creazione, modifica, accesso, entry modified) ma non il contenuto dei file stessi, che viene ignorato

• Supertimeline: si aggiungono ai timestamp del filesystem anche i dati (che chiameremo metadati) estratti e parsificati dall’interno di diverse tipologie di file (registro, eventi, link, prefetch, exif, etc...) anche cancellati




Timeline vs Supertimeline

• Timeline tradizionale: limitata ma veloce da fare, si può fare anche offline estraendo un solo metafile ($MFT) dal sistema, permette daily/hourly summary, feedback immediato

• Supertimeline: completa ed esauriente ma più lunga da fare, soprattutto se ci sono tanti file esistenti o cancellati, difficile farla offline senza avere l’intero disco




Timeline

• Useremo i tool fls/mactime della suite TSK, The Sleuth Kit di Brian Carrier

• Esistono diverse alternative, più o meno scomode, open/gratuite/commerciali

• fls è la più usata, anche perchè utilizzata dal frontend Autopsy inserito in diverci LiveCD




Tool alternativi ma “scomodi”

• FTK Imager, di AccessData [accessdata.com/support/adownloads#FTKImager]

• NTFSwalk, di TzWorks [www.tzworks.net/prototype_page.php?proto_id=12]

• AnalyzeMFT, di David Kovar [www.integriography.com/]

• mft.pl, di Harlan Karvey [code.google.com/p/winforensicaanalysis]

• MFTView, della Sanderson Forensics [www.sandersonforensics.com]

• Encase [www.guidancesoftware.com/]

• X-Ways Forensics [www.x-ways.net/forensics]


http://www.tzworks.net/prototype_page.php?proto_id=12%5D




http://www.integriography.com/%5D

http://www.integriography.com/%5D

http://www.sandersonforensics.com

http://www.sandersonforensics.com

http://www.guidancesoftware.com/%5D

http://www.guidancesoftware.com/%5D

http://www.x-ways.net/forensics%5D

http://www.x-ways.net/forensics%5D



• Suite TSK, con fls credo file in formato bodyfile

• Converto il bodyfile in CSV

• Creo daily summary con attività giornaliera

fls -o 63 -r -m C: /dev/sda > c-timeline.body

mactime -y -m -d -i day c-timeline-daily.csv -z Europe/Rome -b c-timeline.body > c-timeline.csv

Timeline con daily summary




• Il daily summary serve perrilevare anomalie sui giorni

• Nell’esempio, cominceremo ad esaminare il giorno 4 marzo 2010, dove rileviamo 62.239 movimentazioni di file

• Possibile anche hourly summary, con analisi oraria, nell’esempio rileviamo pesante attività tra le ore 11 e 12





• Otteniamo (i dati provegono dall’$MFT) data di creazione/accesso/salvataggio/entry modified, dimensione, numero di inode e percorso sul filesystem quando disponibile

• Sappiamo se un file esisteva ma è stato cancellato e in tal caso anche se l’area disco è stata riscritta





• Interfaccia grafica alla suite TSK

• Creo un caso, imposto timezone, inserisco immagini/dischi (/dev/sda)

• Utile per fare preview di file anche cancellati (ricavati da MFT table)

• Utile per fare keyword search su raw disk, estrazione stringhe, estrazione spazio non allocato, organizzazione file per tipo, ricupero di tutti i file cancellati (a livello MFT)

• Preview raw a livello di settore

Menù > DEFT > Analysis Tools > Autopsy

No cmdline? Autopsy




Interfaccia grafica Autopsy




Supertimeline

• Aggiungiamo ai timestamp del filesystem anche i metadati contenuti nei file per creare la nostra linea temporale

• utilizzeremo il tool open source log2timeline, scritto in perl dal ricercatore Kristinn Gudjonsson

• framework composto da 4 moduli: front-end, librerie condivise, modulo input e modulo output

• Ultima versione 0.62 (DEFT 7.1) diversi plugin

• log2timeline-sift: cmdline tool che cerca di automatizzare il mounting delle evidenze e il parsing




Supertimeline: metadati e plugin• altiris 0.1 Parse the content of an XeXAMInventory or AeXProcessList log file

• analog_cache 0.1 Parse the content of an Analog cache file

• apache2_access 0.3 Parse the content of a Apache2 access log file

• apache2_error 0.2 Parse the content of a Apache2 error log file

• chrome 0.3 Parse the content of a Chrome history file

• encase_dirlisting 0.2 Parse the content of a CSV file that is exported from Encase (dirlist)

• evt 0.2 Parse the content of a Windows 2k/XP/2k3 Event Log

• evtx 0.5 Parse the content of a Windows Event Log File (EVTX)

• exif 0.4 Extract metadata information from files using ExifTool

• ff_bookmark 0.3 Parse the content of a Firefox bookmark file

• ff_cache 0.2 Parse the content of a Firefox _CACHE_00[123]_ file

• firefox2 0.3 Parse the content of a Firefox 2 browser history

• firefox3 0.8 Parse the content of a Firefox 3 history file

• ftk_dirlisting 0.3 Parse the content of a CSV file that is exported from FTK Imager (dirlist)

• generic_linux 0.3 Parse content of Generic Linux logs that start with MMM DD HH:MM:SS




Supertimeline: metadati e plugin• iehistory 0.8 Parse the content of an index.dat file containg IE history

• iis 0.5 Parse the content of a IIS W3C log file

• ibsatxt 0.4 Parse the content of a ISA text export log file

• jp_ntfs_change 0.1 Parse the content of a CSV output file from JP (NTFS Change log)

• l2t_csv 0.1 Parse the content of a body file in the l2t CSV format

• mactime 0.6 Parse the content of a body file in the mactime format

• mcafee 0.3 Parse the content of log files from McAfee AV engine

• mcafeefireup 0.1 Parse the content of an XeXAMInventory or AeXProcessList log file

• mcafeehel 0.1 Parse the content of a McAfee HIPS event.log file

• mcafeehs 0.1 Parse the content of a McAfee HIPShield log file

• mft 0.1 Parse the content of a NTFS MFT file

• mssql_errlog 0.2 Parse the content of an ERRORLOG file produced by MS SQL server

• ntuser 1.0 Parses the NTUSER.DAT registry file

• openvpn 0.1 Parse the content of an openVPN log file

• opera 0.2 Parse the content of an Opera's global history file




Supertimeline: metadati e plugin• oxml 0.4 Parse the content of an OpenXML document (Office 2007 documents)

• pcap 0.5 Parse the content of a PCAP file

• pdf 0.3 Parse some of the available PDF document metadata

• prefetch 0.7 Parse the content of the Prefetch directory

• proftpd_xferlog 0.1 Parse the content of a ProFTPd xferlog log file

• recycler 0.6 Parse the content of the recycle bin directory

• restore 0.9 Parse the content of the restore point directory

• safari 0.3 Parse the contents of a Safari History.plist file

• sam 0.1 Parses the SAM registry file

• security 0.1 Parses the SECURITY registry file

• setupapi 0.5 Parse the content of the SetupAPI log file in Windows XP

• skype_sql 0.1 Parse the content of a Skype database

• software 0.1 Parses the SOFTWARE registry file

• sol 0.5 Parse the content of a .sol (LSO) or a Flash cookie file




Supertimeline: metadati e plugin• squid 0.5 Parse the content of a Squid access log (http_emulate off)

• symantec 0.1 Parse the content of a Symantec log file

• syslog 0.2 Parse the content of a Linux Syslog log file

• system 0.1 Parses the SYSTEM registry file

• tln 0.5 Parse the content of a body file in the TLN format

• volatility 0.2 Parse the content of a Volatility output files (psscan2, sockscan2, ...)

• win_link 0.7 Parse the content of a Windows shortcut file (or a link file)

• wmiprov 0.2 Parse the content of the wmiprov log file

• xpfirewall 0.4 Parse the content of a XP Firewall log

Esistono software commerciali equivalenti? :-)©




Supertimeline: moduli e liste

!




Supertimeline: output

!

• Useremo CSV perchè veloce da gestire e ideale per integrare le diverse fonti di dati/metadati




• Monto il disco in modalità read only

• Importanti i parametri speciali per file di sistema e ADS:

• show_sys_files

• streams_interface=windows

mount -o ro,show_sys_files,streams_interface=windows

/dev/sda1 mnt/c

Montiamo il disco in readonly




Montiamo l’immagne in readonly

• Diversi tipi di immagini: raw, split raw, aff, split aff, ewf, split ewf

• Possibile operare anche su dischi fisici

• Si possono montare tutti i tipi di immagini usati nella computer forensics o i dischi tramite i seguenti tool:

• affuse (raw, split raw)

• xmount (raw, split raw, aff, ewf)

• mount [-o loop] (raw)

• mount_ewf.py [ewf]

mount -o ro,loop,show_sys_files,offset=$((512*63)) /mnt/raw/nps-2009-domexusers.dd /mnt/c




• Si notano alcuni file di metadati NTFS ($Boot, $MFTMirr, etc...)

• Alcuni metafile non si vedono ma si possono accedere direttamente ($MFT, $UsnJrnl:$J) e potranno servirci

Alcuni strani file...




• Uso regripper per identificare Sistema Operativo e timezone

• Utile nel caso in cui il preprocessor di log2timeline fallisse la detection e quindi la scelta dei moduli/plugin

cd /opt/regripper./rip.pl -r /mnt/c/WINDOWS/system32/config/software -p winver./rip.pl -r /mnt/c/WINDOWS/system32/config/system -p timezone

Identifico versione di OS




• A volte utile usare parametri “-p” e “-f winxp”

• l2t_process può filtrare per keyword (blacklist/whitelist), timestomping (MFT con millisecondi a 0), date o evidenziare scostamenti time/number MFT tramite scatter plot della cartella /windows/system32

log2timeline -r -z Europe/Rome /mnt/c/ -m C: -w c-log2t.csvcat c-log2t.csv > supertimeline-unsorted.csv

l2t_process -i -b supertimeline-unsorted.csv -y > supertimeline.csv

Supertimeline dei file presenti




• Utile se non si ha tempo di fare timeline/supertimeline

• log2timeline ultima versione lo elabora in automatico

• Si può elaborare in laboratorio con diversi tool, compreso log2timeline

• Se non si ha tempo di usare fls/autopsy, acquisire MFT e parsificare in laboratorio

cat -c /mnt/c/\$MFT > mft.bin(oppure)

icat -o 63 /dev/sda 0 > mft.bin

Esporto $MFT per il laboratorio




• Se il journaling è attivo, il file contiene timestamp di creazione, modifica e cancellazione dei file presenti sul disco

• Si può elaborare in laboratorio con diversi tool, commerciali e non e integrare tramite apposito plugin nella supertimeline

cat /mnt/c/\$Extend/\$UsnJrnl:\$J > usnjrnl.bin

Esporto journal NTFS




• Si recupero tutti i file con struttura nota cancellati

• Operazione in genere lunga, da fare in laboratorio

• Tutti e tre i tool supportano custom config

• Scalpel e Foremost supportano custom config più avanzato

• Disponibile GUI (Menu’ > DEFT > Carving Tools > Hb4most)

cd carvingphotorec /dev/sda

vi /etc/foremost.confforemost -o carving -i /dev/sda

vi /opt/hb4/scalpel.confscalpel -v /opt/hb4/scalpel.conf -o carving -i /dev/sda

Carving e recupero dati




• Prassi poco nota ma dagli ottimi risultati

• Estrarre tramite carving e applicare log2timeline su quanto ricuperato

• Verranno parsificati registro, eventi, immagini, documenti, link, navigazione Internet e molti altri metadati che altrimenti non sarebbero stati inclusi nella supertimeline

log2timeline -r -z Europe/Rome ./carving -m C: -w c-log2t-carve.csvcat *.csv > supertimeline-unsorted.csv

l2t_process -i -b supertimeline-unsorted.csv -y > supertimeline.csv


Integrazione nella supertimeline




Esempio: documenti office

• 10/29/2008,09:15:00,PST8PDT,MACB,OXML,Open XML Metadata,created,domex1,-,, -

Application: Microsoft Office Word - AppVersion: 12.0000,2 […]

10/29/2008,09:15:00,PST8PDT,MACB,OXML,Open XML Metadata,modified,domex1,-,, -

Application: Microsoft Office Word - AppVersion: 12.0000,2 […]




Esempio: Windows lnk

• 09/18/2008,09:44:24,PST8PDT,.A..,LNK,Shortcut LNK,Access,-,-,C:/Program Files/Google/

Picasa3/Picasa3.exe […]

09/18/2008,09:44:24,PST8PDT,..CB,LNK,Shortcut LNK,Created,-,-,C:/Program Files/Google/Picasa3/

Picasa3.exe […]

10/21/2008,08:11:48,PST8PDT,M...,LNK,Shortcut LNK,Modified,-,-,C:/Program Files/Google/Picasa3/

Picasa3.exe […]




Esempio: Navigazione web

• 10/20/2008,15:42:24,PST8PDT,.ACB,WEBHIST,Internet Explorer,time1,Administrator,-,visited

http://www.google.com/search?hl=en&q=pidgin&aq=f […]

10/20/2008,15:42:55,PST8PDT,M...,WEBHIST,Internet Explorer,time2,Administrator,-,visited http://

sourceforge.net/project/downloading.php?groupname=pidgin&filename=pidgin-2.5.2.exe&use

_mirror=internap […]


http://www.google.com/search?hl=en&q=pidgin&aq=f




http://sourceforge.net/project/downloading.php?groupname=pidgin&filename=pidgin-2.5.2.exe&use_mirror=internap










Esempio: Filesystem

• 10/21/2008,11:13:04,PST8PDT,.A..,FILE,NTFS $MFT,$FN [.A..] time,-,-,C:/Documents and Settings/All Users/Documents/pidgin-2.5.2.exe […]

10/21/2008,11:04:08,PST8PDT,.A..,FILE,NTFS $MFT,$FN [.A..] time,-,-,C:/Documents

and Settings/All Users/Documents/Thunderbird Setup 2.0.0.17.exe […]




Esempio: Esecuzione programmi

• 10/29/2008,19:44:34,,MACB,REG,UserAssist key,Time of

Launch,domex2,REALISTIC_XP,UEME_RUNPATH:C:/Program Files/Mozilla Thunderbird/

thunderbird.exe, [Count: 2] […]

10/30/2008,00:50:43,PST8PDT,MACB,PRE,XP Prefetch,Last

run,-,REALISTIC_XP,AIM6.EXE-34DC5725.pf: AIM6.EXE was executed,AIM6.EXE-34DC5725.pf -

[AIM6.EXE] was executed - run count [5] […]




Esempio: Avvio e spegnimento PC


Deftcon 2012 - Paolo Dal Checco - Timeline e Supertimeline

Documents

Transcript of Deftcon 2012 - Paolo Dal Checco - Timeline e Supertimeline