Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de...
Transcript of Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de...
![Page 1: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/1.jpg)
Su Seguridad es Nuestro Éxito
C. Santander, 101. Edif. A. 2º E-08030 Barcelona (Spain) Tel.: +34 93 305 13 18 Fax: +34 93 278 22 48
C. Arequipa, 1 E-28043 Madrid (Spain) Tel.: +34 91 763 40 47 Fax: +34 91 382 03 96
[email protected] www.isecauditors.com
Calle 90 # 12-28, Cundinamarca - Bogotá (Colombia) Tel: +57 (1) 638 68 88 | Fax: +57 (1) 638 68 88
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 2: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/2.jpg)
@localhost # whoami Alexandre Rodríguez Domoslawsky CHFI, CEI-forensic, CEH, GPEN, GCIH, OSWP, CISA, CISM e-mail: [email protected]
Analista de seguridad
Hacking ético
Análisis forense
Incidentes de seguridad
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 3: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/3.jpg)
Objetivos de la presentación • Analizar las principales tecnologías de almacenamiento remoto
– ¿Que información se almacena localmente? • Credenciales • Ficheros de configuración • Arquitectura del servicio (servidores tiempo, back-end, front –end) • Cifrado, ofuscado, texto plano • Cuando se desinstala el servicio, ¿que información sigue residiendo localmente?
– ¿Qué sucede en la transferencia y sincronización de archivos? • Conexiones cifradas • ¿Cómo se sincronizan los archivos? • Credenciales
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 4: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/4.jpg)
Índice 1. Introducción 2. Dropbox
• Ficheros • RAM • Servicio online
3. Google Drive • Ficheros • RAM • Servicio online
4. Conclusiones
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 5: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/5.jpg)
Almacenamiento – Necesidad • Cada vez requerimos mas espacio
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 6: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/6.jpg)
Almacenamiento – Necesidad • Estamos mas interconectados
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 7: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/7.jpg)
Almacenamiento – Servicios • A mayor demanda, mayor oferta
https://www.preceden.com/timelines/47418-evolution-of-cloud-storage
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 8: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/8.jpg)
Cloud – Problemas de seguridad • Vulnerabilidades Software
– Confidencialidad – Disponibilidad – Integridad
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 9: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/9.jpg)
Cloud – Problemas de seguridad • Empleo por parte de los usuarios
– Privacidad – Fugas de información
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 10: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/10.jpg)
Cloud – Problemas de seguridad • Nuevos desafíos
– Distribución de Malware – RAT – Ofuscación
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 11: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/11.jpg)
Cloud – Desafíos para el análisis forense • Tecnología que ves
– Código fuertemente ofuscado (¡privacidad ! .. ¿privacidad?) • Aspectos legales del reversing
– Cifrado de las comunicaciones • Como se sincroniza
– Sólo parte de la solución • Data Carving • Diferentes modos de acceso
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 12: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/12.jpg)
Cloud – Desafíos para el análisis forense • .. Y que no ves
– “There’s no cloud, is someone else’s computer”
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 13: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/13.jpg)
Índice 1. Introducción 2. Dropbox
• Ficheros • RAM • Servicio online
3. Google Drive • Ficheros • RAM • Servicio online
4. Conclusiones
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 14: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/14.jpg)
Análisis Servicios de Almacenamiento - Entorno • Entorno
– Windows 7 32 bits – Firefox – Virtual Box – DropBox Windows – Google Drive Windows
• Cuentas de correo – [email protected] – [email protected] – Usuario del sistema con contraseña
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 15: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/15.jpg)
Análisis Forense – Metodología 1. Backup del registro original de Windows 2. Backup del sistema de ficheros original 3. Instalación del servicio remoto 4. Monitorización del sistema de ficheros durante la instalación
o Archivos temporales o Logs
5. Identificación de las modificaciones del registro de Windows o Nuevos valores en claves existentes (NTUser) o Nuevas claves
6. Identificación de las modificaciones del sistema de ficheros o Archivos de configuración locales
7. Ejecución del servicio o Data carving o Comunicaciones o RAM
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 16: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/16.jpg)
Análisis Forense – Herramientas Registro
RegShot, Registry Explorer, Reg App, Regedit
Sistema de ficheros Autopsy, FTK, Disk Monitor, Disk utiliy, SQL lite Browser Manager
Cifrado Dropbox Magnetic Forensics, OpenSSL
Comunicaciones Wireshark, netstat
RAM IDA PRO, Process Hacker, Microsoft symbols, strings, IRE py
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 17: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/17.jpg)
Dropbox – ¿Qué es? • Todo empezó en 2008
• Muy popular, 400 millones
• Multiplataforma y diferentes accesos
• Cuentas free (2GB-16gB) y profesionales (1TB-5TB)
• Delta Encoding (ahorro de ancho de banda)
• Transferencia segura (SSL y AES-256)
• PRISM
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 18: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/18.jpg)
Dropbox – Instalación • La instalación se realiza bajo el profile del usuario y
carpeta de programas – C:\users\aroddom\Dropbox – C:\Program Files\Dropbox
• C:\Users\aroddom\AppData\Local\Dropbox – Carpeta de configuración del servicio
• C:\Users\aroddom\AppData\Roaming\Dropbox – Proceso de instalación y transferencia de ficheros
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 19: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/19.jpg)
Dropbox – Proceso de instalación • C:\Users\aroddom\AppData\Roaming\Dropbox\installer\l
– 562e408d : archivo cifrado
• C:\ProgramData\Dropbox\Update\Log – Cifrado, mismo que .dbx
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 20: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/20.jpg)
Dropbox – Proceso de instalación • Archivos Prefetch
– C:\Windows\Prefetch\Dropbox.exe-B2C17CD4.pf
– C:\Windows\Prefetch\Dropbox.exe-F5354AA9.pf – C:\Windows\Prefetch\Dropboxclient_3.10.8..exe-DD1118F8.pf – C:\Windows\Prefetch\Dropboxcrashhandler.exe-62E2DC11.pf – C:\Windows\Prefetch\Dropboxinstaller.exe-7CFC3536.pf – C:\Windows\Prefetch\Dropboxupdate.exe-3D36B2FC.pf – C:\Windows\Prefetch\Dropboxupdate.exe-661A090C.pf – C:\Windows\Prefetch\Dropboxupdateondemand.exe-D912AE5B.pf
Actualización Aspecto visual Imágenes de librerías en uso
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 21: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/21.jpg)
Dropbox – Proceso de instalación • Claves de Registro
– 884 nuevos valores y 391 nuevas claves – HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData – HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Dropbox – HKLM\SOFTWARE\Dropbox\ – HKLM\SOFTWARE\DropboxUpdate\Update\ClientState\ – HKLM\SOFTWARE\Microsoft\CurrentVersion\Explorer\ShellIconOverlayIdentifier
s\DropBoxExt[1 .. 8]
Ruta de instalación Fecha de instalación Versión del software Fecha de última actualización y sincronización
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 22: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/22.jpg)
Dropbox – Configuración local • C:\Users\aroddom\AppData\Local\Dropbox
– Host y Host.dbx, Carpeta local ofuscada en base64 • QzpcVXNlcnNcYXJvZGRvbVxEcm9wYm94 • C:User\aroddom\Dropbox
– Cifrados, Instance_db\ || Instance1\ • instance.dbx • deleted.dbx • Filecache.dbx • Sigstore.dbx
Análisis Forense en Servicios de Almacenamiento Remoto
Ficheros locales Hora local de modificación, borrado y creación Ficheros borrados
![Page 23: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/23.jpg)
Dropbox – Servicio Online • Archivos borrados
– Guardados por un máximo de 30 días (wipe local) – Archivos locales, son equivalentes a cualquier otro fichero
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 24: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/24.jpg)
Dropbox – Conexiones de red • Conexiones cifradas
– Servidores archivo configuración • C:\Users\aroddom\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content
– Todas las conexiones SSL • 80, 443
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 25: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/25.jpg)
Dropbox – Servicio Online • Conexiones establecidas
– Navegadores y hora – Sistema operativo y nombre de equipo
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 26: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/26.jpg)
Dropbox – Análisis de RAM • Análisis del volcado RAM de memoria del proceso
– Strings de búsqueda • Authenticate • Mail
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 27: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/27.jpg)
Dropbox – Análisis de RAM • Análisis del volcado RAM de memoria del proceso
– Strings de búsqueda • Value / secure / expires
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 28: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/28.jpg)
Dropbox – Análisis de RAM • Análisis del volcado RAM de memoria del proceso
– Strings de búsqueda • pwd / user • .dbx • Updated /deleted
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 29: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/29.jpg)
Dropbox – Análisis de RAM • Es posible obtener
– Dirección de correo – Servidores NTP – Listado de ficheros creados / borrados – Direcciones de red locales – Rutas de carpetas locales
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 30: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/30.jpg)
Dropbox – Servicio Online • Análisis del volcado RAM de memoria del proceso
– Strings de búsqueda • password / pwd • mail • .dbx
Usuario
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 31: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/31.jpg)
Dropbox – Desinstalación • Información que permanece
– Ntuser\Dropbox (valores borrados) – Archivos prefetch – Ficheros locales sincronizados (carve) – LNK files – Navegador (cache e historia) – Pagefile.sys & Hiberfile.sys
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 32: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/32.jpg)
Google Drive - ¿Qué es? • 2012
• 500 millones de usuarios, @gmail.com
• Cuentas free (15gB) y profesionales (hasta 30TB)
• Microsoft y Apple
• SSL, pero no por defecto
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 33: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/33.jpg)
Google Drive – Instalación • La instalación se realiza en la carpeta de programas
– C:\Program Files\Google\Drive – C:\Users\aroddom\Google Drive
• C:\Users\aroddom\AppData\Local\Google\Drive – Carpeta de configuración del servicio
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 34: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/34.jpg)
Google Drive – Proceso de Instalación • Archivos Prefetch
– C:\Windows\Prefetch\GoogleDrive_sync_1.25.523.2491.C456FGHexe.pf – C:\Windows\Prefetch\GoogleUpdate.exe-12AG5F28.pf
Actualización Aspecto visual Imágenes de librerías en uso
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 35: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/35.jpg)
Google Drive – Proceso de Instalación • Claves de Registro
– 896 nuevos valores y 577 nuevas claves – HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData – HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Google\Drive – HKLM\SOFTWARE\Google\Drive – NTUSER\SOFTWARE\Classes\GoogleDrive\ – NTUSER\SOFTWARE\Google\Drive
Ruta de instalación Fecha de instalación Versión del software Fecha de última actualización y sincronización
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 36: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/36.jpg)
Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive
– Sync_config.db, SQLITE3
Versión del cliente instalado Email Path
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 37: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/37.jpg)
Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive
– Snapshot.db, SQLITE3 – cloud_entry & Local_entry
Ficheros (Timestamp, size, url)
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 38: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/38.jpg)
Google Drive – Configuración Local • Después de borrar ficheros
– Snapshot.db, SQLITE3 – cloud_entry & local_entry
Si la posición de la tabla aun no ha sido escrita de nuevo, la información persiste
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 39: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/39.jpg)
Google Drive – Configuración Local • Archivos temporales
– C:\Users\aroddom\AppData\Google\Drive\TempData\HttpCache Email de usuario
• 6cc-RunAsync-_OnLogin-3-hkegge
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 40: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/40.jpg)
Google Drive – Configuración Local • Registro de actividad – sync_log.log
– Ficheros sincronizados o Strings : Create / delete / modify
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 41: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/41.jpg)
Google Drive – Conexiones de red • Conexiones cifradas (información sensible) y no
cifradas – Servidores archivo configuración
• C:\Users\aroddom\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content
– Puertos en uso • 443, 522 ( alive y time stamp)
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 42: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/42.jpg)
Google Drive – Servicio Online • Archivos borrados
– Fichero, pre-visualización y timestamp
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 43: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/43.jpg)
Google Drive – Servicio Online • Time line
– Dispositivo – Usuario – Timestamp de los archivos – Cuenta compartida
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 44: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/44.jpg)
Google Drive – Análisis de RAM • Cliente googledrive_sync
– Strings de búsqueda • User / password / mail • Path • Direcciones de red
Paths locales
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 45: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/45.jpg)
Google Drive – Análisis de RAM • Servicio online
– Strings de búsqueda • Value / secure / expires • Mail / user / password
Usuario
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 46: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/46.jpg)
Google Drive – Desinstalación • Información que permanece
– Ntuser\Google\Drive (valores borrados) – Archivos prefetch – Ficheros de configuración borrados (carve) – Ficheros locales permanecen
• Sync_log, ..
– LNK files – Navegador (cache e historia) – Pagefile.sys & Hiberfile.sys
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 47: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/47.jpg)
Conclusiones • Información que permanece en los sistemas locales
• Aproximación local similar a cualquier análisis forense
tradicional – Importa la memoria volátil – Reversing y de-ofuscación
• Nivel de seguridad incrementado desde las versiones iniciales
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 48: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/48.jpg)
Siguientes pasos • Sincronización entre múltiples dispositivos en red local
LAN-sync (Dropbox).
• Investigación acerca de dispositivos móviles y sistemas de ficheros menos empleados
• Arquitectura de la nube
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 49: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/49.jpg)
Referencias Cloud Storage Forensics, 2013, Mattia Epiffani
Dark Clouds on the Horizon, 2011, Martin Mulazzani et al.
https://www.magnetforensics.com/free-tool-dropbox-decryptor/
Cloud Storage Forensics, 2011, Darren Quick et al
The Challenges in Cloud Computing Forensics, 2010, George Grispos et al
http://jviensforensicblog.blogspot.com.es/2013/02/dropbox-forensics.html
Looking inside the (Drop) box Dhiru Kholia et al
Análisis Forense en Servicios de Almacenamiento Remoto
![Page 50: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/50.jpg)
Su Seguridad es Nuestro Éxito
C. Santander, 101. Edif. A. 2º E-08030 Barcelona (Spain) Tel.: +34 93 305 13 18 Fax: +34 93 278 22 48
C. Arequipa, 1 E-28043 Madrid (Spain) Tel.: +34 91 763 40 47 Fax: +34 91 382 03 96
[email protected] www.isecauditors.com
Su Seguridad es Nuestro Éxito
C. Santander, 101. Edif. A. 2º E-08030 Barcelona (Spain) Tel.: +34 93 305 13 18 Fax: +34 93 278 22 48
C. Arequipa, 1 E-28043 Madrid (Spain) Tel.: +34 91 763 40 47 Fax: +34 91 382 03 96
[email protected] www.isecauditors.com
Calle 90 # 12-28, Cundinamarca - Bogotá (Colombia) Tel: +57 (1) 638 68 88 | Fax: +57 (1) 638 68 88
![Page 51: Análisis Forense en Servicios de Almacenamiento … · Análisis Forense en Servicios de Almacenamiento Remoto . Google Drive – Configuración Local • C:\Users\aroddom\AppData\Local\Google\Drive](https://reader030.fdocument.pub/reader030/viewer/2022020215/5bb21f6e09d3f249438beff3/html5/thumbnails/51.jpg)
Su Seguridad es Nuestro Éxito
C. Santander, 101. Edif. A. 2º E-08030 Barcelona (Spain) Tel.: +34 93 305 13 18 Fax: +34 93 278 22 48
C. Arequipa, 1 E-28043 Madrid (Spain) Tel.: +34 91 763 40 47 Fax: +34 91 382 03 96
[email protected] www.isecauditors.com
Su Seguridad es Nuestro Éxito
C. Santander, 101. Edif. A. 2º E-08030 Barcelona (Spain) Tel.: +34 93 305 13 18 Fax: +34 93 278 22 48
C. Arequipa, 1 E-28043 Madrid (Spain) Tel.: +34 91 763 40 47 Fax: +34 91 382 03 96
[email protected] www.isecauditors.com
Calle 90 # 12-28, Cundinamarca - Bogotá (Colombia) Tel: +57 (1) 638 68 88 | Fax: +57 (1) 638 68 88