Se hace necesario recolectar la mayor cantidad de información posible en el sistema objetivo. Una de estas fuentes de información hace referencia a las actualizaciones presentes en dicho sistema.

Para ello, solo basta con explorar un poco algunos directorios del sistema, en los cuales se encuentran algunos logs interesantes y que revelan las actualizaciones del mismo.

Cabe aclarar que este no es el único método para determinar las actualizaciones del sistema, este es solo uno de ellos, pues en otras publicaciones veremos otros procedimientos para determinarlas (registro).

El siguiente video tutorial presenta un simple exploración por el sistema de archivos del objetivo, además de la ubicación y consulta correspondiente a cada log de actualización (ID de HotFix – Falla que corrige, Fecha y hora de actualización, etc).

A partir de este momento comienza la parte un poco más “operativa” y que exige un alto grado de concentración, dedicación y sobre todo mucha paciencia .

Es el momento de comenzar a interactuar más con el sistema a analizar para recolectar toda la información necesaria y que muestre los resultados a los objetivos propuestos.

Para esta finalidad nada mejor que la información contenida en el registro de Windows, pero para poder entender de que va todo esto se hace necesario definir y tener muy claro este concepto.

Veamos:

El Registro de Windows

El Registro de Windows, es una base de datos que almacena las configuraciones y opciones del sistema operativo Microsoft Windows.

Contiene información y configuraciones de todo el hardware, software, usuarios, y preferencias del PC. Si un usuario hace cambios en las configuraciones del “Panel de control”, en las asociaciones de ficheros, en las políticas del sistema o en el software instalado, los cambios son reflejados y almacenados en el registro.

El Registro se almacena en varios ficheros que, dependiendo de la versión de Windows, se ubican en diferentes lugares dentro del sistema local, excepto NTuser (o archivo de usuario), que puede ser ubicado en otra máquina para permitir perfiles móviles.

Windows NT, 2000, XP, Server 2003 y Vista

Los siguientes archivos del Registro se encuentran en %SystemRoot%\System32\Config\:

• Sam – HKEY_LOCAL_MACHINE\SAM
• Security – HKEY_LOCAL_MACHINE\SECURITY
• Software – HKEY_LOCAL_MACHINE\SOFTWARE
• System – HKEY_LOCAL_MACHINE\SYSTEM
• Default – HKEY_USERS\DEFAULT
• Userdiff

(más…)

Una vez instalada la herramienta con la cual pretendamos analizar el archivo de registro de windows emprederemos la tarea de obtener la información correspondiente al software instalado en la máquina objetivo.

En mi caso lo haré con la solución software Alien Registry Viewer, veamos:

(más…)

Continuemos entonces con el análisis del registro de Windows y sigamos extrayendo información de interés que nos permita cubrir cada uno de los puntos dispuestos como objetivos del análisis.

Para ello seguiré haciendo uso de la herramienta Alien Registry Viewer. Veamos:

Así como vimos en la práctica anterior y pudimos determinar el software instalado en el sistema obejtivo, veremos como podemos determinar todos los usuarios, el sistema operativo y services pack, zona horaria, procesador, interfaces de red, entre muchos otros datos de interés.

(más…)

Veamos como podemos realizar una rápida y completa identificación de los usuarios presentes en el sistema analizado, además como podemos obtener su respectiva contraseña, ello con el fin de determinar la fortaleza de las mismas y determinar si se estaba aplicando algún tipo de política sobre la complejidad de ellas.

En el siguiente videotutorial se observa como podemos obtener los nombres de usuario del directorio Documents and Settings y como podemos extraer el archivo SAM, y System (archivos de administración de cuentas de seguridad en Windows) que almacena los usuarios y contraseñas cifrados del sistema y como podemos descifrar sus respectivos passwords. (para ello hago uso de la herramienta SAMInside)
Más información sobre archivos SAM y System.

Ahora veamos como podemos identificar la disponibilidad del Terminal Services en el sistema analizado, esto con el fin de identificar si este servicio está habilitado o no, para luego verificar en el registro de sucesos de Windows (tema a estudiar en próximos labs y que será determinante en este caso) si ha sido modificado su valor.

(más…)

Veamos ahora como podemos identificar por medio del análisis del registro de Windows la configuración establecida para el funcionamiento del Firewall (Cortafuegos).

(más…)

Veamos ahora como podemos obtener toda la información relacionada a una cuenta de usuario (SID, Estructura de datos de longitud variable que identifica cuentas de usuario, de grupo y de equipo. A cada cuenta de la red se le asigna un SID único cuando se crea por primera vez. Los procesos internos de Windows hacen referencia al SID de las cuentas en vez de al nombre del usuario o grupo de las cuentas.)

(más…)

Pasemos ahora a analizar los archivos contenidos en los directorios de instalación de Apache y el WebERP que fue comprometido. (por la información que suministraron los administradores del sistema este aplicativo fue el que permitió identificar la intrusión.

Veamos algunas definiciones de interés:

(más…)

Pasemos ahora a la etapa más crucial de este primer caso práctico de Análisis Forense a un Sistema Windows 2003 Server previamente comprometido.

Una vez que me hemos recolectado toda la información posible sobre aplicaciones, usuarios, Sistema Operativo, Dispositivos, etc, se hace necesario identificar con total claridad las distintas interacciones entre cada una de ellas.

Dicho de otra manera comenzaremos con un ciclo de análisis que implica mucho tiempo y mucha concentración, pues este conlleva a realizar un análisis concienzudo de cada uno de los eventos registrados por el sistema.

(más…)