Bericht erstellt von: Version: 1.0 Letzte Änderung:

Transkript

1 Bericht erstellt von: Version: 1.0 Letzte Änderung: Prolog... 1 Durchführung... 2 Zusammenfassung... 4 Anhang... 5

2 Prolog Beweismittel: Festplattenimage in einem ZIP-Archiv auf einer CD-Rom Asservatennummer: e1d70ff8 9cdaf857 Ausgehändigt am im Sekretariat des Lehrstuhls für Praktische Informatik 1 an der Universität Mannheim Auftrag/Verdacht: Betrug, bzw. Diebstahl von Geld Arbeitsumgebung: forensische Workstation des Lehrstuhls für Praktische Informatik 1 an der Universität Mannheim

3 Durchführung der Untersuchung Die Terminal-Session wurde aufgezeichnet mit Script (Anhang A) Zuerst wurde das CD-Rom Laufwerk gemountet. Mit md5sum wurde folgende MD5-Prüfsumme für das ZIP-Archiv auf der CD-Rom berechnet: 15f2d1944f5a429e24f308fa45903ecd Das ZIP-Archiv wurde mit dd in das Verzeichnis /home/forensik/ kopiert. Mit md5sum wurde nach dem kopieren eine MD5-Prüfsumme für das ZIP-Archiv im Ordner /home/forensik/ berechnet. Ergebnis: 15f2d1944f5a429e24f308fa45903ecd stimmt mit dem ursprünglichen Hashwert überein. Zur weiteren Bearbeitung muss das Festplattenimage aus dem ZIP-Archiv extrahiert werden. Das ZIP-Archiv wurde in das Verzeichnis /home/forensik/ entpackt. Für das entpackte Festplattenimage wurde eine MD5-Prüfsumme berechnet: 1e3c771b5870c5f7163f7fc1508d4760 Mit dem Befehl hexdump -c -n 1400 /home/forensik/ 9cdaf d-11dfb c img wurde der hex dump angezeigt (Anhang A) Danach wurde die Partitionstabelle des Festplattenimages mit dem Befehl mmls -b /home/forensik/ 9cdaf d-11df-b c img ausgelesen: DOS Partition Table Offset Sector: 0 Units are in 512-byte sectors Slot Start End Length Size Description 00: B Primary Table (#0) 01: K Unallocated 02: 00: M Linux (0x83) 03: 00: M Linux Swap / Solaris x86 (0x82) 04: M Unallocated Mit dem Befehl foremost i /home/forensik/ 9cdaf d-11df-b c img wurde foremost gestartet. Dabei wurden 49 Dateien wiederhergestellt. (Siehe Anhang B) Bei der Durchsicht der Dateien wurde nichts verdächtiges gefunden. Nach dem Ausführen von foremost wurde die MD5-Prüfsumme erneut berechnet: 1e3c771b5870c5f7163f7fc1508d4760. Dadurch wurde sichergestellt, das an dem Datenträger nichts verändert wurde. Als nächstes wurde die Partition 2 zur Durchsicht read only gemountet. Im Verzeichnis /home befinden sich die Ordner: default, poor, rich und robert.de.rainault.

4 Im Ordner robert.de.rainault wurde die Datei.bash_history gefunden. (Anhang C) In der Datei home/robert.de.rainault/.bash_history lässt sich erkennen, dass im Ordner home/robert.de.rainault/ eine Datei mit dem Namen treasury und dem Inhalt Pound Sterling erzeugt und mit gnupg signiert wurde (Anhang C). Desweiteren wurden die Dateien cheque6, cheque7, cheque8 und cheque9 alle mit dem Inhalt Pound Sterling erzeugt und ebenfalls mit gnupg signiert. Danach wurden alle Dateien die mit cheque beginnen nach /home/rich kopiert und aus dem Verzeichnis home/robert.de.rainault/ gelöscht. Im Verzeichnis /home/rich befinden sich jedoch keine Dateien mehr. Zur weiteren Untersuchung wurde das Image in Autopsy geladen. Hiermit wurde im Ordner home der Ordner robert.hut wiederhergestellt. (Anhang D) Dieser wurde am um 14:51:43 gelöscht, wenn der Zeitstempel nicht manipuliert wurde. Im Verzeichnis /home/default befindet sich die Datei.sudo_as_admin_successful. Diese wurde laut Zeitstempel zuletzt am um 14:50:37 geändert. (Anhang D) Die Datei.sudo_as_admin_successful wird erzeugt wenn das Terminal zum ersten mal aufgerufen wird oder wenn die Datei zuvor gelöscht wurde beim nächsten Aufruf des Terminals. Daraus folgt, dass das Terminal vermutlich am um 14:50:37 aufgerufen wurde. Ein Vergleich der Dateien /etc/shadow und etc/shadow- zeigt das in dem relevanten Zeitraum von 14:50:37 bis 14:51:43 der Benutzer poor angelegt wurde. Im gleichen Zeitraum um 14:51:40 wurden die bereits genannte.bash_history erzeugt (Anhang C). Ebenfalls wurden die Dateien cheque6; cheque7, cheque8, cheque9 sowie deren Signaturen in diesem Zeitraum um 14:51:42 von /home/rich nach /home/poor verschoben. (Anhang C) Nach der Untersuchung in Autopsy wurde erneut die MD5-Prüfsumme errechnet, um sicher zu gehen das bei der Untersuchung nichts verändert wurde: 1e3c771b5870c5f7163f7fc1508d4760

5 Zusammenfassung Um 14:50:37 am hat ein User das Terminal geöffnet. In dem Zeitraum von 14:50:37 bis 14:51:43 wurde der User poor angelegt. Die bash_history des Users home/robert.de.rainault zeigt, das dieser in diesem Zeitraum Dateien mit den Namen cheque6, cheque7, cheque8, cheque9 und treasury angelegt und signiert und die Dateien cheque6, cheque7, cheque8 und cheque9 danach in den Ordner /home/rich verschoben hat. Danach wurden die Dateien um 14:51:42 von /home/rich nach /home/poor verschoben, bevor um 14:51:43 der user robert.hut gelöscht wurde.

6 Anhang A Script started on Wed 14 Apr :09:12 PM CEST forensik@forensik-station:~$ mount /cdrom mount: block device /dev/scd0 is write-protected, mounting read-only forensik@forensik-station:~$ md5sum /cdrom/e1d70ff df-b c /9cdaf d-11df-b c zip 15f2d1944f5a429e24f308fa45903ecd /cdrom/e1d70ff df-b c /9cdaf d-11df-b c zip forensik@forensik-station:~$ dd if=/cdrom/e1d70ff df-b c /9cdaf d-11df-b c zip of=tloser skip=0 bs= bytes (74 MB) copied forensik@forensik-station:~$ md5sum /home/forensik/ tloser 15f2d1944f5a429e24f308fa45903ecd /home/forensik/ tloser forensik@forensik-station:~$ md5sum /home/forensik/ 9cdaf d-11dfb c img 1e3c771b5870c5f7163f7fc1508d4760 /home/forensik/ 9cdaf d-11dfb c img forensik@forensik-station:~$ hexdump -c -n 1400 /home/forensik/ 9cdaf d-11df-b c img H \ \0 \ \0 277 \ \ ! 006 \ \ \a u \v \a u \ t \0 \0 001 \0 \0 \0 \ u Y \0 \ \0 373 < 377 t R } t T 264 A U Z R r I U 252 u C 240 A u t 7 f 213 L D a0 f D \0 307 D \0 f b0 \ \b 307 D 006 \0 p f D 004 f 211 D 00000c0 \f 264 B r \0 p 353 } 264 \b d0 s \n \ \ e0 D 377 \0 f f 211 D f D \b f f 241 D f f T \n f f 367 t T \v 211 D \f ; D \b } < 212 T \r L \n \b l \f Z 212 t \v 273 \0 p r * H ` \ a 377 & B } \ } \ } \ } 350 * \ G R U B \0 G e o m \0 H a r d D i s k \0 R e a d \0 E r r o r \0

7 00001a \ < \0 u \0 \0 \ b0 \0 \0 \0 \0 \0 \0 \0 \0 1 < \n \0 \0 \0 \ c0 001 \ \0 \0 \0 340 q 035 \0 \ d \0 r 035 \0 \ \0 \0 \ e0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \ f0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 U R V ! 350 * 001 ^ ! f } 004 \ \ \0 t > f f E E 004 ) E f \0 211 D 002 f 211 \ \b 307 D \0 p P f D 004 f 211 D \f 264 B \0 273 \0 p 353 V f f f T \n f f 367 t T \v 211 D \f ; D \b } t * D \n 9 E E 004 ) E 004 f T \r L \n \b l \f Z R 212 t 00002a0 \v P 273 \0 p r F b E 006 X E 006 ` c ! d0 ` \0 a 203 } 004 \ < \b e ! 350 K \0 Z 352 \0 " \0 \ ! 00002f0 350? \ ! \0 276 #! \ L o a d i n g s t a g e \0. \0 \r \n \0 G e o m \0 R e a d \0 E r r o r \ \ F < \0 u \0 \0 \0 \0 \0 \0 \ \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 * 00003f0 \0 \0 \0 \0 \0 \0 \0 \0 002 \0 \0 \0 017 \ p " \0 \0 \ \0 \0 \0 \0 \ \ \ \0 377 / b o o t / g r u b / s t a g e 2 / b o o t / g r u b / m e n u. l s t \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 \0 * g f $ \ \0 f \0 \0 f g $ \0 \ f 350 a \0 \0 \0 277 x? \0 \0 271 \0 \0 ) \0 \ b \0 \0 \ D $ \b c0 \0 % \0 \ f 213 D $ 004 f % \ d0 \ \0 \ \b \0 \ e0 \ h? \0 \0 213 L $ \f 350 Q \0 \0 \ f0 f g f \0 % \0 \0 372 g f % \0 \ f " 300 f # \0 \0 \b \0 f \ $ \0 \ $ \0 \ \0 \ $ % \0 \ $ \0 \ $ \0 \ \0 \ f 270 \ u

8 9cdaf d-11df # \0 \0 030 \ forensik@forensik-station:~$ mmls -b /home/forensik/ b c img DOS Partition Table Offset Sector: 0 Units are in 512-byte sectors Slot Start End Length Size Description 00: B Primary Table (#0) 01: K Unallocated 02: 00: M Linux (0x83) 03: 00: M Linux Swap / Solaris x86 (0x82) 04: M Unallocated forensik@forensik-station:~$ hdparm /home/forensik/ 9cdaf d-11dfb c img /home/forensik/ 9cdaf d-11df-b c img: BLKROGET failed: Inappropriate ioctl for device BLKRAGET failed: Inappropriate ioctl for device HDIO_GETGEO failed: Inappropriate ioctl for device forensik@forensik-station:~$ disk_stat /home/forensik/ 9cdaf d-11dfb c img The file name must correspond to a device forensik@forensik-station:~$ foremost -i /home/forensik/ 9cdaf d-11dfb c img forensik@forensik-station:~$ md5sum /home/forensik/ 9cdaf d-11dfb c img 1e3c771b5870c5f7163f7fc1508d4760 /home/forensik/ 9cdaf d-11dfb c img forensik@forensik-station:~$ mmls -b /home/forensik/ 9cdaf d-11dfb c img DOS Partition Table Offset Sector: 0 Units are in 512-byte sectors Slot Start End Length Size Description 00: B Primary Table (#0) 01: K Unallocated 02: 00: M Linux (0x83) 03: 00: M Linux Swap / Solaris x86 (0x82) 04: M Unallocated forensik@forensik-station:~$ mount -o loop,ro,offset=16384 /home/forensik/ 9cdaf d-11df-b c img /mnt/temp_p1

9 Anhang B Foremost version by Jesse Kornblum, Kris Kendall, and Nick Mikus Audit File Foremost started at Wed Apr 14 15:13: Invocation: foremost -i /home/forensik/ 9cdaf d-11df-b c img Output directory: /home/forensik/output Configuration file: /etc/foremost.conf File: /home/forensik/ 9cdaf d-11df-b c img Start: Wed Apr 14 15:13: Length: 1 GB ( bytes) Num Name (bs=512) Size File Offset Comment 0: gif 4 KB (11 x 11) 1: gif 120 B (15 x 13) 2: gif 72 B (14 x 11) 3: gif 79 B (11 x 11) 4: gif 125 B (14 x 15) 5: gif 68 KB (1652 x 0) 6: gif 103 KB (11303 x 10016) 7: htm 231 B : htm 415 B : htm 231 B : htm 87 B : htm 87 B : exe 60 KB /03/ :46:47 13: exe 60 KB /03/ :37:43 14: dll 8 KB /13/ :17:31 15: htm 334 B : htm 40 KB : jar 2 KB : png 1 KB (48 x 48) 19: htm 164 KB : htm 999 B : htm 1 KB : htm 2 KB : htm 2 KB : htm 1 KB : htm 897 B : htm 1 KB : htm 9 KB : htm 1 KB : htm 3 KB : htm 2 KB : htm 6 KB : htm 5 KB

10 33: htm 2 KB : htm 2 KB : htm 8 KB : htm 6 KB : htm 2 KB : htm 4 KB : htm 4 KB : htm 2 KB : htm 8 KB : htm 40 KB : htm 97 KB : htm 35 KB : htm 112 KB : htm 63 KB : htm 16 KB : htm 44 KB Finish: Wed Apr 14 14:14: FILES EXTRACTED gif:= 7 htm:= 37 zip:= 1 exe:= 3 png:= Foremost finished at Wed Apr 14 14:14:

11 Anhang C Autopsy string Report GENERAL INFORMATION File: /1//home/robert.de.rainault/.bash_history MD5 of file: 0cd71e699e3b201a1af9884c75dc9d40 - SHA-1 of file: d31458ca8be1dfba9ce531fc8d0f60c46d25bc89 - MD5 of ASCII strings: 0cd71e699e3b201a1af9884c75dc9d40 - SHA-1 of ASCII strings: d31458ca8be1dfba9ce531fc8d0f60c46d25bc89 - Image: '/var/lib/autopsy/tloser2/host1/images/9cdaf d-11df-b c img' Offset: 32 to File System Type: ext Date Generated: Wed Apr 14 14:40: Investigator: unknown META DATA INFORMATION inode: Allocated Group: 4 Generation Id: uid / gid: 1002 / 1001 mode: -rwxrwx--- size: 441 num of links: 1 Inode Times: Accessed: Fri Mar 19 14:51: File Modified: Fri Mar 19 14:51: Inode Modified: Fri Mar 19 14:51: Direct Blocks: File Type: ASCII text CONTENT echo " Pound Sterling" > treasury mkdir.gnupg exit gpg --sign --detach-sign treasury exit

12 echo "18184 Pound Sterling" > cheque6 gpg --sign --detach-sign cheque6 exit echo "18184 Pound Sterling" > cheque7 gpg --sign --detach-sign cheque7 exit echo "18184 Pound Sterling" > cheque8 gpg --sign --detach-sign cheque8 exit echo "18184 Pound Sterling" > cheque9 gpg --sign --detach-sign cheque9 exit cp cheque* /home/rich/ rm cheque* exit VERSION INFORMATION Autopsy Version: 2.08 The Sleuth Kit Version: 2.52 Autopsy string Report GENERAL INFORMATION File: /1//home/robert.de.rainault/treasury MD5 of file: afe8f301811f820d660ed459bec947b0 - SHA-1 of file: fbd1577c16764e7cca55219eeba68b0f2109a2a6 - MD5 of ASCII strings: afe8f301811f820d660ed459bec947b0 - SHA-1 of ASCII strings: fbd1577c16764e7cca55219eeba68b0f2109a2a6 - Image: '/var/lib/autopsy/tloser2/host1/images/9cdaf d-11df-b c img' Offset: 32 to File System Type: ext Date Generated: Wed Apr 14 14:44: Investigator: unknown META DATA INFORMATION inode: Allocated Group: 4 Generation Id: uid / gid: 1002 / 1001 mode: -rwxrwx--- size: 23

13 num of links: 1 Inode Times: Accessed: Fri Mar 19 14:50: File Modified: Fri Mar 19 14:50: Inode Modified: Fri Mar 19 14:50: Direct Blocks: File Type: ASCII text CONTENT Pound Sterling VERSION INFORMATION Autopsy Version: 2.08 The Sleuth Kit Version: 2.52 Autopsy string Report GENERAL INFORMATION File: /1//home/robert.de.rainault/treasury.sig MD5 of file: aac78cd93a3e7d6d4a9b d8a5f - SHA-1 of file: cb8193cafe50bd7245e07e3f15a460486ba86be0 - MD5 of ASCII strings: 61edb1c b606154eeabc09 - SHA-1 of ASCII strings: 12befbb6e5c7a23db32209b042ee767d77516f15 - Image: '/var/lib/autopsy/tloser2/host1/images/9cdaf d-11df-b c img' Offset: 32 to File System Type: ext Date Generated: Wed Apr 14 14:44: Investigator: unknown META DATA INFORMATION inode: Allocated Group: 4 Generation Id: uid / gid: 1002 / 1001 mode: -rwxrwx---

14 size: 65 num of links: 1 Inode Times: Accessed: Fri Mar 19 14:50: File Modified: Fri Mar 19 14:50: Inode Modified: Fri Mar 19 14:50: Direct Blocks: File Type: data CONTENT z't3g RlY*M VERSION INFORMATION Autopsy Version: 2.08 The Sleuth Kit Version: 2.52 Autopsy ASCII Report GENERAL INFORMATION File: /1//home/rich/cheque6 MD5 of recovered file: f e593bc835108f290829c97 - SHA-1 of recovered file: dd941c daca2ac5f b4b48ecf0c - Image: '/var/lib/autopsy/tloser2/host1/images/9cdaf d-11df-b c img' Offset: 32 to File System Type: ext Date Generated: Wed Apr 14 14:56: Investigator: unknown META DATA INFORMATION inode: Allocated Group: 4 Generation Id: uid / gid: 1002 / 1002 mode: -rw-r--r--

15 size: 21 num of links: 1 Inode Times: Accessed: Fri Mar 19 14:51: File Modified: Fri Mar 19 14:51: Inode Modified: Fri Mar 19 14:51: Direct Blocks: File Type: ASCII text CONTENT (Non-ASCII data may not be shown) Pound Sterling VERSION INFORMATION Autopsy Version: 2.08 The Sleuth Kit Version: 2.52

16 Anhang D