Acabo de enterarme hoy de la noticia, y como no, tenía que probarlo por mí mismo. Creo que conocemos de sobra el framework Volatility, pero para los que no lo conozcan decir que se trata de un entorno de análisis escrito en Python que permite examinar volcados de la memoria de Windows en formato raw.
El otro componente del tándem es RegRipper, del que todavía no hemos hablado nada pero del que estoy preparando un artículo que espero tener listo muy pronto. A modo de resumen decir que se trata de un script en perl desarrollado por Harlan Carvey que facilitará el análisis del registro de Windows de forma offline.
Ahora imaginad que juntamos las capacidades de ambos, ¡podríamos analizar y obtener información de las diferentes claves del registro contenidas en una imagen de la memoria de un sistema Windows!
Pues bien, gracias a Brendan Dolan-Gavitt (aka Moyix), esto ya es posible. Indicar que yo no he descubierto nada, unicamente me he limitado a probarlo y contarlo a lo largo de estas lineas. Para obtener detalles técnicos acerca del proceso y las modificaciones en el código necesarias recomiendo leer detenidamente el artículo original.
Entorno utilizado para las pruebas
A pesar de que tanto Volatility como RegRipper funcionan en Windows el tándem desarrollado por Brendan deberá ejecutarse obligatoriamente en un sistema Linux. Esto es debido a que para enlazar Volatility, escrito en Python, y RegRipper, desarrollado en perl, se utiliza el módulo de perl Inline:Python, el cual sólo está disponible actualmente para el sistema del pingüino.
Bien, hechas las aclaraciones oportunas decir que yo lo he probado en una Fedora release 10 (Cambridge) y ha funcionado perfectamente. Es fundamental tener instalado tanto python como perl, los cuales ya vienen de serie con el sistema. Será preciso también tener instalado el módulo de perl Inline:Python, el cual podremos descargar desde la siguiente url:
http://search.cpan.org/CPAN/authors/id/N/NI/NINE/Inline-Python-0.28.tar.gz
Suponiendo que lo tenemos descargado en el home del usuario root el proceso de instalación sería como sigue:
[root@ulises ~]# cd /usr/local
[root@ulises local]# tar xvzf /root/Inline-Python-0.28.tar.gz
[root@ulises local]# cd Inline-Python-0.28/
[root@ulises Inline-Python-0.28]# perl Makefile.PL
[root@ulises Inline-Python-0.28]# make
[root@ulises Inline-Python-0.28]# make install
Por otra parte, y para que el uso de volatility no muestre ningún mensaje de error también instalaremos el modulo de python Pycrypto, el cual descargaremos de la siguiente url:
http://www.amk.ca/files/python/crypto/pycrypto-2.0.1.tar.gz
De nuevo, y suponiendo que lo tenemos descargado en el home del usuario root el proceso de instalación sería como sigue:
[root@ulises ~]# cd /usr/local
[root@ulises local]# tar xvzf /root/pycrypto-2.0.1.tar.gz
[root@ulises local]# cd pycrypto-2.0.1/
[root@ulises pycrypto-2.0.1]# python setup.py build
[root@ulises pycrypto-2.0.1]# python setup.py install
Para realizar las pruebas utilizaremos una de las imágenes contenidas en el set de imágenes de la memoria de Windows publicadas por el NIST, y que podremos descargar de la siguiente url:
http://www.cfreds.nist.gov/mem/memory-images.rar
Dado que las imágenes vienen empaquetadas en un fichero rar también será preciso disponer al menos del binario unrar. Podremos instalarlo de forma sencilla siguiendo las instrucciones publicadas aqui.
Suponiendo que ya hemos instalado unrar y que tenemos el conjunto de imágenes descargado en el home del directorio root podremos extraer su contenido utilizando el siguiente comando:
[root@ulises ~]# unrar e memory-images.rar
Instalando volatility y los plugins necesarios
Bién, ya tenemos instaladas las dependencias, sigamos ahora con el framework Volatility, el cual podremos descargar de la siguiente url:
https://www.volatilesystems.com/volatility/1.3/Volatility-1.3_Beta.tar.gz
y ya que estamos descargaremos tambien las versiones actualizadas de los plugins para volatility necesarios para realizar las pruebas:
http://kurtz.cs.wesleyan.edu/%7Ebdolangavitt/memory/volreg-0.3.tar.gz
http://kurtz.cs.wesleyan.edu/%7Ebdolangavitt/memory/volrip-0.1.tar.gz
Vale, suponiendo que lo tenemos todo descargado en el directorio home del usuario root el proceso de instalación no podría ser más sencillo:
[root@ulises ~]# cd /usr/local
[root@ulises local]# tar xvzf /root/Volatility-1.3_Beta.tar.gz
[root@ulises local]# ln -s Volatility-1.3_Beta/ volatility
[root@ulises local]# cd volatility/
[root@ulises volatility]# tar xvzf /root/volreg-0.3.tar.gz
[root@ulises volatility]# tar xvzf /root/volrip-0.1.tar.gz
Ya lo tenemos todo preparado, bueno, casi todo. Copiemos en el directorio de volatility la imagen de la memoria que utilizaremos para las pruebas:
[root@ulises volatility]# cp /root/xp-laptop-2005-07-04-1430.img .
Ahora ya estamos listos.
Usando el tándem
El primer paso consistirá en obtener los offsets dentro de la imagen de la memoria donde se ubican las estructuras CMHIVE, es decir, las representaciones para las diferentes claves del registro. Veamos a continuación el comando necesario así como los resultados obtenidos:
[root@ulises volatility]# python volatility hivescan
-f xp-laptop-2005-07-04-1430.img
Offset (hex)
42168328 0x2837008
42195808 0x283db60
47598392 0x2d64b38
155764592 0x948c770
155973608 0x94bf7e8
208587616 0xc6ecb60
208964448 0xc748b60
234838880 0xdff5b60
243852936 0xe88e688
251418760 0xefc5888
252887048 0xf12c008
256039736 0xf42db38
269699936 0x10134b60
339523208 0x143cb688
346659680 0x14a99b60
377572192 0x16814b60
387192184 0x17141578
509150856 0x1e590688
521194336 0x1f10cb60
523667592 0x1f368888
527756088 0x1f74eb38
Ahora utilizaremos uno de los offsets anteriores, y mediante el comando hivelist, localizaremos las direcciones virtuales para todas las claves del registro almacenadas en la memoria. El comando necesario junto con los resultados sería:
[root@ulises volatility]# python volatility hivelist -o 0x2837008
-f xp-laptop-2005-07-04-1430.img
Address Name
0xe2610b60 \Documents and Settings\Sarah\Local Settings\
Application Data\Microsoft\Windows\UsrClass.dat
0xe25f0578 \Documents and Settings\Sarah\NTUSER.DAT
0xe1d33008 \Documents and Settings\LocalService\Local Settings\
Application Data\Microsoft\Windows\UsrClass.dat
0xe1c73888 \Documents and Settings\LocalService\NTUSER.DAT
0xe1c04688 \Documents and Settings\NetworkService\Local Settings\
Application Data\Microsoft\Windows\UsrClass.dat
0xe1b70b60 \Documents and Settings\NetworkService\NTUSER.DAT
0xe1658b60 \WINDOWS\system32\config\software
0xe1a5a7e8 \WINDOWS\system32\config\default
0xe165cb60 \WINDOWS\system32\config\SAM
0xe1a4f770 \WINDOWS\system32\config\SECURITY
0xe1559b38 [no name]
0xe1035b60 \WINDOWS\system32\config\system
0xe102e008 [no name]
Hasta aquí nada nuevo, pero lo siguiente es pura magia. Utilizaremos el offset para la clave system y se lo pasaremos a la versión "modificada" de regripper. Dado que el resultado mostrado es bastante largo redirigiremos la salida a un fichero de texto que podremos analizar posteriormente. El comando necesario sería:
[root@ulises volatility]# perl rip.pl
-r xp-laptop-2005-07-04-1430.img@0xe1035b60 -f system > system.output.txt
Parsed Plugins file.
Launching compname v.20080324
compname complete.
Launching shutdown v.20080324
shutdown complete.
Launching shutdowncount v.20080709
shutdowncount complete.
Launching timezone v.20080324
timezone complete.
Launching termserv v.20080418
termserv complete.
Launching mountdev v.20080324
mountdev complete.
Launching network v.20080324
network complete.
Launching nic_mst2 v.20080324
nic_mst2 complete.
Launching fw_config v.20080328
fw_config complete.
Launching usbstor v.20080418
usbstor complete.
Launching devclass v.20080331
devclass complete.
Launching ide v.20080418
ide complete.
Launching shares v.200800420
shares complete.
Launching svc v.20080610
svc complete.
Launching imagedev v.20080730
imagedev complete.
Si analizamos el contenido del fichero system.output.txt entenderemos la importancia de esta nueva funcionalidad de Volatility, así como la potencia de la herramienta regripper, que como ya he dicho, tendremos oportunidad de conocer mas a fondo dentro de poco.
No hay comentarios:
Publicar un comentario