Source: http://secblog.stratis.hu/2009/10/
Timestamp: 2019-08-17 23:07:56+00:00

Document:
IT security blog: 10/01/2009 - 11/01/2009
Bejegyezte: Kovács Zsombor dátum: 10:32 5 megjegyzés: A bejegyzésre mutató linkek
A Windows 7 magyarországi bemutatója nemrég zajlott: nézzünk kicsit körül, hogy forensic szempontból mi minden változott/javult az új verzióban.
Az Xp-ben alapvetően kétfajta profilt lehetett a felhasználóhoz rendelni: az a célja a dolognak, hogy a felhasználó a domain akármelyik munkaállomására beléphessen, a személyes mappái kövessék hűen. Ilyen klasszikus mappa a My Documents és a többi hasonló nevű, tipikusan a Documents and Settings mappában található. Az ilyen "letöltődő" profilokat roaming profilnak nevezik, és jellemzően pár tíz megás méret fölött ez hosszítja meg jelentősen a belépési procedúrát egy új gépen (e sorok írója egyszer elkövette azt a hibát, hogy négy-öt gigányi zenét tartott a My Documents-mappában, és csodálkozott, hogy miért tart tíz percig belépésnél a felület testreszabása).
Forensic szempontból ez egyrészt azért kellemes, ugyanis a felhasználói adatok jelentős része központilag is megtalálható, tehát ad absurdum az elveszett/letörölt/ellopott munkaállomás nélkül is lehet -korlátozott- analízist végezni. A dolog hátulütője ott van, hogy sokszor nem teljesen világos, hogy a szinkronizáció mely fájlokat érinti, és melyeket nem (tehát pl. a böngészők melyik részbe szemetelnek).
Windows7 alatt explicit meghatározták, hogy a felhasználói profil melyik része romaing és melyik local: a böngészős példánál maradva a cookie cache a roaming részben, a browsing cache és a history a localban található.
Az IE forensic szempontból fontos újítása a "protected mód": azaz ha káros kódot töltene le a böngészőnk, az nem fog tudni a futás ellenére sem kárt okozni - elméletileg. Mivel nem minden felhasználói tevékenység véghezvihető ilyen módban, két mappakészletet is használ a böngészőnk. A buta módú működés során használt mappakészlet itt található:
Figyeljük meg a "Low" szócskát, ugyanis nagyrészt itt találhatóak a forensic szempontból fontos dolgok (history, lnk fájlok, tmp mappák stb). A lokálisan megnyitott fájlokkal kapcsolatos dolgok a "rendes" mappakészletben találhatóak.
Persze ki is lehet kapcsolni a "Low" mappák használatát:
Kikapcsoljuk a "Protected mode" használatát
Kikapcsoljuk az UAC-ot
Adminisztrátorként használjuk a böngészőt(!)
Az Xp-ben megismert és bevált artifactok túlnyomórészt változatlanul kereshetőek a 7-ben is, csak helyenként másként hívják a figyelendő logokat és registry-kulcsokat. Itt egy nagyon jó forensic manual a különféle Windows-verziók USB-kulcsokkal kapcsolatos elemzésére.
Csak címszavakban: amikor csatlakoztatunk egy USB-s tárolóeszközt a vindózunkhoz, számos artifact keletkezik, amelyek az eszköz eltávolítása után is megmaradnak. Forensic nyomozás során ezeket a nyomokat keressük, illetve elemezzük. A registryben az alábbi helyeket érdemes figyelni, csatlakoztatott eszközök nyomai után kutatva:
HKEY_LOCAL_SYSTEM\CurrentControlSet\Enum\USBSTOR\ - a csatlakoztatott eszközök azonosítói
NTUSER.DAT\Software\Microsoft\CurrentVersion\Explorer\MountPoints2 - melyik felhasználó csatlakoztatta az adott eszközt?
Bejegyezte: Kovács Zsombor dátum: 11:05 Nincsenek megjegyzések: A bejegyzésre mutató linkek
Bejegyezte: Kovács Zsombor dátum: 10:39 5 megjegyzés: A bejegyzésre mutató linkek
Bejegyezte: Kovács Zsombor dátum: 10:44 2 megjegyzés: A bejegyzésre mutató linkek
Forensic vizsgálatok 7.- Windows Xp restore pointok
A Windows Xp-ben bemutatkozott egy csodálatos új szolgáltatás, amelynek keretében a felhasználó vissza tudja állítani a rendszerét olyan régebbi állapotba, amikor működött.
Mielőtt rátérnénk arra, hogy miért is jó forensic szempontból a system restore pointok vizsgálata, kicsit fussuk át a szolgáltatást. Először is, a SRP-k alapvetően az alábbi elemeket tartalmazzák visszaállítási céllal (testre is lehet szabni a dolgot a megfelelő célszerszámmal, ez esetben új elemek is jöhetnek a listába):
A Registry bizonyos részei
Local profilok (nem roaming értelemben)
COM+ objektumok adatbázisa
A Windows File Protection DLL cache-e (emlékszünk ugye, ebből a tiszta forrásból javítja meg a windows a DLL-eket, amelyeket gonosz módon megbuherálunk kedvenc rootkitünkkel a tesztrendszerünkben)
WMI adatbázis
Azok a fájlok, amelyeket beleteszünk a testreszabásba
Mi az, ami kimarad a visszaállításból? Figyelem: attól, hogy a visszaállításban nem szerepelnek az alábbi elemek, még biztonsági mentési céllal simán belekerülhetnek az SRP-kbe!
A SAM hive (asszociálunk a "felhasználók" és a "jelszavak" stringekre, és igen, bizonyos részeit biztonsági menti a Windows annak ellenére, hogy visszaállításkor nem másolja vissza őket)
A DRM menedzsment beállításai
A wifi hálózatok kulcsai
Azok a fájlok, amelyeket explicit kihagyunk a testreszabásban
A System Restore Service futásához meglehetősen sok hely szükséges, nagyjából 200MB szabad helynél kevesebb esetén a szolgáltatás egész egyszerűen pihenni tér, ekkor nem készülnek SRP-k, a forensic elemző pedig gondolkodhat, hogy miért is hiányzik néhány, aminek márpedig ott kéne lennie.
A System Restore Service futásával kapcsolatos információk a Registryben találhatóak, az alábbi kulcs alatt:
A fenti kulcsban található értékek mindent elárulnak a szolgáltatás paraméterezéséről:
A DisableSR szabályozza, hogy be legyen-e kapcsolva a szolgáltatás.
Az RPGlobalInterval mondja meg, hogy milyen gyakran készül SRP.
Az RPLifeInterval mutatja meg, mennyi legyen az SRP-k élettartama, alapkiépítésben 7776000 másodperc, azaz 90 nap.
Mire használhatóak az SRP-k? Egyrészről registry mentéseket tartalmaznak. Az SRP-kben egyébként rengeteg, forensic szempontból fontos fájl megtalálható, például:
Majdnem a teljes registry
RP.log: megtalálható benne az SRP típusa, némi szöveges információ a keletkezés körülményeiről, egy 64 bites FILETIME objektum, amiből meglehetősen pontosan megvan, mikor készült a mentés a rendszeróra szerint. Ez utóbbinak ott van jelentősége, hogy az RP-oknak egyedi szekvenciális sorszámuk van, és ha az idő összevissza telik az RP-k sorszámait tekintve, akkor nagy valószínűséggel machináltak a rendszeridővel akkoriban.
Change.log.x fájlok: ha egyszer elkészült az SRP, akkor a visszaállítható fájlokat továbbra is figyeli a rendszer, a fájlokon bekövetkezett változásokról napló készül (igaz, bináris).
Bejegyezte: Kovács Zsombor dátum: 22:46 Nincsenek megjegyzések: A bejegyzésre mutató linkek
Mi mindenbe botlik az ember, ha a jogtárban nézegeti a BTK.300§-as paragrafusához tartozó magyarázatokat és határozatokat. :)
Érdemes végigolvasni, én nagyot nevettem a felmerült probléma megoldásán. Mostanában valahogy benne van a levegőben az, hogy a fejlesztők valamilyen visszaélést követnek el a munkaadó (megbízó) kárára - vajon a nehéz gazdasági helyzet teszi...? A sztori nem mai, de tessék-tessék, olvassatok. Egy kávé elfogyasztása alatt megvan.
BH1999. 145.
A számítógépes csalás bűntettének a kísérletét valósítja meg, aki a
számítógépes adatfeldolgozás eredményét meg nem engedett művelet
végzésével, nevezetesen vírusok becsempészésével tudatosan akként
befolyásolja, hogy ezáltal a programok működésre képtelenné váljanak, és
így a sértettnek ebből kára származhat [Btk. 16. §, 300/C. § (1) bek.].
A városi bíróság a vádlottat bűnösnek mondta ki számítógépes csalás
bűntettében [...].
A vádlott 1991. október 1. napjától munkaviszonyban állt az R. Kft.-nél,
a munkáját azonban kirendelés alapján a K. gyáregységében végezte. Az
1992. október 1. napján létesített munkaszerződés szerint a vádlott
munkaköri leírása alapján feladata volt az üzemet átfogó
számítástechnikai rendszer kidolgozása, annak gyakorlati alkalmazása,
illetve a vevői igényeknek megfelelő termelés szervezése, követése és a
gépi adatfeldolgozók szakmai irányítása. A vádlottat terhelte a
számítástechnikai adatok tekintetében a pontos adatszolgáltatásért való
felelősség. A munkaköri leírásban szereplő feladatok ellátásáért a
vádlott havi bérezésben részesült.
A vádlott a munkaszerződésben foglalt kötelezettsége alapján a
gyáregység részére 4 db programot írt, amelyek a vállalat
gazdálkodásának regisztrálásában, az ügyvitel szervezésében és a vezetői
információ adásában működtek közre. A vádlott az általa megírt két
programba - pontosan meg nem határozható időben - olyan kódsorozatot
épített be, amely az aktiválását követően a programokat fizikálisan
megsemmisíti, a harmadik programba pedig olyan kódsorozatot épített be, amely egy meghatározott naptári időpont bekövetkezése után a program működését - annak fizikai rombolása nélkül, a program végtelen ciklusba juttatásával - lehetetlenné teszi. A vádlott az általa kiépített
rendszerre vonatkozóan a romboló rutinok beépítéséről a munkáltatóját
nem tájékoztatta.
Amikor 1996. év tavaszán a vádlott és a kft. tulajdonosa között a
számítógépes rendszer tulajdonjoga tekintetében vita alakult ki, a
munkáltató a vádlott foglalkoztatását 1996. április hó 2. napján
azonnali hatállyal megszüntette.
Miután a munkáltatónak nem volt tudomása a működő rendszerbe épített
romboló motívumokról, a programok 1996. április 11-én és a 28-át követő
napon magukat részben megsemmisítették, illetve működésképtelenné
váltak, így a gyáregységnél a termelés irányítása, regisztrálása és az
árukiadás kb. 1 napra lehetetlenné vált. A leállást követően a vállalat
munkatársai a számítógépes rendszert beindították úgy, hogy a mindenkor
esedékes időpont (év, nap, hó) az év vonatkozásában visszadátumozásra
került. A rendszer a mai napig visszadátumozva működik.
A vádlott magatartásával a gyáregységnek mintegy 500 000-600 000 forint
kárt okozott, amely a rendszer kijavításával merült fel.
Az elsőfokú bíróság ítélete ellen a vádlott és a védője felmentés végett
jelentett be fellebbezést, amit a másodfokú tárgyaláson is fenntartottak.
A megyei főügyész az elsőfokú bíróság által megállapított tényállás
kiegészítése mellett az elsőfokú bíróság ítéletének a helybenhagyását
A megyei bíróság az elsőfokú bíróság ítéletét felülbírálva azt
állapította meg, hogy az elsőfokú bíróság az ügyet alapvetően
felderítette, a tényállást a rendelkezésre álló bizonyítékok egyenként
és összességében történő okszerű mérlegelése alapján állapította meg,
ami azonban az iratok alapján a Be. 258. §-a (1) bekezdésének a) pontja
alapján kiegészítésre szorul, az alábbiak szerint.
A vádlott a romboló rutinokat és a programokat végtelen ciklusba küldő
kódrészletet 1994. évben - közelebbről meg nem határozható időpontban -
építette be a programokba, a romboló hatást időről időre aktiválni és
deaktiválni kellett. A vádlott magát a védelmet is megváltoztatta.
A programba épített romboló rutint 1995. november 3-án módosította a
vádlott 1996. január 17-i lejárati idővel, ezt a rutint azonban nem
aktiválta, így a programban kár nem keletkezett.
A vádlott a programot 1995. november 2-án módosította, akkor lejárati
időnek 1996. január 17-ét jelölte meg, ezt követően a lejárati időt
1996. január 16-án és március 20-án április 28-ára állította be, a
végtelenített ciklusba küldő kódrészletet pedig aktiválta.
A vádlott a foglalkoztatásának megszűnésekor, 1996. április 2-án - de
azt követően sem - a beépített vírusrendszerű programrészletekről a
munkáltatóját nem tájékoztatta, így azok a lejárat időpontjában a
programokban működésbe léptek, azokat használhatatlanná téve. A
programok működésképtelensége addig tartott, amíg a rendszer
visszadátumozásával ismét működőképes állapotba nem helyezték. A
rendszer a mai napig is működik.
A romboló rutinokat kizárólag olyan személy építhette be a programba,
akinek birtokában volt a forráskód, a programok dokumentációja, és a
fejlesztőnyelvet is használni tudta. A sértett cégnél ezekkel az
anyagokkal és tudással kizárólag a vádlott rendelkezett.
A beépített romboló rutinok és a végtelenített ciklusba juttató
kódrészlet a tárolt információkat, adatokat nem, kizárólag a programot
védte. Azok beépítése a vádlotton kívül a többi felhasználó előtt nem
volt felismerhető, így aktiválható és deaktiválható sem. A beépítés
kizárólag azt a célt szolgálta, hogy szükség esetén a vádlott a
programok működését lehetetlenné tegye.
A fenti kiegészítésekkel az elsőfokú bíróság által megállapított
tényállás megalapozott, és a felülbírálat során is irányadó volt.
A felmentésre irányuló fellebbezések nem alaposak.
A tanúvallomásokból, de különösen a szakértői véleményből egyértelműen
megállapítható, hogy a vírusszerű részeket a vádlott szándékosan
építette be a programokba, azokat szándékosan aktiválta, a vírusszerű
részek beépítéséről, de a deaktiválás lehetőségéről sem tájékoztatta a
sértett vállalatot; egyébként maga a vádlott is elismerte, hogy ezeknek
a részeknek a programba történő beépítéséről senkit nem tájékoztatott.
Mindezekre figyelemmel az elsőfokú bíróság helyesen vetette el a
vádlottnak azt a védekezését, hogy a romboló rutinok beépítésére
adatvédelmi célokból volt szükség. A vádlott részéről a romboló rutinok
beépítésére nyilvánvalóan azért került sor, hogy az általa
kifejlesztett, de a munkáltatója tulajdonában levő programot nélküle ne
lehessen üzemeltetni.
Mindezekre figyelemmel a vádlott felmentésére nem kerülhetett sor.
Az elsőfokú bíróság az irányadó tényállás alapján törvényesen vont
következtetést a vádlott bűnösségére, a cselekmény jogi minősítése
azonban téves.
A számítógépes csalás bűntettének jogi tárgya a számítógépek
memóriájában tárolt adatok biztonságába vetett bizalom, ezen keresztül a
vagyonvédelem és a tulajdoni viszonyok védelme, az elkövetési tárgy
pedig a számítógépes adatfeldolgozás eredménye.
Az elkövetési magatartás: a program megváltoztatása, törlése, hiányos
adatok betáplálása és egyéb meg nem engedett műveletek végzése. Az adott
esetben az utóbbiról van szó, amelynél elsődleges helyet foglal el a
vírusok becsempészése.
Ez a bűncselekmény célzatos, mely jogtalan haszonszerzésre vagy kár
okozására irányul. Az adott esetben jogtalan haszonszerzésről
nyilvánvalóan nem lehet beszélni, a kárnak eredmény formájában kell
jelentkeznie, így a károkozást eredményező fordulat esetében a
cselekménynek eredménye van: a program megváltoztatása és az ebből adódó
kár. Befejezetté a cselekmény a kár bekövetkezésével válik, mindaddig,
amíg a program megváltoztatása károkozással nem jár, a cselekmény
kísérleti szakban van. A kár fogalmát a Btk. 333. §-ának 2. pontja
határozza meg, mely szerint kár a bűncselekménnyel a vagyonban okozott
értékcsökkenés. Ez pedig a megyei bíróság megítélése szerint nem lehet
az a túlóraként kifizetett munkabér, ami a rendszer átprogramozásához
szükséges idő miatt került kifizetésre.
Miután szándékos bűncselekményről van szó, a megállapított tényállásból
levonható az a következtetés, hogy a vádlott tisztában volt azzal, hogy
cselekménye az adatfeldolgozás eredményét megváltoztatta, és
belenyugodott abba, hogy cselekménye kárt okoz, ez a kár azonban a
rendszer újraindítása miatt nem következett be a sértett vállalat
vagyonában. Így a megyei bíróság megítélése szerint a vádlott a Btk.
300/C. §-ának (1) bekezdésében meghatározott számítógépes csalás
bűntettének a Btk. 16. §-a szerinti kísérletét valósította meg. Ezért a
megyei bíróság az elsőfokú bíróság ítéletét eszerint megváltoztatta.
Enyhítésre irányuló fellebbezés nem volt ugyan, ennek a lehetőségét is
vizsgálta azonban a megyei bíróság. E körben megállapította, hogy az
elsőfokú bíróság a bűnösségi körülményeket helyesen tárta fel, további
enyhítő körülmény, hogy a cselekmény kísérleti szakban maradt. Ennek
ellenére az elsőfokú bíróság az enyhítő rendelkezés alkalmazásával
inkább enyhe, mint eltúlzott büntetést szabott ki, így a büntetés
enyhítésére nem kerülhetett sor.
A fentiekre figyelemmel a megyei bíróság a cselekmény minősítésének
megváltoztatásán túl az elsőfokú bíróság ítéletét helybenhagyta.
(Szabolcs-Szatmár-Bereg Megyei Bíróság 2. A. Bf. 1150/1997. sz.)
Bejegyezte: Kovács Zsombor dátum: 22:19 Nincsenek megjegyzések: A bejegyzésre mutató linkek
Címkék: 300§, kis színes
Bejegyezte: Kovács Zsombor dátum: 10:50 Nincsenek megjegyzések: A bejegyzésre mutató linkek

References: bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 bíróság 
 Bíróság