Primeiramente precisamos copiar a imagem do sistema comprometido para a estacao de analise, apos realizar a importacao e indexacao no ptk conforme post anterior.Analise do Registro do Windows:O registro do windows esta em formato proprietario M$, entao teremos que abrir estes registro com uma ferramenta auxiliar, a distribuicao FDTK, possui o utilitario Grokevt, um conjunto de scripts em Python, porem a versao instalada nesta distribuicao nao contempla formatos de log de sistemas windows acima de WindowsXP.Para resolver este problema encontramos no site abaixo uma ferramenta para abrir os logs e exporta-los em formato texto.http://www.tzworks.net/prototype_page.php?proto_id=4Procure no log seguranca por logins diferentes, ou anonimos, e operacoes com a conta SYSTEM:Analise MACtimes:O grafico indica as datas mais provaveis da invasao pois alem de leituras tambem sao encontradas muitas alteracoes. Apos vamos procurar na visualizacao de tabela arquivos alterados nestas datas.Bookmarks:Verificando arquivos:Busca por strings:Analisando usuarios:Utilizando o aplicativo ophcrack e possivel verificar os usuarios criados no sistema operacional da imagem coletada.Analisando Sid's encontrados, no link http://support.microsoft.com/kb/243330 e possivel verificar os id's padroes de sistemas. A fim de preservamos a estacao com todas caracteristicas devemos realizar uma copia do disco. Para isto precisaremos de um sistema operacional live, que rode sem necessidade de instalacao abaixo algumas distribuicoes prontas para analise computacional PeriBR - Desenvolvido como trabalho de pos-graduacao em pericia digital da Universidade Catolica de Brasilia. Pode ser obtido no site: http://sourceforge.net/projects/peribr/ CAINE - Computer Aided INvestigative Environment, distribuicao de origem italiana criado atraves de um projeto de Forense Digital. Disponivel em http://www.caine-live.net/. DEFT - Digital Evidence and Forensic Toolkit, distribuicao de origem italiana, atualmente na versao 5, sendo baseada no Xubuntu 9.10. Utiliza no desktop o xfce4. Disponivel no site http://www.deftlinux.net/. BackTrack Baseado atualmente de Ubuntu, tem foco em testes de seguranca, mas incorporou nas ultimas versoes ferramentas para analise forense. Disponivel em http://www.backtrack-linux.org/. FDTK Forense Digital ToolKit, distribuicaobaseada em Ubuntu, reune mais de 100 ferramentas para analise forense em umainterface organizada. Disponivel no site http://fdtk.com.br.Para esta demonstracao utilizaremos e distribuicao FDTK, mas as outras distribuicoes possuem basicamente as mesmas ferramentas. Segue abaixo os passos para realizacao desta imagem:Isolando a estacao em uma rede separada, neste caso utilizamos o Vmware, e assim e possivel realizar remotamente esta operacao.Criando um repositorio confiavel, optamos por um diretorio nfs, a ser acessado pela maquina da qual sera gerada a imagem. Neste ponto e importante ter certeza que a maquina que recebera a imagem esta saudavel e assim garanta a integridade das informacoes.Inicializando com o FDTK, para estacoes nao virtualizadas sera necessario gravar um cd com a imagem, neste caso utilizaremos a .ISO para inicializar a maquina.Utilizando o software AIR, que nada mais e uma interface grafica para dd, tambem disponivel na maioria de distribuicoes linux. A figura mostras as opcoes desta interface. Basicamente e necessario setar a origem, ou seja o(s) disco(s) da maquina. Neste poste esta o relatorio de conclusao de caso disponibilizado pela ferramenta PTK.No caso estudo windows:O processo de analise permitiu concluir que o invasoraproveitou-se de uma vulnerabilidade no sistema operacional para adquiriracessos administrativos. Esses acessos permitiram a instalacao de um rootkit, o que tornou a maquina