ANALIZA POWŁAMANIOWA OKIEM AMATORA CASE STUDY. Piotr Jasiek

Transkrypt

1 ANALIZA POWŁAMANIOWA OKIEM AMATORA CASE STUDY Piotr Jasiek

2 Lazurowa flaga. 2 Po wykonaniu: > curl -v Otrzymujemy: < black_flag: ta flaga, jest lazurowa

3 S.M.S.? 3 Zaczęło się od idei stowarzyszenia - skończyło się na firmie. Dziś jesteśmy firmą informatyczną proponującą swoim klientom podwyższony standard bezpieczeństwa. Co robimy? Hostingi WWW, VPS i inne - dokładniej? Szukaj informacji na lub zapytaj po prezentacji.

4 Analiza jako pojęcie w kryminologii 4 Analiza kryminalna - poszukiwanie relacji i zależności pomiędzy informacjami dotyczącymi przestępstw. Nie należy mylić "analizy kryminalnej" z prowadzeniem postępowania dowodowego czy postępowania wyjaśniającego. Zastosowanie analizy kryminalnej pozwala na ustalenie lub przewidywanie powiązań pomiędzy zgromadzonymi faktami, co pozwala na budowanie, weryfikowanie i eliminację wersji śledczych.

5 Informatyka śledcza 5 Z angielskiego Computer Forensics jest jedną z gałęzi nauk sądowych, której zadaniem jest dostarczenie dowodów w formie cyfrowej, ustalenie przebiegu zdarzeń oraz motywów, którymi kierował się sprawca lub ofiara.

6 Źródła informacji w informatyce śledczej 6 - dyskietki - taśmy do backupów - dyski twarde - pamięci przenośne - serwery - portale społecznościowe - dyski w chmurze - przeglądarki internetowe

7 Kiedy informatyk śledczy wkracza do akcji? 7 defraudacji środków finansowych łamania prawa pracy kradzieży danych szpiegostwa przemysłowego łamania praw autorskich ujawnienia tajemnicy handlowej kradzieży i użycia danych osobowych spraw kryminalnych (handel narkotykami, terroryzm, morderstwa, samobójstwa, przestępczość zorganizowana, pedofilia).

8 Do sedna Co? Kto? Kiedy? Intruz przegląda s-m-s.pl i komentuje wpis. 4:31-5: Intruz pobiera dane z publicznie dostępnego hosta. W jego przekonaniu znalazł poufne dane. 5: "Intruz" tworzy paczkę i wrzuca pasty na pastebina. 6: Na mojej skrzynce pojawia się mail wysłany z Protonmaila. 6: Na kanałach IRC pojawiają się linki do pasty. 7: Na IRC przez prywatną wiadomość dostaję link do pasty. 7: Odczytuję maila. 7: Publikacja pasty i info na socialkach, zastawiam pułapkę 13: Zaczynam czytać logi. 14: Już wszystko wiem, piszę artykuł dokonując analizy logów. 20: Artykuł gotowy. 21: "Intruz" znów się odzywa i zapewnia, że to wszystko to był tylko żart. Analiza danych i upewnianie się, że dowody poszlakowe są prawdziwe zajęło mi około sześć godzin, przy czym cały czas miałem również inne zajęcia. W rzeczywistości było to pracy na jakieś trzy godziny pracy.

9 "Na początku był chaos " znaczy mail 9

10 10 Przejdźmy teraz do pastebina. Link do pasty dostałem również na IRC-u.

11 Pastebin najlepszy do umieszczania wycieków? 11

12 Mea culpa. 12

13 Teraz zajmijmy się paczką. 13

14 Wyciek.zip 14

15 Wyciek.zip - szczegóły 15

16 Screenshot najlepszym dowodem 16

17 Czytamy logi cz. 1 17

18 Identyfikacja adresu IP 18

19 Ciekawostka z portu 80 19

20 IRC sposobem na powiadomienie 20

21 Czytamy logi cz. 2 21

22 Wspólny mianownik 22

23 Sprawdźmy wszystkie logi 23

24 c.d. 24

25 Nie-torowy adres IP 25

26 Pytania do dowodów poszlakowych 26 Komu 23/Jun/2016 o 15:16:05 nadano adres ? Czy ta osoba w czasie między 26/Jun/2016:04:31:17 a 26/Jun/2016:04:56:22 łączyła się z hostem za pomocą OpenVPN-a na 1194 porcie? Czy ta osoba w czasie między 26/Jun/2016:13:31:16 a 26/Jun/2016:13:45:52 łączyła się z hostem w jakikolwiek sposób umożliwiający tunelowanie danych?

27 Inna aktywność intruza 27

28 Intruz komentuje 28

29 Ten komentarz 29

30 Nie masz hackerbox a użyj Google a 30

31 Podsumowanie 31 <toligniew> prezes: jak to jest być celebrytą? <Wolf480pl> hmm.. prezesa nie ma ale chyba mogę co nie co powiedzieć za niego: <Wolf480pl> jak jesteś celebrytą to randomowe nooby z internetu próbują cię zhackować i jak znajdą gdzieś automatyczny indeks www na twoim serwerze <Wolf480pl> a na nim twój klucz publiczny <Wolf480pl> to się hypeują wow wow zhackowałem pehata

32 Pytania? 32

33 SCP - Social and Contact Page 33 piotr.jasiek@s-m-s.pl