28c3: Antiforensik

Download in hoher Qualität: http://bit.ly/w383bO
Beschreibung: http://events.ccc.de/congress/2011/Fahrplan/events/4828.en.html

Martin Wundram: Antiforensik
Einführung in das Thema Antiforensik am Beispiel eines neuen Angriffsvektors

Antiforensik ist ein noch eher neues Thema und bekommt zunehmend mehr Bedeutung. IT-Forensik als Mittel zur Aufklärung von Sachverhalten kann vor Gericht aber auch in internen Ermittlungen maßgeblich für Freisprüche oder Schuldsprüche sorgen. Daher ist es besonders schlimm, wenn die dazu verwendeten Programme nicht korrekt arbeiten und sogar mit präparierten antiforensischen Aktionen angegriffen werden können. Der Vortrag zeigt eine bisher unbekannte und dennoch technisch einfache Sicherheitslücke in mindestens einer weltweit verwendeten Forensik-Suite und wie diese ausgenutzt werden kann: Hinzufügen von Ermittlungsergebnissen, Löschen/Verändern von Ermittlungsergebnissen, Infektion des Auswertesystems mit Malware.

Antiforensik ist ein noch eher neues Thema und bekommt mehr Bedeutung in dem Maße, wie IT-Forensik an Bedeutung gewinnt. IT-Forensik als Mittel zur Aufklärung von Sachverhalten kann vor Gericht aber auch in internen Ermittlungen maßgeblich für Freisprüche oder Schuldsprüche sorgen. Die Anforderungen an die Korrektheit der verwendeten Programme und der eigenen Arbeitsweise sind daher besonders hoch. Personen, die eine IT-forensische Auswertung ihrer Computer und IT-Systeme befürchten, verwenden Maßnahmen der Antiforensik, um zukünftige Ermittlungen zu sabotieren oder wenigstens zu erschweren.

Antiforensik kann z.B. bedeuten, Spuren wie Zeitstempel zu vernichten, damit eine spätere Auswertung nicht mehr möglich ist. Besonders schwerwiegend sind Aktionen, wenn sie die Auswertesysteme eines IT-Forensikers so angreifen, dass unbemerkt Ermittlungsergebnisse manipuliert werden. Der Vortrag soll eine Sicherheitslücke in einer weltweit verwendeten Forensik-Suite zeigen und diese ausnutzen, um nachträglich Informationen in forensische Berichte einzufügen, Informationen zu entfernen und den Auswerte-PC unbemerkt mit Malware zu infizieren. Der dazu nötige Angriff ist technisch sogar sehr einfach. Eine vergleichbare Lücke gibt es auch in einem behördenintern verwendeten Programm, welche nach Möglichkeit auch vorgestellt werden soll. Zwei Forensik-Suites aus dem US-Markt müssen noch auf Lücken untersucht werden.

Der Vortrag soll die neu gefundene Lücke in den beiden Programmen vorstellen und ausnutzen und vorab kurz in das Thema Antiforensik einführen, inkl. kurzer Vorstellung des aktuellen Stand der Technik. Falls auch die US-Programme anfällig sind, sollen die entsprechenden Funde vorgestellt werden.

Category:

Science & Technology

Tags:

• 28c3
• ccc
• Martin Wundram
• Antiforensik
• Angriffsvektor

[JerehmiaBoaz]

@morbidrsa What tar does here is interpret the the data it gets from stdin as paths to files it has to add to the tgz, so basically note.txt is a list of files that have to be added to note.tar.gz. (It might seem to work if you put the text "note.txt" in your note.txt, but that's by self reference.)

[morbidrsa]

@JerehmiaBoaz

$ cat note.txt | xargs tar cfz note.tar.gz

$ tar --version

tar (GNU tar) 1.25

[...]

[JerehmiaBoaz]

13:37 I don't know what version of tar this guy is using, but a normal tar can't archive stdin input. tar can create archives and write them to stdout, it can extract from archives coming in by stdin, but cannot create archives from raw data coming in from stdin. tar needs files because it stores file meta data like creation and modification times, permissions, ownership etc. so it can't work with raw data. I call bullsh*t on this one.