Hobbytrucos.- Volatility (I)

Lo prometido es deuda y como ayer no hice entrada la cambiamos por el parón de los sábados aunque esta este programada . Bueno,  prometí compartir mis hobbytrucos para la CTF que tenia hoy (aunque haya quedado último) pero creo que será esta información os gustará y me ayudará a mejora.

Trabajar con registros en Volatility: 

• Para ver las hives cacheadas, grupos lógicos de keys, subkeys, y valores en el registro.
•  volatility -f random.dmp --profile=profile hivelist
• Con este comando podremos ver donde empieza y donde acaba cada hive
•  volatility -f random.dmp --profile=profile printkey -o iniciodeloffset  -K 'rutaenlosregistros'
• Con este comando podremos "navegar entre las key y las subkeys de una hive en busca de los valores que nos interesen. 

Extraer un dmp de un proceso que nos interese de una imagen raw con Volatility:

• Primero deberíamos ver el arbol de procesos del raw por si hubiera alguno que nos interesara:
• volatility -f random.raw pslist --profile=profile pstree
• Una vez hemos encontrado el proceso que nos interesa nos quedamos con el Process identificator (PID) y usamos el siguiente comando para guardar un .dmp en /root/ para luego jugar con el: 
• volatility -f random.raw --profile=profile memdump -p 4092 -D /root/

Sed Buenos ;) 

CTF.- Algunos Write Ups curiosos sobre Forensics (II)

Si hace unos días os recomendé algunos Write Ups en forma de blogs hoy me gustaría centrarme en vídeos. La verdad es que me he podido apuntar pocos hobbytrucos  así que no se si os lo compartiré o no, dependerá de si me son útiles el viernes. Pero, espero que con estos vídeos me quede claro donde he de empezar a mirar y como. 

Para empezar, aquí tenéis un truco muy chulo con imágenes donde una de ellas está oculta y no vale solo con la parte técnica si no que encima tienes que saber de aeropuertos:

Otro que nos muestra como extraer un archivo .avi de un pcap en Wireshark debido a una llamada por VoIP:

Y el último un amplio y muy recomendable repaso a Volatility: 

Sed Buenos ;) 

Pac4Mac (Plug And Check para Mac OS X)

Esta entrada no es mas que un aporte que hicie en le foro de Undercode y me gustaría compartir contigo ya que he hablado muchas veces de como hacer Forenses en Linux y en Windows pero nunca he tocado Mac OS X. 

Pac4Mac es una herramienta para extraer y analizar información de un MAC OS X (vamos para hacerle un forense en condiciones) Ademas, esta bajo una Apache License 2.0.

Os dejo con las features de Pac4Mac :

• Developed in Python 2.x (natively supported) 

• Framework usage

• Support of OS X 10.6, 10.7, 10.8 and 10.9 (not tested)

Data extraction through:

• User or Root access

• Single Mode access

• Target Mode access (Storage media by Firewire or Thunderbolt)

It use 3 dumping modes : Quick, Forensics, Advanced: 

• Dumping Users / User Admin


• Dumping Mac's Identity (os version, owner)


• Dumping Miscellaneous files (Address book, Trash, Bash history, stickies, LSQuarantine, AddressBook, Safari Webpage Preview, Office Auto Recovery, WiFI access history, …)

• Dumping content of current Keychain (security cmd + securityd process)

• Dumping Users Keychains


• Dumping System Keychains


• Dumping password Hashes


• Live Cracking hashes password
s

• Dumping Browser Cookies (Safari, Chrome, Firefox, Opera)


• Dumping Browser Places (Safari, Chrome, Firefox, Opera)


• Dumping Browser Downloads history (Safari, Chrome, Firefox, Opera)


• Dumping printed files


• Dumping iOS files backups


• Dumping Calendar and Reminders / Displaying secrets

• Dumping Skype messages / Displaying secrets on demand

• Dumping iChat, Messages(.app), Adium messages

• Dumping Emails content (only text)


• Dumping Emails content of all or special Mail Boxes

• Adding root user

• Dumping RAM

• Cloning local Disk

• Dumping system logs, install, audit, firewall

DMA access features (exploitation of Firewire and Thunderbolt interfaces)

• Unlock or bypass in writring into RAM

• Dumping RAM content

• Exploit extracted data (see Analysis module)

Analysis module in order to easily exploit extracted data by one of dumping modes

• Exploit Browser History
 x 4 (Displaying recordings, Local copy for usurpation)

• Exploit Browser Cookies
 x 4 (Displaying recordings, Local copy for usurpation)

• Display Browser Downloads
 x 4 (Displaying recordings)

• Exploit Skype Messages
 (Displaying/Recording all recorded messages, with secret information or containing a special keyword)

• Exploit iChat, Messages(.app), Adium messages (in the next version)

• Exploit Calendar Cache
 (Display/Recording all recorded entries, with secret information or containing a special keyword)

• Exploit Email Messages (Displaying/Recording all recorded messages, with secret information or containing a special keyword / )

• Exploit RAM memory Dump
 (Searching Apple system/applications/Web Passwords)

• Exploit Keychains
 (Display content Keychain
, Crack Keychain files)

• Crack Hashes passwords


• Exploit iOS files
 (Accessing to iPhone without passcode, reading secrets through iTunes backups)

• Display Stickies Widgets


• Display Printed Documents

• Display prospective passwords 
(displaying all found passwords during dump and analysis phases)

Etc. 

Más Información: 

http://sud0man.blogspot.fr/2013/09/pac4mac-forensics-framework-for-mac-os.html

(UPDATE) http://sud0man.blogspot.fr/2014/02/new-version-of-mac-os-x-forensics.html

Código fuente: 

https://code.google.com/p/pac4mac/

Y un pequeño regalo para los que hayáis llegado a leer todo el post, aqui teneis todos los TIPS que se han utilizado para extraer y analizar la información para esta herramienta: 

https://code.google.com/p/mac-security-tips/wiki/ALL_THE_TIPS?ts=1374829820&updated=ALL_THE_TIPS

Sed Buenos con esto 0;) 

Canal Pirata de Snifer VII - Malware CookBook

Debido a un problema de capa 10 el pasado fin de semana no traje la entrada xD, si señores se me fue pense que era otro dia juraba que era viernes :P, por esa razon me olvide completamente pero que va el Gringo Frijolero ni recuerdo me hizo de la elaboración de la entrada, asi que para no fallar este fin de semana venimos con este excelente libro el cual es  Malware CookBook al cual le debo horas de lectura, debido que hasta ahora no logro terminar de leer un solo capitulo! :|.

Pero que va se que a mas  de uno le agradara y si andan interesados en este mundo de Malware (iniciamos el spam :$) en mi blog, ando con una sección dedicada al Malware el cual pueden pasarse y darle mas miraditas a este mundo.

 

Por si la fiesta no se acaba mas detalles del libro y las herramientas pueden acceder al siguiente enlace Aquí entre semana, por no decirlo ayer postee las imagenes forenses de malware del libro aquí podremos acceder al mismo y disfrutar de ello.

Sin mas que decirles, Happy Malware :D

Regards,

Snifer