1

Métodos de Investigação em computadores. Existem dois métodos de investigação em computadores. O primeiro denominado análise viva “live analysis” que é realizado com o computador ligado e o segundo denominado análise morta, “dead analysis ou post mortem” realizado com o computador desligado, quando possível em uma investigação os dois métodos são utilizados. Computador Desligado: A investigação “dead analysis” é realizada normalmente a partir de uma cópia baseada em bits “cópia fiel” da evidência original, esta cópia é uma imagem completa proveniente da fonte, inclui o setor de inicialização, partições e espaços de discos não-alocados. Quando trabalhamos com o computador investigado desligado temos uma maior segurança relacionada à integridade dos dados. Pois podemos fazer cópias desta imagem e trabalhar nelas ao invés de trabalhar na evidência original. Este método é recomendado sempre que possível, pois diminui o risco de danos na evidência original, porém em condições reais nem sempre será possível realizar a cópia fiel no local dos fatos, podendo ser adotado bloqueadores de escrita de Software ou de Hardware a fim de preservar os dados. Computador Ligado: Investigação realizada com o computador ligado. Esta análise ocorre quando o sistema está com energia, têm tráfego de rede, processos ativos, conteúdo na tela e disco rígido sendo acessado, ou seja, o computador foi encontrado ligado no local de crime. Quando utilizamos este método a análise é realizada na evidência original através de ferramentas forense, como por exemplo as ferramentas HELIX e DEFT. O cuidado nesta análise deve ser maior, pois qualquer ação pode alterar uma evidência importante ao caso. Recomenda-se este método quando for necessária a análise de evidências voláteis tais como as que estão em memória e são perdidas quanto o computador é desligado, como, por exemplo, nos casos de conteúdo aberto não gravado, criptografia e aplicações carregadas por meio da rede de computadores. Nestas circunstâncias, as melhores práticas recomendam que as informações voláteis, devem ser gravadas em arquivos antes de desligar o computador para análise, bem com as telas com as evidências fotografadas. Posteriormente, a análise viva também poderá ser realizada em laboratório empregando tecnologia de máquina virtual, porém com menor eficiência investigativa, pois o equipamento não estará mais submetido às mesmas condições iniciais do local de crime. O que é phishing e que situações podem ser citadas sobre este tipo de fraude? Phishing, também conhecido como phishing scam ou phishing/scam, foi um termo originalmente criado para descrever o tipo de fraude que se da através do envio de mensagem não solicitada, que se passa por comunicação de uma instituição conhecida, como um banco, empresa ou site popular, e que procura induzir o acesso a páginas fraudulentas (falsificadas), projetadas para furtar dados pessoais e financeiros de usuários. A palavra phishing (de “fishing”) vem de uma analogia criada pelos fraudadores, onde “iscas” (e-mails) são usadas para “pescar” senhas e dados financeiros de usuários da Internet. Atualmente, este termo vem sendo utilizado também para se referir aos seguintes casos: • mensagem que procura induzir o usuário a instalação de códigos maliciosos, projetados para furtar dados pessoais e financeiros; • mensagem que, no próprio conteúdo, apresenta formulários para o preenchimento e envio de dados pessoais e financeiros de usuários. A seguir são apresentadas cinco situações envolvendo phishing, que vêm sendo utilizadas por fraudadores na Internet. Observe que existem variantes para as situações apresentadas. Além disso, novas formas de phishing podem surgir, portanto é muito importante que as pessoas se mantenham informadas sobre os

2

tipos de phishing que vêm sendo utilizados pelos fraudadores, através dos veículos de comunicação, como jornais, revistas e sites especializados.

• Mensagens com links para programas maliciosos;

• Mensagens com links de páginas de comércio eletrônico ou Internet Banking falsificadas, ou qualquer outra site com páginas falsas;

• E-mails contendo formulários para o fornecimento de informações sensíveis;

• Utilização de computadores de terceiros;

• Comprometimento do serviço de resolução de nomes; Cavalos de Tróia Conta a mitologia grega que o “Cavalo de Tróia” foi uma grande estátua, utilizada como instrumento de guerra pelos gregos para obter acesso a cidade de Tróia. A estátua do cavalo foi recheada com soldados que, durante a noite, abriram os portões da cidade possibilitando a entrada dos gregos e a dominação de Tróia. Daí surgiram os termos “Presente de Grego” e “Cavalo de Tróia”. Na informática, um cavalo de tróia (trojan horse) é um programa, normalmente recebido como um “presente” (por exemplo, cartão virtual, álbum de fotos, protetor de tela, jogo, etc), que além de executar funções para as quais foi aparentemente projetado, também executa outras funções normalmente maliciosas e sem o conhecimento do usuário. Algumas das funções maliciosas que podem ser executadas por um cavalo de tróia são: • instalação de keyloggers ou screenloggers; • furto de senhas e outras informações sensíveis, como números de cartões de crédito; • inclusão de backdoors, para permitir que um atacante tenha total controle sobre o computador; • alteração ou destruição de arquivos. Vírus Vírus é um programa ou parte de um programa de computador, normalmente malicioso, que se propaga infectando, isto é, inserindo cópias de si mesmo e se tornando parte de outros programas e arquivos de um computador. O vírus depende da execução do programa ou arquivo hospedeiro para que possa se tornar ativo e dar continuidade ao processo de infecção. Entende-se por computador qualquer dispositivo computacional passível de infecção por vírus. Computadores domésticos, servidores, notebooks, telefones celulares e PDAs são exemplos de dispositivos computacionais passíveis de infecção. Worms Worm é um programa capaz de se propagar automaticamente através de redes, enviando cópias de si mesmo de computador para computador. Diferente do vírus, o worm não embute cópias de si mesmo em outros programas ou arquivos e não necessita ser explicitamente executado para se propagar. Sua propagação se da através da exploração de vulnerabilidades existentes ou falhas na configuração de softwares instalados em computadores. Como posso proteger um computador de worms? Além de utilizar um bom antivírus, que permita detectar e até mesmo evitar a propagação de um worm, é importante que o sistema operacional e os softwares instalados em seu computador não possuam vulnerabilidades. As vulnerabilidades ficam mais expostas em sistemas que não são atualizados constantemente. Normalmente um worm procura explorar alguma vulnerabilidade disponível em um computador, para que possa se propagar. Portanto, as medidas preventivas mais importantes são aquelas que procuram evitar a existência de

3

vulnerabilidades. Outra medida preventiva é ter instalado em seu computador um firewall pessoal. Quando bem configurado, o firewall pessoal pode evitar que um worm explore uma possível vulnerabilidade em algum serviço disponível em seu computador ou, em alguns casos, mesmo que o worm já esteja instalado em seu computador, pode evitar que explore vulnerabilidades em outros computadores. Keylogger Keylogger é um programa capaz de capturar e armazenar as teclas digitadas pelo usuário no teclado de um computador. Dentre as informações capturadas podem estar o texto de um e-mail, senhas, dados digitados na declaração de Imposto de Renda e outras informações sensíveis, como senhas bancárias e números de cartões de crédito. Em muitos casos, a ativação do keylogger é condicionada a uma ação prévia do usuário, como por exemplo, após o acesso a um site específico de comércio eletrônico ou Internet Banking. Normalmente, o keylogger contém mecanismos que permitem o envio automático das informações capturadas para terceiros (por exemplo, através de e-mails). O screenlogger é uma variação do keylogger que também captura as janelas exibidas pelos aplicativos. (teclado virtual, telas de chats, entre outras) Engenharia Social Nos ataques de engenharia social, normalmente, o atacante se faz passar por outra pessoa e utiliza meios, como uma ligação telefônica ou e-mail, para persuadir o usuário a fornecer informações ou realizar determinadas ações. Exemplos destas ações são: executar um programa, acessar uma página falsa de comércio eletrônico ou Internet Banking através de um link em um e-mail ou em uma página, etc. Backdoors Normalmente um atacante procura garantir uma forma de retornar a um computador comprometido, sem precisar recorrer aos métodos utilizados na realização da invasão. Na maioria dos casos, também é intenção do atacante poder retornar ao computador comprometido sem ser notado. A esses programas que permitem o retorno de um invasor a um computador comprometido, utilizando serviços criados ou modificados para este fim, dá-se o nome de backdoor. A forma usual de inclusão de um backdoor consiste na disponibilização de um novo serviço ou substituição de um determinado serviço por uma versão alterada, normalmente possuindo recursos que permitam acesso remoto (através da Internet). Pode ser incluído por um invasor ou através de um cavalo de tróia. Outra forma é a instalação de pacotes de software, tais como o BackOrifice e NetBus, da plataforma Windows, utilizados para administração remota. Se mal configurados ou utilizados sem o consentimento do usuário, podem ser classificados como backdoors. Bots e Botnets De modo similar ao worm, o bot é um programa capaz se propagar automaticamente, explorando vulnerabilidades existentes ou falhas na configurações de softwares instalados em um computador. Adicionalmente ao worm, dispõe de mecanismos de comunicação com o invasor, permitindo que o bot seja controlado remotamente. Botnets são redes formadas por computadores infectados com bots. Estas redes podem ser compostas por centenas ou milhares de computadores. Um invasor que tenha controle sobre uma botnet pode utilizá-la para aumentar a potência de seus ataques, por exemplo, para enviar centenas de milhares de e-mails de phishing ou spam, desferir ataques de negação de serviço, etc.

4

Como se classificam os crimes de informática? Classificam-se em: a) próprios - são aqueles que somente podem ser efetivados por intermédio de computadores ou sistemas de informática, sendo impraticável a realização da conduta por outros meios; b) impróprios – são aqueles que admitem a prática por diversos meios, inclusive os meios informáticos; A outra classificação mais freqüente é tripartida. Teríamos: a) os crimes de informática puros – Nos quais o agente visa atingir o computador, o sistema de informática ou os dados e as informações nele utilizadas; b) os crimes de informática mistos – Nos quais o agente não visa o sistema de informática e seus componentes, mas a informática é instrumento indispensável para consumação da ação criminosa; c) os crimes de informática comuns – Nos quais o agente não visa o sistema de informática e seus componentes, mas usa a informática como instrumento (não essencial, poderia ser outro o meio) de realização da ação. Como são designados estes delinquentes pelos doutrinadores, de um modo geral? R: hackers, crackers, phreakers e carders. Qual o nomes júris dado pelos Doutrinadores aos delitos cometidos por meios eletrônicos? R: Os doutrinadores divergem quanto ao nomes júris genérico dos delitos. Alguns os denominam crimes de informática, crimes eletrônicos, ou crimes de computador, outros, crimes telemáticos, crimes informacionais, ciberdelitos e cibercrimes.Dentre essas designações, as mais comumente utilizadas têm sido as de crimes informáticos ou crimes de informática. Qual o conceito de crime de informática? R: Apesar da discrepância doutrinária, são denominadas de “crimes de informática” as condutas descritas em tipos penais realizadas através de computadores ou voltadas contra computadores, sistemas de informática ou os dados e as informações neles utilizados (armazenamento ou processamento). Quais são as características dos hackers, crackers, phreakers e carders? R: Os Hackers, em geral, simples invasores de sistemas, que atuam por espírito de emulação, desafiando seus próprios conhecimentos técnicos e a segurança de sistemas informatizados de grandes companhias e organizações governamentais. No início da cibercultura, eram tidos como heróis da revolução informática, porque teriam contribuído para o desenvolvimento da indústria do software e para o aperfeiçoamento dos computadores pessoais e da segurança dos sistemas informáticos. Os crackers, por sua vez, são os "hackersantiéticos". Invadem sistemas para adulterar programas e dados, furtar informações e valores e prejudicar pessoas. Praticam fraudes eletrônicas e derrubam redes informatizadas, causando prejuízos a vários usuários e à coletividade.Os phreakers são especialistas em fraudar sistemas de telecomunicação, principalmente linhas telefônicas convencionais e celulares, fazendo uso desses meios gratuitamente ou às custas de terceiros. Por fim, os carders são esses criminosos que se apropriam do número de cartões de crédito, obtidos através de invasão de listas eletrônicas constantes nos sites de compras efetivadas pela Internet, ou de outros meios ilícitos para realizar toda a espécie de compras.