Antiforense com ocultação de artefato malicioso em sistemas de arquivos conhecidos

Abstract

Este trabalho tem como finalidade apresentar e avaliar a eficiência da ocultação de artefato malicioso em slack spaces, tornando indetectável aos sistemas de proteção existentes e verificando sua remontagem em momento oportuno. Serão apresentados os conceitos fundamentais, a metodologia sugerida para a ocultação e a remontagem do artefato e o resultado da aplicação das técnicas sugeridas. Foi desenvolvido um protótipo de software em python, para a execução sequencial e orientada das tarefas que foram delineadas como necessárias ao cumprimento dos objetivos da ocultação do artefato. O artefato malicioso será fragmentado em fatias e as mesmas serão inseridas nos slack spaces de arquivos selecionados adequadamente ao tamanho de seus slack spaces. Posteriormente os conteúdos dos slack spaces serão resgatados, reagrupados e será aplicada a verificação de integridade. Para verificar os resultados da técnica sugerida um PDF malicioso foi criado, codificado para a base 64 e dividido em fragmentos chamados de fatias. Sendo então todas as fatias inseridas nos slack spaces de arquivos de imagem PNG. Posteriormente todas as fatias foram reagrupadas e voltaram ao seu estado inicial, quando então pôde ser decodificado novamente em PDF, como seu original. Tendo sido verificado o seu hash e submetido a ferramenta de verificação de malware, foi atestado que permanece seu potencial malicioso mesmo após a manipulação. Concluindo que bem além da ocultação de um artefato malicioso, a exploração de slack space tem potencial para ser aproveitada nas mais diversas demandas de ocultação de informação sigilosa.

This work aims to present and evaluate the efficiency of hiding malicious artifacts in slack spaces, making it undetectable against existing protection systems and verifying their reassembly in a timely manner. It will be presented the fundamental concepts, the suggested methodology for concealment and reassembly of the artifact and the result of the application of the suggested techniques. A software prototype was developed in python for the sequential and oriented execution of the tasks that were delineated as necessary to fulfill the objectives of the artifact concealment. The malicious artifact will be fragmented into slices and inserted into the slack spaces of files selected appropriately to the size of their slack spaces. Subsequently the contents of the slack spaces will be rescued, regrouped and the integrity check will be applied. To verify the results of the suggested technique a malicious PDF was created, encoded for base 64 and divided into fragments called slices. Then all the slices are inserted in the slack spaces of PNG image files. Subsequently all the slices were regrouped and returned to their initial state, when it could then be decoded again in PDF, as their original. Having checked your hash and submitted the malware check tool, it has been attested that its malicious potential remains untouched even after handling. Concluding that well beyond the concealment of a malicious artifact, the exploitation of slack space has the potential to be exploited in the most diverse demands of concealment of confidential information.