Nos últimos anos, a evolução tecnológica tem sido notável, transformando indústrias e setores inteiros. Um campo que se beneficiou significativamente desses avanços é o da investigação forense.
A área forense dedica-se ao uso da ciência para analisar crimes, com o objetivo de esclarecer as causas e a dinâmica dos eventos. Este campo examina e apresenta provas que podem ser utilizadas em tribunais, auxiliando na resolução de casos criminais.
A aplicação da tecnologia na área forense resultou no surgimento de um ramo especializado, a forense digital. A forense digital foca na investigação e localização de evidências armazenadas em dispositivos eletrónicos, como smartphones e computadores, com o intuito de solucionar crimes de natureza informática.
Para desempenharem as suas funções de forma eficaz, os profissionais da forense digital deparam-se com um obstáculo considerável: a criptografia. A criptografia é um método que codifica dados num formato secreto, impedindo o acesso não autorizado. Com a disponibilidade de ferramentas como o AxCrypt e NordLocker, e sistemas operativos como Windows e macOS que permitem a encriptação de dados, torna-se mais complexo para a forense digital aceder a informações armazenadas em dispositivos eletrónicos.
A vasta utilização de ferramentas de criptografia reforça a necessidade de ferramentas de descriptografia forense. Estes são softwares especializados que convertem dados criptografados de volta ao seu formato original, legível. Estas ferramentas visam auxiliar a forense na obtenção de dados de arquivos encriptados em dispositivos digitais, contribuindo para a investigação criminal.
Benefícios da Utilização de Ferramentas de Descriptografia Forense
Apresentamos algumas das vantagens da utilização de ferramentas de descriptografia forense:
- Rapidez – As ferramentas de descriptografia forense possibilitam aos especialistas descriptografar grandes volumes de dados, independentemente da sua complexidade, num período de tempo consideravelmente menor.
- Facilidade de Uso – A descriptografia de dados encriptados requer um conhecimento profundo em programação, matemática e criptografia. No entanto, com estas ferramentas, não é preciso ser especialista em nenhuma destas áreas, uma vez que as mesmas realizam todo o trabalho complexo.
- Mais Recursos – As ferramentas de descriptografia forense fornecem uma ampla gama de recursos para executar ações como análise de registros de computadores, recuperação de senhas e arquivos excluídos, além da descriptografia de arquivos.
- Precisão – As provas forenses podem ser contestadas em tribunal; portanto, a sua precisão é fundamental. As ferramentas de descriptografia forense são submetidas a testes rigorosos e funcionam com vários algoritmos de descriptografia, assegurando a obtenção de dados precisos.
Fatores a Considerar na Escolha de uma Ferramenta de Descriptografia Forense
Nem todas as ferramentas de descriptografia forense são iguais. Ao selecionar uma ferramenta, é importante considerar:
- Aceleração por GPU – Refere-se à utilização da unidade de processamento gráfico (GPU) de um computador para agilizar a execução de operações intensivas. Isto reduz substancialmente o tempo necessário para realizar a descriptografia forense de grandes quantidades de dados.
- Descriptografia FDE – A Criptografia de Disco Completa (FDE) é um mecanismo de segurança que encripta todos os dados de um disco rígido por padrão, utilizando criptografia a nível de disco, sem necessitar que os utilizadores realizem a encriptação. Visto que muitas empresas utilizam FDE, é importante escolher uma ferramenta capaz de descriptografar discos rígidos com criptografia completa.
- Tipos de Arquivos Suportados – Diversos tipos de arquivos, como arquivos compactados, documentos do Word, PDFs, etc., podem ser criptografados. Diferentes ferramentas de descriptografia forense suportam a descriptografia forense em certos tipos de arquivo. Ao escolher, certifique-se de que a ferramenta suporta os tipos de arquivos que pretende descriptografar.
- Detecção de Arquivos Encriptados – Ao analisar um sistema grande, pode ser difícil encontrar todos os arquivos encriptados com a informação necessária. Uma ferramenta que detete e mostre todos os arquivos encriptados num sistema economizará tempo.
- Inrastreabilidade – A ferramenta ideal de descriptografia forense não deve deixar vestígios após a descriptografia. Os arquivos-alvo devem permanecer inalterados e não devem ficar evidências da operação. Isto é importante para evitar o levantamento de suspeitas e contramedidas. A descriptografia forense inrastreável é, portanto, ideal.
Existem diversas ferramentas de descriptografia disponíveis para especialistas forenses interessados em forense digital. No entanto, nem todas possuem as mesmas capacidades.
Apresentamos as melhores ferramentas de descriptografia forense para auxiliar nas investigações.
Passware Kit Ultimate
O Passware Kit Ultimate é o principal produto da Passware, uma empresa que produz ferramentas de recuperação e descriptografia de senhas para vários utilizadores. Os produtos Passware são utilizados pelas principais agências de segurança do mundo em casos que exigem descriptografia.
Esta ferramenta possui características que a colocam no topo desta lista.
- Recuperação de senhas para mais de 340 tipos de arquivos – O Passware Kit Ultimate permite recuperar senhas de uma vasta gama de arquivos, incluindo arquivos compactados, carteiras de bitcoin, documentos do Word e QuickBooks, entre outros. Permite também recuperar senhas criptografadas por ferramentas como AxCrypt e VeraCrypt.
- Capacidade de extrair dados e recuperar senhas de mais de 250 dispositivos móveis, desde iPhones até marcas Android populares como Samsung, Nokia, Huawei e LG. Permite até extrair dados de dispositivos móveis encriptados.
- Descriptografia de disco completo – O Passware Kit Ultimate pode descriptografar ou recuperar senhas de unidades com encriptação completa do disco.
- Aceleração de hardware – O Passware Kit Ultimate permite aproveitar GPUs NVIDIA e AMD para acelerar o processo de recuperação e descriptografia de senhas, permitindo trabalhar com um grande número de arquivos num período de tempo menor.
- Descriptografia de Macs com chip de segurança Apple T2 – O Passware Kit Ultimate oferece um complemento que pode ser utilizado para descriptografar Macs com o chip de segurança Apple T2.
O Passware Kit Ultimate não possui avaliação gratuita, mas oferece uma garantia de devolução do dinheiro em 30 dias.
Elcomsoft Forensic Disk Decryptor
O Elcomsoft Forensic Disk Decryptor é uma ferramenta de descriptografia que oferece acesso imediato a dados encriptados utilizando BitLocker, FileVault 2, TrueCrypt, Veracrypt e PGP Disk.
Algumas das características únicas do Elcomsoft Forensic Disk Decryptor incluem:
- Operação sem deixar vestígios – A utilização do Elcomsoft Forensic Disk Decryptor não deixa vestígios da operação de descriptografia. Toda a operação é indetetável.
- Acesso a metadados de encriptação – Este recurso é útil para aceder à senha original em texto não formatado para aceder aos dados encriptados.
- Acesso em tempo real a informações encriptadas – O Elcomsoft Forensic Disk Decryptor realiza a descriptografia em tempo real, permitindo que um utilizador monte um volume encriptado como uma letra de unidade e tenha acesso imediato aos dados encriptados.
Oferece também descriptografia de disco completa e pesquisa, identifica e mostra volumes encriptados e informações sobre as definições de encriptação do volume. A Elcomsoft oferece uma versão de avaliação gratuita do descriptografador forense.
Paladin
O Paladin Forensics Suite é uma distribuição Linux forense inicializável baseada no Ubuntu, disponível para computadores de 32 e 64 bits. É desenvolvido pela SUMURI, que cria software e hardware para provas digitais, computação forense e eDiscovery.
Após o utilizador inicializar o pacote Paladin Forensics, tem acesso a mais de 100 ferramentas forenses de código aberto pré-compiladas, para executar tarefas como descriptografia, análise de hardware, análise forense de mensagens, descoberta de senhas e análise de redes sociais, entre outras.
Algumas das suas características únicas incluem:
- A capacidade de clonar dispositivos, útil quando não é possível remover a mídia de armazenamento de um dispositivo.
- Possui um gestor de discos, útil para visualizar e identificar facilmente as unidades conectadas e as suas partições.
- Realiza registros automáticos, que podem ser armazenados em qualquer dispositivo.
- Inclui a Autopsy Digital Forensics Platform, uma tecnologia de investigação de discos rígidos criada pela Basis Technology.
Existem várias versões do software, oferecidas em um modelo “diga o seu preço”.
Na página do GitHub, o Mobile Verification Toolkit (MVT) é um conjunto de utilitários para simplificar e automatizar a coleta de rastros forenses, úteis para identificar possíveis comprometimentos de dispositivos Android e iOS. O MVT foi desenvolvido e lançado pela Amnistia Internacional Security Lab em 2021.
Esta ferramenta foi especificamente desenvolvida para dispositivos Android e iOS, para possibilitar a detecção de spyware como o Pegasus Spyware, desenvolvido e vendido a governos para espionar telefones.
O MVT é bastante eficaz na identificação de software malicioso, como spyware, instalado num dispositivo Android ou iOS sem o conhecimento do utilizador.
A ferramenta forense de mídia do Windows compreende três componentes: análise de imagem, análise de vídeo e ações do utilizador. Todos eles são utilizados para analisar fotos e vídeos armazenados na aplicação Fotos do Windows. Uma vez que os computadores podem armazenar um grande número de fotos e vídeos, pode ser difícil analisá-los individualmente, daí a utilidade da análise forense de mídia do Windows.
A ferramenta analisa imagens e vídeos, identificando rostos, pessoas, etiquetas, personagens e locais nas imagens e vídeos armazenados. Também identifica quando foram capturados, o modelo e o fabricante da câmera utilizada.
Permite também que o investigador saiba quando o utilizador acedeu às fotos e vídeos armazenados, e que alterações foram efetuadas. Todas estas informações são fornecidas em formato legível e os dados recolhidos podem ser copiados para análise futura.
CredentialsFileView
O CredentialsFileView é uma ferramenta para o sistema operativo Windows que descriptografa e exibe dados armazenados nos arquivos de credenciais do sistema operativo.
Os arquivos de credenciais do sistema operativo Windows armazenam dados como senhas de login para um computador e computadores remotos na LAN do computador. Também armazenam senhas de contas do Windows Messenger, contas de e-mail e senhas de sites protegidos acedidos pelo Internet Explorer.
Esta ferramenta funciona em versões do Windows até ao Windows 10, e suporta sistemas de 32 e 64 bits.
Hashcat
O Hashcat é uma ferramenta de quebra de senhas amplamente utilizada por testadores de penetração, administradores de sistemas, criminosos e espiões.
Para armazenar senhas de forma segura, elas são convertidas numa sequência ininteligível de números e letras, passando-as por um algoritmo de hash. O Hashcat adivinha as senhas, faz o hash e compara-as com o hash armazenado, repetindo o processo até encontrar a senha correta. O Hashcat suporta todos os formatos de hash existentes e utiliza a GPU de um sistema para acelerar a quebra de senhas.
O Hashcat pode realizar diferentes tipos de ataques para quebrar senhas, incluindo ataque de dicionário, ataque combinador, ataque de máscara e, o seu ataque mais eficiente, o ataque baseado em regras.
Se necessita quebrar senhas, esta é uma das melhores ferramentas.
John the Ripper
O John the Ripper é uma ferramenta de auditoria e recuperação de senhas gratuita e de código aberto. Pode ser utilizado para encontrar e quebrar senhas fracas num sistema.
Esta ferramenta suporta centenas de hashes e cifras, incluindo hashes utilizados em senhas armazenadas em sistemas baseados em UNIX, sistemas operativos Windows, macOS, aplicações web como WordPress, servidores de bases de dados como SQL, e chaves privadas criptografadas em carteiras de criptomoedas, entre outros.
No entanto, ao contrário do Hashcat, o John the Ripper não utiliza a aceleração de GPU para acelerar a quebra de senhas.
Conclusão
A descriptografia forense utiliza diversas ferramentas, cada uma com uma aplicação única. Algumas ferramentas são mais adequadas para tarefas específicas, como a quebra de senhas para testes de penetração, como no caso do Hashcat.
Para determinar a ferramenta certa para auxiliar na sua investigação, é importante primeiro determinar a natureza da investigação e os objetivos. Assim, poderá escolher a ferramenta mais adequada de entre as apresentadas neste artigo.