Proceeding of the Fifth International Conference on Forensic Computer Science ICoFCS 2010 ABEAT (ed.) Brasília, Brazil, 2010, 72 pp. - PDF
Proceeding of the Fifth International Conference on Forensic Computer Science ICoFCS 2010 ABEAT (ed.) Brasília, Brazil, 2010, 72 pp.
Download "Proceeding of the Fifth International Conference on Forensic Computer Science ICoFCS 2010 ABEAT (ed.) Brasília, Brazil, 2010, 72 pp."
Márcia Mascarenhas Madureira
4 Proceeding of the Fifth International Conference on Forensic Computer Science ICoFCS 2010 ABEAT (ed.) Brasília, Brazil, 2010, 72 pp. ISSN Copyright 2010 by Associação Brasileira De Especialistas Em Alta Tecnologia (ABEAT) Addresso: CLN 309, Bloco D, Sala 103 CEP: Brasília/DF - Brazil Phone: +55 (61) ISSN
5 COMMITTEE GENERAL CHAIR PAULO QUINTILIANO DA SILVA, Brazilian Federal Police, and University of Brasília, Brazil SESSION CHAIRS ALEXANDRE RICARDO SOARES ROMARIZ, University of Brasilia, Brazil ANTÔNIO NUNO DE CASTRO SANTA ROSA, University of Brasilia, Brazil BRUNO WERNECK PINTO HOELZ, Brazilian Federal Police and University of Brasília, Brazil FRANCISCO DE OLIVEIRA ASSIS NASCIMENTO, University of Brasilia, Brazil PEDRO DE AZEVEDO BERGER, University of Brasilia, Brazil REVIEWERS Adriano Mauro Cansian, São Paulo State University, Brazil Alexandre Ricardo Soares Romariz, University of Brasilia, Brazil Anderson Clayton Alves Nascimento, University of Brasilia, Brazil Andreia Cristiane Stanger, Brazilian Federal Police, Brazil Antonio Montes, Renato Archer Research Center, Brazil Antonio Nuno de Castro Santa Rosa, University of Brasilia, Brazil Bruno Werneck Pinto Hoelz, Brazilian Federal Police and University of Brasília, Brazil Carlos Henrique Quartucci Forster, Air Force Institute of Technology, Brazil Célia Ghedini Ralha, University of Brasilia, Brazil Clovis Torres Fernandes, Air Force Institute of Technology, Brazil Deepak Laxmi Narasimha, University of Malaya, Malaysia Dibio Leandro Borges, University of Brasilia, Brazil Dinei Florêncio, Microsoft Research, USA Fernando Takashi Itakura, Brazilian Federal Police, Brazil Francisco de Oliveira Assis Nascimento, University of Brasilia, Brazil Geovany Araujo Borges, University of Brasilia, Brazil Gerhard Ritter, University of Florida, USA Gilson Marques da Silva, Brazilian Federal Police, Brazil Hélvio Pereira Peixoto, Brazilian Federal Police, Brazil Igor B. Gourevitch, Russian Academy of Science, Russia Jaisankar Natarajan, Vit University, India Jeimy J. Cano, University of Los Andes, Colombia Juliana Fernandes Camapum, University of Brasilia, Brazil Luciano Silva, Federal University of Parana, Brazil Luiz Pereira Calôba, Federal University of Rio de Janeiro, Brazil Marcos Cordeiro d Ornellas, Federal University of Santa Maria, Brazil Nei Yoshihiro Soma, Air Force Institute of Technology, Brazil Nikolay G. Zagoruiko, Novosibirsk State University, Russia Norbert Pohlmann, Fachhochschule Gelsenkirchen, Germany Olga Regina Pereira Bellon, Federal University of Parana, Brazil Ovidio Salvetti, Italian National Research Council, Italy Paulo Licio de Geus, University of Campinas, Brazil Paulo Sergio Motta Pires, Federal University of Rio Grande do Norte, Brazil Paulo Quintiliano da Silva, Brazilian Federal Police, and University of Brasília, Brazil Pedro de Azevedo Berger, University of Brasilia, Brazil Pedro Luis Prospero Sanches, University of São Paulo, Brazil Renato da Veiga Guadagnin, Catholic University of Brasilia, Brazil Ricardo L. de Queiroz, University of Brasilia, Brazil Roberto Ventura Santos, University of Brasilia, Brazil Vladimir Cobarrubias, University of Chile, Chile Volnys Borges Bernal, University of São Paulo, Brazil William A. Sauck, Western Michigan University, USA ABEAT Associação Brasileira de Especialistas em Alta Tecnologia SCLN 309, Bloco D, Sala 103 Brassília-DF - CEP: Fone: + 55 (61)
6 CONFERENCE SCOPE Artificial Intelligence Artificial Neural Network Biometrics Computer Crimes Computer Forensics Computer Forensics in Education Computer Law Computer Vision Criminology Cryptology Digital Investigation Image Analysis Image Processing Information Security International Police Cooperation Intrusion Prevention and Detection Machine Learning Management Issues Network Security Pattern Recognition Secure Software Development Semantic Web Signal Processing Simulation Software Engineering
7 CONTENTS Acesso forçado a sistemas remotos Operação Hércules By Daniel Araújo Miranda, and Rodrigo Alves Carvalho... 7 Análise de Ferramentas Forenses de Recuperação de Dados By Josilene dos Santos Nascimento, Klarissa de Souza Jerônimo, and Pedro Chaves de Souza Segundo...12 Anonimato On-line e Responsabilização Penal (Objetiva) em Cibercrimes By Maciel Colli...18 Aspectos legais da Perícia Forense Computacional em um cenário de Cloud Computing By Caio César Carvalho Lima...24 Beeapeer: Uma ferramena para localização e monitoramento de material de abuso sexual infantil na rede Gnutella By Luciano Porto Barreto, Leandro Nunes dos Santos, and Daniel Coelho Cunha...33 Dynamics and methods of a forensic analysis on an internet banking fraud case By Wilson Leite da Silva Filho, and Romulo Soares da Silva...42 Marco Civil e as Investigações no Espaço Cibernético By Flavia Fonseca, Coriolano Camargo, and Coriolano Alves Camargo...48 Modelo de gestão de incidentes de fraude via sistemas de informação By Luciana Cantarelli and Ananias Queiroga...55 Optimization of automatic nudity detection in high-resolution images with the use of NuDetective Forensic Tool By Pedro Eleuterio, and Mateus Polastro...59 Social Networks: Security and Privacy By Laerte Peotta de Melo, Edna Dias Canedo, Robson de Oliveira Albuquerque, and Rafael Timóteo de Sousa Júnior...67
9 Acesso forçado a sistemas remotos OPERAÇÃO HÉRCULES Daniel Araújo Miranda, Rodrigo Alves Carvalho Resumo A abordagem convencional utilizada pela polícia para ter acesso a indícios de crime em formato digital é a apreensão da mídia que contém os dados. Os criminosos utilizam diversos recursos para frustrar essa abordagem, entre eles a criptografia e a ocultação dos dados. Este artigo descreve o procedimento realizado pela Polícia Federal no Rio Grande do Sul na operação Hércules para acessar um sistema remoto operado por uma organização investigada pelo crime de evasão de divisas. O sistema era utilizado para armazenar a contabilidade e os documentos da organização. Palavras-chave Polícia Federal; acesso forçado; invasão; segurança de redes; Hércules; 1. Introdução Devido ao uso generalizado do computador para realizar as atividades do dia-a-dia, vestígios deixados por atividades criminosas muitas vezes estão em formato digital. A abordagem convencional utilizada pela polícia para ter acesso a esses vestígios é apreender as mídias suspeitas de conter provas. Os criminosos buscam diversas formas de proteger os registros de suas atividades. No caso dos dados digitais, já foram observados diversos casos do uso de criptografia, ocultação de mídias (discos enterrados, escondidos em cofres, pendrive na meia, etc.), ocultação de dados (esteganografia Juan Carlos Abadia), armazenamento de dados em locais remotos (caso da casa de bingo que virava Lan House), armazenamento terceirizado de dados no exterior (operação PontoCom roubo de senhas), armazenamento em sítios remotos próprios (operação Hércules). A polícia utilizou estratégias diferentes em cada um desses casos para obter as provas necessárias ao processo criminal. O restante deste artigo contextualiza e descreve o acesso forçado ao sistema remoto dos investigados na operação Hércules. 2. Histórico Foi criada a operação Hércules (deflagração em 05 de Junho de 2009), para realizar uma investigação relativa a evasão de impostos através do envio clandestino de dinheiro para o exterior. A fraude era operada da seguinte forma: Uma unidade localizada no Brasil recebia dinheiro do cliente A a ser enviado para o cliente B localizado no exterior; Uma unidade localizada no Exterior recebia dinheiro do cliente C a ser enviado para o cliente D localizado no Brasil; A unidade do Brasil repassa o dinheiro do cliente A para o cliente D; A unidade do Exterior repassa o dinheiro do cliente C para o cliente B. Essas transações eram contabilizadas por um sistema bancário paralelo e o dinheiro nunca era transferido através dos canais oficiais, sujeitos a auditoria pelo Banco Central e pela Receita Federal. O esquema é também conhecido por dólar-cabo. Fig. 1: Fluxo do dinheiro 7
10 Esse tipo de serviço tem diversas finalidades. Entre elas, a ocultação de dinheiro obtido ilicitamente (corrupção, furtos e fraudes) e a evasão de impostos de importação como na operação Narciso caso Daslu: as notas são subfaturadas, o valor declarado é transferido de forma oficial pagando impostos e a diferença é enviada clandestinamente. A investigação obteve mandados judiciais e coletou informações através de escutas, vigilância e monitoramento telemático. Descobriu-se que uma das instituições investigadas armazenava todas as suas informações em um sítio remoto. Caso fosse utilizada a abordagem convencional o material apreendido não possuiria nenhum dado relevante. A proposta inicial foi realizar uma entrada tática e impedir que os usuários desligassem os computadores. As dificuldades para essa ação eram muitas: A entrada deveria ser feita com o sistema em uso, ou seja, durante o horário de expediente. Segurança física das instalações do alvo. A casa de câmbio tinha grades, portas reforçadas e câmeras de segurança. Haveria muito tempo para o alvo desligar os computadores. Para a entrada ser realizada na velocidade suficiente seria necessário utilizar explosivos. Desconhecimento do sistema até o momento da entrada. Grande possibilidade de imprevistos e sem garantias que a informação poderia ser obtida. Diante da situação, o comando da operação consultou a perícia de informática e forneceu muitas informações sobre o caso: Arquivos provenientes do monitoramento telemático Seleção de áudios pelo pessoal da inteligência Informações sobre a natureza do sistema e forma de utilização pela quadrilha 3. Método 3.1. Exame dos dados da interceptação Analisando-se os dados do monitoramento constatou-se que: A maioria do tráfego estava criptografado (pacotes SSL) e era dirigido a um único IP; O servidor ficava sempre ligado. Durante o horário comercial de trabalho verificava-se uma concentração de utilização da banda. No horário de almoço essa utilização caía bastante e, durante os finais de semana, era mínima Sondagem do sistema remoto Foi realizada uma pesquisa sem nenhum procedimento de quebra de segurança ou acesso a dados. Ao pesquisar em um serviço de DNS reverso, descobriu-se a URL associada àquele IP. Ainda, ao consultar um serviço WHOIS, chegou-se aos dados do responsável administrativo pelo domínio e à localização do servidor. Nenhum serviço de anonimato em pesquisas WHOIS era utilizado. Após a descoberta do IP remoto, levantou-se o máximo de informação possível acerca do servidor. Para isso, utilizando um IP anônimo, e durante um horário adequado, foi realizado um mapeamento do servidor. O objetivo era descobrir portas abertas e/ou serviços ativos, o sistema operacional em execução, existência de firewalls, entre outras informações. A ferramenta NMAP se mostrou bastante útil. Apenas scans convencionais foram utilizados, para não levantar suspeitas. Em paralelo, foram realizados acessos à máquina apontada pelo IP via HTTP. Surgiu na tela a front-end do aplicativo Sun Secure Global Desktop, com campos para inserção de usuário e senha. Como o próprio nome diz, trata-se de um servidor remoto seguro, multiplataforma (Windows, Linux, MacOS) e que provê um bom nível de segurança, pois todo o tráfego entre servidor e cliente é criptografado. Não foi feita tentativa de login Testes de laboratório A próxima etapa do exame consistiu em tentar obter na internet um instalador dessa aplicação. O site oficial, na época, disponibilizava uma versão com funcionalidade completa para avaliação por um prazo de poucas semanas. Assim, foi possível simular o ambiente tal qual o do servidor alvo, para tentar sanar algumas dúvidas: Descobrir se tentativas frustadas de login eram armazenadas ou explicitamente advertidas; Descobrir se, após um login bem sucedido com senha, poderiam serem exigidas outras senhas ou formas de autenticação; Estudar os meios e aplicativos que viabilizassem a transferência de um grande volume de dados, de dentro do ambiente para o exterior. Com o auxílio do Wireshark, analisar a fundo tanto os pacotes de requisição de login quanto as respostas de falha de autenticação e login bem sucedido, para posterior confecção de pacotes e análise de pacotes de resposta. Entre outras informações adquiridas, descobriu-se que a cada 100 tentativas de conexão mal sucedidas, o SSGD derrubava a conexão. Ainda, que era possível ativar vários threads paralelos: o SSGD tratava todas as requisições, respeitando, porém, o limite de tentativas mal sucedidas por conexão. Além disso, as tentativas frustradas de login eram armazenadas em logs, porém nenhum alerta era enviado ao administrador. Era necessário verificar o arquivo de log periodicamente Elaboração do ataque Depois de estudar bastante o sistema, conhecendo e avaliando as situações que poderiam ser encontradas no 8
11 sistema alvo, iniciou-se a preparação para o ataque. Tal preparação envolveu: Geração de um dicionário de senhas, derivado das informações obtidas pela escuta telefônica descobriram-se 6 caracteres, de uma senha de 9 caracteres no total. Tais caracteres seriam letras, e o nome de usuário seria uma derivação unívoca da senha. Assim, um ataque de força bruta ficou viável: o dicionário conteve apenas candidatos, aproximadamente. Implementação de script em Python para criação dos pacotes de requisição de login, utilizando as senhas do dicionário, e avaliação da resposta do servidor. Ao encontrar uma senha válida, o script armazenava a mesma e continuava testando o dicionário até o final. Pesquisa e definição das ferramentas de infra-estrutura para o ataque: o socat: estabelecimento de socket com a aplicação o remota; cryptcat: similar ao netcat, porém criptografa os dados transmitidos; o 7zip: compactação das pastas Documents And Settings dos usuários e volumes de discos encontrados Ataque em laboratório A técnica desenvolvida para ataque foi testada no aplicativo instalado em laboratório. Uma das preocupações era de que o ataque alertaria o administrador do sistema. Esse comportamento não foi observado em laboratório, as tentativas mal sucedidas eram registradas em um arquivo de log discreto. Não foi ativado nenhum alerta para o administrador. O ataque funcionou localmente, descobrindo a senha de acesso do servidor. Em seguida foi testada uma técnica para retirar os arquivos. Os aplicativos utilizados para retirar os arquivos foram o tar, o cryptcat e o 7zip. O tar foi utilizado para acondicionar vários arquivos em um só, preservando os caminhos e as datas de modificação dos arquivos. O 7zip foi utilizado como alternativa, caso fosse mais interessante comprimir os dados antes do envio. O cryptcat foi utilizado para transferir o arquivo gerado pelo tar via rede em uma conexão criptografada. Isso gera mais uma dificuldade para o administrador do sistema supondo que ele estivesse monitorando o tráfego, seria mais difícil de perceber o que estava acontecendo e, se percebesse, seria difícil descobrir que dados estavam sendo transferidos. Foi criada uma conta anônima no gmail para conter os arquivos que seriam usados no ataque. Por fim, a técnica foi ensaiada para ser realizada com rapidez: as linhas de comando foram anotadas, as pastas que seriam criadas foram fixadas e foi ensaiado o apagamento dos rastros de navegação e dos arquivos temporários gerados Preparação Os dados do monitoramento foram analisados para definir o período em que uma cópia massiva de dados geraria menos suspeita. O fim de semana era o período em que se observava o menor tráfego para o servidor, portanto o início do ataque foi agendado para o sábado de manhã. Foi obtido um mandado judicial autorizando explicitamente o acesso forçado ao servidor remoto Ataque De posse de mandado judicial explícito, foi iniciada a tentativa de acesso. O ataque começou no dia 30 de maio de 2009, sábado, por volta das 11:00 da manhã. Em aproximadamente 15 minutos a senha foi descoberta. A senha foi utilizada para acessar o sistema. Ao acessar a área de trabalho remota, um cliente MSN foi iniciado automaticamente, e foi prontamente desligado para evitar que o atacante aparecesse on-line para os contatos do alvo. Foi encontrada uma máquina virtual com pastas de rede montadas; o desktop acessado era o de uma máquina virtual em uma rede com NAT (Natural Address Translation), portanto sem endereço IP válido na internet. Foi feita uma breve busca por arquivos e sistemas de interesse. Obstáculo 1: Não era possível realizar uma conexão com o cryptcat pois tanto a máquina remota como a máquina dos peritos não possuíam endereços IP válidos na internet. A estratégia passou a ser conectar da máquina alvo para uma máquina com ip válido controlada pelos peritos. Foi feito logout do ambiente remoto para que a máquina com ip válido fosse providenciada. A solução à mão, no momento do ataque, foi utilizar a internet pessoal de um dos peritos do setor. Após providenciar uma máquina com ip válido, os peritos ficaram separados em dois locais: um no escritório controlando a máquina do alvo e outro em uma residência, para receber os dados. As ferramentas (tar e cryptcat) foram transferidas para o alvo através de uma conta de do Gmail. Obstáculo 2: O antivírus do alvo não permitiu a execução da ferramenta cryptcat. A solução encontrada foi alterar o arquivo binário do cryptcat apenas um byte em uma região não relevante no início do arquivo. O antivírus parou de criar problemas. Depois de resolver os problemas de transmissão de dados, foi utilizado o aplicativo tar enviando os dados direto para o cryptcat. Cada conexão suportava no máximo 50Kbps, ficou muito lento para transferir os dados sem compressão. Optouse por gravar arquivos.tar e comprimi-los para envio. Obstáculo 3: Não havia espaço suficiente no disco da máquina virtual para criar os arquivos temporários. 9
12 A alternativa foi armazenar os dados temporariamente na pasta de rede. Foi criado um diretório com nome similar aos já existentes. Obstáculo 4: Não foi possível utilizar o aplicativo tar para gerar arquivos para uma pasta de rede. O aplicativo 7zip foi baixado da internet e utilizado tanto para criação de um arquivo único como para compressão. Foram levantados cerca de 3GB de informação, que foram comprimidos em diversos arquivos. Devido à limitação de banda por conexão individual, esse conteúdo foi dividido em vários arquivos que foram enviados simultaneamente em várias conexões. Os dados foram transferidos do sábado de manhã até depois do meio dia do domingo, sem interrupção. As pastas, os arquivos, os programas e o histórico de navegação foram apagados. No dia 01 de junho de 2009 (segunda-feira) à noite foi explorada uma extrapolação da regra de formação da senha, que levou à descoberta de senhas de outros usuários, por tentativa e erro; foram baixados os dados desses usuários Dados obtidos Foi realizada uma cópia de segurança e foi calculado o hash SHA-256 de cada arquivo assim que a transferência do servidor foi finalizada. Após a descompressão e análise dos arquivos, foram identificados: Sistema gerencial e contábil, contendo mais de 3500 relatórios contábeis de 2480 clientes, que faziam transações em até 7 moedas; Milhares de digitalizações e documentos em formato DOC, DOCX, PDF e TXT, contendo: o Documentos manuscritos; o Comprovantes de depósitos e transferências entre contas; o Ordens e recibos de pagamentos; o Documentos swift documentos contendo dados para controle de transações interbancárias internacionais. A rede onde as mensagens eletrônicas contendo tais dados transitam é chamada de rede swift; o Documentos de identidade; o s; o Relatórios do sistema gerencial e contábil; o Invoices documentos comerciais trocados entre comprador e vendedor, contendo dados como natureza, quantidade e preço acordado de produtos, condições para pagamento, entre outros dados; Registros criptografados de conversas MSN software utilizado: Secway Simp Pro. As chaves criptográficas foram baixadas do servidor remoto. Ainda, ficou claro que alguns usuários ou colocavam senha em branco, ou utilizavam a mesma senha para acesso ao sistema gerencial. Foram desenvolvidos 2 scripts do AutoIt para realizar procedimentos específicos em alguns dados: o Extrair relatórios do sistema gerencial em arquivos PDFs, separados por cliente e tipo moeda. No total, foram gerados mais de 3500 documentos PDF. o Descriptografar as conversas MSN (arquivos com extensão slk) gerando documentos RTF únicos para cada contato. 4. Conclusão Todo o procedimento envolveu riscos calculados. A sondagem e o ataque poderiam ter alertado o administrador, que poderia ter tirado o sistema do ar ou feito alterações. Como as interações com o alvo foram realizadas utilizando o menor tempo possível, em horários favoráveis e de forma a simular um atacante comum, o risco foi avaliado como baixo, fazendo o procedimento valer a pena mesmo que não fosse bem-sucedido. O sucesso do procedimento dependeu da solução rápida de problemas. É esperado que, em procedimentos desse tipo, sejam encontrados imprevistos, pois o invasor não conhece a priori o ambiente invadido. Os resultados foram apresentados via documento sigiloso (Informação Técnica), com anexos em DVD criptografados. Tal sigilo era necessário, pois a operação ainda não tinha sido deflagrada. O feedback de delegados e promotores mostrou que esse foi um trabalho importante para a valorização da perícia. Foram feitos vários comentários do tipo eu não esperava que vocês fossem conseguir, esses peritos são hackers, vamos demorar anos para analisar toda essa informação, toda a operação do alvo está aí. O resultado desse trabalho foi fruto do diálogo e cooperação dentro da Polícia Federal, algo que deve ser incentivado para que esse sucesso se repita sempre. Agradecimentos À chefia do Setor Técnico-Científico - RS, pelo apoio e reconhecimento À equipe de investigação e suas chefias, pela eficiência e diálogo Referências [1] Wireshark, visitado em 11/07/2009 [2] Socat, visitado em 11/07/2009 [3] Cryptcat, visitado em 11/07/2009 [4] Python, visitado em 11/07/
13 [5] Sun Secure Global Desktop, servers-storage/desktop-workstations/ htm, visitado em 11/07/2009 [6] Tar for windows, htm, visitado em 11/07/2009 [7] 7zip, visitado em 11/07/2009 Daniel Araújo Miranda Perito Criminal Federal, Departamento de Polícia Federal, Brasília-DF, Brasil Rodrigo Alves Carvalho Perito Criminal Federal, Departamento de Polícia Federal, Porto Alegre-RS, Brasil 11
14 Análise de Ferramentas Forenses de Recuperação de Dados Josilene dos Santos Nascimento, Klarissa de Souza Jerônimo e Pedro Chaves de Souza Segundo Abstract This paper is an analysis of forensic data recovery tools and it aims to establish how and in which situations such tools may be used. Post Mortem was the type of forensic analysis chosen in this work, and disk images were used for testing. Three tools were analyzed: Foremost, Autopsy/The Sleuth Kit and FTK Imager, one of them proprietary and the others, open source. Index Terms Data recovery, forensic data recovery tools, open source. N I. INTRODUÇÃO uma cena de crime, um bom lugar para procurar vestígios de atividades ilícitas e para traçar um perfil da pessoa investigada são os equipamentos digitais de que ela faz uso. No entanto, não apenas os dados que estão aparentes são importantes. Muitos dados que podem vir a ser vitais para um caso investigado podem ter sido apagados propositadamente na intenção de evitar problemas futuros ou por não serem mais de interesse do proprietário. Acrescente-se a isso o fato de que muitos dos atacantes de computadores, fazendo uso de técnicas anti-forenses, apagam os arquivos utilizados no intuito de esconder o registro de suas atividades. Segundo Vacca [1], os arquivos apagados de um sistema não são necessariamente sobrescritos e ainda podem ser recuperados usando ferramentas e procedimentos adequados. Este trabalho tem como objetivo principal fazer uma análise de ferramentas forenses quanto à capacidade de recuperação de arquivos apagados. As ferramentas escolhidas são Foremost e Autopsy/The Sleuth Kit, disponíveis em software livre. Adicionalmente, incluiu-se o FTK Imager, ferramenta proprietária utilizada em perícias forenses de informática, distribuído gratuitamente pela empresa AccessData. A abordagem escolhida para os testes foi a de comparar o desempenho de cada ferramenta frente a diferentes sistemas de arquivos (Ext3, Ext4, Fat32, Ntfs) nas seguintes situações ou cenários: 1. Arquivos simplesmente apagados; 2. Arquivos apagados e disco parcialmente sobrescrito; 3. Arquivos apagados e disco totalmente sobrescrito. Os arquivos utilizados foram figuras de extensões jpg, bmp, gif e png, no total de 800 arquivos, cujos códigos de integridades (hashes) foram calculados para comparação com os resultados. Essas figuras foram gravadas em partições, onde foram simulados os três cenários. As imagens (retratos das partições) resultantes desses cenários são alvo das ferramentas forenses. De acordo com os hashes obtidos dos arquivos recuperados, há dois tipos de recuperação: total, quando há coincidência com o hash inicial, e parcial, quando o arquivo recuperado não tem hash presente na lista dos hashes originais. Os experimentos com as ferramentas Foremost e TSK/ Autopsy foram realizados sobre uma plataforma Linux Ubuntu 9.04, Kernel , e para os testes com a ferramenta FTK Imager, foi utilizado Windows XP, Service Pack 3. Ambos os sistemas usam uma plataforma de 32 bits. Exames qualitativos [2] mostraram que as ferramentas têm capacidade de recuperação dependente do sistema de arquivos. Neste artigo, será observada a capacidade de recuperação de figuras pelas ferramentas em alguns cenários. Os resultados dos experimentos realizados sugerem ferramentas forenses mais adequadas para cada tipo de sistema de arquivos e cenário, auxiliando os peritos na escolha de suas ferramentas dependendo dos casos em que estiverem envolvidos. II. Exames E Metodologia A. Montando os Sistemas de Arquivos Os sistemas de arquivos escolhidos para os testes foram: Ext3, Ext4, FAT32 e NTFS. A instalação dos sistemas de arquivos para os testes foi feita criando-os em arquivos dentro do sistema em uso e montando-os como partições. Estas partições foram tomadas como base para o preparo das imagens que foram submetidas às ferramentas de análise forense. O passo a passo para a instalação e montagem de cada um deles é descrito na Tabela 1, seguindo um modelo de Jones [3]. Foram criadas partições de 600MB de forma a facilitar a manipulação dos arquivos dentro delas e a posterior análise dos dados. Os comandos da Tabela 1 realizam para cada sistema de arquivos e tamanho da imagem: 1. Wipe da partição, escrevendo zero em todo o seu conteúdo; 2. Criação do sistema de arquivos na partição, utilizando todo o seu tamanho; 12
15 3. Montagem da partição no sistema de arquivos, tornando-a disponível para uso no sistema operacional, onde será possível copiar e apagar arquivos. TABELA I Passo a passo da criação e montagem das partições utilizadas nos testes Sistema de Comandos Arquivos Ext3 dd if=/dev/zero of=ext3.img bs=1k count= losetup /dev/loop0 ext3.img mkfs.ext3 -c /dev/loop0 mount -t ext3 /dev/loop0 /mnt/disk-1/ Ext4 dd if=/dev/zero of=ext4.img bs=1k count= losetup /dev/loop1 ext4.img mkfs.ext4 -c /dev/loop1 mount -t ext4 /dev/loop1 /mnt/disk-2/ Fat32 dd if=/dev/zero of=fat32.img bs=1k count= losetup /dev/loop2 fat32.img mkfs.vfat -F 32 /dev/loop2 mount -t vfat /dev/loop2 /mnt/disk-3/ NTFS dd if=/dev/zero of=ntfs.img bs=1k count= losetup /dev/loop3 ntfs.img mkfs.ntfs /dev/loop3 mount -t ntfs /dev/loop3 /mnt/disk-4/ Nessas partições montadas foram copiados 800 figuras, sendo 200 de cada tipo: jpeg, png, gif e bmp. Esse conjunto soma ao todo 278 MB. Por questão de uniformidade, o mesmo conjunto de arquivos é usado para todos os testes. Esses arquivos foram copiados para as partições de forma a ficarem espalhados homogeneamente quanto à extensão, seguindo a sequência jpg, png, bmp e gif exemplificada a seguir: fig0001.jpg, fig0001.png, fig0001.bmp, fig0001. gif, fig0002.jpg, fig0002.png, fig0002.bmp, fig0002.gif, [...] fig0199.jpg, fig0199.png, fig0199.bmp, fig0199.gif, fig0200. jpg, fig0200.png, fig0200.bmp, fig0200.gif. B. Cenários Como o objetivo é a recuperação de arquivos apagados do disco, foram preparados três cenários diferentes para a realização dos testes, cada um simulando uma situação em que os arquivos a serem recuperados poderiam ser expostos dentro de um sistema de arquivos. Cenário 1 Este cenário exemplifica o caso em que um arquivo tenha sido apagado do disco e a sua recuperação tenha sido iniciada sem que o sistema tenha sofrido alterações. O objetivo é testar o desempenho das ferramentas e o comportamento dos sistemas na tentativa de recuperar os arquivos recentemente apagados. Foram usadas as partições formatadas de 600MB e em cada uma delas feito o seguinte processo: Cópia dos 800 arquivos; Desmontagem/montagem; Remoção dos arquivos; Desmontagem/montagem. Após a remoção dos arquivos, o processo de desmontagem/ montagem é repetido para apagar qualquer resquício que possa ter sobrado no buffer dos sistemas. Isto poderia comprometer os resultados dos testes caso a ferramenta recuperasse um arquivo não por ter podido retirá-lo de dentro da partição, mas por ele ainda estar na memória do sistema. Por fim, obtêm-se as imagens para os exames, executando o comando a seguir para cada um dos sistemas de arquivos: dd if=/dev/loop0 of=<sistema>_<cenário>.dd Cenário 2 Neste cenário, para sobrescrever a partição, são utilizados arquivos diversos que cheguem a um tamanho por volta dos 300MB, que é um pouco mais do que o tamanho do total dos arquivos a serem recuperados. Como as partições a serem usadas são de 600MB, sobra espaço suficiente para acomodar estes novos arquivos sem que os demais sejam tocados. Ou seja, dependendo da formatação e da manipulação dos dados do sistema testado, os arquivos que deveriam ser recuperados podem ter sido sobrescritos ou não, respectivamente dificultando e facilitando o trabalho das ferramentas de recuperação de dados aqui testadas. Neste Cenário 2, foi repetido o processo de criação do Cenário 1 e incluído após a remoção dos arquivos o seguinte passo: Cópia de novos arquivos chegando a um total de 300MB. Neste cenário, as partições de onde os arquivos foram apagados no Cenário 1 são agora preenchidas com novos arquivos, sem relação com os primeiros, de forma tal que a partição pareça 100% ocupada. Neste caso, os arquivos escritos e apagados no Cenário 1 têm uma chance quase total de terem sido sobrescritos. Busca-se, então, verificar se as ferramentas conseguem ainda recuperar algum arquivo ou fragmento. Para este terceiro cenário, às partições antes usadas para compor o Cenário 1, após a remoção dos arquivos, foi incluído o seguinte passo: Cópia de novos arquivos de forma a preencher todo o espaço da partição. C. Descrição das Ferramentas Será apresentado nesta seção como foram utilizadas as ferramentas de recuperação para realização dos exames. Ferramenta 1 - Foremost Os exames com o Foremost foram realizados através de uma linha de comando para cada imagem. Nenhuma configuração adicional foi feita na ferramenta depois de sua instalação, que também seguiu o padrão. 13
16 Para executar a ferramenta e iniciar o teste, foi usado o comando a seguir, o qual foi repetido para cada sistema e cenário: foremost -i <imagem> -o <pasta_de_destino> Com este comando, todos os tipos de arquivos suportados pela ferramenta seriam buscados dentro da imagem especificada. O resultado desta ferramenta para cada cenário e sistema é uma pasta contendo os arquivos recuperados, separados em subpastas de acordo com a extensão. Ferramenta 2 - TSK/Autopsy Os exames realizados com o TSK são feitos através de uma ferramenta gráfica via web, o Autopsy, ativada através do comando./autopsy executado na pasta onde a ferramenta foi compilada. Para iniciar os testes, adicionam-se as imagens a serem analisadas, utilizando os menus da ferramenta. Para obtenção dos arquivos possivelmente recuperados, foi utilizada a análise File Type. Neste caso, clica-se em Sort Files by Type, fazem-se as escolhas necessárias na tela que se segue e, depois de confirmadas as opções, abre-se uma tela onde é mostrado um resumo do que foi recuperado. Se a opção de gravar os arquivos em disco foi marcada, todos os arquivos recuperados podem ser conferidos dentro da pasta de análise do Autopsy no diretório explicitado na página de resumo. As imagens podem ser visualizadas pelo navegador mesmo sem terem sido salvas em disco ao seguir o link indicado nesta página de análise do Autopsy. Ferramenta 3 FTK Imager A ferramenta é ativada simplesmente com um clique duplo sobre o seu arquivo executável, FTK Imager.exe. Dentro de sua interface gráfica, para incluir uma nova imagem a ser analisada, basta ir ao botão Add Evidence Item e na janela que se abre, escolher o item Image File, clicar em Avançar, escolher a imagem e clicar em concluir. A imagem é então incluída pela ferramenta, que tenta recuperar todos os dados da partição ou disco do qual a imagem foi feita. III. Resultados Os resultados foram separados em três tipos: Total: quando o hash é idêntico ao do arquivo original. Neste caso, o seu conteúdo pode ser visto por completo. O resultado foi encaixado nesta categoria mesmo quando as ferramentas não conseguiram recuperar os metadados dos arquivos, como nomes, datas. Parcial: quando o hash calculado não coincide com nenhum dos originais. Neste caso, o arquivo recuperado pode ser visualizado em pedaços. Exemplo: parte de uma figura. Nulo: quando nada do que é recuperado for válido, ou seja, quando não é possível ser visualizado nenhum fragmento ou metadado dos arquivos. Seguem observações gerais sobre o comportamento das ferramentas utilizadas: O FTK Imager não reconheceu o sistema Ext4; Algumas ferramentas não conseguem recuperar metadados em alguns sistemas e cenários. O Foremost não consegue recuperar metadados para nenhum sistema de arquivos. Os resultados obtidos são apresentados em gráficos por cenário e sistema de arquivos. Nesses gráficos, o número de arquivos recuperados pelas ferramentas é indicado na vertical e as ferramentas, na horizontal. As barras representam o tipo de recuperação, conforme informado nesta seção. Cenário 1 O desempenho das ferramentas ao tentar a recuperação dos arquivos apagados de partições formatadas com os sistemas Ext3, Ext4, FAT32, e NTFS é mostrado, respectivamente, nas figuras 1 a 4. Para o sistema Ext3, mostrado na Fig. 1, a ferramenta Foremost foi a que obteve o melhor desempenho, conseguindo recuperar pouco mais da metade dos arquivos. No entanto, deve-se observar que os arquivos foram recuperados sem seus nomes originais. O Autopsy conseguiu a recuperação apenas dos nomes dos arquivos, enquanto o FTK Imager não chegou a recuperar nada Cenário 1 - Ext Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 1. Quantidade de arquivos recuperados para o Cenário 1, usando o sistema Ext3 Os resultados para o sistema de arquivos Ext4, mostrados na Fig. 2, mostram uma sensível melhora na recuperação da ferramenta Foremost, onde esta chega a recuperar quase 90% dos arquivos. As demais ferramentas mostraram um resultado semelhante com o obtido para o sistema Ext3. No caso de também ser necessária a recuperação dos nomes dos arquivos, sugere-se usar os resultados do Autopsy como um complemento aos obtidos pelo Foremost. 14
17 Cenário 1 - Ext mostrou superior às demais para o Cenário 1. Como pode ser observado, as ferramentas tendem a recuperar melhor os arquivos quando gravados em sistemas FAT32, onde o FTK Imager foi o melhor com recuperação total de 100% dos arquivos Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 2. Quantidade de arquivos recuperados para o Cenário 1, usando o sistema Ext4 O desempenho das ferramentas sofreu uma melhora significativa, como demonstrado na Fig. 3, ao analisar uma imagem do sistema FAT32. Para esta imagem, a ferramenta FTK Imager teve 100% de aproveitamento, a Foremost obteve uma recuperação quase total e o Autopsy recuperou cerca de metade dos arquivos Cenário 1 - Fat Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 3. Quantidade de arquivos recuperados para o Cenário 1, usando o sistema FAT32 O resultado ilustrado na Fig. 4 para o sistema NTFS neste cenário mostra resultados semelhantes ao anterior para as ferramentas Autopsy e Foremost. Entretanto, para o FTK Imager o resultado foi completamente diferente, com recuperação de apenas poucos arquivos (~3%) e ainda assim parcialmente Cenário 1 - NTFS Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 4. Quantidade de arquivos recuperados para o Cenário 1, usando o sistema NTFS Nesse cenário, verificou-se que apesar dos arquivos serem apenas apagados, não se pode sempre recuperar todos os arquivos. Em geral, a ferramenta Foremost se Cenário 2 Neste cenário, foram usadas as mesmas imagens do Cenário 1, onde após os arquivos serem apagados, arquivos que completam um total de 300MB foram copiados de forma a sobrescrever a partição. A intenção foi deixar espaço suficiente para que, dependendo do modo de operar do sistema de arquivos usado, os arquivos a serem recuperados não sejam todos sobrescritos. Aqui também pode ser observado o comportamento dos sistemas de arquivos. O desempenho das ferramentas frente a uma imagem do sistema Ext3 submetida ao Cenário 2 é mostrado na Fig. 5. Comparando os resultados com os do Cenário 1, foram identificadas mudanças apenas para a ferramenta Foremost. Esta recuperou menos da metade dos arquivos que no cenário anterior. As ferramentas Autopsy e FTK Imager mantiveram uma recuperação de dados nula Cenário 2 - Ext Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 5. Quantidade de arquivos recuperados para o Cenário 2, usando o sistema Ext3 Para o sistema Ext4, ilustrado no Fig. 6, o desempenho da Foremost cai sensivelmente, menos de 6% dos arquivos são recuperados totalmente. As ferramentas FTK Imager e Autopsy continuam não recuperando arquivos Cenário 2 - Ext Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 6. Quantidade de arquivos recuperados para o Cenário 2, usando o sistema Ext4 15
18 O desempenho na recuperação de arquivos para o sistema FAT32 neste cenário é muito semelhante ao que foi observado para o cenário anterior, como pode ser visto na Fig. 7. As ferramentas Foremost e FTK Imager recuperaram quase a totalidade dos dados, enquanto o Autopsy recuperou cerca da metade Cenário 2 - Fat Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 7. Quantidade de arquivos recuperados para o Cenário 2, usando o sistema FAT32 Com relação ao sistema NTFS, mostrado na Fig. 8, todas as ferramentas têm o seu desempenho reduzido. Cerca de 35% dos arquivos são recuperados com a ferramenta que obteve os melhores resultados, o Foremost. O Autopsy também apresentou uma recuperação regular (21%) e o FTK Imager recuperou poucos arquivos e só parcialmente Cenário 2 - NTFS Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 8. Quantidade de arquivos recuperados para o Cenário 2, usando o sistema NTFS Ao comparar os resultados deste cenário com o anterior, pode-se observar que houve um decréscimo no desempenho das ferramentas, com exceção para a recuperação do sistema FAT32, que permaneceu o mesmo. Observa-se também que a ferramenta Foremost ainda é a que obtém os melhores resultados, exceto no sistema de arquivos FAT32, onde o FTK Imager é melhor. Cenário 3 Neste cenário, foram copiados novos arquivos para as partições já usadas antes para os testes do Cenário 1 de forma que ocupassem todo o espaço disponível. Espera-se medir a capacidade de recuperação das ferramentas quando os arquivos a serem recuperados tenham sido sobrescritos por outros dados. Como pode ser visto nas figuras desta seção, numeradas de 9 a 12, o desempenho das ferramentas foi quase sempre nulo. A ferramentas FTK Imager apresentou um desempenho nulo para todos os sistemas testados. O Autopsy e o Foremost demonstraram um desempenho semelhante, conseguindo recuperar apenas alguns arquivos no sistema NTFS, inclusive com recuperação total de arquivos Cenário 3 - Ext Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 9. Quantidade de arquivos recuperados para o Cenário 3, usando o sistema Ext Cenário 3 - Ext Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 10. Quantidade de arquivos recuperados para o Cenário 3, usando o sistema Ext Cenário 3 - Fat Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 11. Quantidade de arquivos recuperados para o Cenário 3, usando o sistema FAT32 16
19 Cenário 3 - NTFS Foremost Autopsy FTK Imager Total Parcial Nulo Fig. 12. Quantidade de arquivos recuperados para o Cenário 3, usando o sistema NTFS Do Cenário 3, de onde os arquivos foram apagados e sobrescritos com dados que preencheram todo o tamanho da partição, esperava-se que o conteúdo de todos os arquivos fosse sobrescrito, provocando resultados nulos exclusivamente. Esse comportamento foi observado para todos os sistemas de arquivos, com exceção do NTFS, onde se obteve a recuperação parcial de 2,75% dos arquivos na ferramenta Foremost, e ainda recuperação total de 0,62% (5 arquivos) e 2,75% (22 arquivos) para o Foremost e o Autopsy, respectivamente. A recuperação parcial para este cenário também foi observada na referência [2] com recuperação de metadados dos arquivos originais, sendo explicada pelos metadados dos novos arquivos gravados não ocuparem todo o espaço na tabela de partição antes preenchido pelos metadados dos arquivos apagados. No entanto, neste trabalho a recuperação parcial refere-se a fragmentos dos arquivos e não somente a metadados. Os autores não identificaram justificativa para a recuperação parcial e total no cenário 3. IV. Conclusão Ao submeter as ferramentas forenses Foremost, Autopsy e FTK Imager a três cenários diferentes de perda de dados, pode-se concluir que é relativamente simples recuperar dados que tenham sido apagados imediatamente do disco. No entanto, à medida que o sistema é usado e novos dados são inseridos nele, fica cada vez mais difícil conseguir esta recuperação. Como apresentado neste trabalho, nenhuma dessas ferramentas é totalmente eficiente para todos os sistemas de arquivos ou cenários em que os seus dados possam estar inseridos. A melhor abordagem é, antes de iniciar o procedimento de recuperação, observar qual o sistema de arquivos em que a partição analisada é formatada. O que pode ser observado pelos resultados obtidos neste trabalho, com amostra de arquivos de figuras, é que a ferramenta Foremost foi a que obteve um melhor desempenho no geral se comparada às demais, excetuando-se apenas no caso do sistema FAT32, onde a ferramenta FTK Imager foi melhor. Deve ser levado em consideração o fato de que a ferramenta Foremost não recupera o nome dos arquivos. A solução proposta é que seja usada em conjunto com o Autopsy, pois quase sempre são recuperados os metadados completos dos arquivos, apesar dos dados estarem perdidos. Referências [1] VACCA, John R. Computer Forensics: Computer Crime Scene Investigation. 2a ed. Boston: Charles River Media, [2] Nascimento, Josilene dos Santos. Análise de Ferramentas Forenses de Recuperação de Dados. João Pessoa, Monografia (Curso de Segurança da Informação) Faculdade de Tecnologia de João Pessoa FATEC. [3] JONES, M. Tim. Anatomia do Sistema de Arquivos do Linux. Disponível em: <http://www.ibm.com/developerworks/br/library/llinux-filesystem/index.html>. Acesso em: 30 jan
20 Anonimato On-line e Responsabilização Penal (Objetiva) em Cibercrimes (Agosto 2010) Maciel Colli Resumo O presente artigo busca traçar e explorar questões controversas existentes para a responsabilização penal de sujeitos que cometem delitos por meio da internet infrações penais que, pela natureza do meio em que são praticadas, serão aqui denominadas de cibercrimes. Com fundamento neste problema busca-se analisar quais são os limites aos quais a investigação preliminar policial e o processo penal estarão atrelados em razão do anonimato on-line ciberespacial, bem como apresentar possíveis hipóteses/respostas que viabilizariam a superação de referidos limites, tornando a investigação criminal dos cibercrimes mais eficiente e eficaz. Palavras-Chave Anonimato On-line, Cibercrimes, Crimes Virtuais, Investigação Policial, Responsabilidade Penal. A I. A Internet e a Dialética do Anonimato On-line internet revolucionou a maneira como a informação é transmitida e como as pessoas se comportam. KEITH HART ressalta a dualidade existente no universo comportamental do indivíduo urbano contemporâneo: o comportamento virtual e o real. O autor associa, respectivamente, a estes comportamentos os termos on-line e off-line [1]. A utilização destes conceitos para o esclarecimento do significado do termo on-line parece salutar. De fato, a tradução literal em linha poderia conduzir às remotas tecnologias de fios telefônicos, hoje em dia já em ascendente desuso graças ao surgimento de novos recursos trazidos pelo avanço da engenharia de materiais. Como bem observado, os dois mundos coexistem e complementam-se; o indivíduo ao ingressar no mundo on-line (virtualizado) traz consigo as características do seu comportamento no mundo offline (real/tangível). Estabelece-se aí a dialética virtual-real, na qual a denominada realidade virtual torna-se o palco principal. O estabelecimento dessa dialética é fundamental para a compreensão dos cibercrimes cometidos na internet. A partir de uma conduta exercida no mundo real, como, por exemplo, digitar um texto ou clicar em algum hyperlink, pode-se exercer, simultaneamente, uma ação e um resultado no mundo virtualizado, como por exemplo, a publicação de algum vídeo ou texto. Para melhor compreensão desta diversidade de termos, faz-se necessário o estabelecimento, breve, das diferenças entre o virtual e o real. Ao analisar-se o ambiente sui generis do ciberespaço, verificase que dentre as suas características está a possibilidade de dissipação presencial no espaço-tempo: onde estou se estou em todo o lugar [2]. A conjugação da existência em dois mundos off-line e on-line faz com que as características de um não estejam necessariamente vinculadas ao outro. Ao ingressar no ambiente on-line, inevitavelmente, estarão agregados a um sujeito virtual as características de outro sujeito, o real. Porém, ao contrário do sujeito do mundo real (off-line), o qual ao manter relações interpessoais possuirá uma representação única perante um grupo social, o sujeito on-line representará uma espécie de camaleão pixelado, podendo assumir a identidade que bem entender ou mais lhe convier. É justamente nesta possibilidade de se modelar uma individualidade on-line que reside a questão do anonimato on-line. O anonimato on-line fornece uma liberdade inatingível no mundo real. Seja em websites de relacionamento, seja em conversas através de mensageiros instantâneos (instant messengers), seja através de dados armazenados em bancos de dados de quem procura emprego; em qualquer destes ambientes do ambiente on-line, a liberdade para se assumir características de gênero, idade e religião é ilimitada. Essa ampla liberdade permite a qualquer pessoa assumir uma personalidade ou identidade que poderá corresponder ou não a da pessoa do mundo off-line. O tudo posso fazer e o ser quem eu quiser, entretanto, possuem limites. II. O Underground e o Perfil Cibercriminoso A sala é escura. Os móveis e apetrechos que a ocupam são de pouca relevância econômica. Posters pendurados nas paredes exibem o saudosismo digital protagonistas de games, anúncios publicitários de OSes [3] antigos. O aparato geralmente é amplo, de aparência fragmentada, ou melhor, recém montada. A luz que ilumina o ambiente é uma só, vem do monitor ligado. Nele predomina uma cor, o verde. O fundo da tela, escuro, contrasta com a cor traçante de letras e números estes em conjuntos indecifráveis para os homens comuns. A cena possui apenas um protagonista, apenas uma fala. Em geral, estereotipado no indivíduo jovem, detentor de incomparável conhecimento matemático e de linguagens de programação. Posto na frente do instrumento irradiante, o ser iluminado atravessa qualquer barreira. A partir de seu computador, o habitante deste escuro ambiente deslocase em minúsculas frações de tempo ao redor do mundo. Move-se do mainframe do banco ao servidor da faculdade, em microssegundos. O <enter> [4] dá vazão ao intelecto. Comandos organizados surtem efeitos:./configure, make, 18
Acesso forçado a sistemas remotos OPERAÇÃO HÉRCULES
Acesso forçado a sistemas remotos OPERAÇÃO HÉRCULES Daniel Araújo Miranda, Rodrigo Alves Carvalho Resumo A abordagem convencional utilizada pela polícia para ter acesso a indícios de crime em formato digital