segunda-feira, 25 de agosto de 2014

Zeus e Volatility - Analisando um dump de memória infectado

Conhecimentos requeridos

Esta postagem possui um conteúdo com grau de complexidade de fácil para moderada. Aqui, assumo que o leitor possui domínio nos conceitos teóricos de Sistemas Operacionais (SO), conhecimentos sobre a estrutura de diretórios e hierarquias do SO Windows XP, e conhecimentos em rotinas básicas de análise forense computacional.

A imagem da memória analisada pode ser obtida no link http://repo.jeiks.net/memory/zeus.vmem.7z com os Hashes:

  • MD5SUM: ebec0847119321e7c191956c19c18aa5
  • SHA1SUM: 1e3662150e9c300f24fb2641d240b93299b4f4cc 

Introdução

Esta publicação é resultado de um dos trabalhos realizados na disciplina de Computação Forense na minha graduação de Ciência da Computação. Antes de qualquer coisa, é importante dizer que o uso indevido das técnicas ou qualquer dano que o conteúdo abordado aqui possa ocasionar a si ou a outros é de responsabilidade do leitor. A intenção aqui é compartilhar minhas experiências, nada mais.