Presentazione Laurea Magistrale
•
0 likes•57 views
Browser Forensics di Tor, Google Chrome e Microsoft Edge Chromium-based
Recommended
More Related Content
Similar to Presentazione Laurea Magistrale
Similar to Presentazione Laurea Magistrale (20)
More from Università Degli Studi Di Salerno
More from Università Degli Studi Di Salerno (9)
Presentazione Laurea Magistrale
- 1. Browser Forensics di Tor, Google Chrome e Microsoft Edge Chromium-based TESI DI LAUREA MAGISTRALE UNIVERSITÀ DEGLI STUDI DI SALERNO DIPARTIMENTO DI INFORMATICA Corso di Laurea Magistrale in Informatica Curriculum in Sicurezza Informatica Relatore: Ch.Mo Prof. Raffaele Pizzolante Candidato: Giorgio Vitiello Matr. 0522500594ANNO ACCADEMICO 2019/2020
- 2. Browser Forensics I browser web sono oggi giorno utilizzati non più esclusivamente sui PC, ma anche sugli smartphone, sui tablet ecc. 2
- 3. Browser Web | Problematiche Registrano gran parte delle attività di navigazione sul sistema locale Browser utilizzati anche da cybercriminali Ricostruzione delle attività in rete di un utente 3
- 4. Browser Forensics 4 Google Chrome 69,8% Microsoft Edge 10% Google Chrome è il browser web più utilizzato ad oggi.
- 5. Browser Forensics Non è possibile fornire una soluzione universale per l’analisi di più browser. 5
- 6. Browser Forensics | Metodologia proposta 6 Post-mortem analysis abbiamo estratto artefatti una volta terminata l’attività di navigazione dell’utente.
- 7. Primo Esperimento Tor, Google Chrome e Microsoft Edge Chromium-based 1 7
- 8. Attività Utente Sito Web Attività Account Utilizzato https://www.cybersecurity360.it/ Scroll pagina e apertura di una sezione “Ransomware” http://elearning.informatica.unisa.it/ Accesso alla piattaforma e scroll della pagina utente g.vitiello24@studenti.unisa.it https://esse3web.unisa.it/ Accesso ad esse3 e scroll della pagina utente g.vitiello24@studenti.unisa.it https://outlook.live.com/owa/ Accesso a hotmail ed apertura di un’email ricevuta giorap94@hotmail.it 8
- 9. Analisi di Tor | Volatility 9 ◉ volatility –profile=Win10x6416299 -f memdump.mem pslist –output=html–output-file=pslist.html
- 10. Analisi di Tor | Bulk Extractor ◉ Molte occorrenze email sono state estratte dal file email_histogram.txt. ◉ Tra le evidenze spicca l’email usata per accedere a login.live.com (giorap94@hotmail.it). ◉ Sono state trovate anche gran parte delle email che hanno interagito con l’email presa in esame. 10
- 11. Analisi di Google Chrome | Bookmarks 11
- 12. Analisi di Microsoft Edge | La cache 12 Mediante un editor esadecimale è possibile analizzare i file contenuti nella cache del browser.
- 13. Secondo Esperimento Tor, Google Chrome e Microsoft Edge Chromium-based 2 13
- 15. Analisi di Tor | Volatility 15◉ volatility –profile=Win10x6416299 -f memdump.mem pslist –output=html–output-file=pslist.html
- 16. Analisi di Tor | Bulk Extractor ◉ Dal file url_facebook-address.txt sono state estratte delle informazioni importanti. ◉ In questo file è contenuto l’id facebook univoco di un amico con cui l’utente ha interagito, che in questo caso è giorgio.vitiello94. ◉ Inoltre nel file url_histogram.txt sono emerse anche evidenze riguardanti sottosezioni del sito Apple, in particolare la sottosezione che riguarda iPhone. 16
- 17. Attività Utente Google Chrome 17
- 18. Analisi di Chrome | ChromeHistoryView 18
- 19. Attività Utente Microsoft Edge 19
- 20. Analisi di Edge | Last Session 20 Come è possibile notare l’utente ha effettuato l’accesso ad amazon con la propria email. Tale file evidenzia l’ultima sessione di navigazione.
- 21. Terzo Esperimento Comparativa dei risultati ottenuti fra i tre browser 3 21
- 23. Analisi di Tor | HexFiend 23
- 24. Analisi di Tor | Bulk Extractor 24
- 25. Analisi di Google Chrome 25
- 26. Analisi di Microsoft Edge 26
- 27. Comparativa Primo Esperimento 27 Tor Google Chrome Edge-Chromium Data Inizio Attività ✅ ❌ ❌ Cronologia Utente ✅ ✅ ✅ Email Utilizzate ✅ ✅ ✅ Password Trovate ❌ ✅ ✅ Data Fine Attività ❌ ❌ ❌
- 28. Comparativa Secondo Esperimento 28 Tor Google Chrome Edge-Chromium Data Inizio Attività ✅ ❌ ❌ Cronologia Utente ✅ ✅ ✅ Email Utilizzate ✅ ✅ ✅ Artefatti Facebook ✅ ✅ ✅ Password Trovate ❌ ✅ ✅ Data Fine Attività ✅ ❌ ❌
- 29. Comparativa Terzo Esperimento 29 Tor Google Chrome Edge-Chromium Data Inizio Attività ❌ ❌ ❌ Cronologia Utente ✅ ✅ ✅ Email Utilizzate ✅ ✅ ✅ Contenuto Youtube ❌ ✅ ✅ Password Trovate ❌ ✅ ✅ Data Fine Attività ❌ ❌ ❌
- 30. Perchè è utile questo lavoro? La ricerca sviluppata è innovativa poichè non ci sono ricerche comparative simili in letteratura scientifica. 30
- 31. Conclusioni | Sviluppi Futuri Analizzare altri casi di studio simili alla realtà Considerare altri S.O. oltre a Windows 10 31 Utilizzare questa metodologia applicata agli smartphone
- 32. Grazie! 32
Editor's Notes
- I browser web sono oggi giorno utilizzati non più esclusivamente sui personal computer, ma anche sugli smartphone, sui tablet ecc. e spesso sono utilizzati non solo per una semplice ricerca o per la navigazione in rete ma possono essere usati anche per navigare attraverso il file system di un dispositivo. La cache di un browser web può contenere diversi elementi che spaziano dalle immagini ai documenti o anche file eseguibili legati all’attività dell’utente sulla rete. Dal browser è possibile risalire ad informazioni sensibili legate ad un utente che naviga in rete attraverso di esso, basti pensare ai dati inseriti nei form HTML come ad esempio username e password di account relativi a servizi di mailing o social network, informazioni finanziarie come il numero di una carta di credito ecc.
- E’ importante tracciare l’attività di un cybercriminale, poichè potrebbe costituire una prova digitale 2. come pagine visitate file scaricati, credenziali di accesso ecc.
- La maggior parte degli strumenti è progettata ad-hoc per i singoli browser ed essendo presenti diversi browser, l’utente malintenzionato può utilizzare più browser contemporaneamente per compiere l’illecito per cui l’investigatore deve avere la piena conoscenza della struttura dei diversi browser e delle differenti tipologie di artefatti prodotti. Una sfida è progettare strumenti ad-hoc in grado di favorire l’analisi contemporaneamente di più browser che siano in grado di produrre evidenze precise.
- Quest’analisi prevede l’estrazione e l’analisi degli artefatti memorizzati nella cartella Default nel caso di chrome ed edge e nel caso di Tor nell’analisi del dump acquisito. Sono stati analizzati i file principali che consentono la ricostruzione degli eventi legati all’attività di navigazione del cybercriminale Vantaggio: possibile analizzare le evidenze mediante tolls già esistenti; Non sono necessari strumenti ad-hoc che forniscono i medesimi risultati; Notevole risparmio di tempo.
- Il sistema deve essere attivo.
- Per prima cosa l’utente accede a Windows con il suo account, dopo aver acceduto a Tor effettua la registrazione al noto social network Facebook . Successivamente navigherà all’interno del social per qualche minuto, aprendo una chat e scambiando messaggi con un suo amico per poi effettuare il logout. Dopodichè l’utente accederà al sito https://www.apple.com ed effettuerà anche su di esso una normale navigazione. Mediante il tool FTK Imager, sarà acquisito ed analizzato il memory dump, alla ricerca di evidenze relative a nome utente, cognome, password, email, ed eventuali tracce della conversazione effettuata.
- L’artefatto verificato ̀e l’inizio dell’attivit̀a sia di firefox.exe alle 10:57:11 del 9 Settembre 2020 che dell’inizio dell’attività di tor.exe alle 10:57:13 del 9 Settembre 2020. Si evidenzia quindi, anche l’ordine temporale secondo cui vengono eseguiti tali applicativi all’avvio del bundle di Tor; Sarà invocato prima il processo relativo a firefox e poi quello di tor. si può notare che l’ultimo evento legato a firefox sia verso le 11:26:16 del 9 Settembre 2020 e e che gli eventi relativi a tor si susseguono nel tempo.
- In questa sezione verr̀a esaminato il contenuto della cartella Default in cui sono salvati gli artefatti, cos̀ı da estrapolare le evidenze che successivamente potrebbero essere utilizzate durante un processo giudiziario. Tutti gli artefatti relativi alla navigazione dell’utente vengono memorizzati sul disco del dispositivo utilizzato. Di seguito ̀e mostrato il diagramma UML delle azioni fatte dall’utente prima di procedere con l’analisi degli artefatti.
- In questa sezione faremo una descrizione dell’esperimento. Per prima cosa l’utente accede a Windows con il suo account, dopo aver acceduto a Tor effettua il login sulla piattaforma Youtube. Successivamente navigherà all’interno della pagina per qualche minuto, aprendo un video per poi effettuare il logout. Dopodich̀e l’utente acceder̀a al sito https://www.amazon.it/ ed effettuerà anche su di esso una normale navigazione per circa un paio di minuti effettuando il login col proprio account, e una volta terminata la sessione di navigazione effettuer̀a il logout. Successivamente l’utente entrerà nel proprio account Gmail effettuando il login col proprio account, invier̀a un’email ad un suo amico segnalando un prodotto interessante su Amazon e successivamente effettuer̀a il logout.
- Qui invece notiamo alcune tracce di cronologia di navigazione che riguardano l’utente. Specificatamente, ̀e possibile rilevare che l’utente ha visitato, sul sito Amazon, una pagina per l’acquisto di un paio di cuffie con microfono, un prodotto al quale probabilmente l’utente ̀e interessato. Ora, tenuto conto degli artefatti rinvenuti, effettuaremo le medesime operazioni anche per gli altri due browser e compareremo successivamente le evidenze rinvenute e mancanti per vedere se effettivamente l’utilizzo di un browser impatta dal punto di vista della memory forensics rispetto ad un altro.
- In conclusione comparando gli artefatti di Google Chrome e quelli di Tor, dal punto di vista del flusso di navigazione non risultano grosse differenze; siamo riusciti a risalire tranquillamente, in entrambi i casi, alla cronologia completa. Cìo non toglie che in alcune circostanze Google Chrome ̀e più ”conservativo” rispetto a Tor: per esempio le credenziali di accesso sono più difficilmente eliminabili da Chrome rispetto a Tor. Con l’analisi forense su Chrome siamo riusciti in un caso a risalire anche al tipo di contenuto che l’utente ha visualizzato su youtube, mentre su Tor non ̀e risultato alcun dettaglio circa i contenuti visionati. In conclusione, anche se di poco, Google Chrome sta perdendo (dal punto di vista dell’utente) e sta vincendo (dal punto di vista dell’investigatore forense) rispetto a Tor. Nel terzo esperimento di Microsoft Edge compareremo gli artefatti di tutti e tre i browsers per valutare quale browser impatta di più dal punto di vista della memory forensics.
- In conclusione comparando gli artefatti di Microsoft Edge con quelli di Google Chrome e quelli di Tor, dal punto di vista del flusso di navigazione non ci sono grosse differenze (sopratutto tra Chrome ed Edge); siamo riusciti a risalire tranquillamente in tutti e tre i casi alla cronologia completa. Cìo non toglie che in alcune circostanze Microsoft Edge e Google Chrome sono più ”conservativi” rispetto a Tor; le credenziali di accesso, ad esempio, sono più difficili da rimuovere da Edge e Chrome che da Tor. Con l’analisi forense su Edge e Chrome siamo riusciti, in un caso, a risalire anche al tipo di contenuto che l’utente ha visualizzato su youtube, mentre su Tor questo tipo di informazione non ̀e stata rinvenuta. In definitiva, anche se di poco, Edge e Google Chrome se messi a confronto col browser Tor, risultano perdenti dal punto di vista dell’utente, ma senz’altro vincenti dal punto di vista dell’investigatore forense.
- Nello specifico nel primo esperimento del browser di Tor siamo riusciti, mediante i tools volatility, bulk extractor a risalire a quasi tutte le attivit̀a che l’utente ha svolto durante il flusso di navigazione: ad esempio siamo riusciti a risalire alla data di inizio attivit̀a, tracce di cronologia, email relative alle attivit̀a svolte nell’esperimento Nel primo esperimento di Google Chrome, invece, abbiamo trovato mediante i vari strumenti di investigazione forense siamo riusciti a risalire a molti più artefatti mostrando ad esempio le passwords degli account che l’utente aveva salvato all’interno del proprio browser, oltre che alla cronologia il quale ci ha permesso di ricostruire una timeline abbastanza precisa relativa all’attivit̀a svolte dall’utente. Infine su Edge Chromium, sempre nel primo esperimento, abbiamo rinvenuto pressoch̀e gli stessi artefatti di Google Chrome: infatti Edge basandosi su Chromium ̀e molto simile a Chrome e non abbiamo avuto difficolt̀a nell’estrarre le evidenze con gli stessi strumenti usati per Chrome.
- Nel secondo esperimento, essendo uno scenario differente che riguardava anche l’utilizzo del social network Facebook, si ̀e riusciti, nel caso di Tor, a risalire all’email utilizzata in fase di registrazione a facebook ed anche con chi l’utente ha interagito col suddetto social network ed anche tracce di conversazione. Ovviamente in tutti e tre i browser abbiamo rinvenuto la maggior parte delle attivit̀a svolte dall’utente. Nello specifico in Google Chrome ed Edge Chromium, a differenza di Tor, abbiamo anche le password in chiaro degli account utilizzati per accedere a siti come Nike e Facebook.
- Infine nel terzo esperimento, abbiamo ancora un altro scenario differente dai primi due esperimenti; più nel dettaglio nel caso di Tor siamo riusciti a risalire, oltre a quasi tutte le attivit̀a svolte dall’utente, come ad esempio il login ed il logout delle piattaforme Youtube ed Amazon ed anche alle sottosezioni visitate degli stessi, anche con quale email e con chi l’utente ha interagito con il proprio account Gmail. Nel caso invece di Google Chrome ed Edge Chromium, oltre a cìo che ̀e stato rinvenuto in Tor, abbiamo anche le password dei vari account dell’utente, ovvero quello di Amazon, Gmail e Youtube. In conclusione, dal punto di vista del flusso di navigazione non ci sono grosse differenze, soprattutto per Chrome ed Edge che sono molto simili. In alcuni casi Tor si ̀e mostrato meno conservativo rispetto agli altri due poich̀e ad esempio non siamo riusciti a risalire alle password dei vari account dell’utente. In definitiva diciamo che Tor ̀e al primo posto in termini di privacy dell’utente mentre Google Chrome ed Edge Chromium meritano un ”secondo posto” entrambi poich̀e nessuno dei due prevale sull’altro.
- Può essere importante per un investigatore forense poichè già in fase di preparazione è in grado di intuire quali evidenze possono essere rinvenute.
- Concludendo, dato che questo lavoro di tesi si è basato sul sistema operativo Microsoft Windows 10, un ulteriore sviluppo futuro potrebbe prevedere l’estensione del lavoro trattato considerando anche altri sistemi operativi, come ad esempio Apple OS X/MacOS, Linux e così via.