Investigação Forense de Endpoints

Quando Usar

Use esta habilidade quando:

• Investigar um comprometimento confirmado ou suspeito de endpoint que requer análise forense
• Coletar evidências voláteis e não voláteis para resposta a incidentes ou processos legais
• Analisar dumps de memória em busca de malware, código injetado ou artefatos de roubo de credenciais
• Reconstruir linhas do tempo do atacante a partir de artefatos de endpoint (prefetch, shimcache, amcache)

Não use esta habilidade para caça a ameaças em tempo real (use EDR/SIEM) ou forense de rede.

Pré-requisitos

• Estação de trabalho forense com ferramentas de análise (Volatility 3, KAPE, Autopsy, ferramentas Eric Zimmerman)
• Bloqueador de gravação para criação de imagens de disco (hardware ou software)
• Armazenamento seguro de evidências com documentação de cadeia de custódia
• Ferramenta de aquisição de memória (WinPMEM, FTK Imager, Magnet RAM Capture)
• Acesso administrativo ao endpoint alvo (ou acesso físico)

Fluxo de Trabalho

Etapa 1: Preservação de Evidências (Ordem de Volatilidade)

Colete evidências da mais volátil para a menos volátil:

1. System memory (RAM) - Most volatile
2. Network connections and routing tables
3. Running processes and open files
4. Disk contents (file system)
5. Removable media
6. Logs and backup data - Least volatile

Aquisição de Memória:

# WinPMEM (Windows)
winpmem_mini_x64.exe memdump.raw

# FTK Imager - Create memory capture via GUI
# File → Capture Memory → Destination path → Capture Memory

# Linux (LiME kernel module)
sudo insmod lime.ko "path=/evidence/memory.lime format=lime"

Coleta de Dados Voláteis:

# Capture running processes
Get-Process | Export-Csv "evidence\processes.csv" -NoTypeInformation
tasklist /v > "evidence\tasklist.txt"

# Capture network connections
netstat -anob > "evidence\netstat.txt"
Get-NetTCPConnection | Export-Csv "evidence\tcp_connections.csv"

# Capture logged-on users
query user > "evidence\logged_users.txt"

# Capture scheduled tasks
schtasks /query /fo CSV /v > "evidence\scheduled_tasks.csv"

# Capture services
Get-Service | Export-Csv "evidence\services.csv"

# Capture DNS cache
ipconfig /displaydns > "evidence\dns_cache.txt"

Etapa 2: Criação de Imagem de Disco

# FTK Imager - Create forensic disk image
# File → Create Disk Image → Physical Drive → E01 format
# Always verify image hash (MD5/SHA1) matches source

# dd (Linux)
sudo dc3dd if=/dev/sda of=/evidence/disk.dd hash=sha256 log=/evidence/imaging.log

# Verify image integrity
sha256sum /evidence/disk.dd
# Compare with hash generated during imaging

Etapa 3: Análise de Memória com Volatility 3

# Identify OS profile
vol -f memdump.raw windows.info

# List running processes
vol -f memdump.raw windows.pslist
vol -f memdump.raw windows.pstree

# Find hidden processes
vol -f memdump.raw windows.psscan

# Analyze network connections
vol -f memdump.raw windows.netscan

# Detect process injection
vol -f memdump.raw windows.malfind

# Extract command line arguments
vol -f memdump.raw windows.cmdline

# Analyze DLLs loaded by processes
vol -f memdump.raw windows.dlllist --pid 1234

# Extract files from memory
vol -f memdump.raw windows.filescan | grep -i "suspicious"
vol -f memdump.raw windows.dumpfiles --pid 1234

# Detect credential theft
vol -f memdump.raw windows.hashdump
vol -f memdump.raw windows.lsadump

# Registry analysis from memory
vol -f memdump.raw windows.registry.printkey --key "Software\Microsoft\Windows\CurrentVersion\Run"

Etapa 4: Análise de Artefatos do Windows

Principais artefatos forenses e suas ferramentas:

Arquivos Prefetch (C:\Windows\Prefetch\):
  Ferramenta: PECmd.exe (Eric Zimmerman)
  Mostra: Histórico de execução de programas com timestamps e contagens de execução
  Comando: PECmd.exe -d "C:\Windows\Prefetch" --csv output\

ShimCache (AppCompatCache):
  Ferramenta: AppCompatCacheParser.exe
  Mostra: Programas que existiram no sistema (mesmo que excluídos)
  Comando: AppCompatCacheParser.exe -f SYSTEM --csv output\

AmCache (C:\Windows\appcompat\Programs\Amcache.hve):
  Ferramenta: AmcacheParser.exe
  Mostra: Execução de programas com hashes SHA1 e timestamps de instalação
  Comando: AmcacheParser.exe -f Amcache.hve --csv output\

Artefatos NTFS ($MFT, $UsnJrnl, $LogFile):
  Ferramenta: MFTECmd.exe
  Mostra: Linha do tempo completa do sistema de arquivos, incluindo arquivos excluídos
  Comando: MFTECmd.exe -f "$MFT" --csv output\

Logs de Eventos:
  Ferramenta: EvtxECmd.exe
  Mostra: Eventos de Segurança, Sistema, PowerShell, Sysmon
  Comando: EvtxECmd.exe -d "C:\Windows\System32\winevt\Logs" --csv output\


…