Artefatos comuns

Um artefato é um vestígio que um sistema operacional ou programa deixa como efeito colateral do uso normal: um registro de um programa executado, um arquivo aberto, um dispositivo conectado ou uma página da web visitada. Os usuários raramente sabem que esses vestígios existem, o que os torna valiosos, mas cada um responde apenas a perguntas específicas e tem limitações conhecidas. Esta aula apresenta os artefatos nos quais os peritos mais se apoiam, principalmente no Windows, com uma breve abordagem de navegadores, celulares e serviços de nuvem. A interpretação aprofundada desses artefatos é abordada em cursos de nível pericial, como CFX e MFX.

Evidências de que um programa foi executado

• Arquivos Prefetch (C:\Windows\Prefetch, extensão .pf) são criados pelo Windows para acelerar a inicialização dos programas. Cada um registra o nome do programa, quantas vezes ele foi executado e quando foi executado pela última vez (no Windows 8 e posteriores, até oito horários de execução recentes). O Prefetch normalmente está habilitado nas versões do Windows para desktop, mas costuma estar desabilitado em servidores e pode ser desativado.
• As entradas do UserAssist no hive de registro NTUSER.DAT de cada usuário registram os programas que esse usuário iniciou pela interface gráfica, com uma contagem de execuções e o horário da última execução. Os nomes dos programas são armazenados com uma leve ofuscação por ROT13, uma substituição simples de letras que as ferramentas decodificam automaticamente.

Evidências de que um arquivo ou uma pasta foi aberto

• Arquivos LNK (arquivos de atalho) são criados automaticamente na pasta Recent do usuário (%APPDATA%\Microsoft\Windows\Recent) quando arquivos são abertos. Um arquivo LNK armazena o caminho completo do destino e seus carimbos de data e hora naquele momento, o tipo de unidade e, para muitas unidades, o número de série do volume, que pode vincular um arquivo a uma unidade USB específica.
• As Listas de Atalhos mantêm, para cada aplicativo, os arquivos abertos recentemente com ele (nas pastas AutomaticDestinations e CustomDestinations dentro de Recent). Elas mostram qual programa abriu qual arquivo.
• Os ShellBags, armazenados nos hives NTUSER.DAT e UsrClass.dat do usuário, registram as pastas pelas quais o usuário navegou no Explorador de Arquivos, incluindo pastas em unidades removíveis e compartilhamentos de rede que já não existem.

O registro e os dispositivos conectados

O registro do Windows é um banco de dados de configurações armazenado em arquivos chamados hives: SYSTEM, SOFTWARE, SAM e SECURITY em C:\Windows\System32\config, e NTUSER.DAT e UsrClass.dat em cada perfil de usuário. Entre muitos usos, ele registra dispositivos de armazenamento USB. A chave SYSTEM\CurrentControlSet\Enum\USBSTOR lista os dispositivos de armazenamento que foram conectados, com fabricante, produto e, para a maioria dos dispositivos, um número de série; SYSTEM\MountedDevices vincula os dispositivos a letras de unidade; e o log de texto C:\Windows\INF\setupapi.dev.log registra quando um dispositivo foi instalado pela primeira vez. Juntos, eles podem mostrar que uma unidade USB específica foi conectada ao computador e quando isso ocorreu.

Logs de eventos

O Windows grava logs de eventos em C:\Windows\System32\winevt\Logs, em arquivos com a extensão .evtx. O log de Segurança registra, por exemplo, logons bem-sucedidos (ID de evento 4624), falhas de logon (4625) e logoffs (4634), quando as configurações de auditoria pertinentes estão habilitadas. Os logs de Sistema e de Aplicativo registram serviços, erros e instalações. Os logs têm um tamanho máximo e sobrescrevem suas entradas mais antigas, portanto podem abranger apenas dias ou semanas, e um log vazio ou curto pode significar tanto pouca atividade quanto uma limpeza deliberada, que, por si só, deixa um evento registrado no log de Segurança.

Navegadores da web

Os navegadores mantêm histórico, downloads, cookies e cache nas pastas de seus perfis, principalmente em bancos de dados SQLite. Navegadores baseados no Chromium, como Chrome e Edge, armazenam o histórico em um arquivo de banco de dados chamado History, com tabelas de endereços visitados, visitas individuais e downloads; o Firefox usa places.sqlite. Seus carimbos de data e hora usam formatos diferentes (Aula 6.2). As janelas de navegação privada ou anônima são projetadas para deixar pouco ou nenhum histórico em disco, portanto a ausência dele não prova que não houve navegação.

Breve visão sobre celulares e serviços de nuvem

Nos celulares, a maioria dos dados dos aplicativos, incluindo muitos aplicativos de mensagens, é mantida em bancos de dados SQLite e arquivos de configuração no armazenamento privado de cada aplicativo, juntamente com logs do sistema. Quais artefatos podem ser acessados depende muito do nível de aquisição e do estado de bloqueio (Módulo 4). Os clientes de armazenamento em nuvem nos computadores mantêm bancos de dados locais e logs de sincronização, que podem mostrar que um arquivo foi enviado, baixado ou excluído, mesmo quando o próprio arquivo já não está no dispositivo.

Visão geral dos artefatos

O que os artefatos não provam

Os artefatos registram a atividade de uma conta de usuário em um dispositivo, não de uma pessoa identificada. Se várias pessoas compartilham uma conta ou conhecem sua senha, os artefatos não podem indicar quem estava ao teclado; outras evidências, como horários de logon, a localização da pessoa ou gravações de câmeras, podem ajudar. A ausência de um artefato é igualmente limitada: configurações, ferramentas de limpeza, rotação de logs, navegação privada ou um programa diferente podem explicar essa ausência. As constatações mais sólidas se apoiam em vários artefatos independentes que concordam entre si, e o relatório declara o que cada um mostra e o que não mostra (Módulo 7).

Um exemplo resolvido

Há suspeita de que um funcionário tenha copiado uma lista de clientes para uma unidade USB. O perito encontra uma entrada USBSTOR referente a uma unidade com um número de série específico, conectada pela primeira vez às 12:44 UTC. Um arquivo LNK e uma entrada de Lista de Atalhos mostram a lista de clientes aberta a partir da unidade E: às 12:47 UTC, e o arquivo LNK registra um número de série de volume. O log de Segurança mostra que a conta do funcionário estava com uma sessão iniciada desde 08:30. Cada artefato isolado tem limitações; juntos, eles sustentam a constatação de que, às 12:47 UTC, a conta do funcionário abriu a lista de clientes a partir de uma unidade USB conectada três minutos antes. Se o arquivo foi copiado e por quem são questões distintas que exigem evidências adicionais.

Foco no exame: Saiba quais artefatos mostram a execução de programas (Prefetch, UserAssist), o acesso a arquivos e pastas (arquivos LNK, Listas de Atalhos, ShellBags), as conexões USB (USBSTOR, MountedDevices, setupapi.dev.log) e os logons (IDs de evento 4624, 4625, 4634 do log de Segurança), onde estão os principais hives do registro e que os navegadores armazenam o histórico em bancos de dados SQLite. Espere perguntas sobre o que cada artefato prova e o que não prova, a diferença entre conta e pessoa, por que a ausência de um artefato é uma evidência fraca e o valor da corroboração.