03 - Ambientes voláteis (execução em RAM)

No contexto das técnicas antiforense, os ataques de negação de serviço (DoS) contra ferramentas, exemplificados pelo Zip da Morte (ou Zip Bomb), representam uma estratégia agressiva para interromper ou inviabilizar o processo de investigação.

Abaixo, detalho como essa técnica funciona e como ela se insere no cenário da antiforense segundo as fontes:

1. O Contexto: Atacando a Credibilidade e as Ferramentas

A antiforense é definida como o conjunto de métodos que visa comprometer a disponibilidade ou a utilidade das evidências. Uma das abordagens mais modernas e ameaçadoras consiste em realizar ataques diretos contra as ferramentas de computação forense. Os invasores exploram vulnerabilidades conhecidas desses softwares para que, se a confiabilidade das evidências puder ser questionada ou o processo interrompido, as provas se tornem inúteis para o tribunal.

2. O Funcionamento do "Zip da Morte"

O Zip da Morte é descrito como o ataque de negação de serviço mais popular nesse meio. Ele explora a configuração padrão de muitas ferramentas e a curiosidade do investigador em analisar o conteúdo de arquivos compactados.

• A Armadilha: São arquivos compactados com um tamanho físico muito pequeno, o que não levanta suspeitas iniciais.
• O Efeito: Quando a ferramenta forense tenta descompactar o arquivo para análise, ele se expande massivamente, consumindo quantidades extremas de espaço em disco e memória RAM.
• O Resultado: O sistema fica sobrecarregado, fazendo com que a ferramenta perca a disponibilidade, trave ou pare de funcionar completamente.
• Ferramentas Vulneráveis: Softwares que abrem arquivos por padrão baseados em suas extensões são os mais expostos. As fontes citam o EnCase como um exemplo de ferramenta vulnerável a esse tipo de ataque.

3. Exemplo Clássico: O arquivo 42.zip

As fontes citam o arquivo 42.zip como o exemplo típico de uma "bomba de compressão":

• Ele possui apenas 42.374 bytes compactados.
• Contém 16 arquivos internos, que por sua vez contêm mais 16, em camadas sucessivas.
• Se extraído totalmente, o espaço ocupado aproximar-se-ia de 4,5 PB (Petabytes), algo impossível de ser processado pela maioria das estações de trabalho forenses.

4. Outras Variantes e Prevenção

Além do Zip da Morte, as fontes mencionam o ReDoS (negação de serviço por expressão regular), que utiliza entradas mal elaboradas (como o Evil Regex) para fazer com que a máquina de processamento leve um tempo exponencial para validar dados, resultando também no desligamento do sistema.

Como prevenir: Embora ataques DoS não possam ser evitados em sua totalidade, sua ocorrência pode ser mitigada se os peritos escolherem as entradas das ferramentas com cuidado. Ao determinar previamente o tipo exato de arquivo que se busca, economiza-se tempo e evita-se que o software processe dados maliciosos que nem precisariam ser verificados.

Em suma, o Zip da Morte é uma tática antiforense que utiliza a própria funcionalidade da ferramenta de análise contra o investigador, transformando uma simples descompactação em um colapso técnico que atrasa ou impede a coleta de provas.