Obtener contraseñas de correo mediante Análisis Forense en memoria RAM

Hoy en día debemos protegernos constantemente del robo de datos privados ya que un descuido puede tener malas consecuencias.

Vamos a ver el peligro que tiene la información que podemos tener guardada en nuestra memoria ram, y la importancia que tiene el no apagar o reiniciar el ordenador, por ejemplo después de usarlo en un lugar público.

Esta prueba que vamos a mostrar a continuación no ha afectado a nadie y la información mostrada nos tiene que servir para educarnos de los hábitos de seguridad de nuestra información privada.

El proceso que se va a seguir va a ser como dumpear la memoria ram, realizando una copia bit a bit de toda la información guardada en memoria, viendo la información guardada en ella, en este caso datos de correo electrónico.

Disponemos de una máquina virtual con Windows XP sp3 con 512Mb de RAM, donde entramos al correo sin pedir que nos recuerde la contraseña.

Cuando ya hemos hecho login en la cuenta, podemos cerrar la sesión.

La situación es un ordenador donde hemos iniciado sesión y no hemos guardado nada de información en el navegador ni en el sistema operativo.

El siguiente paso a realizar es hacer la imagen de la copia bit a bit de la memoria ram con la herramienta de la empresa Acces Data llamada Ftk Imager.

Una vez instalado el software haremos un click en el icono de la memoria ram de la parte superior, "Capture Memory".

Esperaremos a que termine la copia de la memoria y nos genera un archivo de Imagen.

Una vez realizada, la abrimos con el mismo ftkimager: Archivo / Add Evidence Item

Click en Image File 

Seleccionamos la imagen que nos genero la copia bit a bit de la memoria ram.

Una vez se nos abrira toda la informacion en modo texto y en Hexadecimal.

En este momento vamos a buscar toda la información para poder encontrar las credenciales. Hacemos botón derecho y damos click en Find. Dependiendo del servicio de correo que vayamos a buscar podemos poner passwd= pwd=   o si buscamos algún usuario User, etc.

Podemos ver la contraseña de la cuenta de correo en Texto Plano. Podemos también buscar contactos de la cuenta de correo usando la búsqueda de algún contacto que tenga la cuenta.ç

Si quisiéramos buscar datos de un dominio en particular podemos buscar: @gmail.com  @hotmail.com ,etc..
Tenemos que recordar que estos datos han sido encontrados y no habíamos guardado ninguna preferencia del sistema, por eso tenemos que tener en cuenta y darle la importancia adecuada a la información alojada en la memoria RAM. Mucha gente es usuaria de ordenadores en cibers, escuelas, oficinas, etc.. y muchas veces no reiniciamos el ordenador, con lo que estamos dejando en memoria toda esta información.
Espero que esta información les haya servido de ayuda y estén al tanto de que existen este tipo de técnicas. En este caso hemos visto como podemos encontrar datos de correo, pero paraos a pensar la infinidad de información que hay en memoria, con lo que mucho cuidado.

Fuente: Andres