THUMBS.DB FORENSIC ANALYSIS A CURA DEL MAR. ORD. DAVIDE NUMELLI - SEZIONE TELEMATICA - REPARTO TECNOLOGIE INFORMATICHE CARABINIERI

Transcript

1 THUMBS.DB FORENSIC ANALYSIS A CURA DEL MAR. ORD. DAVIDE NUMELLI - SEZIONE TELEMATICA - REPARTO TECNOLOGIE INFORMATICHE CARABINIERI VERSIONE 1.0 GENNAIO 2007

2 PREMESSA I sistemi operativi Win-XX hanno generalmente impostata la caratteristica user friendly di visualizzare anticipazioni del contenuto di una cartella in varie modalità. I file possono infatti essere visualizzati in modalità titolo, icone, elenco, dettagli, anteprima. In questo articolo verrà discussa quest ultima modalità, approfondendo le sue caratteristiche e ponendo in particolare risalto la sua importanza dal punto di vista forense soprattutto in relazione all analisi investigativa delle immagini. 1. Il file thumbs.db Se l utente sceglie di visualizzare in modalità anteprima i file contenuti in una cartella, il sistema operativo crea all interno della stessa un file di sistema (protetto e con l attributo hidden attivo), denominato thumbs.db. Tale file risulta quindi non visibile all utente medio e di conseguenza inaccessibile, a meno di non agire sulle opzioni di visualizzazione dei file di sistema e nascosti. Si noti che tale file viene creato nel momento in cui nella cartella interessata è presente almeno: un file grafico (di tipo.jpg,.gif,.png,.bmp ), video (di tipo.avi,.mpg,.wmv ) o di documento (di tipo.pdf ). All utente vengono quindi mostrate le miniature delle immagini oppure il primo fotogramma dei filmati (sempre che risulti installato il relativo codec video), nonché della prima pagina del documento elettronico (se privo però di protezione per l estrazione del relativo contenuto), inclusi nella cartella. Le restanti tipologie di file vengono visualizzate con un icona. Il sistema operativo memorizza dette anteprime nel relativo file thumbs.db al fine di accelerarne la visualizzazione ad un successivo accesso nella cartella che li contiene. Figura 1 - Visualizzazione file in modalità anteprima - 2 -

3 Si noti che nel caso in cui vengano inseriti nuovi file (per i quali è possibile farne un anteprima) all interno di una cartella, che contenga già un file thumbs.db, questi vanno ad aggiornare le rispettive miniature, sempre a patto che la modalità anteprima sia rimasta attiva. Un fatto fondamentale è che tali miniature persistono nel file thumbs.db anche dopo che i correlati file sono stati cancellati e/o spostati dalla cartella d origine ed anche nel caso in cui quest ultima sia stata rinominata. Più in dettaglio, dall analisi del thumbs.db si possono estrarre, oltre che le anteprime memorizzate in formato jpeg, anche i nomi originali dei file visualizzati e le date della loro ultima modifica (last written). È interessante notare come ogni versione del sistema operativo Microsoft Windows gestisca il thumbs.db con modalità differenti: nelle versioni Windows Millenium Ed. e Windows 2000 il file thumbs.db memorizza oltre le informazioni anzi dette anche il percorso del relativo file, dato assente in Windows XP e Windows 2003 [AD02], come meglio riassunto nella tabella seguente: Thumbs.db Win ME/2K Win XP/2003 nome file si Si percorso file si No Tabella 1 - Caratteristiche file "thumbs.db" nelle varie versioni di Windows Inoltre, Windows 2000, solo sulle partizioni in formato NTFS, a differenza delle altre versioni, memorizza le miniature come Alternate Data Stream (ADS) 1 dei singoli file interessati, senza creare quindi il file thumbs.db [KBM01]. Per quanto concerne invece il nuovo sistema operativo Windows Vista, parrebbe che esso non crei i file thumbs.db in ogni cartella, ma soltanto alcuni file all interno del percorso: <DRIVE>\Users\<USER NAME> \AppData\Local\Microsoft\Windows\Explorer : Con i nomi thumbcache_32.db, thumbcache_96.db, thumbcache_256.db, thumbcache_1024.db. Inoltre sembra che il nuovo sistema operativo Windows Vista preveda anche la possibilità da parte dell utente, tramite il comando pulitura disco, di poter cancellare il contenuto di tali file. Tramite apposite modifiche al registro di sistema si possono inoltre cambiare la dimensione in pixel delle anteprime nonché la loro qualità di visualizzazione [MS03] [MS04]: Cambiare la dimensione delle anteprime: le anteprime hanno di default una risoluzione di 96 pixel. Si può modificare tale valore aggiungendo un nuovo valore DWORD denominato 1 Alternate Data Stream: caratteristica dei file system di tipo NTFS, inerente ulteriori attributi associati ad un file nel suo record presente nel Master File Table (MFT). Gli ADS, hanno la particolarità di non essere visti da explorer di Windows. Rif.: Harlan Carvey, Windows Forensic and Incident Recovery, Addison Wesley,

4 ThumbnailSize nelle chiavi di registro HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer e HKEY_CURRENT_USER\ Software\Microsoft\Windows\CurrentVersion\Explorer, immettendogli un valore decimale compreso tra 32 e 256 (che rappresenteranno la nuova risoluzione in pixel dell anteprima). Cambiare la qualità delle anteprime: tenendo presente che migliore sarà la qualità delle anteprime e maggiore sarà la dimensione del relativo file thumbs.db, aggiungendo un nuovo valore DWORD denominato ThumbnailQuality nelle chiavi di registro HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer e HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer, ed immettendogli un valore decimale compreso tra 50 e 100, sarà possibile variare la qualità delle anteprime rispettivamente in minore e maggiore, tenendo presente che di default esse hanno una qualità impostata al valore decimale di 90.. Il sistema operativo Windows prevede ovviamente anche il modo di evitare la creazione del file thumbs.db, sia tramite la selezione di opzioni specifiche che mediante opportune modifiche nel registro di sistema, questo, pur consentendo all utente di visualizzare le anteprime dei file contenuti in una cartella. In Windows XP basta infatti utilizzare il comando strumenti-opzione cartella e successivamente nella scheda visualizzazione deselezionare la voce non memorizzare le anteprime nella memoria cache. Figura 2 - Disabilitazione creazione del file "thumbs.db" - 4 -

5 Per l utente più preparato tecnicamente, tale modifica può essere eseguita variando un apposita chiave del registro di sistema: DisableThumbnailCache, contenuta nel percorso HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced. Il valore esadecimale dovrà essere impostato a 1 per disabilitare la funzione. Figura 3 - Disabilitazione creazione del file "thumbs.db" tramite registro di sistema a. Analisi forense del file thumbs.db Sono pochi i software oggi in commercio che permettono all investigatore forense di analizzare il contenuto del file thumbs.db. Tra questi, degni di nota sono EnCase della Guidance Software [EN05] e Forensic Toolkit della AccessData, software specifici per le analisi in ambito forense. Esistono poi prodotti non integrati in tool forensi quali il software di visualizzazione immagini PolyView prodotto da PolyBytes [PV06] e il più specifico DM Thumbs recentemente prodotto da GreenSpot Technologies [DM07]. In particolare quest ultimo tool risulta molto intuitivo nell impiego, in quanto interpreta in automatico sia le immagini che i metadati memorizzati all interno del file thumbs.db, come evidenziato nella figura nr

6 Figura 4 - Analisi "thumbs.db" con "DMThumbs" Considerando ora l analisi con il software EnCase v.4.22a. Figura 5 - Analisi del file "thumbs.db" con "EnCase" - 6 -

7 Il software riconosce il file thumbs.db come un file di tipo database. Ed è proprio ciò che esso rappresenta: un archivio di immagini in formato jpeg, come si può meglio notare nella successiva figura nr.6. Figura 6 - Header di un'immagine jpeg contenuta nel file "thumbs.db" Analizzando più a fondo il file in questione tramite il comando view file structure, EnCase mostra il contenuto delle anteprime ivi memorizzate, unitamente al loro nome originale completo di estensione e alla data della loro ultima modifica (last written), oltre ad altri dati tecnici inerenti gli stessi (vds. Figura nr.7 nr.8). Le immagini possono essere estratte tramite appositi script del software, oppure manualmente dal file in esame, esportando il relativo contenuto dall header 2 al footer 3 delle stesse, non essendo esse memorizzate in modo frammentato. 2 Header: informazioni che solitamente risiedono nella parte iniziale del file, allo scopo di definirne la tipologia. Per quanto riguarda i file di tipo jpeg tali dati sono rappresentati dai caratteri esadecimali \xff\xd8\xff[\xfe\xe0]\x00. 3 Footer: informazioni che solitamente risiedono nella parte finale del file, allo scopo di definirne l End Of File. Per quanto riguarda i file di tipo jpeg tali dati sono rappresentati dai caratteri esadecimali \xff\xd

8 Figura 7 - Analisi immagini contenute nel file "thumbs.db" Figura 8 - Immagini memorizzate nel file "thumbs.db" - 8 -

9 Come già affermato, una caratteristica molto importante del thumbs.db è quella di mantenere memorizzate le anteprime anche se non esistono più i rispettivi file nella cartella. Ciò risulta molto importante per l investigatore tecnico soprattutto durante le operazioni di analisi sulle immagini pedoporno, in quanto non è raro trovare casi in cui l utente detiene le immagini incriminate in un unica cartella, o magari suddivise in varie sottocartelle, e successivamente le rimuove per eliminare le prove di colpevolezza o perché le ha copiate su memorie di massa esterne come pen-drive USB, hard disk, o supporti magneto-ottici. Come esempio si riporta un caso investigativo reale, in cui l analisi del file thumbs.db è risultata determinante. L imputato era sospettato di detenzione e divulgazione di materiale digitale pedopornografico. Ad una prima analisi delle memorie di massa dei vari PC e delle centinaia di supporti ottici e magnetici sequestrati all indagato dalle Forze di Polizia non erano emersi file compromettenti, né evidenti, né cancellati. Unico elemento rilevante era che, sui PC a lui in uso, risultavano installati vari software di file-sharing, criptazione, steganografia e wiping, dei quali si riusciva a provarne anche l utilizzo. Tuttavia, analizzando scrupolosamente i vari file di sistema dei PC si è rinvenuto un file thumbs.db dalle dimensioni ragguardevoli: circa 120 MB! Tale file era contenuto in una cartella impostata come incoming da vari software di file-sharing installati su un PC utilizzato dall indagato per navigare in internet. All interno della cartella in questione non risultavano esservi file di interesse per le indagini eppure, dall analisi del citato thumbs.db, si individuavano circa thumbnail 4, e di queste oltre sono risultate essere inerenti la pedopornografia! 2. Conclusioni Molti utenti comuni ignorano l esistenza del file thumbs.db e delle sue funzioni, specie perché esso risulta di default non visibile. Nonostante esistano in commercio svariati software in grado di effettuare cancellazioni sicure (talvolta denominate anti-forense ) di dati sensibili (wiping), quali tracce di navigazioni internet, metafile, o cronologia di esecuzione dei file, nonché di file stessi, il contenuto del file thumbs.db è raramente resettato, permettendone l analisi da parte dell investigatore forense. Solo ultimamente il problema del contenuto potenzialmente compromettente del file thumbs.db sta venendo alla luce, e molte software house si stanno adeguando sviluppando delle vere e proprie privacy suite, in grado di eliminare anche queste tipologie di tracce. 4 Thumbnail: traduzione in lingua inglese per il termine anteprima

10 Per contro, esistono svariati software per la gestione delle immagini, permettendone una loro facile visualizzazione in modalità anteprima: ACDSee, IrfanView, Picasa, PolyView, per citarne qualcuno. Alcuni di essi creano dei file simili al thumbs.db di Microsoft, allo scopo di velocizzare il processo di creazione delle anteprime ad un successivo loro accesso. Per questo l investigatore forense può continuare ad ottenere queste tipologie di informazioni (a volte indispensabili per le indagini) semplicemente analizzando tali file proprietari. Sono infatti in corso di studio le varie tecniche di analisi del contenuto dei file in questione, che variano a seconda del software

11 REFERENCES [KBM01] Knowledge Base Microsoft KB298608, [AD02] (19/12/2006). [MS03] Paul McFedries, Scott Andersen, Austin Wilson and Geoff Winslow, Insider Power Techniques for Microsoft Windows XP, Microsoft Press [MS04] Jerry Honeycutt, Microsoft Windows Registry Guide, Microsoft Press [EN05] (19/12/2006). [PV06] (19/12/2006). [DM07] (19/12/2006)