LiMEaide

v2.0

por Daryl Bennett - kd8bny[at]gmail[dot]com

Acerca de

LiMEaide es una aplicación en Python diseñada para volcar la RAM de un cliente Linux de forma remota o local y crear un perfil de volatilidad para su posterior análisis en el equipo local. Espero que esto simplifique la informática forense de Linux en un entorno remoto. Para usar LiMEaide, solo necesitas proporcionar la dirección IP de un cliente Linux remoto, sentarte y consumir tu bebida con cafeína favorita.

LiMEaide tiene 3 modos principales de operación

1. Remoto - Inicia conexión con SSH y transfiere datos a través de SFTP
2. Socket - Inicia una conexión con SSH pero transfiere la imagen de memoria a través de un socket TCP. Esto significa que la imagen NO se escribe en disco. Las herramientas aún se transfieren a través de SFTP.
3. Local - Tener una copia de LiMEaide en una unidad flash u otro dispositivo. No transfiere ningún dato al cliente, mantiene la ejecución en su directorio de trabajo. Todas las transferencias se completan con métodos internos y no se abren sockets de red.

Wiki

Para un uso más detallado, consulta la wiki

Cómo Usar

TL;DR

Remoto

python3 limeaide.py <IP>

y la magia sucede.

Local

python3 limeaide.py local

y la magia local sucede.

La transferencia local requiere que la máquina tenga python 3 instalado y las dependencias. Recomiendo usar python3-virtualenv para proporcionar las dependencias sin instalar en el sistema.

Uso detallado

limeaide.py [OPCIONES] IP_REMOTA
-h, --help
    Muestra el diálogo de ayuda

-u, --user : <usuario> 
    Ejecuta la captura de memoria como usuario sudo. Esto es útil cuando no se conceden privilegios de root.

-k, --key : <ruta a la clave> 
    Usa una clave SSH para conectar

-s, --socket : <puerto> 
    Usa un socket TCP en lugar de una sesión SFTP para transferir datos. No escribe la imagen de memoria en disco, pero transferirá otros archivos necesarios.

-o, --output : <Nombre deseado para la salida> 
    Nombra el archivo de salida

-f, --format : <Formato para LiME> 
    Cambia el formato de salida. Las opciones válidas son raw|lime|padded

-d, --digest : <resumen> 
    Usa un algoritmo de resumen diferente. Consulta la documentación de LiME para opciones válidas.
    Usa 'None' para deshabilitar. 

-C, --compress
    Comprime la transferencia a través de la red. Esto no funcionará con transferencias de socket o locales.

-p, --profile : <distribución> <versión del kernel> <arquitectura> 
    Omite el perfilador proporcionando la distribución, versión del kernel y arquitectura del cliente remoto.

-N, --no-profiler
    NO ejecutes el perfilador y fuerza la creación de un nuevo módulo/perfil para el cliente.

-c, --case : <número de caso> 
    Agrega el número de caso al frente del directorio de salida.

-v, --verbose
    Muestra salida detallada

--force-clean
    Si el intento anterior falló, limpia el cliente

• Para un uso más detallado, consulta la wiki
• Para editar el archivo de configuración, mira aquí
• Para importar módulos o módulos externos, simplemente copia el módulo *.ko en el directorio de perfiles. Después de copiar, ejecuta LiMEaide y el perfilador reconocerá el nuevo perfil.

./profiles/

Configuración

Dependencias

python

• DEB base

sudo apt-get install python3-paramiko python3-termcolor

• RPM base

sudo yum install python3-paramiko python3-termcolor

• pip3

sudo pip3 install paramiko termcolor

Instalando dwarfdump

Para construir un perfil de volatilidad necesitamos poder leer los símbolos de depuración en el LKM. Para esto necesitamos instalar dwarfdump. Si encuentras algún problema al encontrar/instalar dwarfdump, consulta la página de volatilidad aquí

• DEB package manager

sudo apt-get install dwarfdump

• RPM package manager

sudo yum install libdwarf-tools

LiME

Instalación Automática

Por defecto, LiMEaide descargará automáticamente y colocará LiME en el directorio correcto. Sin embargo, si estás desconectado de la red, procede con el método de instalación manual en la sección siguiente.

Instalar LiME manualmente

Para usar LiME debes descargar y mover el código fuente al directorio LiMEaide/tools. Asegúrate de que la carpeta de LiME se llame LiME. La ruta completa debe ser la siguiente:

LiMEaide/tools/LiME/

Cómo...

1. Descarga LiME v1.8.1
2. Extrae en LiMEaide/tools/
3. Renombra la carpeta a LiME

Limitaciones actuales

• Solo es compatible con bash. Usa otros shells bajo tu propio riesgo.
• Los módulos deben construirse en el cliente remoto. Por lo tanto, el cliente remoto debe tener los encabezados adecuados instalados.
  • A menos que sigas esta guía para compilar módulos de kernel externos. Una vez compilados, copia el módulo .ko al directorio de perfiles de LiMEaide.

Agradecimientos y Notas Especiales

• La idea para esta aplicación se basó en el concepto soñado por el proyecto Linux Memory Grabber
• Y por supuesto, nada de esto sería posible sin el increíble proyecto LiME