COFEE: Microsoft martwi się o internet i obdarowuje Policję narzędziami

Ciekawe jak to się ma do podatku VAT, z tego co pamiętam jeden piekarz, który rozdał chleb potrzebującym, musiał zapłacić VAT od tego chleba. A MS zapłacił? A może to święta krowa?

Z treści podanych źródeł wynika, że narzędzie to przygotowane jest do bezpośredniego (a nie zdalnego) uruchamiania na badanych maszynach.

To "Online" w nazwie moim zdaniem wiąże się raczej z tym, że komputera nie trzeba odłączać i przenosić do laboratorium, tylko wykonuje się szybkie badania na miejscu (on site).

Jeżeli jest to pendrive podłączany do badanego kompa, to wygląda to na urządzenie które będzie "zgarniać" wszystkie pliki tymczasowe, historię przeglądarki maile itp - w sumie może to być proste oprogramowanie.

Ale bardziej interesujące są inne aspekty używania tego sprzętu "onscene" - można się podłączyć bez wiedzy odwiedzanej osoby, albo po uzyskaniu zgody ang - consent, na podłączenie się, o co będzie łatwiej niż o zgodę na wyciągnięcie twardziela na badanie do laboratorium.

Zastanawiam się czy to urządzenie będzie kompatybilne tylko z systemem Windows? Jeżeli tak to MS sam podcina sobie gałąź na której siedzi...

Znajac MS, to soft z takiego pena chodzi jedynie pod Genuie MS Windows ;)

Nikt nie wie jak wyglada kod zrodlowy MS Windows. Nie wiadomo tez jakie ukryte narzedzia, logi i aplikacje Microsoft w kodzie ukryl. Jesli tak to pamietajmy ze sa jeszcze inne systemy operacyjne, poza "jedynym slusznym, bo najczesciej uzywanym i wspieranym".

Jesli pendrive moze zostac zabootowany, to musi to byc rodzaj dystrybucji MS Windows, ktora zajmuje nie wiecej jak pojemnosc zwyklego pendrajwa, co tez wydaje mi sie malo realne do opracowania przez MS (chyba ze jest to jakis pseudo system operacyjny typu Windows Mobile).

I oczywiscie Policja dostajac cos za darmo od Giganata z Redmond jest niezmiernia zadowolona, bo nie musi sie meczyc w tworzenie wlasnej dystrybucji Linuxa, ktora mogla by spelniac identyczne zadania.

PS. mam nadzieje, ze nikt nie chce opodatkowywac darmoweg oprogramowania, czy to od Microsoftu, czy Canonica, czy Redhat, czy Oracle, etc.

Jest to prosty programik, który instaluje się na kompie "policjanta", po czym wkłada się pena (własnego, MS nie daje go w "komplecie"), na którym zapisywane są komendy. Pracuje on zdalnie. Ale proszę nie mylić tego pojęcia z komunikowaniem się poprzez sieć. Po prostu pendrive jest niezależnym narzędziem, takim agentem, którego odpala się na włączonym komputerze dowodowym. Po odpaleniu agenta, zbiera on informacje, istotnym jest, że agent NIE MOŻE ZOSTAWIĆ ŻADNYCH DANYCH NA DYSKU DOWODOWYM!

Proszę więc te wyssane z palca bajki o rzekomym wykorzystaniu diury w Windzie do szpiegowania, ujawniania danych itepe wsadzić tam gdzie ich miejsce. Powtarzam: Biegły, policjant czy jakikolwiek inny "badacz" nie ma prawa zostawić na analizowanym dysku śladu po swoim działaniu!

Następne, co robi się z penem - wkłada się go spowrotem do komputera macierzystego "policjanta", po czym odpala się generator raportów. W raporcie są dane takie jak: hasełka, klucze itp. Nic, czego biegły czy policjant nie jest w stanie wyciągnąć z kompa samemu. Tylko po prostu szybciej.

Dodam jeszcze, że zwykle jeśli bada się dysk, nie podłącza się kompa do sieci. Podobnie, kiedy bada się komórki, nie pozwala się im zalogować do sieci.

Zabawne sa tego typu teorie spiskowe, które nie mają w sobie ni krztyny prawdy... Wygląda mi to trochę na oskarżenie MS o korumpowanie policji pendrive'ami i zbieraniu poufnych danych za pomocą trojana wypuszczonego w narzędziu badawczym.

No sory, ale jedyny zysk z tego narzędzia dla MS, to przymusowy wykup licencji przez wszystkie osoby, których komputery zostaną zbadane i ujawni się na nich nielegalne oprogramowanie tej firmy...

W każdym razie jeszcze inni zauważają, że takie darmowe rozdawnictwo narzędzi to nic innego, jak marketingowe kroki koncernu, zmierzające do zapewnienia sobie przychylności organów ścigania... Hmm...

A ja w tym dostrzegam prostą zasadę: "poszkodowany, który pomaga organom ścigania w dopadnięciu złodzieja".
To wcale nie jest korupcja ani marketing. Policja nie może być przychylna MS, bo MS nie jest żadnym dla policji partnerem! MS jest takim samym poszkodowanym jak producenci gier, muzyki itp. Powstają więc stowarzyszenia zrzeszające autorów muzyki, którzy reprezentują i bronią muzyki. Tak samo tutaj, MS w pewnym sensie zapewnia sobie takie dodatkowe wsparcie tym narzędziem.

no proszę! -ludziska od miesięcy się rozpisują o czymś o czym nie mają bladego pojęcia i snują barwne bajdurzenia...
...że podobno w M rozdają za darmoszkę samochody
-ano niby to i prowda, tyli, ze nie w M ino w L i nie samochody a rowery i nie rozdajo ino kradno...

Zadziwiające, że tak łatwo krytykujemy wszystko i wszystkich wokół -wystarczy puścić jakąś drobna niesprawdzoną informację a już rysują się poglądy, stanowiska, żądania i oczekiwania -wszystko zgrabnie płynie w kierunku bezkresnej ByZyyyDuuuRyyy i nikt już nie zauważa, że to właśnie Ci opiniujący są żałośni w swoich ocenach a nie opiniowani.

Doprawdy jak do tego dochodzi, że tak łatwo tworzymy w/w teorie spiskowe nie mając ni krzty wiedzy w temacie? -szanowni koleżanki i koledzy! -jeśli chcecie się zajmować PRAWEM a nie próżnym biciem piany to postarajcie się o odrobinę samokrytycyzmu. Umiejętności pisania uczymy się w szkole podstawowej -to ździebełko za małe umiejętności jak na tak zacne forum -może wskazane byłoby jeszcze logicznie myśleć? Bez tego myślenia będziemy snuć ByZyDurneeee teorie spiskowe o tych rzekomo rozdawanych samochodach podczas, gdy...

pozdrawiam

"metoj"

Spieszę donieść czego dowiedziałam się z pierwszej ręki: MS nigdy nie dystrybuował COFEE na penach, jedyna forma przekazu tego programiku to "poczta pantoflowa" - któryś policjant dostał, więc ma prawo przekazać innym policjantom. Ale tylko policjantom. Taka jakby forma licencji - jesteś policjantem - mozesz użytkować COFEE ;)
Co zawiera dokładniej COFEE? Praktycznie to samo, co Windows Forensics Toolchest z Helixa.
Myślę, że tym doniesieniem rozwieję wszelkie wątpliwości wysnute tutaj przez autora.

"Proszę raz jeszcze przeczytać komentowany tekst, tylko tym razem ze zrozumieniem" -słusznie! -ja też o to proszę. Muszę przyznać z nutką bólu i niedowierzania, że zaskoczył mnie Pański tekst. Bardzo sobie Pana cenię -naprawdę bardzo i jestem wiernym czytelnikiem Pańskich artykułów. Wybaczy Pan jednak, ale to co tu przeczytałem jednak mocno odstaje od wysokiego poziomu reszty forum. Podobna uwaga odnosi się też do większości komentarzy w tym wątku. Zamiast siać ferment może wystarczyłoby sięgnąć do źródeł -zwyczajnie przedzwonić do M$ albo do Policji i zapytać o co chodzi. tam też są ludzie i czasem nawet myślą a dość często są obarczeni zwykłą ludzką życzliwością. Po co te "rozdaje polskiej Policji (za darmo)" albo "bo wiadomo o co chodzi: zapoznanie się z informacją nie przeznaczoną dla kogoś"... etc. Może wystarczyłoby napisać, że M$ dał policjantom (ale nie na pendrive!) do przetestowania i oceny przydatności aplikację (w fazie testów), że aplikacja ta nie jest używana inaczej jak do tego właśnie, że nie ma w niej żadnych cudów -zbiera informacje w sposób zautomatyzowany ale dokładnie takie same, które można uzyskać wieloma innymi narzędziami w sposób "ręczny", że wszystko co tam się znajduje można sobie przećwiczyć na darmowej dystrybucji linuksa HELIX -aplikacja WFT (http://helix.e-fense.com/Download.php) oraz, że w tego typu bajeczki jakie nam Pan zaserwował, to wolno wierzyć do 5go roku życia -powyżej tego wieku należy jednak myśleć samodzielnie.

to proste! -nie ma tam niczego nadzwyczajnego -to całkiem zgrabnie działające narzędzie programistyczne (nie sprzęt!!) -dokładnie jak to stwierdzono: "Niektórzy komentatorzy sugerują, że na dysku nie ma nic rewelacyjnego, raczej narzędzia, które powszechnie są znane i stosowane". No o czym tu tak bajdurzyć? -że "potajemnie", że "za darmo" -Pański artykuł jest merytoryczny? -wybaczy Pan ale przy całym szacunku dla Pańskiej osoby i autentycznego uznania dla Pańskiej aktywności, to ten akurat artykuł jest sianem w postaci cyfrowej.

i co? -nie prościej byłoby zadzwonić i zapytać zamiast bajki "O tym, że polska Policja bezpłatnie otrzymuje od Microsoftu jakieś dziwne "narzędzie" i wnioskować: "narzędzie (oparte na USB, stąd przypuszczam, że to rodzaj pendrivu)"... oświadczam Panu, że z źródeł zbliżonych do dobrze poinformowanych skrót USB należy tu rozumieć jako: UfoludkiCyberPrzestrzeni a samo oprogramowanie COFEE zostało skompilowane z Pyłu Gwiezdnego w wersji 2.85.32.

nie ma rozdawnictwa "urządzeń USB" z aplikacją COFEE podobnie jak nie ma rozdawnictwa samochodów w miejscowości M a nawet w miejscowości L

w razie potrzeby służę pomocą ale puki co proponuję poćwiczyć z HELIXem -bez sensacji a (jeszcze) za darmo

a tymczasem pozostaję z poważaniem

"metoj"

Jeśli więc są to tego typu narzędzia, które "każdy sobie może z Sieci pobrać" to pojawia się tez pytanie o to, kto jeszcze takimi narzędziami dysponuje i jak bezpieczny jest Twój komputer (w związku z tym). Zostawiam to pytanie otwarte.

Pytanie zupełnie chybione.
Jeśli dysk komputera nie jest zaszyfrowany, to każdy kto ma do niego fizyczny dostęp może z nim zrobić co chce, kropka. Można ewentualnie ustawić hasło na ustawienia BIOSu, żeby nie dało się zdjąć blokady bootowania z innego nośnika (CD/pendrive) niż HDD i zabezpieczyć obudowę (sejf?) żeby nikt nie wyjął bateryjki z płyty głównej (resetując BIOS) i samego dysku.

pisze Pan "że oprogramowanie służy do "wyjmowania" haseł, a to jest "narzędzie hackerskie"" - proszę wybaczyć, ale jeśli policja jakiegoś pięknego dnia nie bedzie potrafiła odczytać haseł, to będzie się Pan z tej instytucji naśmiewał i pytał "na co ja płacę podatki?!"

maja robotę taka jaką mają i jeśli to robią bo mają takie polecenie Prokuratury, to nie ma w tym niczego nagannego - to co byłoby wykonane (przez Pana) z potrzeby poznawczej byłoby przestępstwem a dla nich to tylko pełnienie słuzby.

Na całym świecie służby noszą broń (chociaż funkcjonariusze nie muszą mieć pozwolenia na posiadanie broni palnej), zakładają podsłuchy, dokonują przeszukań i wykonują różne inne czynności operacyjne i procesowe, które nie są przestępstwami ani wykroczeniami bo to jest ich zawód! Gdyby Pan wszedł do kogoś do domu o 6tej rano i postanowił zrobić przeszukanie, to byłby Pan przestępcą - chyba wystarczająco proste by mógł Pan to zrozumimeć.

Zrobiliście niepotrzebną sensację z faktu, że nie macie dostępu, która nie jest dla Was przeznaczona - broń służbową też by Pan chciał sobie troszeczkę ponosić?
Jeśli w COFEE nie ma niczego co już wcześniej nie funkcjonowałoby na rynku - również jako aplikacje darmowe, to może niech Pan to wreszcie przyjmie do wiadomości!
Odczyt haseł nie musi się wiązać z przestępstwem i Pan jako prawnik powinien zdawać sobie sprawę z tego znacznie lepiej niż inni. Podobnie ma Pan prawo swoim własnym kluczem otworzyć własne drzwi do swojego własnego mieszkania -w czym problem?

Wystarczy wejść na dowolną stronę z darmowym oprogramowaniem, by znaleźć tam oprogramowanie np. do odczytu haseł - sam program nie jest "narzędziem hakerskim" bo każdy może zwyczajnie zapomnieć swojego hasła do swojego konta mailowego i może takie hasło chcieć odzyskać.

Podobnie każdy może sobie dorobić klucz do swojego własnego domu. Wiele tu zależy od tego kto, po co i skąd odzyskuje hasła - podobnie jak to czy dorabiany właśnie klucz jest kluczem do mojego mieszkania (bo jestem właścicielem), czy też szykuję się by to mieszkanie okraść (bo jestem złodziejem)?

Tak więc COFEE nie jest z definicji narzędziem hakerskim - zależy kto i jak tego narzędzia użyje a Pańskie straszenie paragrafami w tym przypadku świadczy raczej o niezrozumieniu i nieznajomości prawa.

Można odnieść wrażenie, że czuje się pan pokrzywdzony tym, że nie nosi Pan munduru i że w związku z tym nie może Pan "zrobić tego" lub "mieć tamtego".

Nikt bynajmniej nie mówi tu o zdalnej inwigilacji - BZDURA! COFEE działa na zasadzie "wchodzę, badam, wychodzę". Ewentualnie na zasadzie "robię klona, odpalam z niego dowodowy komp, sczytuję dane, zwracam nienaruszony dowodowy dysk razem z kompem prokuraturze" i nie widzę w tym nic z inwigilacji. Biegły dostaje dowodowy komp. Jeśli nie może się dostać do ważnych dla niego danych z dysku (wiadomo - konta użytkowników) na blokadzie USB z kablem PCI->USB, to zwyczajnie robi klona i odpala kompa z klona, po czym wywala sobie hasła za pomocą kilku zgrabnych programików. Po czym ma prawo spisać wszelkie dane dostępne na dysku twardym - między innymi hasełka zapisane w pamięci IE czy też FF. Może też mieć bezpośredni dostęp do korespondencji, jeśli tylko jest ona zapisana na dysku twardym!!!
Jedyne czego NIE MOŻE - podłączyć się do netu, żeby odczytać pocztę z serwera, ani komunikować się z czymkolwiek za pomocą tego komputera.

Myślę, że to jest jasne. Na wszelkie działania w sieci potrzebne jest pozwolenie na inwigilację.

Wszystko, co można znaleźć na dysku, jest dla biegłego jawne i dostępne. Kropeczka.

W programie nie ma pliku, w którym byłyby określone zasady użytkowania i licencje. Natomiast istnieje paragrafik w podręczniku użytkownika, który zacytuję:

Kto powinien używać COFEE?
COFEE jest zaprojektowane do użycia przez biegłych informatyków, ekspertów kryminalistyki, policjantów zajmujących się zwalczaniem cyberprzestępczości a także wszystkich, którzy muszą przeprowadzić przeszukanie działającego komputera.

Czyli nikomu spoza tej listy programik nie powinien zostać udostępniony. Tak tez się dzieje.

I druga sprawa, czyli to, co programik robi. Tu znowu cytat:

System COFEE jest przeznaczony do pozyskiwania ulotnych danych potrzebnych w prowadzonej sprawie, takich jak:
-Data, czas,
-Pamięć ulotna (RAM i plik swap),
-Połączenia sieciowe, otwarte porty TCP lub UDP, NetBIOS, informacja o komputerach znajdujących się w sąsiedztwie, pakiety sieciowe,
-Użytkownicy zalogowani, konta użytkowników,
-Bieżące procesy i usługi,
-Zaplanowane zadania,
-Otwarte pliki i rejestry,
-Dane z autouzupełnienia w przeglądarce, hasła,
-Zrzut ekranu

Nic, czego by się nie dało zrobić i bez COFEE.

Drogi ksiewi - ktoś tu pytał o licencję - więc napisałam, że takowej w plikach programu brak. Napisałam jednak co zawiera "users manual".

Ktoś pytał co ten programik potrafi - odpowiadam więc.
Nie widzę w swojej wypowiedzi twierdzenia, jakoby to, co ośmieliłam sie przytoczyć, było w jakikolwiek sposób licencją.

Dodam też, że "podręcznik użytkownika" został przetłumaczony na polski dość niezgrabnie.

czy to tak trudno zrozumieć?
-nikogo nie obdarowywano niczym lecz przekazano do przetestowania i zaopiniowania
-nie jest używany lecz testowany/opiniowany
-nie zdalnie działający cudo-soft lecz zbiór zautomatyzowanych procedur, znanych od dawna i wrzuconych do jednego tygielka, odpalanych lokalnie np. z "gwizdka" (pendrive)
-etc.
...podobnie jak z tym rozdawnictwem samochodów, o czym pisałem wcześniej -jakiś problem z czytaniem słowa drukowanego? -może sie literki rozmazali?
a licencje?! -a na co? -na myślenie, czy na prawo do zaopiniowania a może na używanie głowy zgodnie z jej przeznaczeniem?

obiecuję! -już tu więcej nie zaglądnę!! (co mnie podkusiło?!)

Type gpedit.msc in the Start Search box (or Start -> Run if you are using Windows XP), and then press ENTER to open the Group Policy Editor.
Under Computer Configuration, expand Administrative Templates, expand Windows Components > click Autoplay Policies.
In the RHS Details pane, double-click Turn off Autoplay to open the Properties box.
Click Enabled, and then select All drives in the Turn off Autoplay on box to disable Autorun on all drives.
Restart.

Taka ciekawostka w temacie: Microsoft COFEE Forensic tool. =Fixed= - Printable Version
--
[VaGla] Vigilant Android Generated for Logical Assassination

Microsoft invokes DMCA & shuts Cryptome downloads of COFEE

Microsoft has shut down the last publicly and openly available download of their Computer Online Forensic Evidence Extractor (COFEE).
Microsoft COFEE spilled by Internet pirates on bit torrent

Microsoft COFEE spilled by Internet pirates on bit torrent

Microsoft invoked the Digital Millennium Copyright Act, 17 U.S.C.S. sub section 512, and their own Acceptable Use Policy to threaten a complete shut down of Cryptome.org, a site famous for privacy activism and exposing various hacking, intelligence and secrecy related information.

Cryptome.org is registered and hosted by Network Solutions, Inc. Last November 13, Microsoft's Internet Investigator Graeme Grant sent a demand and take down order to Cryptome threatening legal action. At the same time, Microsoft sent a Demand for Immediate Take-Down: Notice of Infringing Activity to Network Solutions who immediately requested that the COFEE be taken down or else they were going to shut down the entire Cryptome domain and site.

After realizing that Network Solutions was going to shut down the entire Cryptome site, the site owner John Young, removed the download link on November 20 and sent Network Solutions a notice of compliance.

The entire correspondence between Cryptome, Network Solutions and Microsoft is posted on the Cryptome site.

So while the Internet downloadable episode is over for COFEE, there are probably thousands of copies that have been downloaded. A deep look into the bit torrents reveals that it is still available but catching a rogue torrent is game of whack-a-mole you can never win.

As a forensic tool, COFEE is interesting but it is useless to folks who are not in law enforecement because evidence rules will require disclosure of tools used to gather data. You can't go to a judge and say, "I used a purloined and stolen tool to get evidence" and have the evidence entered into the proceedings. It would be like using a stolen gun. COFEE might be useful for amateur private investigators in spousal cheating cases (you still can't use the evidence in divorce court) but commercially available key loggers are far more useful. It could be also useful for computer network administrators or internal computer security pros but again commercial network sniffers, monitors and loggers pretty much do the trick and much more. On the other hand, geeks will want it just to have it.

So in way, COFEE was just an over-hyped common theft of software by an insider or disgruntled law enforcement. What was more interesting to me was peeking into the take down order process that Microsoft went through and how they very quickly forced the removal of COFEE from Cryptome. It was also interesting that Microsoft did not demand traffic logs related (...I doubt if Cryptome keeps any logs) to the COFEE download link.

I'd be curious to find out if Microsoft will press Digital Millennium Copyright Act charges against Cryptome though I think Microsoft should have better things to do than to go after John Young.

Posted By: Yobie Benjamin (Email) | November 22 2009 at 07:00 AM

http://www.sfgate.com/cgi-bin/blogs/ybenjamin/detail??blogid=150&entry_id=52161#ixzz0Xg16eGVe

http://cryptome.org/0001/ms-cofee.htm

Forensic przeprowadza się głównie tym co w systemie. Co prawda Linux jakby lepiej jest zaopatrzony w takie narzędzia, ale nie każdy potrafi używać Linuxa. Windows też zawiera takie komendy. Trzeba jednak wiedzieć jakich komend i z jakimi parametrami użyć, żeby otrzymać pożądane wyniki. Co do pendrive'a, proszę wpisać w google: "Microsoft Computer Online Forensic Evidence Extractor v1.1.2" (z cudzysłowem). Niestety nie ściągałem, wiec nie wiem czy jest to faktycznie to co rozdaje MS, czy coś innego.

W temacie MS Windows i ulatwiania pracy organom bezpieczenstwa polecam zapoznanie sie z linkiem - http://publicintelligence.net/microsoft-windows-7vista-advanced-forensics-guides-for-law-enforcement/

Natomiast w temacie zblizonym polecam link - http://cryptome.info/nsa-ip-update11.htm po przeczytaniu ktorego pod znakiem zapytania jest bezpieczenstwo danych przechowywanych na komputerach prywatnych i komputerach urzedow dysponujacych informacjami o obywatelach EU.

Wydaje sie wiec, ze rzad US z takimi mozliwosciami inwigilacji w wiekszosci przypadkow (ok. 80% rynku przypada na MS Windows) wcale nie potrzebuje danych pozyskanych od SWIFT...