Anti-forensisch gereedschap DECAF uitgeschakeld
Gepubliceerd: Maandag 21 december 2009
Auteur: Sander van der Meijs
De software waarmee het forensisch gereedschap COFEE van Microsoft werd uitgeschakeld is door de makers op non-actief gezet. De software diende alleen maar om aan te tonen dat COFEE niet goed genoeg was.
Eerder deze maand kwam werd DECAF uitgebracht. Met deze software kon COFEE van Microsoft worden uitgeschakeld, waarmee opsporingsdiensten bewijsmateriaal konden ontfutselen aan pc's van verdachten.
Bewustzijn creëren
Vrijdag kreeg dit verhaal een onverwachte wending. Er kwam er een post op de site van DECAF, waarin werd gezegd dat het programma niet langer werkt. "We hebben elke kopie van DECAF uitgeschakeld. We hopen dat u zich realiseert dat dit een stunt was, om bewustzijn te creëren voor beveiliging en de noodzaak van betere forensische tools, waardoor je je wel twee keer zult bedenken voor je het niet zo nauw neemt met beveiliging", schrijven de makers van DECAF.
Blijkbaar was DECAF een proof of concept, waarmee twee mensen wilden aantonen dat een tool als COFEE niet goed genoeg was. Nadat ze dat duidelijk hebben gemaakt, ontaardt de post al snel in een morele aanklacht tegen de maatschappij en in een oproep op zoek te gaan naar Jezus.
Niet geavanceerd
Deze morele preek werd al snel vervangen door een nuchterder versie, waarin de makers van DECAF aangeven dat ze hadden verwacht dat Microsoft contact met hen zou opnemen. Tot slot vertellen ze dat de site en de code waarschijnlijk binnenkort zullen worden overgenomen. Als dit gebeurt, zal de code van DECAF niet worden vrijgegeven.
Direct na het verschijnen van de melding op Decaf.org, werd al gesuggereerd dat de software nep was geweest. Maar dat wordt tegengesproken door Praetorian Prefect. Daar wordt gesteld dat DECAF een snel geschreven en niet heel erg geavanceerde tool was, maar dat het wel werkte. Daarmee toont het aan hoe makkelijk het is om COFEE uit te schakelen.
Reactiveren
Ook komen we op Praetorian Prefect te weten hoe de makers geïnstalleerde versies van DECAF op non-actief konden zetten. Elke keer dat het programma opstart, zoekt contact met de server van DECAF. Als het daar geen antwoord van krijgt, dan crasht het programma. Dit is makkelijk te omzeilen, zoals op Praetorian Prefect wordt aangetoond. Het kan dus nog steeds gebruikt worden om COFEE uit te schakelen, waarmee het blijvend aantoont dat COFEE niet voldoet.
Bron: Techworld
