CAINE + Guymager: aquisição de evidências RAW e E01

1. Baixe a ISO somente pelo site oficial do CAINE.
2. Crie uma VM de laboratório com Linux 64 bits, aproximadamente 4 GB de RAM (se disponível), 2 CPUs e ISO como mídia de inicialização. Adapte os recursos ao notebook.
3. Inicie em modo Live, sem instalar o CAINE no disco da VM.
4. Abra o terminal e verifique a disponibilidade do Guymager e das ferramentas de sistema de arquivos.

command -v guymager
command -v mkfs.ext3
command -v debugfs
command -v sha256sum
command -v fsstat
command -v ewfverify

Se uma ferramenta não estiver instalada, registre o resultado e peça orientação para a versão do CAINE utilizada. Não execute instalações não autorizadas.

No terminal do CAINE, crie uma área de trabalho na sessão Live. Ela poderá ser apagada ao desligar a máquina, portanto providencie uma forma autorizada de exportar o relatório antes de encerrar.

LAB="$HOME/UC15_CAINE"
mkdir -p "$LAB"/{01_Fonte,02_Imagens,03_Analise,04_Relatorios}
chmod 700 "$LAB"
cat > "$LAB/01_Fonte/relatorio_alfatech.txt" <<'EOF'
CASO ALFATECH-2026-CAINE
DOCUMENTO SINTETICO PARA A UC15
Departamento: Financeiro
Classificacao simulada: CONFIDENCIAL
Nao contem dados reais de clientes.
EOF

Você pode criar um segundo arquivo com um editor de texto, por exemplo anotacao.txt, desde que seu conteúdo seja fictício.

Vamos criar uma imagem de 256 MiB em arquivo regular, sem conectar ou formatar qualquer dispositivo físico. O Guymager a reconhecerá como um special device.

FONTE="$LAB/01_Fonte/EV03_fonte_ext3.img"
if [ -e "$FONTE" ]; then
  echo 'Arquivo ja existe: pare e preserve a fonte'
else
  truncate -s 256M "$FONTE"
mkfs.ext3 -F -q "$FONTE"
debugfs -w -R 'mkdir /documentos' "$FONTE"
debugfs -w -R "write $LAB/01_Fonte/relatorio_alfatech.txt /documentos/relatorio_alfatech.txt" "$FONTE"
debugfs -R 'ls -l /documentos' "$FONTE"
sha256sum "$FONTE" | tee "$LAB/04_Relatorios/hash_fonte.txt"
  chmod a-w "$FONTE"
fi

1. Abra o Guymager pelo menu de perícia do CAINE (ou conforme disponibilidade da instalação).
2. No menu da ferramenta, selecione Devices → Add special device.
3. Escolha o arquivo EV03_fonte_ext3.img criado no exercício. Confirme que ele aparece na relação de fontes como arquivo especial.
4. Clique com o botão direito sobre esse item e selecione Acquire image — não Clone device.
5. Selecione o formato Linux dd / RAW, destino 02_Imagens e nome base EV03_RAW.
6. Preencha os campos de documentação e habilite SHA-256 e Verify image after acquisition, quando disponíveis. Inicie e acompanhe os resultados.

O arquivo final poderá aparecer com extensão .dd ou outra extensão configurada. Consulte a saída e o relatório .info para identificar o nome real.

1. Na lista do Guymager, selecione novamente o arquivo especial de origem, não a imagem RAW recém-criada.
2. Escolha Acquire image.
3. Selecione Expert Witness Format (EWF/E01) e um nome base diferente: EV03_E01.
4. Registre o mesmo número de caso, código de evidência, responsável e descrição.
5. Selecione compressão e tamanho de segmento disponíveis, conforme orientação do professor.
6. Habilite SHA-256 e verificação da imagem, se oferecidos. Finalize e examine o relatório .info.

Localize no diretório de imagens o arquivo RAW efetivamente criado. Caso o nome seja EV03_RAW.dd, utilize:

sha256sum "$FONTE"
sha256sum "$LAB/02_Imagens/EV03_RAW.dd"
cmp -s "$FONTE" "$LAB/02_Imagens/EV03_RAW.dd" \
  && echo 'RAW: BYTES IDENTICOS' \
  || echo 'RAW: DIVERGENCIA - INVESTIGAR'

Para o E01, se o utilitário ewfverify estiver disponível, localize o primeiro segmento EV03_E01.E01 e execute:

ewfverify "$LAB/02_Imagens/EV03_E01.E01"

Registre o resultado de verificação do E01, o hash dos dados adquiridos que o Guymager informa e eventuais erros. Se a opção de SHA-256 não tiver sido habilitada, indique essa limitação; não invente hashes.

Utilize The Sleuth Kit para inspecionar o sistema de arquivos da cópia RAW, sem montá-la com permissão de escrita.

fsstat "$LAB/02_Imagens/EV03_RAW.dd"
fls -r -p "$LAB/02_Imagens/EV03_RAW.dd"

A imagem contém um sistema de arquivos EXT3 diretamente, sem tabela de partições. Por isso, mmls não é obrigatório neste caso. Localize /documentos/relatorio_alfatech.txt e registre o inode, se identificado.

Continuidade opcional: os dados podem ser analisados depois no Autopsy 4 por Disk Image or VM File. O site fornece apenas instruções; o CAINE 14 não inclui o Autopsy por padrão.

Revise o caso, complete os campos da ficha abaixo e exporte o relatório para TXT. Registre explicitamente: origem sintética, ferramenta, versão, nomes exatos de saída, hashes, horários, erros e limitações.

O CAINE Live pode perder os arquivos salvos na sessão após o desligamento. Antes de encerrar, copie o relatório, os logs e as imagens de treinamento para um destino persistente previamente autorizado ou gere capturas e registros pelo canal da instituição. Em um disco persistente dedicado, avalie cuidadosamente a política de montagem antes de permitir gravação somente no destino.