Archivi categoria: software

FTK Imager 8.3.0.27: download e aggiornamento sicurezza

FTK Imager, nella versione 8.3.0.27, è stato appena reso disponibile per il download gratuito sul sito Exterro, che ormai da qualche anno ha ereditato il software da Accessdata continuandone lo sviluppo, riportiamo quindi qui di seguito il link di download, le informazioni strategiche sulle patch applicate e le differenze con le precedenti versioni di FTK Imager.

FTK Imager Free Download Link

FTK Imager, il “coltellino svizzero” dell’informatica forense

Definito il “coltellino svizzero” della digital forensics, utilizzato da quasi 20 anni dagli informatici forensi di tutto il mondo, FTK Imager permette di creare copie forensi di dischi, supporti rimovibili e volumi logici, visualizzarne il contenuto prima dell’acquisizione, esportare file e cartelle e calcolare gli hash necessari per verificarne l’integrità.

La versione 8.3 non introduce particolari novità funzionali, ma le release notes contengono una correzione piuttosto interessante dal punto di vista della sicurezza.

Vulnerabilità di sicurezza su XML e UFDR sanata

Exterro dichiara nelle Release Notes di aver risolto la vulnerabilità FCR-72008, attraverso la quale l’elaborazione di XML malevoli contenuti in file Cellebrite UFED UFDR poteva portare alla esfiltrazione di file, presumibilmente dalla macchina sulla quale veniva eseguito FTK Imager.

Il testo esatto, che ritrovate al punto 1 delle Release Notes, è “Resolved a vulnerability where execution of malicious UFDR XMLs could lead to file exfiltration. (FCR-72008)“.

FTK Imager Free 8.3.0.27 - Resolved Issues

Gli UFDR (UFED Report) sono file comunemente utilizzati nell’ecosistema di mobile forensics Cellebrite per contenere e trasferire in una sorta di rapporto utilizzabile da chiunque (anche chi non possiede il software Cellebrite licenziato) il prodotto delle acquisizioni di dispositivi mobili e possono includere un file dal nome “report.xml” utilizzato per descrivere e organizzare i dati presenti nel report.

Exterro non fornisce ulteriori dettagli tecnici sulla vulnerabilità: non specifica quali versioni precedenti siano coinvolte, quali file potessero essere letti o con quali modalità potesse avvenire l’esfiltrazione ma cita solo, nelle relesase notes associate a questa versione di FTK Imager, che hanno “resolved a vulnerability where execution of malicious UFDR XMLs could lead to file exfiltration. (FCR-72008)“.

Il termine utilizzato da Exterro – file exfiltration – merita infine particolare attenzione: una workstation forense può contenere contemporaneamente dati provenienti da procedimenti differenti, copie forensi, esportazioni e portable case, report forensi, documentazione riservata e informazioni relative ad altri incarichi. Consideriamo poi che, per il tipo di attività svolto dagli informatici forensi, gli strumenti in ambito digital forensics vengono frequentemente utilizzati con privilegi elevati.

Questo non significa che FCR-72008 consentisse necessariamente di accedere a tutti questi dati: le informazioni pubblicate da Exterro non permettono di stabilire quali file fossero accessibili né quali fossero i limiti della vulnerabilità, ma il problema e il termine “malicious UFDR XMLs” insieme a “file exfiltration” evidenzia perfettamente perché una workstation forense debba essere considerata un ambiente nel quale vengono continuamente elaborati input potenzialmente ostili e quindi mantenuta offline, protetta, separata o comunque con controlli di sicurezza più stringenti di altri sistemi di lavoro.

La descrizione fornita da Exterro però fa pensare a una possibile vulnerabilità legata al parsing XML, ad esempio della famiglia XXE (XML External Entity), attraverso la quale un XML opportunamente costruito può in determinate condizioni provocare l’accesso a file locali e persino la loro trasmissione verso sistemi remoti: non ci sono però elementi sufficienti per affermare che FCR-72008 fosse effettivamente una XXE, quindi per ora rimane soltanto un’ipotesi tecnica.

La vulnerabilità evidenziata è però interessante soprattutto perché ricorda un aspetto a volte sottovalutato nell’informatica forense: i dati che analizziamo non sono necessariamente passivi e non è la prima volta che questo tipo di vulnerabilità viene messa in risalto. Siamo abituati a utilizzare write blocker, copie forensi e hash per evitare di modificare il reperto, ma dobbiamo considerare anche il problema opposto: proteggere la workstation forense dal materiale che stiamo analizzando. Un’immagine forense, un archivio, un documento o, come in questo caso, un XML possono essere costruiti appositamente per sfruttare una vulnerabilità del software utilizzato per elaborarli.

Il caso degli UFDR è ancora più interessante perché si tratta di file che possono essere ricevuti da clienti, colleghi, controparti o altri laboratori e che l’informatico forense apre normalmente proprio per svolgere il proprio lavoro ma chi li riceve non necessariamente è abituato agli aspetti di sicurezza.

Da qui l’importanza non soltanto di mantenere aggiornati gli strumenti forensi, ma anche di limitare e controllare le connessioni in uscita dalle workstation di analisi, separare quando opportuno gli ambienti di lavoro e trattare qualunque evidenza ricevuta da terzi come input potenzialmente non fidato.

Certamente è bizzarro che un software di generazione copie forensi di memorie di massa o RAM e apertura delle stesse, come è FTK Imager, sia soggetto a questo tipo di bug, ipotizziamo però che possa essere legato alla versione più “grande” e “completa” del software, quella a pagamento chiamata “FTK Imager Pro”, che invece è dotata di funzionalità di mobile forensics che magari sono state comunque inserite in maniera embrionale anche nel “fratellino” FTK Imager Free.

FTK Imager Free Vs FTK Imager Pro

Avendo tirato in ballo la versione commerciale di FTK Imager, può avere senso ribadire quali sono le differenze con la versione gratuita, con la quale ora pare che condivida anche il sistema di gestione delle licenze CodeMeter, come avremo modo di osservare più avanti quando parleremo della versione FTK Imager Portable o FTK Imager Lite.

Accanto al tradizionale FTK Imager gratuito, Exterro propone ora anche FTK Imager Pro, versione a pagamento che mantiene le normali funzioni di imaging, preview, esportazione, hashing e montaggio delle immagini forensi, aggiungendo però alcune possibilità interessanti soprattutto per attività di triage e acquisizione sul campo. La differenza principale è che la versione Pro permette di effettuare acquisizioni Advanced Logical da dispositivi iOS, rilevare la presenza di cifratura e accedere ai dati cifrati quando sono disponibili le credenziali o le chiavi necessarie. In particolare, Exterro indica la possibilità di riconoscere oltre dieci sistemi di cifratura e, nel caso di BitLocker, di visualizzare o acquisire direttamente i dati decifrati dal dispositivo senza dover prima creare una copia cifrata completa.

FTK Imager Free Vs FTK Imager Pro

Un’altra differenza interessante riguarda il modo di lavorare: mentre FTK Imager Free rimane essenzialmente uno strumento gratuito per acquisire, verificare e visualizzare evidenze digitali, la versione Pro punta maggiormente sul triage, permettendo di esaminare rapidamente il contenuto del dispositivo e procedere poi con un’acquisizione mirata soltanto dei file, delle cartelle o degli artefatti ritenuti rilevanti. L’obiettivo è evitare, quando non necessario, l’acquisizione completa di grandi quantità di dati, riducendo tempi, spazio occupato e successive attività di processing. Exterro propone quindi FTK Imager Pro non tanto come sostituto del classico Imager, quanto come sua estensione verso workflow di acquisizione più selettivi, gestione della cifratura e prime attività sul mondo mobile. Al momento la licenza viene proposta a 499 dollari l’anno per utente, mentre FTK Imager continua a essere utilizzabile gratuitamente e senza licenza.

Le altre correzioni e novità della release 8.3.0.27

A parte i fix sulla gestione dei report UFDR di Cellebrite, FTK Imager 8.3.0.27 corregge anche un problema nella gestione delle password VeraCrypt/TrueCrypt: inserendo una password errata, la precedente versione poteva accettarla senza mostrare il relativo errore.

È stato inoltre aggiornato il vecchio driver “ad_driver.sys”, eliminando dall’installer la versione precedente: è sempre strategico, in informatica forense, utilizzare driver e software aggiornati, quindi ben venga che ogni tanto i produttori pubblichino update.

Come le versioni 8.x.x.x di FTK Imager, anche questa ha una caratteristica che la serie 4.x.x.x non aveva: il software di licensing CodeMeter, di cui viene richiesta l’installazione durante l’installazione di FTK Imager: senza installare CodeMeter o cliccando su CANCEL alla richiesta, il processo d’installazione s’interrompe.

FTK Imager Free richiede installazione del servizio di licensing CodeMeter

Sono disponibili varie opzioni d’installazione del CodeMeter Runtime Kit v.8.20 in base alle preferenze dell’utente, ma non cambiano l’esito dell’installazione e utilizzo di FTK Imager Free.

FTK Imager Free - Codemeter License

Ci si potrà chiedere se la versione FTK Imager funziona comunque in maniera portable (o lite) nonostante la necessità del software di gestione licenze CodeMeter: vedremo che non è un problema, probabilmente Exterro lo richiede per la vicinanza con il software FTK Imager Pro ma abbiamo notato che disinstallando il software di licensing CodeMeter, una volta installato FTK Imager Free, questo continua comunque a funzionare.

Vale la pena aggiornare?

Le patch inserite in questa versione di FTK Imager non sono molte ma sono significative e importanti soprattutto per la sicurezza: per chi utilizza FTK Imager nelle attività di acquisizione e analisi forense, quindi, questa è una versione che vale la pena aggiornare.

Raccomandiamo di aggiornare non tanto per nuove funzionalità, quanto per rafforzare la propria sicurezza e in qualche modo rimarcare anche un buon promemoria operativo: dobbiamo certamente proteggere il reperto dall’analista (e lo facciamo con write blocker, hardware o software) ma anche l’analista e la sua infrastruttura dal reperto.

FTK Imager in versione 8.3 installabile su Windows può essere scaricato liberamente e senza registrazione da questo link dove si trova sia l’archivio zip con l’eseguibile sia il pdf con le release notes.

Il file archivio zip “FTK Imager 8.3.0.27.zip” contenente l’installatore di FTK Imager in versione 8.3.0.27 produce valore hash MD5 7535e5ff1db098741716d802183798a1, SHA1 8779f5c34877d9aa4af56de5d84906ecbf20eb20 e SHA256 0f717d0d91c94af94107775ae37c2e330cc2a2312a8eecc91a344c8010e82afe.

L’eseguibile “Exterro_FTK_Imager_(x64).exe” produce invece valore hash MD5 8eb09425e8d47406df1f88d335989d81, SHA1 f39f8d3012efa31b033c78eadbd9b953685d26e9 e SHA256 1ec9500126b9b33e79e8178ffa12104377f2b77ddc8fca69d8fa1068d8e360d8.

Consigliamo sempre di verificare che il download di FTK Imager avvenga dal sito ufficiale, dato che il suo utilizzo in informatica forense è strategico ma anche delicato per via dei danni che potrebbe fare un software malevolo o difettoso.

I link di download di FTK Imager talvolta variano e non sempre sono indicizzati correttamente, perciò consiglio di tentare anche con questo link secondario di download di FTK Imager (che però richiede registrazione) o nel dubbio verificare la presenza della pagina di download del software FTK Imager dalla sezione del sito Exterro FTK Downloads Library.

FTK Imager Portable

Ricordo che il software FTK Imager è installabile su Windows ma è possibile anche crearne una copia portatile (un tempo veniva chiamata “FTK Imager Lite) che non richiede installazione ma può essere utilizzata direttamente su PC lanciandone l’eseguibile, ad esempio per attività di triage o incident response o ancora per procedere a copia forense “a caldo” di un PC con il sistema operativo Windows avviato.

Spesso si procede copiando la versione “FTK Imager Portable” (generata autonomamente secondo le istruzioni che troverete più avanti) su di una pendrive, così da poterla poi utilizzare su qualunque PC senza necessità d’installazione.

FTK Imager Portable - FTK Imager Lite

Quando installerete FTK Imager su di un PC con Windows, troverete le librerie DLL necessarie per la sua esecuzione all’interno della cartella “C:\Program Files\AccessData”: tali librerie sono sufficienti per eseguire il tool FTK Imager in modalità portable anche su altri PC senza installarlo, ma avviandolo direttamente da una pendrive o da una risorsa di rete.

Per poter estrarre la versione FTK Portable, è sufficiente copiare tutta la cartella d’installazione, volendo la si può anche comprimere così da poterla più agevolmente portare sul campo, così da evitare di sporcare il sistema con una nuova installazione.

La Polizia Postale interviene sugli attacchi 0click a Whatsapp

La Polizia Postale ha pubblicato di recente sul sito web e su Linkedin un documento di allerta sugli attacchi 0click su Whatsapp, dando finalmente concretezza e “istituzionalità” a un fenomeno di cui parliamo ormai da mesi.

Polizia Postale - Attacchi 0click a Whatsapp su Apple iPhone iOS

Il team Forenser è stato infatti tra i primi a identificare gli attacchi comparsi a maggio, analizzarli e persino riprodurli riuscendo a replicare la sessione di un account di test che simula la vittima, leggere i messaggi cifrati scambiati con i contatti e inviarne al posto suo.

Si tratta infatti di uno scenario che lo Studio d’Informatica Forense della società Forenser Srl aveva già analizzato e segnalato a Meta nei mesi precedenti, durante la prima ondata di maggio, seguita poi da una seconda e ora una terza.

Ricordo le caratteristiche dell’attacco 0click alla chiave di sessione di Whatsapp, ottenute mettendo a confronto i diversi casi raccolti nei mesi:

  • tutti i casi rilevati riguardano iPhone (dal modello 8 al 14, incluse le varianti X, XR, XS, 11, SE, 12 e 13) su cui è installata un versione di iOS 16 nelle sue diverse release;
  • gli attaccanti scrivono in chat ai contatti della vittima, dal numero WhatsApp della vittima stessa, chiedendo di disporre bonifici;
  • gli attaccanti sembrano avere accesso alle sole chat recenti, ovvero a quelle con cui la vittima ha interagito da poco;
  • nessun dispositivo collegato è visibile nella sezione “Dispositivi collegati” (o “Linked devices”) delle impostazioni di WhatsApp;
  • le vittime non riportano di aver compiuto alcuna azione di pairing particolare: non hanno fornito codici, non hanno inquadrato QR code, non hanno autorizzato accessi, da qui il tipo di attacco definito “zero click” o “0-click”, cioè che non richiede neanche un click da parte della vittima per essere portato a segno.

Per queste ragioni è stato sin da subito evidente che non si trattasse di un classico episodio di ghost pairing (nel quale l’attaccante induce la vittima a scansionare un QR code o a condividere un codice di verifica): l’assenza di qualsiasi interazione richiesta all’utente fa propendere per una compromissione di tipo 0-click, cioè per un’infezione che non richiede alcun intervento da parte della vittima e che colpisce direttamente lo smartphone o l’app WhatsApp.

Dopo la segnalazione a Meta, che ha preso in seria considerazione la comunicazione prodotta da Forenser, il team ha proseguito la ricerca e replicato in laboratorio lo scenario osservato, riuscendo a riprodurre lo scenario 0-click. Su dispositivi di test, un client su PC ha acquisito la sessione della vittima, letto le chat recenti e inviato messaggi come titolare dell’account: questo è il passaggio sperimentale che sviluppa quanto documentato nel precedente articolo.

Ricordo che l’attacco colpisce smartphone iPhone con versioni obsolete di iOS di Apple, delle quali per alcune versioni Apple distribuisce versione con patch (iOS 16.7.16 per i dispositivi fermi a iOS 16 e iOS 17.7.11 per i dispositivi fermi a iOS 17) ma spesso gli utenti – per mancanza di spazio o di tempo – non aggiornano.

Per chi pensa che i dispositivi che supportano iOS 16 siano pochi o vecchi, qui di seguito possiamo osservare come modelli anche recenti supportano iOS 16 e spesso anzi non vengono aggiornati, rimanendo su tale versione anche precedente alla 16.7.16 che sarebbe certamente più sicura perché contiene diverse patch di sicurezza.

Matrice iOS o iOS Matrix con versioni sistema operativo e modello iPhone

Un aspetto importante, quando si parla di dispositivi ancora esposti a vulnerabilità che riguardano iOS 16 o iPadOS 16, è distinguere tra i modelli che possono ancora eseguire queste versioni e quelli che, invece, non possono proprio – anche volendo -essere aggiornati a una major release successiva.

Per quanto riguarda gli iPhone, iOS 16 è compatibile con un intervallo piuttosto ampio di dispositivi, che parte da iPhone 8, iPhone 8 Plus e iPhone X e arriva fino alla generazione iPhone 14, comprendendo quindi anche iPhone XR, XS e XS Max, iPhone SE di seconda e terza generazione e tutte le serie iPhone 11, 12 e 13. All’interno di questo insieme, però, solo iPhone 8, iPhone 8 Plus e iPhone X sono rimasti definitivamente sulla famiglia iOS 16, perché non supportano iOS 17 e versioni successive. Per questi modelli, quindi, iOS 16 rappresenta effettivamente l’ultima major release disponibile.

Il discorso è simile per gli iPad, anche se la frammentazione tra generazioni è maggiore. iPadOS 16 è compatibile con numerosi modelli, a partire da iPad di quinta generazione, iPad mini di quinta generazione, iPad Air di terza generazione e diverse generazioni di iPad Pro. Anche in questo caso, però, soltanto alcuni dispositivi sono rimasti confinati a iPadOS 16: in particolare iPad di quinta generazione, iPad Pro da 9,7 pollici e iPad Pro da 12,9 pollici di prima generazione.

Questo significa che il numero di dispositivi potenzialmente ancora presenti su iOS o iPadOS 16 non coincide con il solo insieme dei modelli “bloccati” a quella versione ma è ben più ampio. Una quota, probabilmente minoritaria ma non trascurabile, può infatti essere costituita anche da dispositivi più recenti che supportano versioni successive del sistema operativo ma che, per scelta dell’utente, mancato aggiornamento o particolari condizioni d’uso, continuano ancora oggi a eseguire una release della famiglia 16.

Matrice iPad OS o iPad OS Matrix con versioni sistema operativo e modello iPhone

Ricordiamo infatti che, nella realtàmolte persone non aggiornano i loro sistemi perché hanno paura che questi rallentino, scaldino o consumino più spesso la batteria. Non aggiornano perché hanno paura di fare dei danni. Non aggiornano perché non hanno tempo per farlo o a volte semplicemente non hanno abbastanza spazio sul loro iPhone per poter completare correttamente l’aggiornamento, che a volte magari parte e non si conclude correttamente o non parte neanche.

In sostanza, ci sono milioni di persone che rimangono con sistemi operativi obsoleti per diversi motivi e quindi vulnerabili, spesso non aggiornati neanche alle versioni con le patch che Apple continua a produrre, anche per i dispositivi più vecchi.

Il problema, che non emerge dai report che circolano, è che è vero che l’attacco alla sessione Whatsapp di Meta per ora sfrutta CVE su versioni obsolete di iOS, ma potrebbe benissimo funzionare anche con versioni più recenti nel caso in cui circolassero 0click anche per quelli

Purtroppo l’impostazione di una verifica a due passaggi 2FA e il check dei dispositivi connessi non serve a limitare né rimuovere l’infezione: l’unica precauzione è aggiornare la versione di iOS, se possibile portandola alla 26.

Se già infetti aggiornare può non essere sufficiente – dato che c’è stata sottrazione della session di WhatsApp – ed è necessario anche ripristinare il telefono allo stato di fabbrica, oltre che reinstallare Whatsapp in versione aggiornata.

L’articolo completo della società d’informatica forense di Torino, con aggiornamenti e ulteriori dettagli sull’attacco a Whatsapp di cui ha parlato di recente la Polizia Postale, è visionabile online sul sito della società Forenser.

DRIFT Linux: la nuova live distro forense italiana

Nel panorama delle distribuzioni Linux dedicate alla digital forensics, arriva una novità interessante: DRIFT Linux, una live distro forense italiana progettata dall’esperto Massimiliano Dal Cero come un vero e proprio laboratorio per professionisti DFIR, consulenti d’informatica forense e forze dell’ordine.

DRIFTLINUX Distro Informatica Forense basata su Linux per acquisizioni e copie forensi

L’Italia è nota da anni per le live distro forensi, a partire dalle storiche DEFT e Caine, seguite da Tsurugi (alla quale Massimiliano Dal Cero contribuisce e continuerà a fornire supporto) e altre distro minori, si è però sempre sentita l’esigenza di un approccio minimale e con un occhio all’utilizzo pratico che gli informatici forensi fanno delle distribuzioni live, che poi possono essere utilizzate anche in macchine virtuali VM oppure installate su un PC.

Cos’è DRIFT Linux?

DRIFT nasce come sistema live pensato per operare direttamente sul campo in attività di acquisizione di dispositivi, raccolta di evidenze (anche da web e cloud) e alcune delle prime fasi di analisi. L’obiettivo di DRIFT Linux è offrire uno strumento immediato, pronto all’uso e completo già dal boot.

DRIFT Linux Digital Forensics Live Distro

La live distro per digital forensics DRIFT Linux si avvia in pochi secondi e mostra un menù completo di tutti gli strumenti indispensabili per attività d’incident response e informatica forense.

Caratteristiche principali

DRIFTLinux ha alcune caratteristiche che lo rendono un progetto interessante per chi si occupa d’informatica forense:

  • Live system operativo e portabile
    Nessuna installazione necessaria: avvio immediato e utilizzo su qualsiasi macchina.
  • Focus su acquisizione e raccolta evidenze
    Supporto per copia forense di dispositivi fisici e acquisizione di contenuti web completi, analizzabili offline, tramite un tool di web forensics.
  • Toolset integrato per DFIR
    DRIFT Linux Include strumenti essenziali per iniziare subito le attività di investigazione digitale.
  • Struttura modulare e razionale
    Progettata per essere organizzata, estendibile e facilmente mantenibile.

Essendo progettata in modo modulare e minimale, la live distro DRIFT Linux permette l’avvio in RAM tramite il parametro di boot al kernel “toram” selezionabile direttamente all’avvio.

DRIFT Linux boot in RAM con toram

Allo stesso modo, si può selezionare l’avvio grafico o testuale, verbose o con persistenza, eventualmente anche con una modalità avanzata e troubleshooting in caso di problemi di boot.

Per poter fare mount in modalità read-only viene fornito un “DRIFT Forensics Mount Manager” con lo scopo di permettere di selezionare e verificare la modalità di mount di ogni periferica.

DRIFTLinux Forensic Mount Manager

Altra piccola ma importante accortezza: la rete (ethernet, wifi, etc…) è sconnessa all’avvio a meno che l’utente non la abiliti dopo il boot tramite il “DRIFT Connection Panel”, in modo da rimanere silente anche sulla parte di connettività.

DRIFT Linux Network Connections Panel

Filosofia progettuale alla base di DRIFT Linux

Alcuni degli aspetti più interessanti dietro la distribuzione forense DRIFT Linux che emergono dal sito web e da una prima visione del prodotto sono:

  • Approccio pragmatico: strumenti utili, concreti, pronti all’uso sul campo
  • Modularità: ogni componente ha uno scopo chiaro, evitando complessità inutili
  • Portabilità totale: l’idea di “forensic lab in tasca” è centrale nello sviluppo
  • Efficienza operativa: ridurre il tempo tra acquisizione e analisi

Questa visione richiama la tradizione Linux/Unix, nella quale vengono privilegiati gli strumenti semplici, focalizzati e componibili, nell’ottica di una sempre maggiore efficacia e chiarezza.

Download e versioni a confronto

DRIFT Linux è disponibile per il download gratuito al link “Download DRIFT Linux” sulla home page del progetto, nella quale vengono proposte ben quattro alternative:

DRIFT Fast 2026.01: La versione standard, 1256MB di software preconfigurati per l’informatica forense e la gestione degli incidenti informatici (drift-linux-FAST-hybrid.iso, MD5: b5aa7a8e9e18cbe4b462dfa3bc81a4cd58ac31fc).

DRIFT Fast XS 2026.01: La versione ridotta per le sole acquisizioni forensi e primo intervento, 782 MB di strumenti pronti all’uso che possono essere caricati in RAM anche su PC con poca disponibilità di memoria (drift-linux-FAST-XS-hybrid.iso, MD5: 829e71ad69e0189b93e63afb93093564).

DRIFT Fast Micro 2026.01: La versione ultra minimalista, che a breve sarà disponibile e occuperà poco spazio sia su disco sia eventualmente in memoria, con i soli tool per acquisizioni forensi in contesti dove l’occupazione di risorse e la compatibilità possono essere un problema.

DRIFT Paddock 2026.01: La versione installabile per chi preferisce lavorare su una workstation in versione permanente e non dover avviare tutte le volte una distribuzione live che risiede soltanto in RAM.

Sempre nella pagina di Download di DRIFT Linux, Massimiliano Dal Cero ha deciso di ripubblicare le “vecchie glorie“, le distribuzioni DEFT Zero delle quali era già uno degli autori al tempo, distribuzioni che ancora oggi vengono utilizzate perché pur se obsolete si sono dimostrate stabili e minimali:

DEFT Zero 2017.1: La versione DEFT Zero originale, “senza zucchero e tool aggiunti”, ideale per sole acquisizioni forensi e massima compatibilità (deftZ-2017-1.iso, SHA256 beb575e34d948536474770c0af96c15111275e63e3e9975fa79fb337294a2cb0)

DEFT Zero 2018.2: nelle due versioni Original 2O (deftZ-2018-2O-resurrected.iso, SHA256 d207c31e880a46629a0a8c179502644ae76d3e10613bd7ee7a4a929a8ce0fff2) e Updated 2U (deftZ-2018-2U-resurrected.iso, SHA256: 112a7e3ebc5f063e7b80a3f035cb6dca498aec40323c2f0cc271e20c7f81a6dd)

Manuale d’uso e video tutorial

Il sito web contiene utile documentazione relativa al progetto, inclusi alcuni video tutorial di DRIFT Linux in azione che mostrano in modo immediato le caratteristiche principali della live distro.

Una volta scaricata la ISO della versione prescelta della live distro, è sufficiente creare una “live usb” tramite balenaEtcher, Rufus, Ventoy o dd e avviare la distribuzione dalla porta USB del PC ove s’intente utilizzare DRIFT Linux.

DMARC Forensics: un tool per verificare la compliance ed evitare problemi di spoofing

Quanto è facile inviare un messaggio di posta elettronica a nome di altri? La risposta è che è facilissimo, ci sono persino siti tipo Emkei o AnonyMailer che permettono a chiunque di scrivere messaggi apparentemente provenienti da indirizzi di posta di terzi, inclusi potenzialmente gli indirizzi PEC, che ovviamente non possono essere utilizzati per invio PEC tramite spoofing ma esclusivamente PEO.

Il punto è che il server dell’account email del ricevente ha modo di verificare se il messaggio proviene effettivamente dall’indirizzo del mittente oppure è stato inviato tramite email spoofing e quindi decidere di scartarlo o mandarlo in spam, eventualmente segnalando al server del dominio del mittente l’anomalia.

Affinché ciò avvenga è però essenziale che il dominio del mittente sia correttamente configurato, a livello DNS e server di posta, per indicare il corretto record DMARC, SPF ed eventuale chiave pubblica DKIM (in tal caso il messaggio deve poi essere anche firmato tramite DKIM) così da permettere al server ricevente di fare le opportune verifiche.

DMARC Forensics, una soluzione per verificare la configurazion DMARC

Prendendo spunto dal post Linkedin di Andrea Draghetti sulla configurazione del server di Poste Italiane che a giugno 2025 ha evidenziato come il server supportasse SPF ma nessuna non vi fosse traccia di DKIM e DMARC, dopo aver rivisto il video di Francesco Guiducci e Raffaele Colavecchi che spiegano come configurare SPF, DKIM e DMARC che illustrano come proteggere la posta elettronica (e la propria reputazione) tramite una opportuna configurazione del protocollo DMARC, DKIM e SPF, con un occhio alle raccomandazioni dell’Agenzia per la Cybersicurezza Nazionale ACN sul Framework di Autenticazione della posta elettronica ho scritto un semplice script di DMARCForensics per verificare la conformità DMARC dei domini, che potete trovare pubblicamente sul sito DMARC Forensics.

DMARC Forensics Tool - DMARC Compliance Checker and Inspector with Report and Fix

Esistono decine di dmarc checker tool, il tool di DMARC Forensics che ho sviluppato non differisce di molto dagli altri però potete usarlo con liste di domini e con la consapevolezza che non caricate alcun dato sul server: tutto gira in locale sul vostro browser.

Ho testato con il DMARC Forensics tool alcuni domini istituzionali utilizzati per invio posta elettronica, parte dei quali risultano ben configurati, altri meno, alcuni per nulla, in generale l’80% dei domini è ben configurato e quelli con problemi sul record DMARC non è detto che poi non firmino comunque i messaggi tramite DKIM o supportino SPF.

Non andrebbero ovviamente ignorati i domini che non inviano posta, tratteremo più aventi la questione di siti o domini istituzionali che non vengono usati per invio di messaggi di posta elettronica e che quindi possono essere utilizzati per inviare mail impersonando tali istituzioni mediante spoofing senza alcun controllo sull’autorità del dominio.

Integrerò più avanti verifica SPF e DKIM (con selector fornito dall’utente o bruteforced) oltre che permettere la cristallizzazione forense dei record tramite web forensics così da preservarne lo stato DMARC (ma anche DKIM ed SPF) per eventuale uso legale, al momento è possibile comunque scaricare in formato TXT il log delle query e in XLSX la tabella.

Ricordiamo infatti quanto, nei casi di Man in The Mail (i casi dei bonifici fraudolenti ottenuti tramite cambio IBAN da parte degli attaccanti) può essere strategica una valutazione forense della configurazione DMARC, una verifica delle firme DKIM, un test dei requisiti SPF per rappresentare correttamente ai legali eventuali responsabilità nella truffa informatica subita dalla vittima.

Il tool “DMARC Forensics” è molto “severo” ed evidenzia note o commenti anche per i domini che risultano conformi, come ad esempio la presenza di record multipli, il mancato allineamento con sottodomini o la policy eccessivamente permissiva o ambigua: in tal caso nella colonna “Fix” viene indicato come rimediare.

Qui di seguito si possono osservare i risultati del sito DMARC Forensics dove ho offuscato i domini non compliant, anche perché alcuni – pur non avendo DMARC configurato – firmano comunque i messaggi con DKIM (seppur talvolta senza alignment al domain) e rispettano policy SPF, quindi la mancata configurazione DMARC è un problema minore.

DMARC Forensics - Siti governativi e istituzionali italiani

Il motivo dell’oscuramento e redact è che non ritengo corretto che i domini non conformi vengano presentati con accezione negativa, anche purtroppo un dominio non solo non ha record DMARC configurato ma restituisce il record SPF al suo posto e come ciliegina sulla torta non firma neanche con DKIM le email inviate.

DMARC Forensics, istruzioni per l’uso

Il DMARC Forensics – Compliance Checker è uno strumento web gratuito e avanzato, progettato per analizzare la configurazione DMARC (Domain-based Message Authentication, Reporting, and Conformance) di uno o più domini. Creato per essere semplice, veloce e sicuro, il tool opera interamente lato client, garantendo che nessun dato inserito dall’utente venga trasmesso o memorizzato su server esterni, nel pieno rispetto della privacy.

Il tool DMARC Forensics è semplice da utilizzare, è sufficiente inserire nel campo di testo un elenco di domini, uno per riga o separati da due punti o punto e virgola e le sue caratteristiche principali sono le seguenti:

  1. Analisi Multi-Dominio: L’applicazione consente agli utenti di inserire un elenco di domini (fino a 20 per volta, per evitare saturazione lato client) in un’unica interfaccia. Questo permette di effettuare controlli massivi in modo efficiente, ideale per amministratori di sistema che gestiscono molteplici proprietà web.
  2. Validazione Sintattica: Prima di avviare le query DNS, il tool esegue una validazione preliminare sui nomi di dominio inseriti per verificare che rispettino gli standard RFC, segnalando all’utente eventuali errori di formattazione.
  3. Interrogazione DNS Client-Side: Utilizzando l’API pubblica di Google DNS, lo script interroga il record TXT _dmarc per ciascun dominio. Tutta l’operazione avviene direttamente nel browser dell’utente, assicurando la massima privacy e velocità.
  4. Analisi Dettagliata della Conformità: Il cuore del tool è il suo motore di analisi. Non si limita a verificare l’esistenza del record, ma esamina ogni direttiva DMARC secondo le best practice di sicurezza. I risultati sono classificati con un sistema di colori intuitivo:
    • Compliant (Verde): Il record è valido e applica una policy restrittiva (quarantine o reject) senza problemi significativi.
    • Compliant with notes (Verde-giallo): Il record è valido ma presenta criticità minori che non ne compromettono l’efficacia (es. alignment rilassato, policy p=none, mancate autorizzazioni per i report esterni).
    • Not compliant (Rosso): Il record presenta errori fatali (es. più record DMARC, sintassi errata, policy mancante).
    • Not configured (Rosso): Nessun record DMARC trovato.
  5. Note e Soluzioni (FIX): Per ogni problema rilevato, il tool fornisce una spiegazione chiara nella colonna “Notes” e un suggerimento pratico su come risolverlo nella colonna “FIX”. Questo trasforma l’analisi da un semplice controllo a una guida operativa.
  6. Export dei Dati: I risultati possono essere esportati in due formati:
    • Report XLS: Un file Excel che riproduce la tabella dei risultati, mantenendo la formattazione a colori per una facile consultazione e archiviazione.
    • Log TXT: Un file di testo dettagliato contenente le query DNS esatte inviate e le risposte JSON complete ricevute, ideale per analisi forensi e debugging tecnico.

A Chi si Rivolge il DMARC Forensics tool

Questo strumento è pensato per un’ampia gamma di professionisti e tecnici informatici:

  • Amministratori di Sistema e DevOps: Per verificare e mantenere la corretta configurazione DMARC sui domini aziendali;
  • Professionisti della Sicurezza Informatica: Per condurre audit di sicurezza sulla posta elettronica e identificare vulnerabilità legate a spoofing e phishing;
  • Consulenti di Informatica Forense: Per acquisire rapidamente dati sulla configurazione DMARC durante un’indagine e cristallizzarne – a breve – lo stato a uso legale in perizie informatiche forensi, ad esempio in casi di Man in The Mail (MITM);
  • Webmaster e Proprietari di Domini: Per assicurarsi che il proprio dominio sia protetto e che le comunicazioni via email siano affidabili.

Attenzione che funzionando lato client e utilizzando per le informazioni DNS le API di Google (https://dns.google/resolve) può non fornire risultati se lo si utilizza da IP con bassa reputazione come VPN o Tor.

Intervista al TG1 sulla sicurezza informatica di Telegram

Oggi è andato in onda su RaiUno, al TG1 Mattina Estate, un servizio su Telegram, gli aspetti di sicurezza informatica della piattaforma di instant messaging e social network Telegram e sulla vicenda che ha riguardato il suo fondatore Pavel Durov.

All’interno del servizio del TG1 andato in onda su RaiUno è presente una mio piccolo intervento sulle questioni tecniche che differenziano Telegram dalle altre piattaforme come Whatsapp, Facebook, Instagram, TikTok, etc… e che hanno probabilmente contribuito alla vicende giudiziarie di cui il fondatore della piattaforma è stato protagonista qualche giorno fa in Francia.

Telegram risulta particolarmente interessante per chi cerca anonimato perché permette di slegare l’utenza dal proprio numero di telefono o indirizzo di posta elettronica, permette l’utilizzo tramite proxy/vpn/Tor e non risente di censura, richieste giudiziarie, sequestri e chiusure di utenze, gruppi e canali dato che la politica della piattaforma è quella di non interferire con la libertà di espressione degli utenti.

A questo si aggiunge il fatto che Telegram non abilita di default la cifratura end-to-end sulle chat, non ne permette l’attivazione sui gruppi e mantiene tutti i dati non cifrati end-to-end sui propri server. In informatica forense, questo aspetto implica una maggior difficoltà di accesso ai dati locali sui dispositivi durante la copia forense, dato che non esiste un database completo ma le chat Telegram sono localmente presenti in una sorta di “cache” che mantiene gli ultimi messaggi o quelli comunque visionati dall’utente.

TG1 Estate Mattina - Telegram, sicurezza e informatica forense

Durante le perizie informatiche, la piattaforma Telegram è spesso protagonista di analisi forense dato che presenta questioni complesse legate alla cifratura delle comunicazioni, al cloud, all’accesso al database. Le indagini digitali tramite tecniche d’informatica forense su Telegram sono quindi particolarmente complesse perché si uniscono diverse problematiche, oltre alla cifratura e all’anonimato, rendendo quindi piuttosto complessa l’identificazione dei soggetti, la loro utenza, indirizzi IP e men che meno possibili elementi anagrafici.

Durante la breve intervista al TG1 ho presentato, in poche parole, le questioni relative alla cifratura e all’archiviazione che possono aver – a mio avviso – influito nella decisione della Francia di fermare il fondatore della piattaforma quantomeno per chiarimenti o richieste di collaborazione.

Il servizio del TG1 Mattina Estate su Telegram e Pavel Duro è visionabile, previo accesso a RaiPlay, al link Telegram, le insidie dei social al minuto 54:38,