Archivi tag: mobile forensics

Textalyzer di Cellebrite permette analisi forense degli smartphone in caso d'incidente stradale

Textalyzer, analisi forense degli smartphone per prevenire incidenti stradali

Circa un anno fa la società israeliana Cellebrite – produttrice di uno dei software maggiormente utilizzato in ambito di mobile forensics – ha annunciato lo sviluppo di textalizer, un’applicazione che permetterà alle Forze dell’Ordine di verificare se un cellulare è stato utilizzato di recente per inviare o ricevere SMS o messaggi di chat come Whatsapp o Telegram.

Textalyzer di Cellebrite permette analisi forense degli smartphone in caso d'incidente stradale

L’idea è quella di affiancare i test della percentuale di alcool nel sangue tramite etilometro con quelli di utilizzo del cellulare, a seguito d’incidenti stradali o preventivamente, con controlli a campione da parte della Polizia Stradale. Così come l’etilometro misura la percentuale di alcool nel sangue, il “textometro” (non esiste ancora traduzione ufficiale) misura l’attività del cellulare negli ultimi minuti, in particolare relativamente all’utilizzo di strumenti di chat, invio o ricezione messaggi di testo SMS. In caso d’incidente, quindi, le Forze dell’Ordine sono così in grado di valutare le condizioni degli autisti anche in merito a eventuale utilizzo di cellulare alla guida, non soltanto per telefonate ma anche per scrivere o leggere messaggi di testo.

Lo strumento non è una novità, Cellebrite fornisce da anni UFED, un tool di mobile forensics che permette acquisizioni forensi certificate di cellulari, smartphone e tablet con il quale gli investigatori sono già in grado di esaminare l’utilizzo del cellulare. In genere, però, UFED viene utilizzato in laboratorio e l’acquisizione non è immediata, cos’ come la reportistica, che richiede talvolta ore di elaborazione. E’ già quindi possibile  valutare – nell’ambito di perizie informatiche su cellulari – l’eventuale utilizzo dello smartphone del guidatore a seguito d’incidenti stradali, utilizzando appunto UFED per estrazione dati e ricostruzione di timeline e poi analizzando manualmente i log degli applicativi di messaggistica come Whatsapp, Telegram o Signal o degli strumenti d’invio e ricezione SMS presenti negli smartphone, siano essi Android (Samsung, HTC, Motorola, Sony, etc…) o iOS (Apple). Lo strumento textalizer però velocizzerà queste analisi rendendole possibile sul campo direttamente da parte degli Operatori e rendendo meno intrusiva la fase di acquisizione forense: Cellebrite infatti dichiara che il tool non acquisisce o mostra dati personali degli utenti, immagini o contenuto dei messaggi, essendo appunto soltanto finalizzato a verificare l’utilizzo del dispositivo nei minuti precedenti l’incidente o il controllo da parte della Polizia Stradale.

In diverse città americane le autorità stanno puntando verso l’inserimento del controllo del cellulare in caso d’incidente e durante le fermate ai posti di blocco, insieme all’etilometro, proprio per disincentivare l’utilizzo degli smartphone durante la guida e poter verificare eventuali responsabilità durante gli incidenti stradali. Chicago si è già portata avanti ma anche a New York e in Tennessee le Autorità stanno lavorando per conferire agli Organi di Controllo il potere di controllare i cellulari dei guidatori anche durante i normali interventi di verifica a campione. I guidatori avranno la possibilità di rifiutare di consegnare il proprio telefonino ma rischieranno, così come già avviene per gli alcohol test, di vedersi ritirare la patente o incorrere in sanzioni pecuniarie.

Ovviamente questa novità non ha nulla a che fare con il messaggio Whatsapp che sta circolando in questi giorni in Italia e che cita:

Vi comunico che a partire da maggio entrerà in vigore il nuovo codice della strada. Oggi e stato approvato l’articolo più pesante ed era anche giusto. Cioè vi spiego chiunque verrà sorpreso alla guida del veicolo anche se è fermo ai semafori o agli stop con il cellulare o altri apparecchi. La sanzione e la seguente, ritiro della patente immediata e la multa parte da 180 euro fino a 680 euro. Quindi state molto attenti organizzativi con i viva voce. Credo sia utile diffondere. Buongiorno.

Il messaggio è impreciso, anche se è confermato che già a maggio potrebbe essere inserita una modifica al Codice della Strada tramite un decreto, in attesa che riparta l’iter legislativo del nuovo Codice, che introdurrebbe la sospensione della patente (mentre oggi si paga la multa e si perdono 5 punti) per un mese già la prima volta che si viene sorpresi alla guida mentre si sta utilizzando lo smartphone.

Certamente uno strumento come Textalyzer, di Cellebrite, per verificare e dimostrare l’utilizzo del dispositivo durante la guida potrebbe tornare utile anche per rafforzare il rispetto del Codice della Strada ed evitare contestazioni o ricorsi.

 

iTunes 12.5.1 su Mac OS, lockdown folder e iOS forensics

Ieri è uscita, per Mac OS, la versione di iTunes 12.5.1 che, oltre a innovazioni grafiche e supporto per iOS 10, apporta al sistema una modifica ai permessi di accesso alla cartella di “lockdown”, che viene utilizzata dai software di mobile forensics per sincronizzare i dispositivi iOS con il computer ed eseguire l’acquisizione dei contenuti.

L'upgrade di iTunes 12.5.1 e la Mobile Forensics

Chi ha aggiornato iTunes alla versione 12.5.1 e possiede software di estrazione e recupero dati come Lantern (Katana Forensics), BlackLight e Mobilyze (BlackBag Technologies) e simili si ritrova quindi a non poterli utilizzare fino a quando non verranno aggiornati e distribuiti in versione compatibile con le modifiche intercorse.

Fino alla versione 12.5.0 infatti iTunes lasciava la cartella “/private/var/db/lockdown/” con permessi di lettura, scrittura e attraversamento folder per chiunque, non soltanto per l’utente _usbmuxd e il gruppo _usbmuxd assegnato alla directory.

Folder lockdown di iTunes fino alla versione 12.5.0

Dalla versione 152.5.1 invece iTunes rimuove i permessi di lettura, scrittura e attraversamento per “group” e “other”, lasciandoli soltanto allo “user” _usbmuxd, impedendo quindi ai software di acquisizione forensi, utilizzati per recuperare dati da iPhone e iPad, di accedere ai certificati di lockdown necessari per poter attivare il pairing con il dispositivo e accederne al contenuto.

Folder lockdown di iTunes dalla versione 12.5.1

Al momento i produttori di software di iOS forensics per l’acquisizione e il recupero dei dati da iPhone e iPad stanno prontamente inviando mail ai clienti dove consigliano di non aggiornare iTunes alla versione 12.5.1 su Mac OS, attendendo qualche giorno fino all’uscita di versioni compatibili con le nuove modifiche ai permessi.

Ovviamente, per poter scegliere cosa installare e cosa no è necessario disabilitare gli aggiornamenti automatici su Mac OS o meglio, averlo fatto prima dell’uscita di questo aggiornamento. Per disabilitare gli aggiornamenti automatici sul Mac OS X è sufficiente avviare Preferenze di sistema e App Store. Nella finestra App Store si può scegliere se togliere direttamente la spunta a “Verifica aggiornamenti automaticamente” (evitando quindi anche il controllo di nuovo software) oppure lasciare la spunta ma toglierla alle altre voci, in modo da lasciare che il sistema verifichi la presenza di aggiornamenti ma non li scarichi (“Scarica gli aggiornamenti disponibili in background”) oppure li scarichi ma non li installi (le altre voci).

Come disabilitare gli aggiornamenti automatici su Mac OS X

A questo punto, Mac OS comunicherà all’utente la presenza di aggiornamenti, eventualmente scaricandoli in background ma permettendogli di scegliere quali aggiornamenti installare e quali ignorare.

Corso di Computer Forensics e Indagini Digitali a Torino

Per chi fosse interessato alla computer forensics e digital forensics, durante i giorni di venerdì 14, 21, 28 Ottobre e venerdì 4 Novembre 2016 si terrà il corso sulle attività d’informatica forense e investigazioni digitali.

Corso di Computer Forensics a Torino

Il corso di digital forensics su informatica forense e indagini digitali che si terrà a Torino tra ottobre e novembre 2016 fornirà agli allievi le conoscenze principali dell’informatica forense, mettendo in evidenza sia gli aspetti tecnologici che quelli giuridici attinenti alla prova digitale in ambito d’informatica forense, elementi necessari per le attività di perizia informatica svolta dai consulenti informatici forensi. Durante il corso verrà  illustrato l’utilizzo dei sistemi DEFT e DART, utilizzati quotidianamente da Consulenti Tecnici Forensi e Forze dell’Ordine, per attività digital forensics e incident response su computer e dispositivi mobili.

Si partirà dalle basi della digital forensics, analizzando le metodologie di base impiegate dagli operatori per attività di recupero dati o ricostruzione delle attività svolte sul PC, fino ad arrivare ad illustrare le più sofisticate tecniche di acquisizione forense di evidenze digitali e recupero dati da cellulari, smartphone e tablet mediante sistemi di mobile forensics, oltre che acquisizione e analisi del traffico di rete tramite tecniche di network forensics. Seguiranno nozioni sulle tecniche di analisi, elaborazione, reportistica e relazione tecnica che fanno parte di un corretto processo di perizia informatica prodotta da consulenti informatici forensi specializzati in informatica forense.

Il corso sull’informatica forense e investigazioni digitali che si terrà a Torino è articolato in 4 giornate sia teoriche sia pratico operative sulla digital forensics, con l’ultima giornata che sarà effettuata presso un vero laboratorio d’informatica forense permettendo un approccio strettamente procedurale.

Il dettaglio del programma del corso di Computer Forensics e Acquisizione/Analisi della Prova Digitale è il seguente:

Giorno 1

  • Introduzione alle problematiche di computer forensics
  • Le fasi dell’accertamento forense su dati digitali
  • Princìpi, preparazione, precauzioni e utilizzo dei sistemi live
  • Introduzione al sistema DEFT e DART
  • Utilizzo di DEFT con i principali OS e filesystem
  • Tipologie di acquisizione forense e formati
  • Attività di preview e triage sicuro con DEFT
  • Acquisizione di memorie di massa
  • Acquisizione di memoria volatile
  • Cenni su acquisizione di smartphone

Giorno 2

  • Verifica e apertura delle immagini forensi
  • Virtualizzazione delle immagini
  • Recupero dei dati cancellati
  • Analisi dei metadati
  • Ricostruzione delle attività tramite timeline e supertimeline
  • Rilevamento di compromissioni
  • Analisi delle periferiche USB utilizzate
  • Analisi dei documenti aperti e utilizzati
  • Estrazione di evidenze tramite Bulk Extractor e Autopsy

Giorno 3

  • Riepilogo su metodologie e strumenti di acquisizione
  • Acquisizione di memorie di massa via rete
  • Acquisizione di dispositivi iOS
  • Acquisizione di dispositivi Android
  • Analisi di file pList e database SQLite

Giorno 4

  • Introduzione a DART
  • Panoramica degli strumenti presenti in DART
  • Utilizzo di DART in DEFT
  • Incident response
  • Cracking di password e creazione di dizionari
  • Network forensics
  • Gestione di un incidente informatico
  • Riepilogo degli argomenti

Per informazioni sui costi, sconti di pre-iscrizione, contatti o registrazione al corso di digital forensics e informatica forense, per l’edizione in corso e quelle successive, potete contattare lo Studio agli indirizzi indicati nella pagina contatti.

Sblocco PIN su Apple iOS 9.x 32bit e Samsung Galaxy S6 e S7

Sblocco PIN di iPhone e Android tramite CellebriteDue importanti novità nel campo della mobile forensics: la società israeliana Cellebrite ha recentemente aggiornato il suo servizio CAIS con la funzione di sblocco PIN e acquisizione fisica dei dispositivi Apple con processore a 32 bit senza secure enclave e iOS 9.x, fino a pochi giorni fa impossibili da sbloccare poiché il servizio era disponibile soltanto per gli iPhone/iPad/iPod con versione Apple iOS 8.x.

Ccellebrite CAIS Unlocking ServicesLa funzionalità di sblocco PIN di iPhone e Samsung Android non è stata inserita nei prodotti Cellebrite come UFED ma viene fornita dalla casa produttrice tramite contatto diretto mediante il loro modulo per Cellebrite CAIS Unlocking Services e a pagamento.

I dettagli e le modalità di esecuzione del servizio CAIS vengono forniti su richiesta, sappiamo però che in passato Cellebrite ha fornito assistenza anche all’Autorità Giudiziaria italiana a seguito di consegna a mano dell’iPhone presso la loro sede in Germania poiché il dispositivo da sbloccare possedeva processore A6 a 32 bit senza il sistema secure enclave.

La modalità di acquisizione fisica di un dispositivo mobile indica la possibilità di estrarre l’intero contenuto della memoria flash, tramite una “copia forense” bit-to-bit di tutte le aree, allocate e non, incluse quelle precluse al Sistema Operativo o quelle in cui sono presenti dati cancellati ma non ancora sovrascritti. Ciò permette, in alcuni casi, di eseguire il recupero dati cancellati da smartphone o accedere ad aree di memoria ove sono presenti dati rilevanti per le indagini che l’acquisizione logical o filesystem non riescono a raggiungere. Nell’ambito delle perizie informatiche su cellulare e smartphone, è certamente un elemento strategico poter disporre di una copia fisica del dispositivo e di dati fino a oggi inaccessibili se non tramite rooting o jailbreaking.

Cellebrite dichiara nel suo comunicato online [WBM], sulla brochure del servizio CAIS del 15 luglio [WBM] (dove dichiara “Galaxy S7“) e in quella del 20 luglio [WBM] (dove ha precisa “some Galaxy S7 devices“) di essere la prima società a fornire una “estrazione fisica con decifratura” di alcuni dispositivi iPhone (iOS) e Samsung (Android):

  • iPhone 4S / 5 / 5c, iPad 2 / 3G / 4G, iPad mini 1G e iPod touch 5G con iOS 8.x (8.0 / 8.0.1 / 8.0.2 / 8.1 / 8.1.1 / 8.1.2 / 8.1.3 / 8.2/ 8.3 / 8.4 / 8.4.1) or iOS 9.x (9.0 / 9.0.1 / 9.0.2 / 9.1 / 9.2 / 9.2.1 / 9.3 / 9.3.1 / 9.3.2);
  • Samsung Galaxy S6, Galaxy Note 5 e alcuni dispositivi Galaxy S7 con qualunque versione di Android fino alla Marshmallow 6.0.1 inclusa.

Sembra quindi che sia ancora impossibile lo sblocco di PIN e la physical acquisition di smartphone con processore a 64 bit come l’iPhone 5s, iPhone 6, iPhone 6 plus, iPhone 6s, iPhone 6s plus oppure iPad Air, ipad Air 2, iPad Mini 2, iPad Mini 3, iPad Mini 4.

In particolare, il servizio permette di sbloccare dispositivi iPhone o Samsung protetti da PIN e acquisire in maniera forense il contenuto senza la necessità di eseguire rooting o jailbreak al fine di accedere al’intero filesystem per recuperare email scaricate, dati di applicazioni di terze parti, dati di geolocalizzazione o log di sistema.

Ciò che viene estratto dalla copia fisica dell’iPhone può poi integrare quanto già fino a oggi estraibile tramite il Cellebrite UFED Physical Analyzer, cioè:

  • Dati decodificati: Elenco chiamate, voicemail, contatti, localizzazioni geografiche (WiFi, celle e fix GPS), immagini, video, messaggi di testo SMS, MMS, email, note, applicazioni installate e loro utilizzo, dizionario utente, calendario/agenda, storia dei pairing con dispositivi bluetooth, cache delle mappe;
  • Applicazioni: Skype, Whatsapp, Viber, Fring, MotionX, AIM, TigerText, Facebook Messenger, Twitterrific, Textfree, Google+, Facebook, Foursquare, Garmin, TomTom, Waze, TextNow, Dropbox, Yahoo Messenger, Ping Chat, Twitter, Touch (new ping chat), Find My iPhone, LinkedIn, iCQ, Kik Messenger, Google Maps, Kakaotalk, QIP, Evernote, Vkontakte, Mail.ru
  • Dati di navigazione web: Safari, Opera Mini – bookmark, history e cookies

La tabella di supporto per il recupero dati e lo sblocco del PIN di dispositivi Apple con Sistema Operativo iOS come iPhone, iPad e iPod del software UFED Physical Analyzer è la seguente:

Supporto iPhone iOS di Cellebrite UFED Physical Analyzer

Ricordiamo infine che la società israeliana Cellebrite era tra quelle che si riteneva potessero avere contribuito allo sblocco dell’iPhone di Farook durante le indagini per la strage di San Bernardino e i telefoni per i quali è disponibile il servizio CAIS comprendono anche il modello utilizzato dall’autore della strage Farook, un iPhone 5C con processore a 32 bit e iOS 9.x.

Per approfondimenti sul sistema di protezione dati di Apple iOS, il secure enclave, il boot process e tutto ciò che concerne la sicurezza dei dispositivi iOS consigliamo la lettura della iOS Security Guide ufficiale di Apple [WBM] mentre per una schematizzazione dei dispositivi Apple organizzata per processore, versione iOS e caratteristiche hardware e software consigliamo la pagina Wikipedia sui dispositivi iOS [WBM].

iPhone Forensics Days presso l’Università di Milano

iPhone Forensics DaysMartedì 24 e mercoledì 25 maggio 2016 si terranno presso l’Università degli Studi di Milano due giornate di full immersion sull’iPhone Forensics. Grazie alla partecipazione di tecnici e giuristi, verranno presentate e discusse le problematiche legate all’accesso, estrazione, acquisizione locale e remota da dispositivi Apple iOS come iPhone e iPad e il recupero dati dai backup realizzati su PC o su iCloud. Si parlerà anche di trojan/captatori e di confronti con gli altri Sistemi Operativi come Windows Phone e Android. Le due giornate sono a ingresso libero e gratuito, senza necessità d’iscrizione, si precisa che non saranno concessi crediti formativi.

Abstract

Il dibattito politico e la “guerra giudiziaria” generati dal ritrovamento di un iPhone di un terrorista durante le indagini correlate alla strage di S. Bernardino negli Stati Uniti d’America, e la successiva richiesta legale ad Apple di violare il sistema operativo al fine di poter permettere le indagini sul dispositivo bloccato, hanno reso d’attualità il problema della protezione crittografica dei dispositivi personali e delle comunicazioni in generale. Qual è il reale livello di protezione e di privacy oggi? Dove si colloca il delicato equilibrio tra libertà e sicurezza, tra privacy e potere investigativo dell’autorità, tra esigenze di controllo ed esigenze di libertà del cittadino nell’utilizzo dei suoi strumenti informatici quotidiani? Quali sono i metodi migliori per trattare, a livello investigativo, un dispositivo complesso quale l’iPhone, nelle sue differenti versioni?

Programma

Le due giornate affronteranno tematiche ben distinte, con un approccio originale.

La prima giornata si terrà martedì 24 maggio, dalle ore 10:00 alle 18:00 presso la Sala Crociera in Via Festa del Perdono n. 7 a Milano e sarà orientata alle questioni tecniche, con dimostrazioni pratiche di metodologie, software di acquisizione e recupero dati da cellulare e strumenti di mobile forensics utilizzati dai consulenti tecnici nell’ambito della perizia informatica sugli smartphone. I tecnici analizzeranno la tecnologia alla base dell’iPhone mostrando i sistemi di protezione dei dati, le modalità migliori per effettuare investigazioni e l’acquisizione del contenuto degli smartphone, inclusi i backup realizzati su PC o su iCloud, i problemi pratici che possono occorrere durante le indagini e le perizie tecniche forensi, le possibilità di violazione dei sistemi di sicurezza del telefono e del Cloud.

La seconda giornata si terrà mercoledì 25 maggio, dalle ore 10:00 alle 18:00 presso la Sala Napoleonica in Via S. Antonio n. 10 s Milano e sarà orientata alle questioni politiche e giuridiche legate all’accesso ai dati e lo sblocco dei dispositivi protetti da PIN. I giuristi affronteranno, in senso lato, il problema delle crypto wars e del rapporto tra l’azione dell’autorità giudiziaria e la protezione fornita oggi dalle tecnologie più comuni.

Relatori

Raffaele Zallone, Giovanni Ziccardi, Pierluigi Perri, Stefano Zanero, Mattia Epifani, Matteo Flora, Andrea Ghirardini, Paolo Dal Checco, Stefano Sutti, Giuseppe Vaciago, Gerardo Costabile, Davide Gabrini, Litiano Piccin, Giovanni Battista Gallus, Matteo Giacomo Jori, Stefano Mele, Giuseppe Nicosia, Monica A. Senor.

Locandina

E’ possibile scaricare la locandina PDF delle due giornate dedicate all’iPhone Forensics.