Archivi tag: perizia informatica

Seminario su smartphone forensics per AIEA a Torino

Venerdì 10 maggio 2019 dalle ore 11:30 alle 13:00 si terrà a Torino la Sessione di Studio con approfondimento sulle attività di perizia informatica e indagine digitale su smartphone e cellulari, dal titolo “Dammi il tuo smartphone e ti dirò chi sei…”. Il seminario si terrà presso il Collegio Universitario Renato Einaudi – Sezione Crocetta – in
Corso Lione 24, a Torino.

L’amico Mattia Epifani ci parlerà della storia della mobile forensics e di come si è evoluta fino ai giorni nostri, raggiungendo livelli di complessità notevoli dovuti al sempre più presente cloud, cifratura e protezioni da parte dei produttori che rendono difficile talvolta accedere ai dati delle applicazioni. Mattia Epifani mostrerà come è facile, su alcuni dispositivi, sbloccare la protezione del pin o della password di accesso e entrare nello smartphone potendone visionare e acquisire i contenuti nella loro interezza.

Il mio intervento verterà su alcuni esempi pratici di acquisizione di smartphone Android e iPhone tramite strumentazione open source, che seppur in modo limitato permette di raggiungere un buon livello di completezza e correttezza in termini informatica forense e livello di dettaglio. Mostrerò come è possibile, ad esempio, acquisire in maniera forense chat Whatsapp cifrate e decifrarle successivamente estraendo poi i messaggi o le conversazioni d’interesse, il tutto utilizzando strumenti gratuiti e open source come la live distro Tsurugi Linux per informatica forense.

Verranno infine presentate alternative alla mobile forensics tradizionale, come chip off, jtag, strumenti di sblocco di pin e password come Grayshift e CAS della società Cellebrite con approfondimenti sulle analisi di chat, social network e cloud.

SWGDE pubblica bozza di nuove linee guida per informatica forense

Lo Scientific Working Group on Digital Evidence ha pubblicato da pochi giorni le nuove linee guida per regolamentare alcune aree della digital forensics, in particolare l’acquisizione e analisi di smartphone e cellulari, l’image e video forensics, l’utilizzo delle funzioni hash MD5 e SHA256 nella digital forensics e multimedia forensics e per concludere la comparazione visiva di immagini.

Lo SWGDE – Scientific Working Group on Digital Evidence – riunisce dal 1988 organizzazioni impegnate nel capo dell’acquisizione e analisi di prove digitali multimediali e digitali e mira a rafforzare la collaborazione fra enti oltre alla qualità e coerenza delle attività svolte dalla comunità d’investigatori, analisti e periti informatici che si occupano quotidianamente d’informatica forense. Inizialmente, l’associazione è statafin dall’inizio composta da membri d’istituzioni come ATF, DEA, FBI, IRS-CID, US Customs, US Postal Inspection Service e il US Secret Service. La NASA e il Department of Defense Computer Forensics Laboratory hanno partecipato fin dagli esordi, seguiti da rappresentanti del North Carolina, Pennsylvania e Illinois State Crime Laboratories che con il Florida Department of Law Enforcement sono poi stati seguiti da agenzie locali. La voce dell’SWGDE è quindi autorevole e da anni considerata portatrice di linee guida che tendono a diventare spesso standard nelle interpretazioni delle varie forze dell’ordine locali o consulenti informatici forensi.

I documenti pubblicati pochi giorni fa dall’SWGDE sono quattro e dettagliano quattro aree dell’informatica forense finalizzata alla produzione di una perizia informatica a uso legale, con lo scopo di definire linee guida che possono essere commentate e integrate – in bozza – per giungere a un documento finale condiviso.

SWGDE Best Practices for Mobile Device Evidence and Collection, Preservation, and Acquisition

Pubblicato nella versione 1.0 del 4 dicembre 2018, si tratta di un documento che illustra le pratiche da seguire per la raccolta, conservazione e acquisizione di prove digitali da smartphone, cellulari e dispositivi mobili, disciplina nota come mobile forensics e che riguarda proprio l’attività di perizia su cellulari e smartphone. La raccolta e la conservazione dei dati dei cellulari viene eseguita sul campo o in laboratorio e in entrambi i casi i tecnici forensi necessitano di linee guida per raccogliere, preservare e acquisire le evidenze digitali che poi dovranno essere utilizzate per la produzione di perizie informatiche a uso legale per produzione in giudizio.

SWGDE General Photography Guidelines for the Documentation of Evidence Items in the Laboratory

Pubblicato nella versione 1.0 del 4 dicembre 2018, consiste in un elenco di linee guida sulla documentazione fotografica dei reperti in laboratorio per documentare le condizioni precedenti, contemporanee e successive all’analisi delle evidenze digitali nell’ambito della perizia informatica. Le informazioni contenute nel documento sono destinate a chi opera fotografie in ambito d’informatica forense, senza entrare nei dettagli della comparazione d’immagini.

SWGDE Position on the Use of MD5 and SHA1 Hash Algorithms in Digital and Multimedia Forensics

Pubblicato nella versione 1.0 del 4 dicembre 2018, lo scopo del documento è quello d’illustrare come l’utilizzo degli algoritmi di hash MD5 e SHA1 risulti accettabile per alcune funzioni nelle discipline di digital forensics e multimedia forensics, nonostante gli algoritmi siano stati ritenuti inadeguati dal punto di vista crittografico per applicazioni di più ampio respiro.

SWGDE Technical Overview for Forensic Image Comparison

Pubblicato nella versione 1.0 del 4 dicembre 2018, il documento fornisce a chi si avvicina all’analisi forense delle immagini un’infarinatura sulla storia della comparazione forense delle immagini e della fondazione tecnica, metodologica, delle limitazioni del confronto delle immagini a fini giudiziari.

Crescono gli attacchi di “Man in The Mail”, la truffa dei bonifici a falsi IBAN

Sono anni che si parla della truffa dei bonifici deviati in modo fraudolento verso falsi IBAN ai quali le aziende inviano fondi destinati a fornitori a fronte di false fatture modificate ad hoc da criminali che si sono insinuati nelle caselle di posta elettronica al fine di spiare le comunicazioni tra cliente e fornitore. L’FBI ha segnalato ormai da tempo il problema come una delle truffe maggiormente in voga nei confronti delle aziende e anche in Italia se n’è parlato in TV, sui giornali e online.

Nonostante questo, novembre è stato un mese nero per le truffe bancarie dei bonifici di tipo Man in The Mail (MITM) che prendono anche il nome di “Man in The Middle”, “BEC Scam”, “Wire fraud”, “Business Email Compromise”, “BEC Fraud” o ancora “Bogus Invoice Scheme”, “Supplier Swindle” o “Invoice Modification Scheme”. Se durante l’anno abbiamo ricevuto segnalazioni con frequenza di due o tre truffe al mese, nelle settimane di novembre le segnalazioni di Man in The Mail sono salite a diverse truffe al giorno.

Non è chiaro il motivo per il quale gli attacchi di falsificazione delle coordinate bancarie IBAN via email si sono fatti più aggressivi e pervasivi, al punto da colpire piccole, medie e grandi imprese, utilizzando persino IBAN ospitati presso enti bancari italiani, che dal punto di vista del riciclaggio e il rischio di blocco dei fondi diventano più complicati da gestire per i criminali.

L’FBI dichiara – nel suo rapporto del luglio 2018 – di aver conteggiato dall’ottobre 2013 al maggio 2018 ben 78.617 casi di Man in The Mail per una perdita totale di oltre 12 miliardi di dollari, cifre in aumento costante nonostante la consapevolezza di questa truffa stia cominciando a essere più presente fra le aziende.

Le modalità con le quali i criminali ottengono l’accesso ai dati riservati delle aziende tramite man in the middle, in particolare alla loro posta elettronica e alle loro fatture, cambia di volta in volta, così come la tecnica utilizzata per alterare i codici IBAN all’interno delle fatture originali, così da deviare il bonifico verso conti spesso poco tracciabili o dai quali, in ogni caso, i fondi verranno rimossi non appena arrivati grazie ai bonifici disposti volontariamente dalle vittime.

Da anni il metodo principale con cui avviene il man in the middle degli IBAN rimane il phishing, cui bisogna prestare massima attenzione, perché le difese tecnologiche spesso sono insufficienti di fronte a un operatore che fornisce le proprie credenziali ai delinquenti, anche tramite telefono (mediante il cosiddetto “vishing”, come è avvenuto pochi giorni fa) o SMS (in questo caso il fenomeno si chiama “smishing”) e persino via FAX. La percezione degli utenti è spesso quella del “mi hanno hackerato la mail” o “mi hanno bucato la casella di posta elettronica“, in realtà sono stati loro a fornire le credenziali agli attaccanti o persino il cookie di sessione, come mostrerò più avanti.

Precauzioni come l’autenticazione a due fattori (la cosiddetta “2fa”, “two factor authentication“) riducono il fenomeno ma non lo eliminano del tutto: è infatti possibile per i delinquenti rubare dalle vittime i cookie di sessione ed entrare direttamente nell’account di posta senza dover inserire username o password.

Oltre al phishing, uno dei vettori più comuni per il man in the mail è l’infezione tramite malware o trojan dei PC o degli smartphone di chi esegue movimenti e bonifici bancari. Tramite l’invio di una finta fattura, nota di credito, istanza o altro i criminali trasmettono in realtà un “dropper”, un programma in grado di scaricare il malware e installarlo sul PC, dove questo sarà in grado di spiare le attività dell’utilizzatore e carpire le password. Banalmente, dopo alcuni giorni o settimane di monitoraggio, i delinquenti procedono con la registrazione di domini simili a quelli di una delle due aziende coinvolte e all’invio delle email fake, con gli IBAN errati, così da trarre in inganno le vittime.

Ultimamente abbiamo rilevato diversi casi di Man in The Mail perpetrati attraverso l’accesso diretto alla casella di posta tramite protocollo IMAP, grazie al quale i criminali sostituiscono direttamente le email arrivate al cliente, lasciando intatto il testo ma modificando l’allegato PDF contente la fattura con il codice IBAN corretto che viene modificato indicandone uno diverso. Il cliente, scaricando la mail “farlocca”, pagherà la merce o i servizi al conto bancario IBAN sbagliato, intestato appunto ai delinquenti o in realtà a dei prestanome. In sostanza, il cliente riceve la mail corretta dal fornitore (il cui account quindi non è stato compromesso) ma quando la scarica, l’allegato PDF è diverso, il tutto grazie alla possibilità del protocollo IMAP di sostituire una mail (o l’allegato, nel caso specifico la fattura originale con il vero IBAN) lasciandola sul server in modo che la vittima possa scaricarla già falsificata.

Oltre a utilizzare sempre più spesso direttamente il protocollo IMAP per sostituire le mail originali con quelle false contenenti la fattura con IBAN modificato, una precauzione molto spesso presa dai truffatori è quella d’impostare un inoltro, o forward, su una o più caselle compromesse, così da evitare che i proprietari possano leggere le email inviate dai reali clienti o fornitori.

Una volta incassate le somme estorte con l’inganno i ladri procedono, tramite “money mule“, a svuotare il conto su cui vengono ricevuti i bonifici di chi è stato truffato, attraverso prelievi di contante o trasferimenti irreversibili mediante servizi di money transfer. In alcuni casi, il cash out e il money laundering viene fatto persino tramite acquisto di bitcoin. Questo è uno dei motivi per i quali le truffe di tipo Man in The Mail spesso non permettono l’annullamento o lo storno dei bonifici o il recupero delle cifre bonificate, che sono già state immediatamente svuotate dal conto della banca ricevente. In alcuni casi, fortunatamente, è possibile contattare immediatamente la banca che ha ricevuto il bonifico sull’IBAN farlocco per imporre il blocco dei fondi, cosa fattibile quando la banca di appoggio dei criminali è ad esempio in Italia, cosa difficile quando l’istituto bancario si trova all’estero in paesi lontani o poco collaborativi.

Lo Studio, per questo tipo di reati, esegue perizie su truffe bancarie di tipo “Man in The Mail” con bonifici su falsi IBAN finalizzate a identificare le modalità dell’attacco alla casella di posta o ai sistemi informatici ma soprattutto a capire chi è stato compromesso, se il compratore o il venditore. Dal punto di vista di un eventuale risarcimento, la perizia informatica sulla truffa degli IBAN cambia radicalmente la prospettiva nel caso in cui il raggiro sia avvenuto a causa della compromissione degli account o dei sistemi del fornitore/venditore, in tal caso il cliente che ha bonificato verso l’IBAN sbagliato può tentare di esonerarsi dalla responsabilità e ottenere comunque la merce o i servizi. In altri casi, non riuscendo a identificare correttamente la responsabilità di chi è stato causa indiretta della truffa (cioè colui che ha avuto l’indirizzo di posta elettronica bucato o i sistemi compromessi) si può tentare un accordo o conciliazione al 50%. Anche le banche possono essere coinvolte in una eventuale richiesta di risarcimento, con maggiore difficoltà, ma in alcuni casi i profili di responsabilità possono essere valutati andando oltre il cliente e il fornitore.

Acquisizione e Produzione in Giudizio della Prova Digitale

“Acquisizione e Produzione in Giudizio della Prova Digitale” sarà il titolo dell’intervento che terrò giovedì 29 novembre 2018, durante il convegno su “Tools, Applicativi e Piattaforme che semplificano la Professione“, organizzato dalla Commissione Informatica del C.O.A. di Verona che ringrazio per il cortese invito.

Il mio talk di Verona verterà specificatamente sull’importanza della fase di acquisizione forense delle prove digitali alla luce di una produzione delle stesse in Giudizio, nell’ambito di processi penali o civili ma anche in caso di utilizzo stragiudiziale delle prove informatiche. Molto spesso gli Studi Legali sono i primi a entrare in contatto con evidenze elettroniche di ogni tipo, che richiedono un’attenta fase di copia conforme precedente a quella di visione o analisi. La perizia informatica a uso legale, svolta ad esempio da consulenti tecnici di parte, implica una rigida metodologia di acquisizione delle prove per poterle poi produrre in Giudizio, metodologia che deve essere ben nota anche dai legali che in genere entrano in contatto per primi con il cliente, sia esso parte offesa o richieda un consulente della difesa come indagato o imputato.

La presentazione illustrerà le tecniche base d’informatica forense applicate alla raccolta di prove da supporti come pendrive, hard disk, dvd, cloud, internet, social network, siti web, smartphone, cellulare, email, PEC. Veranno indicate con metodo le fasi della perizia informatica che il consulente informatico forense esegue ad esempio tramite una copia conforme a uso legale di chat Whatsapp, pagine o profili Facebook (ad esempio per acquisire le prove una diffamazione via Facebook), siti Internet, registrazioni ambientali o telefoniche, SMS, fotografie, video, etc…

Il seminario, che si terrà presso l’Auditorium Banco BPM in Via della Nazioni, 4, Verona, durerà dalle 14:30 alle 17:30 e avrà il seguente programma:

Avv. Nicol aManzini – Delegato per l’informatica del C.O.A. Verona
Avv. Franco Zumerle – Coordinatore Comm. Informatica c/o C.O.A. Verona
Dr. Paolo Dal Checco – Consulente Informatico Forense
- Prova Digitale: Acquisizione E Produzione In Giudizio
Avv. Claudio De Stasio – Avvocato in Grosseto
- Dirittopratico.It: Utilità Pronte All’uso Per Il Professionista
Dr. Stefano Baldoni – Consulente IT in ambito legale
- Slpct: L’alternativa Open Source Per Il Processo Telematico
Avv. Gianni Casale – Avvocato in Modena
- Anthea: Un’applicazione Per Eliminare I Contrasti Familiari
Agenzia Entrate – Dr. Felice Ungheri – CapoUfficio Tecnologie e Innovazione Dir. Prov. Venezia
- Fatturazione Elettronica: Il Punto Di Vista Dell’agenzia Delle Entrate

La locandina in PDF della Conferenza organizzata a Verona durante il quale parlerò di acquisizione forense delle prove informatiche è scaricabile da questo link. Ai partecipanti verranno conferiti 3 crediti formativi in materia obbligatoria, a seguito d’iscrizione su piattaforma Riconosco. Si ringrazia il Banco BPM per la concessione della sala.

Tsurugi Linux, la nuova distribuzione forense tutta italiana

Una nuova distribuzione forense si affaccia nel panorama italiano, per fornire strumenti e supporto durante le attività di perizia informatica svolte dai consulenti informatici forensi e degli esperti d’informatica forense che operano all’interno delle Forze dell’Ordine. A discapito del nome – che di italiano ha poco – la distribuzione “Tsurugi Linux” – scaricabile gratuitamente dal sito tsurugi-linux.org e con il logo mostrato qui a destra – è nata dalle tastiere di Giovanni ‘sug4r’ Rattaro e Marco ‘blackmoon’ Giorgi, che hanno realizzato le versioni “Tsurugi Lab” e “Tsurugi Acquire” con l’integrazione del lavoro svolto da Davide ‘rebus’ Gabrini, che ha realizzato la piattaforma “Bento”, distribuita sul sito di Tsurugi ma separata dal sistema mainstream.

La presentazione ufficiale della distro forense è avvenuta durante la conferenza AvTokio in Giappone, con il talk “TSURUGI Linux – the sharpest weapon in your DFIR arsenal” durante il quale l’autore della piattaforma, Giovanni Rattaro, ne ha illustrato le principali caratteristiche.

L’autore Giovanni Rattaro ha messo a disposizione di tutti le slide proiettate durante la conferenza AvTokio, dove presenta il team di sviluppo e spiega alcune delle scelte implementative e delle potenzialità del sistema, suddiviso nelle tre componenti del progetto Tsurugi Linux, Tsurugi Acquire e Bento.

Come tutte le distribuzioni forensi basate su Linux, Tsurugi Linux è un ambiente costituito da un Sistema Operativo Linux sviluppato in modo da poter essere avviato direttamente su di un computer in modalità “live”, senza intaccare il sistema preesistente sul PC, oppure installato sul disco di un proprio computer o ancora su di una macchina virtuale.

Il fine di una distribuzione forense è quello di fornire un ambiente di lavoro predisposto per attività operative di acquisizione forense e di analisi, con gli strumenti testati, aggiornati e pre-configurati in modo tale da non richiedere procedure d’installazione e, se possibile, con le proprietà di write-blocking atte a non impattare su eventuali dispositivi esistenti sul PC su cui si opera o connessi successivamente.

Tsurugi-Linux viene distribuita in due versioni distinte, con finalità diverse, integrate da una raccolta di strumenti destinati ad attività incident response:

Tsurugi Lab: piattaforma dedicata all’informatica forense (acquisizione e analisi), OSINT e analisi malware, avviabile direttamente su DVD o su pendrive, distribuita come ISO ma, potenzialmente, installabile su un PC o su di una macchina virtuale, basata su Linux Ubuntu Mate LTS con Kernel 4.18.5 a 64 bit;
Tsurugi Acquire: sistema dedicato alla sola fase di acquisizione forense, con possibilità di eseguire limitati triage e verifiche di copie forensi, basata su Linux Ubuntu Mate LTS con Kernel 4.18.5 a 32 bit per maggiore compatibilità con dispositivi obsoleti;
Bento: raccolta di tool per Windows, Mac e Linux, da utilizzare su sistemi accesi e avviati per attività d’incident response o analisi forense sul campo.

Quelli che sembrano, per ora, essere i punti di forza di questa nuova distribuzione forense sono i seguenti:

un menù completo di numerosissimi tool per la digital forensics e ordinato secondo i tipici step di un’analisi forense: imaging, hashing, mount, timeline, artifacts analysis, data recovery, memory forensics, malware analysis, password recovery, network analysis, picture analysis, mobile forensics, OSINT, virtual forensics, crypto currency, other tools e reporting, con gli strumenti riportati anche più di una volta nelle sezioni all’interno delle quali ha senso che vengano utilizzati;
un aggiornamento (che speriamo continui anche in futuro) alle versioni più recenti di kernel e driver (a supporto dei tipi più svariati di schede video, audio, SATA, IDE, RAID, etc…) per poter avviare il maggior numero di PC e possibili, anche obsoleti;
possibilità di utilizzare la distribuzione sia in modalità live, con garanzie di blocco scrittura sui dischi, inibizione dell’automount e possibilità di montare in sola lettura i dispositivi, sia d’installare la piattaforma di analisi forense su PC o su di una macchina virtuale;
riduzione della dimensione occupata dall’immagine della distribuzione forense, limitata a 3.8 GB per la versione “full” Tsurugi Lab e poco più di 1GB per la versione “light” Tsurugi Acquire;
un team di sviluppo pronto a integrare nuovi strumenti di acquisizione e analisi;
una comunità che già pochi giorni dopo la pubblicazione sta crescendo in modo esponenziale, non soltanto in Italia ma anche in tutto il resto del mondo, e che sta pubblicando articoli sulla piattaforma e integrandola con script per configurare nuovi applicativi.

Tsurugi Linux entra in un contesto nel quale esistono già diverse distribuzioni dedicate all’informatica forense, a partire dalle ottime DEFT Linux (declinata nelle due versioni DEFT XVA come Virtual Appliance e DEFT Zero per le acquisizioni forensi) e CAINE, entrambe italiane, per arrivare alle straniere Paladin, Raptor e SIFT, ma anche in misura minore Kali Linux, Parrot e BackBox.

Ogni distro forense ha diverse modalità operative, strumenti, aggiornamenti e driver, per questo motivo il consiglio è di tenere una copia di tutte le distribuzioni d’informatica forense e utilizzarle in base al contesto. Non di rado, infatti, su particolari hardware una live distro risulta compatibile mentre un’altra non lo è, oppure una riesce a portare a termine un’attività di copia forense e l’altra può avere dei problemi.

Di seguito riportiamo alcune screenshot rappresentative di Tsurugi Linux, iniziando dalle scelte di avvio di Tsurugi Lab che al boot permette di avviare la forensic distro con interfaccia grafica attingendo alla pendrive/DVD che deve quindi rimanere inserita oppure caricandone il contenuto in RAM e permettendone quindi la rimozione, disabilitando in caso di necessità la grafica operando su display testuale. In caso di problemi al boot, è possibile disabilitare i driver nVidia e ATI, che su alcuni notebook interrompono l’avvio o non permettono di caricare l’interfaccia grafica.

La schermata di Tsurugi Linux in versione Lab Edition contiene l’icona per l’installazione su PC o Macchina Virtuale, un OSINT Switcher, un Device Unlocker e le informazioni in tempo reale sul sistema (RAM, CPU, rete, upload/download, etc…).

Novità per una distribuzione forense è l’introduzione di una sezione di Crypto Currency Forensics, in particolare bitcoin forensics, dedicata alle indagini digitali sulle criptomonete, con software come BTCRecover, BTCScan, BX Bitcoin Explorer, BitAddress, Bitcoin Bash Tools, Bitcoin-Tool, Bruteforce-Wallet, CoinBin, KeyHunter ed il wallet Electrum, che è possibile utilizzare anche in combinazione con la rete anonima Tor.

Per chi desidera operare in ambito di ricerche online mediante tecniche OSINT, è disponibile il Tsurugi OSINT Profile Switcher, che disabilita i menù contenenti i tool di digital forensics mostrando solamente la sezione OSINT.

Per poter abilitare la scrittura sui dispositivi connessi al sistema, viene fornito un “Tsurugi Device Unlocker” grafico.

Infine, per chi ha necessità di eseguire copie forensi, attività di hashing o verifica di immagini forensi, la distribuzione Tsurugi Acquire permette di aumentare la velocità di avvio con la possibilità di caricare in RAM l’intera immagine poiché la dimensione della ISO è di circa 1GB, contro i quasi 4 della versione Tsurugi Lab.

Si consiglia di prestare attenzione al fatto che la versione Tsurugi Lab, se installata su PC o macchina virtuale, non blocca correttamente da scrittura i dischi collegati al sistema. Gli sviluppatori stanno lavorando per fixare questo problema, derivato dall’aggiornamento del kernel.

Studio d'Informatica Forense

Perizie Informatiche Forensi, CTP e CTU in Processi Civili e Penali