Non ci si deve far trarre in inganno dal termine. Questa figura non si occupa di crimini informatici, o meglio, non solo: oggi le investigazioni informatiche vengono utilizzate anche per risolvere (o perlomeno ci si prova) casi di cronaca.

“Indagini Digitali: Vademecum di uno Sherlock Holmes Informatico” è un libro sulla computer forensics scritto da Nanni Bassetti. Due parole sull’autore: fondatore di Computer Forensics Italia, Nanni Bassetti si occupa da anni di informatica a livello professionale ed è stato consulente tecnico come ausiliario di polizia giudiziaria, e si è occupato tra le altre cose del caso Brenda-Marrazzo. Ha scritto diversi articoli su svariate riviste e ha pubblicato diversi libri.

Veniamo al libro di cui voglio parlare oggi: “Indagini Digitali”.
Si tratta di un libro (disponibile anche in formato digitale) che può essere utilizzato come vademecum per l’investigatore informatico, ma anche come testo introduttivo.

L’opera si snoda su diverse sezioni. La prima sezione (“L’inizio”) è formata da tra tre sottosezioni che descrivono tutte le fasi dell’indagine, dall’identificazione sulla scena del crimine di tutti i dispositivi che possono contenere prove, alla “checklist” delle cose da fare in base alle circostanze (come comportarti se i computer sono accessi o spenti, e così via).

Nelle sezioni successive viene descritto in modo dettagliato come l’investigatore procede all’acquisizione dei dati, all’analisi e alla valutazione delle informazioni rinvenute, e a come redige il report da presentare a magistrati, avvocati, polizia giudiziaria.

Il libro si conclude con la descrizione di alcuni casi realmente affrontati dall’autore, descrizione molto interessante che mostra come la teoria viene messa in pratica nel mondo reale.

Nella conclusione Nanni definisce il libro come un testo che descrive la “spina dorsale” della computer forensics, testo realizzato raccogliendo nozioni rintracciabili su diversi Pdf in giro per la rete, sintetizzate e arricchite dall’esperienza sul campo e dall’evidente passione per la materia.

Un libro che mi sento di raccomandare ai curiosi e agli appassionati di computer forensics, acquistabile su lulu.com.

Segnala presso:

I file di Prefetch sono stati introdotti da Microsoft in Windows Xp per migliorare le performance del sistema, in particolar modo per rendere più veloce l’avvio delle applicazioni.

Quali informazioni vengono memorizzate  in questi file? E soprattutto, dove vengono memorizzati questi file? iniziamo da questa seconda domanda. I file di Prefetch sono memorizzati in una cartella denominata Prefetch (sorprendente!) situata nella cartella di sistema %SystemRoot%\Prefetch, normalmente C:\WINDOWS\Prefetch.

Nei file di Prefetch vengono memorizzate le seguenti informazioni:

• Nome del file di prefetch: è il nome del file di Prefetch, formato dal nome dell’eseguibile, un hash alfanumerico di 8 caratteri e l’estensione .pf (per esempio: FIREFOX.EXE-030DA6C5.pf)

• Data di creazione: data di creazione del file di Prefetch

• Data di ultima modifica: data in cui è stato modificato il file

• Dimensioni del file: dimensioni del file di Prefetch

• Nome del file eseguibile: nome del file eseguito…

• Path completo: … e suo percorso completo nel filesystem

• Numero di esecuzioni: il numero di volte che il programma è stato eseguito

• Ultimo avvio: l’ultima volta che è stato eseguito il programma, per esempio, l’ultima volta che è stato avviato Firefox

Oltre a queste informazioni, nel file di Prefetch è presente anche la lista di tutti file utilizzati dal programma (dalle dll ai file di configurazione).

Per visualizzare tutte queste informazioni è possibile utilizzare WinPrefetchView, un programma free creato da Nirsoft, che oltre a visualizzare i dati dei file Prefetch, permette anche di salvare un report in diversi formati (html,txt,xml).

Oltre alla curiosità di vedere che cosa succede nei meandri del sistema, questi file possono essere utili per ricostruire le attività di un utente. Infatti, analizzando la colonna dell’ultimo avvio si può seguire la timeline dell’utilizzo di un computer, cosa che potrebbe essere utile in un’indagine, ma anche più banalmente per capire quale programma ha provocato un pasticcio che si è rivelato solo alcune ore più tardi.

Un altro modo un po’ più esoterico per accedere alle informazioni di Prefetch è quello di utilizzare un programma scritto in Python, Windows Prefetch Folder Tool. Per chi volesse approfondire l’argomento segnalo la voce su ForensicsWiki.

Segnala presso:

La computer forensics (o “informatica forense”) è secondo la definizione che ne da Wikipedia “la scienza che studia l’individuazione, la conservazione, la protezione, l’estrazione, la documentazione e ogni altra forma di trattamento del dato informatico per essere valutato in un processo giuridico e studia, ai fini probatori, le tecniche e gli strumenti per l’esamemetodologico dei sistemi informatici”.

Compito del perito è quello di trovare tracce utili a fini probatori. Le tracce possono essere file cancellati, informazoni sull’accesso al computer o ad un determinato programma. Nemesi della computer forensics è l’anti-forensics. Esistono tecniche che permettono di ostacolare l’azione degli invetigatori (eliminazione delle tracce, occultamento di file compromettenti…).

Tra le tecniche usate per nascondere dati le più usate sono sicuramente la crittografia e la steganografia; ma esistono anche tecniche di data-hiding non ortodosse, più artigianali ma non necessariamente meno efficaci.

Curiosando tra i miei feed ho notato un articolo di Gianni Amato (“Data hiding: inversione di byte”) in cui viene proposta un’intelligente tecnica: l’inversione di un file per byte, A rendere ancora più radicale questa idea è Denis Frati, che si spinge oltre e ipotizza (realizzando anche un codice di esempio) l’inversione di un file (o gli elementi caratterizzanti, come header o footer) bit a bit.

Per “inversione” di un file si intende la riscrittura del file rovesciando i byte (o i bit) che lo compongono. Sarebbe come rovesciare una frase (o un articolo, un libro) riscrivendolo al contrario!

L’utilità di questa tecnica è evidente. I programmi che effettuano la ricerca dei file basano il proprio funzionamento sulla ricerca di determinate stringhe di byte (firme): il rovesciamento dell’ordine delle informazioni, renderebbe vana la ricerca. Inoltre, se l’analisi fosse effettuata da un investigatore particolarmente curioso, che si prendesse la briga di analizzare il file manualmente con un editor esadecimale, la firma “rovesciata” sfuggirebbe anche all’occhio attento dell’esperto,specialmente nel caso di un rovesciamento bit per bit.

Facciamo un esempio pratico. Un’immagine jpeg ha nell’intestazione la seguente firma:

ffd8 ffe0 0010 4a46 4946 0001 0201 00c8  ......JFIF......

rovesciando questa sequenza di byte si otterrebbe:

c800 0102 0100 4649 464a 1000e0ff d8ff  ......FIFJ.....

Già abbastanza per mettere ko un programma, ma non l’occhio attento dell’esperto. Con un’inversione a bit:

I primi due byte: 0xFFD8 = 1111111111011000 (binario)

diventerebbero:

0001101111111111 (binario) = 0×1BFF

In questo modo il file passarebbe inosservato, anche senza far ricorso a sofisticati algoritmi e programmi crittografici per celarlo. Gli investigatori sanno bene che anche un particolare banale può condurre un’indagine in un vicolo cieco. Un buon investigatore informatico non deve solo affidarsi alla potenza dello strumento tecnologico, ma deve anche avere la creatività e la capacità di immaginare scenari non convezionali, come può essere l’ingegnoso metodo di data hiding presentato in questo articolo.

Segnala presso:

DiskDigger è un programma gratuito in grado di recuperare file cancellati o residenti su supporti danneggiati. Questo software opera su diversi tipi di dispositivi: naturalmente hard-disk, ma anche USB flash drives, memory card come SD.

Utile nel caso in cui siano state cancellate erroneamente delle immagini dalla scheda di memoria, o documenti dall’hard-disk. DiskDigger è in grado di recuperarli (almeno ci prova).

DiskDigger opera in due modalità: File system e Disk surface:

File system: In questa modalità DiskDigger effettua una scansione del file sistema alla ricerca dei file cancellati. Questa modalità, che supporta i file system FAT12, FAT16, FAT32, exFAT e NTFS, è veloce e recupera tutti i tipi di file (compresi i nomi).

Disk surface: La modalità “Disk surface” è in grado di recuperare solo alcuni formati di file (immagini, documenti), ma su qualsiasi tipo di file system. In questa modalità la scansione è più lenta, anche perchè viene analizzata l’intera superficie del supporto.

Insomma, programma piuttosto utile e semplice da usare, ottimo per chi è disperato per aver cancellato i propri file. Ma per i piùcuriosoni è utile anche per verificare che i programmi che affermano di cancellare in modo sicuro i dati (come CCleaner o Eraser) facciano veramente il proprio dovere.

Segnala presso:

Il secondo strumento di cui voglio parlare è uno strumento per certi versi simile ma più rivolto ad un uso di computer forensics. Si tratta di HashBot, realizzato da Gianni Amato e Davide Baglieri.

HashBot replica il comportamento di uno strumento come dd, software utilizzato per effettuare le copie fisiche dei dischi e le relative firme crittografiche, pratica utilizzata in ambito di indagini informatiche.

Con HashBot invece di copiare i dischi è possibile prendere le “impronte digitali” md5 e sha1 di una pagina o documento web per assicurarsi che non vengano apportarte modifiche. Fornito un url valido all’applicazione, dopo pochi istanti HashBot ci restituisce un file zip da scaricare, file contente i dati relativi agli hash della pagina, dell’header HTTP e la data dell’acquisizione.

Segnala presso:

Per Network Forensics Analysis Tool si intende uno strumento in grado di ricostruire sessioni di networking dove poter trovare le prove di un reato (intrusione o qualsiasi altro incidente).

NetworkMiner può essere utilizzato anche per monitorare una rete alla ricerca di computer non autorizzati, ovvero computer che abusivamente utilizzano il network; è possibile inoltre trovare servizi non autorizzati (per esempio software p2p che vampirizzano la banda).

Le capacità di forensics permettono al programma di recuperare credenziali (nomi utente, password), url visitati e relativi parametri. NetworkMiner  è inoltre in grado di ricostruire i file trasferiti durante la sessione, permettendo all’investigatore di ottenere copia degli upload/download effettuati dal sospettato. Con questa funzione è possibile scoprire eventuali malware, e altro materiale illegale.

Un’altra caratteristica di NetworkMiner è la capacità di analizzare passivamente host remoti, riuscendo ad ottenere la lista delle porta Tcp aperte, e il tipo di sistema operativo (fingerprinting).

Questo software (che è open-source) è versatile e può essere utilizzato sia in ambito security sia in ambito hacking/ethical hacking, e anche in ambito computer/network forensics.

Lo si può scaricare a questo indirizzo: http://networkminer.sourceforge.net/

Segnala presso:

In questo articolo illustro un paio di strumenti e una tecnica che possono aiutarvi a scoprire il tipo di file, con e senza estensione, o file camuffati, tipo immagini con estensione .dll o .exe.

Se avete un file dall’estensione sconosciuta e non sapete come aprirlo consiglio di usare http://filext.com/. E’ un sito che contiene un database ricchissimo di estensioni.

Inserendo l’estensione che cerchiamo nel campo di ricerca in alto a sinistra, otteniamo una serie di informazioni che possono aiutarci a identificare il file. Le informazioni sono abbastanza esaustive e vanno a spiegare checos’è ilfile, il tipo MIME, le eventuali applicazioni in grado di leggerlo.

Questo per quanto riguarda i file con estensione sconosciuta. Potrebbero esserci altri casi però. File senza estensione per esempio. Oppure file alla quale l’estensione è stata deliberatamente modificata.

Una tecnica artigianale per scoprire di che tipo di file si tratta un file senza estensione è quella di aprirlo con un editor esadecimale (come WinHex, ma anche PsPad permette di aprire file in esadecimale) e identificarne la firma. Cos’è la firma di un file? E’ la sequenza dei primi caratteri.
Per esempio, se ad un eseguibile (.exe) viene modificata l’estensione in .jpg, cercando di travestire il file in un’immagine, la firma rimane quella di un file eseguibile, ovvero 4D 5A, i primi caratteri che compaiono in tutti i file eseguibili. Unjpg avrebbe dovuto avere come firma FF D8 FF.
Per ottenere le firme dei file si può usare ancora http://filext.com/: tra le informazioni sui file c’è anche la firma (Identifying Characters).

Questo principio è stato ampliato da Marco Pontello che ha realizzato un software in grado di riconoscere i file analizzandoli e cercando, oltre alla firma, altre caratteristiche comuni a quel tipo di file. I fileexe hanno particolarità che non si trovano nei file mp3 o doc, e così via.

Il programma creato da Pontello è TrID file identifier ed è un programma da linea di comando. Esiste anche una versione con interfaccia grafica Tridnet. Infine c’è anche una versione online, utilizzabile dal browser:TrID Online.

Analizzare i file con TrID è semplicissimo: si passa al programma il file da analizzare e TrID mostra una (o una serie di)  possibilità, il cui valore è dato da una percentuale. Più la percentuale è alta più l’identificazione è precisa. Se prendete un’immaginepng e la rinominate .exe TrID non ci casca, mostrerà comunque il reale tipo di file ovvero immagine png.

Segnala presso:

Quindi l’immagine potrebbe essere non recuperabile, ma l’anteprima ovvero una rappresentazione di dimensioni ridotte dell’immagine potrebbe invece esserlo. Vediamo come.

Windows crea automaticamente dei file nascosti (thumbs.db) contenenti l’anteprima delle immagini nella stessa cartella dove sono memorizzate le immagini. Quando dall’Esplora Risorse sfogliamo una cartella contenente delle immagini,Windows salva una versione in miniatura di queste immagini nel database thumbs.db.
Quando un’immagine viene cancellata, viene eliminata dal disco, ma l’anteprima rimane memorizzate in questi archivi.

Il file thumbs.db è un file nascosto. Per poterlo visualizzare bisogna andare su Strumenti -> Opzioni Cartella -> Visualizzazione e deselezionare la voce “Nascondi i file protetti di sistema”, ignorando il messaggio di avviso.

Con Thumbnail Database Viewer è possibile visualizzare le immagini contenute nei file thumbs.db.
Per farlo è sufficiente trascinare il file sul programma e automaticamente verranno visualizzate le immagini contenute.
E’ possibile anche effettuare una ricerca in una cartella specifica, o in tutto il disco.

Le immagini possono anche venire estratte tramite Thumbs Extractor un programma eseguibile da linea di comando.
Il suo funzionamento è semplice: basta lanciare il programma con il percorso del file thumb.db da analizzare come parametro. Le immagini verranno estratte nella stessa cartella dove si trova il thumb.db; può anche essere specificato un percorso diverso.

Se vogliamo evitare che le nostre immagini una volta cancellate in modo sicuro tramite sovrascrittura non possano essere recuperate neanche sotto forma di anteprime è necessario disabilitare la funzione che permette aWindows di creare i file thumbs.db.
Per fare questo bisogna andare su Strumenti -> Opzioni Cartella -> Visualizzazione e contrassegnare la voce “Non memorizzare le anteprime nellacache”.

Esiste anche un Thumbnail Database Cleaner che cancella il contenuto dei file thumbs.db.

Segnala presso:

Eraser è un avanzato programma che permette di eliminare in modo sicuro i file da un disco. Il programma opera effettuando delle sovrascritture con pattern appositamente scelti, rendendo il compito di recuperare i dati quasi impossibile, almeno se si utilizzano i normali strumenti software come Undelete Plus o Recuva
Quanto è sicuro eliminare i file con Eraser? La questione è controversa. Benchè il programma utilizzi i metodi più sofisticati per sovrascrivere i dati, compreso il metodo Gutmann, alcuni sostengono che le agenzie di intelligence siano in possesso di una tecnologia in grado di recuperare i dati a livello hardware.
Naturalmente ai più questo non interessa: infatti queste tecniche potrebbero essere utilizzate nell\’ambito di scottanti indagini anti-terrorismo o anti-crimine, sicuramenre non per recuperare i dati di privati cittadini a cui semplicemente sta a cuore la propria privacy.

Eraser puo\’ essere utilizzato in diversi modi:

1) Si puo\’ eliminare un singolo file,una cartella o un gruppo file selezionati utlizzando il menù contestuale di explorer (tasto destro).

2) E\’ possibile eliminare i dati cancellati in precedenza sovrascrivendo i settori non utilizzati di tutto il disco.

3) C\’e\’ la possibilità di schedulare operazioni di cancellazione sicura.

4) Infine Eraser è in grado di cancellare in modo sicuro i dati della memoria di swap (il pagefile).

Ultimo punto a favore di Eraser: è gratuito e open-source, con licenza GNU.

Segnala presso:

Quando cancelliamo un file con i normali strumenti del sistema operativo in realtà il file non viene \”rimosso\” fisicamente dal supporto, ma viene reso \”invisibile\”.

Ora sappiamo che recuperare i file è possibile, ma come fare? Ci vuole un programma apposito. Undelete Plus fa al caso nostro per due motivi: è potente ed è gratuito
Recuperare un file con Undelete Plus è semplice: basta avviare il programma, selezionare in disco dal quale si desidera recuperare i file \”dispersi\” e lanciare la scansione del disco. Dopo alcuni minuti (dipende dalla quantità di file presenti sul sistema da analizzare) vi verrà presentata la lista dei file trovati.

Quali sono le possibilità di successo nell\’effettuare il recupero di un file cancellato?
Ci sono diversi fattori da valutare:
1) Se dopo la cancellazione del file è stato effettuato un defrag del disco le possibilità di recupero diminuiscono.

2) Più tempo passa tra la cencellazione e il tentativo di recupero più diminuiscono le possibilità che l\’operazione di recupero vada a buon fine.

3) Più piccola è la dimensione del file da recuperare, tanto più saranno alte le probabilità che l\’operazione abbia esito positivo.

Una volta individuati i file da recuperare ricordatevi di effettuare il recupero su un disco diverso da quello su cui si trova il file stesso. Infatti ogni operazione di scrittura sul disco potrebbe danneggiare o interferire con l\’operazione stessa.

Tutto quello che abbiamo detto è valido se il file da recuperare è stato cancellato inavvertitamente oppure è stato cancellato frettolosamente da qualcuno che voleva nascodere delle tracce ed ha agito in modo grossolano.
Se invece la cancellazione è stata effettuata da un pirata informatico che ha messo in pratica tecniche di anti-forensics (per esempio la sovrascrittura multipla del file) la situazione si complica. Ma ne parleremo un\’altra volta.

Segnala presso: