digital forensics - Forenser Srl

Informatica Forense e NIS2, un connubio indissolubile

forenser on 22 Ottobre 2025

Martedì 21 ottobre il CEO Fornser Paolo Dal Checco ha partecipato come docente al Seminario in FAD sincrona dal titolo “Informatica Forense e NIS2, un connubio indissolubile ma sottovalutato” durante il quale ha presentato i punti di contatto tra la direttiva NIS2 e la digital forensics, mostrando come il testo di legge possa essere letto alla luce di uno scenario nel quale l’informatica forense possa essere di supporto sia per la fase di prevenzione sia per quella di gestione dell’incidente informatico.

La giornata di corso sulla normativa NIS2, organizzata dal FOIM – Fondazione Ordine Ingegneri della Provincia di Milano – con Responsabile Scientifico l’Ing. Luca Reggiani, ha visto tra i docenti stimati professionisti che hanno illustrato ai discenti questioni legate alla cybersecurity, informatica forense, strumenti pratici, analisi dei rischi, compliance e standard.

NIS2 e Informatica Forense per Ordine Ingegneri Provincia di Milano

Programma del corso sulla NIS2 organizzato dal FOIM

Il programma del corso sulla NIS2, organizzato dalla Fondazione Ordine degli Ingegneri della Provincia di Milano è stato il seguente:

14.28 | Collegamento alla piattaforma
14.30 | Presentazione del seminario
14.35 | NIS 2: ermeneutica della complessità, un approccio organizzativo integrato alla cybersicurezza – Giuseppe SERAFINI – Avv.
15.10 | Informatica Forense e NIS2, un connubio indissolubile ma sottovalutato – Paolo DAL CHECCO – Consulente Informatico Forense
15.45 | Question time
16.00 | Strumenti pratici per l’implementazione dei prerequisiti NIS-2, ISO27001, GDPR – Alberto BENZONI – Fast-Group
16.35 | Kill Risk: analisi dei rischi rispetto ai controlli (da ISO 27001 a NIST CSF passando per la NIS2) – Gianluigi ANGOTTI – Cons.
17.10 | Recepimento NIS2 e armonizzazione cybersecurity: compliance, standard internazionali e impatti organizzativi – Roberto RE – Cons.
17.45 | Question time
18.00 | Conclusioni e chiusura seminario

Docenti del corso sulla normativa NIS2

I docenti del corso sulla Normativa NIS2 tenuto per la Fondazione Ordine degli Ingegneri della Provincia di Milano sono stati i seguenti:

Dott. Paolo Dal Checco, Consulente Informatico Forense
Ing. Gianluigi Angotti, CISO (Chief Information Security Officer)
Ing. Roberto Re, Consigliere dell’Ordine degli Ingegneri della Provincia di Milano
Avv. Giuseppe Serafini, Avvocato presso Studio Legale
Dott. Alberto Benzoni, Amministratore Delegato Eureka Srl

Cos’è la direttiva NIS2?

La Direttiva NIS2 (Network & Information Systems Directive) è stata formalizzata nel 2022 e recepita in Italia con il D.lgs. 138/2024 in sostituzione della precedente direttiva NIS del 2018), ampliandone l’ambito e rafforzando i requisiti di sicurezza per le infrastrutture digitali.

La normativa, entrata in vigore il 16 ottobre 2024, mira ad armonizzare le misure di sicurezza informatica tra i Paesi dell’UE, potenziando la capacità di risposta delle aziende e prevenendo i rischi informatici.

La direttiva introduce una serie di obblighi per migliorare la sicurezza digitale, tra cui uniformare il livello di protezione informatica in tutti gli Stati membri, aumentare la robustezza attraverso requisiti più stringenti e sanzioni severe e preparare le aziende a fronteggiare attacchi informatici mediante piani di resilienza e continuità operativa.

A chi è destinata la normativa NIS2?

NIS2 non è destinata a tutti è applicabile ad alcuni settori critici come l’energia, i trasporti, la finanza, la sanità e le infrastrutture digitali, utilizzando un criterio che definisce l’applicabilità in base alla dimensione delle imprese.

Le imprese soggette alla NIS2 devono adeguarsi a requisiti più dettagliati in tema di gestione del rischio, sicurezza della catena di fornitura e risposta agli incidenti. Inoltre, la normativa introduce una forte responsabilità dei manager, che impone ai dirigenti di adottare misure di sicurezza adeguate e di promuovere la formazione del personale.

L’intervento di Paolo Dal Checco su NIS2 e Informatica Forense

L’intervento del CEO Forenser Paolo Dal Checco, nel corso sulla NIS2, è stato intitolato “Informatica Forense e NIS2: Un Connubio Indispensabile per la Sicurezza Sistemica” ed è stato dedicato all’importanza critica del legame tra Informatica Forense e la Direttiva NIS2, un binomio che, sebbene indissolubile, è ancora troppo sottovalutato.

In qualità di Consulente Informatico Forense e fondatore di Forenser Srl, forte di un’esperienza decennale sul campo e oltre 2.000 casi gestiti in ruoli tecnici e legali – esperienza maturata a partire Dottorato di Ricerca in Informatica focalizzato sulla crittografia e la sicurezza delle comunicazioni – il Dr. Dal Checco ha voluto sottolineare come la NIS2 imponga un radicale cambio di paradigma.

Non è più sufficiente limitarsi ad acquistare soluzioni tecnologiche; la normativa richiede infatti di dimostrare l’efficacia misurabile delle misure di sicurezza implementate, adottando un approccio multi-rischio che deve essere proporzionale al livello di rischio precedentemente valutato.

NIS2 e Compliance - digital forensics e informatica forense in aiuto

L’informatica forense o digital forensics si rivela essenziale non solo nella risposta agli attacchi, ma in ogni misura minima prevista dall’Articolo 24. Per esempio, è fondamentale per condurre una corretta Analisi dei Rischi, poiché solo l’analisi retrospettiva degli incidenti passati – inclusi quelli tentati o “mancati” – può fornire i dati necessari per questa valutazione. Essa rappresenta il campo di gioco principale nella Gestione degli Incidenti e nella verifica dell’integrità dei sistemi di Continuità Operativa, dove solo un’analisi approfondita può confermare che i backup non siano stati compromessi. Inoltre, l’analisi post-incidente è l’unica vera metrica per la Valutazione dell’Efficacia degli strumenti di logging, EDR o SIEM utilizzati, e risulta imprescindibile per rispondere alla domanda fondamentale in termini di sicurezza del personale: “Chi ha fatto cosa, quando e come?”.

NIS2 e questione temporale per i CISO - Informatica Forense per la gestione dell'incidente informatico

La sfida più grande si concentra tuttavia sulla gestione delle tempistiche stringenti dettate dall’Articolo 25. Dalla pre-notifica da inviare al CSIRT Italia entro 24 ore fino alla Relazione Finale Completa richiesta entro un mese, la pressione sui CISO è altissima. Questa relazione finale deve obbligatoriamente includere la Root Cause Analysis, ovvero l’identificazione precisa della causa originale che ha innescato l’evento dannoso. Ed è qui che emerge il punto cruciale della lezione: è impossibile identificare con certezza la root cause – come pare effettivamente richiesto dalla normativa NIS2 – senza condurre un’indagine approfondita di Informatica Forense o Digital Forensics.

In conclusione, la Direttiva NIS2 ci spinge verso un approccio olistico alla sicurezza che integra misure Tecniche, Organizzative e Operative; in questo scenario, i log di sistema e le procedure operative diventano la fonte primaria di prova. L’informatica forense, dunque, non è un’opzione, ma una necessità tecnica e legale imprescindibile per soddisfare gli obblighi normativi e garantire una protezione efficace dell’organizzazione in un contesto normativo che si focalizza sull’interruzione dei servizi essenziali e sull’impatto sistemico.

Sulle tracce dell’hacker dell’autoscuola con Le Iene e Forenser

forenser on 15 Ottobre 2025

Domenica 12 ottobre 2025 è andato in onda su Italia 1 la prima parte del servizio televisivo de Le Iene intitolato “Chi è l’hacker dell’autoscuola?”, condotto da Veronica Ruggeri.
Nel corso della puntata, il Dott. Paolo Dal Checco, CEO di Forenser Srl e consulente informatico forense per Le Iene, ha partecipato all’indagine come perito informatico, collaborando con la redazione per far luce su un complesso caso di cyberstalking, intrusione informatica e monitoraggio illecito delle comunicazioni digitali.

Un caso di hacking e stalking digitale

Il primo episodio del servizio de Le Iene racconta la vicenda di due dipendenti di una scuola guida – Andrea e Chiara – perseguitati da oltre un anno da un ignoto hacker che – attraverso tecniche di intrusione e sorveglianza digitale – ha compromesso sistemi informatici, intercettato conversazioni, inviato messaggi minatori e diffuso informazioni personali e contenuti privati.

Tra le modalità di attacco riscontrate nelle azioni portate avanti contro Chiara, Andrea e i loro genitori oltre che alcuni amici figurano:

l’accesso abusivo a dispositivi mobili e computer aziendali,
l’utilizzo di servizi di posta elettronica criptata come ProtonMail,
il controllo remoto di elementi fisici come la serranda automatizzata dell’autoscuola,
e il monitoraggio costante delle attività online e offline delle vittime tramite canali social, SMS, email e applicazioni di messaggistica.

L’intervento del team Forenser Srl

Nel corso del servizio de Le Iene sull’hacker dell’autoscuola parte I, il Dott. Dal Checco – affiancato da una parte del team tecnico di Forenser Srl, ha operato in qualità di consulente informatico forense per Le Iene, conducendo attività di:

ricognizione tecnica e valutazione delle superfici d’attacco,
copia forense di smartphone e PC con strumenti certificati (Oxygen Forensics Detective),
acquisizione forense di account cloud e social network,
analisi dei log di rete e dei metadati digitali nell’ambito di attività di network forensics e mobile forensics,
verifica di accessi anomali e potenziali compromissioni tramite tecniche di email forensics e digital profiling.

L’intervento ha consentito di cristallizzare le evidenze digitali e preservare la catena di custodia dei dati, garantendo la validità probatoria delle informazioni acquisite.

Metodologia di analisi forense

Per affrontare un caso così complesso, il team Forenser ha adottato un approccio multidisciplinare che combina diverse branche della digital forensics:

Mobile Forensics: estrazione e analisi forense di dispositivi mobili per individuare app di controllo remoto, spyware o tracce di sincronizzazioni cloud sospette;
Email Forensics: analisi degli header dei messaggi provenienti da domini cifrati, ricostruzione dei percorsi SMTP e correlazione temporale tra messaggi e attività sui dispositivi;
Social network forensics: ispezione dei log di accesso ai profili social network (in particolare Instagram) utilizzati dall’hacker per comunicare con le vittime;
OSINT e Digital Profiling: raccolta di informazioni pubbliche e tecniche per la ricostruzione dell’identità digitale dell’attaccante.

Una perizia informatica per fare chiarezza

Il caso dell’“hacker dell’autoscuola” resta aperto e tuttora oggetto di approfondimento tecnico. Le copie forensi acquisite saranno analizzate dal laboratorio Forenser Srl per la redazione di una perizia informatica forense completa, finalizzata a individuare la dinamica degli attacchi, la provenienza delle intrusioni e i potenziali responsabili.

Il Dott. Paolo Dal Checco ha sottolineato l’importanza, in situazioni simili, di affidarsi a professionisti qualificati in informatica forense in grado di intervenire tempestivamente, cristallizzare le prove digitali e fornire un supporto tecnico e giuridico utile alle autorità competenti.

Il video del servizio de Le Iene sull’hacker dell’autoscuola

La puntata “Chi è l’hacker dell’autoscuola?” – prima parte – è disponibile gratuitamente in streaming sul sito ufficiale de Le Iene (Mediaset) al seguente link con il servizio sull’hacker dell’autoscuola.

Quella che è andata in onda il 12 ottobre 2025 è la prima puntata di una serie che approfondirà la questione dell’hacker della autoscuola con il team Forenser e il Dott. Paolo Dal Checco che, come Perito Informatico per Le Iene, analizzeranno le evidenze digitali acquisite per tentare di arrivare a una soluzione all’evidente minaccia che stanno subendo i due dipendenti della scuola guida oltre che le loro famiglie.

Durante la seconda puntata della serie “Chi è l’hacker dell’autoscuola?” verranno mostrati ulteriori eventi e indizi utili per fornire ulteriori elemnenti di valutazione per comprendere chi possa celarsi dietro l’hacker che tormenta Chiara e Andrea da oltre un anno e mezzo, anche se come si vedrà l’identificazione dell’hacker della scuola guida è ancora lontana.

Chi è Forenser Srl

Forenser Srl è una società specializzata in informatica forense, consulenza tecnica, perizie informatiche e analisi di evidenze digitali per tribunali, avvocati, aziende e privati.
Il laboratorio opera su casi di cybercrime, data breach, frodi informatiche, analisi di e-mail, mobile forensics e investigazioni digitali, con metodologie conformi agli standard internazionali (SWGDE, NIST, ISO/IEC 27037) oltre che Italiani, come la Legge 48/2008 che prevede vincoli restrittivi su catena di custodia e modalità di acquisizione forense delle prove digitali.

Per approfondimenti o richieste di consulenza in ambito informatico forense, CTP informatiche, CTU informatiche, partecipazione ad attività di descrizione giudiziaria in fascicoli civili, sequestri o accertamenti tecnici irripetibili in fascicoli penali è possibile contattare Forenser Srl attraverso il modulo di contatto ufficiale oppure scrivendoci o telefonandoci al numero presente nella pagina dei contatti dello Studio d’Informatica Forense.

Seminario ONIF 2025 sull’informatica forense a Bari

forenser on 2 Ottobre 2025

Per chi fosse interessato, segnaliamo il Seminario ONIF 2025 sulla informatica forense, che si terrà a Bari venerdì 17 ottobre 2025, nella splendida cornice di Villa De Grecis.

La 9a edizione dell’evento annuale dell’Osservatorio Nazionale d’Informatica Forense (ONIF) è dedicata a Operatori delle Forze dell’Ordine, Giuristi e consulenti informatici forensi oltre che a personalità istituzionali e professionisti del.

Durante l’evento si parlerà della survey ONIF 2025, d’intelligenza artificiale applicata alla video forensics, di DSPM e DLP, di forensys, il gestionale per l’informaticoforense moderno, di competenze e certificazione di processi e procedure informatiche forensi, di dispositivi IIoT, di threat intelligence e NIS2, di bonifiche elettroniche e webforensics con sponsor e relatori di altissimo livello.

Osservatorio Nazionale Informatica Forense – Bari 2025

Il programma dell’evento ONIF a Bari del 17 ottobre 2025 è il seguente:

08:30 – 09:30
Registrazione partecipanti

09:30 – 10:15
Introduzione e saluti istituzionali
Mattia Epifani (Presidente ONIF)
Moderazione: Nanni Bassetti
Direzione eventi: Pasquale Di Tolla

10:15 – 10:45
Presentazione Survey ONIF 2025
Alessandro Fiorenzi

10:45 – 11:15
Utilizzo dell’intelligenza artificiale per la super risoluzione di video digitali a scopo forense. È una buona idea? Un caso pratico: riconoscimento di volti
Massimo Iuliani

11:15 – 11:45
Pausa caffè

11:45 – 12:15
DSPM e DLP: La sinergia vincente per la sicurezza dei dati
Alessandro Fontana (Netskope)

12:15 – 12:45
Forensys: il gestionale per l’informatico forense moderno
Antonio Roberto Consalvi

12:45 – 13:15
Dallo smartphone allo smartwatch: nuove frontiere nell’analisi forense dei dispositivi mobili
Diego Cassini (Compelson)

13:15 – 14:30
Pausa pranzo

14:30 – 15:00
L’erogazione di servizi di digital forensics di qualità: tra esigenza di risorse, competenze e certificazione di processi e procedure
Michele Ferrazzano

15:00 – 15:15
DeepPlate: un utilizzo intelligente dell’intelligenza artificiale
Marco Fontani (Amped Software)

15:15 – 15:30
Inside the breach: analisi forense, threat intelligence e risposta operativa come architettura di difesa tra obblighi NIS2 e contesto reale
Claudio Tinelli

15:30 – 16:00
Digital Forensics per dispositivi IIoT (Industrial Internet of Things): sfide, prospettive e casi reali
Fabrizio Giuliani

16:00 – 16:15
Pausa

16:15 – 16:30
Magnet One: la nuova era delle indagini digitali
Luigi Portaluri, MBA (Magnet Forensics)

16:30 – 16:45
Le Bonifiche Elettroniche a supporto di controspionaggio industriale. M2 Bridge New, apparato innovativo per rilevare Software Spy su Cellulari e Tablet
Marco Muratori (MG Extreme)

16:45 – 17:00
Ottimizzare gli strumenti investigativi per superare le sfide digitali
Oliver Gheorghe (Solutions Engineer Cellebrite)

17:00 – 17:30
Web Forensics: Presentazione della prima Certificazione CWFE per l’Acquisizione di Contenuti Online
Alessandro Rella

17:30 – 17:45
Domande e termine lavori

Chi desidera la versione PDF può visionare in preview o scaricare la locandina dell’evento ONIF a Bari dal seguente link.

FTK Imager PRO: supporto alla cifratura e iOS

forenser on 28 Settembre 2025

Dopo quasi 25 anni dall’uscita del preziosissimo – oltre che gratuito, anche per uso commerciale – software FTK Imager, la società Exterro (che ha acquisito AccessData) ha fatto uscire la versione “Pro” che ne contiene le stesse caratteristiche ma con il supporto alla decifratura e all’acquisizione logica di dispositivi iOS.

L’idea che si legge sulla pagina ufficiale di FTK Imager Pro su Exterro è quella di espandere le capacità già solide della versione gratuita con funzioni più sofisticate, soprattutto per trattare prove cifrate, dispositivi mobili e per ridurre i tempi nelle attività forensi. Secondo Exterro, FTK Imager Pro “permette di evitare l’imaging completo del disco e visualizzare file decrittati istantaneamente, preservando la catena di custodia e accelerando le indagini.”

Caratteristiche e prezzo di FTK Imager PRO

Nella pagina del “coming soon” del negozio Exterro, sono elencate le caratteristiche chiave previste per la versione Pro:

acquisizione logica avanzata “Advanced Logical” da Smartphone Apple iOS (messaggi, foto, dati app, registri chiamate);
rilevamento di immagini cifrate e richiesta delle credenziali per decrittarle;
accesso “live” a dati decrittati direttamente dal dispositivo, senza dover necessariamente creare prima un’immagine cifrata completa.

Il prezzo indicato sul sito del negozio è 499 USD all’anno per utente, la licenza è legata al PC sul quale viene installato il software.

La versione gratuita di FTK Imager: cosa offre

Per comprendere il salto rappresentato da FTK Imager Pro, è utile ricordare le funzioni offerte dalla versione gratuita di FTK Imager:

Creazione di copia forense di hard disk o supporti di memoria nei formati standard (E01, AFF, RAW, ecc.);
Creazione di copie forensi di cartelle o singoli file tramite contenitori forensi in formato A01;
Anteprima di file e directory contenuti nelle immagini o nei dispositivi collegati;
Esportazione tramite di file e cartelle selezionati da immagini forensi (es file di registro, eventi, etc…);
Calcolo e verifica degli hash (MD5, SHA1, SHA256) per garantire l’integrità dei dati acquisiti;
Montaggio di immagini forensi come unità virtuali per ispezione.

Queste funzionalità rendono la versione gratuita uno strumento molto utile e robusto per attività di copia forense di base, prendando ovviamente limitazioni quando si devono trattare dati cifrati, dispositivi mobili o situazioni in cui non si vuole acquisire l’intero disco indiscriminatamente.

Confronto: la versione gratuita di FTK Imager vs FTK Imager Pro

Sul sito ufficiale viene fornita una ottima tabella di confronto tra la versione gratuita di FTK Imager vs FTK Imager Pro:

Da questo confronto tra le due versioni – FTK Imager free edition e FTK Imager PRO a pagamento – emerge chiaramente che la Pro punta a colmare le lacune più critiche della versione gratuita, specialmente nelle aree dell’encryption, dell’analisi “live” e del supporto a dispositivi mobili.

Punti strategici e vantaggi principali di FTK Imager Pro

Emergono dai documenti evidenti vantaggi della versione a pagamento di FTK Imager PRO, tra i quali:

1. Trattamento delle evidenze cifrate / crittografia

Uno dei punti di forza più citati per FTK Imager Pro è la capacità di rilevare immagini cifrate (come BitLocker, FileVault, e altre) e richiedere le credenziali per decrittarle, permettendo di visualizzare i dati senza dover prima creare un’immagine cifrata completa. Questo è particolarmente utile, poiché oggi molte installazioni operative – persino sistemi Windows moderni – adottano cifratura di default, e dover acquisire un’intera copia forense cifrata per poi scoprire che l’oggetto d’interesse è piccolo può essere inefficiente.

2. Preview / accesso live ai dati decrittati

Invece di dover acquisire e poi analizzare per intero un disco, Pro consente l’accesso immediato ai file decrittati dal dispositivo, riducendo in modo drastico i tempi iniziali delle indagini (il cosiddetto “triage”). Questa funzionalità permette un flusso operativo più agile: si può decidere cosa acquisire in modo selettivo, anziché “prendere tutto”.

3. Supporto migliorato per dispositivi mobili (iOS)

FTK Imager Pro integra una modalità di copia forense logica avanzata per i dispositivi iOS: acquisizione forense di foto, messaggi, dati delle app, registri delle chiamate e così via, con un’interfaccia guidata.

FTK Imager Pro e l'acquisizione forense logica di iOS

Questo riduce la necessità di strumenti esterni di mobile forensics per l’acquisizione forense di iOS, consolidando in un’unica interfaccia maggior parte dei processi iniziali di raccolta di dati da smarthpone Apple iPhone con iOS.

FTK Imager Pro e Acquisizione Forense di iPhone con iOS

La iOS Advanced Logical Collection di FTK Imager Pro sembra simile a una Advanced Logical tipica degli strumenti tradizionali di mobile forensics, basata su backup iTunes come Cellebrite UFED, MSAB XRY, Oxygen Forensics, Magnet Axiom e simili.

4. Efficienza e riduzione dei tempi

Con le funzioni pro di decrittazione “on the fly” e l’accesso live, Exterro afferma che gli operatori possono “chiudere casi più rapidamente e con meno sforzo”. In scenari reali, dove il tempo è cruciale (incident response, indagini penali, contenziosi), questa efficacia può essere strategica.

5. Mantenimento della catena di custodia

Nonostante l’accesso diretto ai dati decrittati, l’obiettivo è preservare i principi forensi, tracciando gli accessi e controllando che qualsiasi modifica non comprometta l’integrità dell’evidenza. Exterro sostiene che Pro mantiene la catena di custodia anche nelle operazioni più snelle.

6. Unificazione delle funzionalità

FTK Imager Pro combina più funzioni (imaging, decrittazione, raccolta mobile) in un solo tool “leggero”, evitando di dover passare tra più strumenti o moduli. Questo può semplificare la formazione del personale e ridurre l’errore operativo.

Potenziali svantaggi e limiti da considerare

Il prodotto pare molto interessante ma ci sono alcune criticità o limiti ancora da valutare:

Costo / modello di licenza
Pro sarà offerto con un abbonamento annuale (499 USD per utente) il che rappresenta un investimento più che percorribile anche per piccole strutture ma la licenza è legata al singolo dispositivo (PC, Workstation) e non pare essere disponibile versione con licenza su dongle.

Dipendenza da credenziali valide
Le capacità di decrittazione “on demand” funzionano solo se si dispone delle credenziali corrette. In assenza delle chiavi, l’accesso live potrebbe non essere possibile, costringendo comunque ad acquisizioni complete o brute force nel caso in cui non si disponga delle password.

Complessità e rischi operativi
L’accesso “live” ai dati può esporre a rischi di alterazione accidentale o manipolazione: anche se il tool si propone di preservare integrità e catena di custodia, l’operatore deve essere cauta/o e ben addestrata/o.

Limitazioni nelle analisi più avanzate

FTK Imager (in versione gratuita o Pro) non è un tool di analisi forense completa che possa essere utilizzato come strumento principale per una perizia informatica, per esempio, non è pensato per compiere analisi complesse su file cancellati, recuperi approfonditi, correlazioni, reportistica forense sofisticata. Per queste funzioni, esiste il “FTK Forensic Toolkit” (la suite completa) che integra motori di analisi, ricerche full-text, database, e reportistica avanzata così come altre soluzioni di produttori concorrenti come Intella, Nuix, Magnet Axiom, Belkasoft, etc…

Stabilità / maturità del prodotto

Essendo un prodotto d’informatica forense “nuovo” (o comunque di recente rilascio), potrebbero emergere bug, limitazioni nelle versioni iniziali, o mancanze rispetto a casi limite non previsti. Occorre valutare affidabilità, aggiornamenti e supporto nel tempo, dato che non molto tempo fa era emerso un problema con una versione di FTK Imager gratuita rilasciata e subito ritirata dal web.

Compatibilità e dipendenze ambientali

Potrebbero esserci limitazioni legate ai sistemi operativi, alle versioni dei file system cifrati, a nuove forme di cifratura emergenti che non siano inizialmente supportate, a modelli iOS non previsti, ecc.

Conclusioni

Nel complesso, il software FTK Imager Pro sembra un ottimo prodotto per eseguire perizie informatiche forensi su supporti digitali come hard disk, pendrive e ora anche smartphone Apple iPhone con iOS: valuteremo di aggiornare l’articolo in base a test o feedback una volta che ve ne saranno.

Le Nuove frontiere delle Prove Digitali: web forensics a Milano per MSAB

forenser on 17 Aprile 2025

Giovedì 8 maggio 2025 dalle ore 8:30 alle ore 18:30 si terrà a Milano, presso Il Grand Hotel Doria, l’incontro dal titolo “Nuovi Orizzonti per le Indagini Digitali Forensi: Sfide e Soluzioni” organizzato da MSAB, in collaborazione con NUIX, SANS ed E-Trace.

Durante il seminario gli ospiti potranno assistere a presentazioni di importanti esperti d’informatica forense, esponenti di pubbliche autorità europee ed rappresentanti italiani delle relative realtà aziendali coinvolte.

L’ordine del giorno della conferenza sulla digital forensics organizzata da MSAB è il seguente:

8:45 Registrazione Partecipanti
9:30 Introduzione
9:45 Ghennadii Konev & Giovanni Maria Castoldi con l’intervento: “Non Solo FFS, Estrazioni Fisiche BFU con XRY”
10:30 Coffee Break
10:45 Mattia Epifani con l’intervento: “Not So Private Browsing!”
11:45 Dario Beniamini con l’intervento: “Rethinking Digital Investigations: Beyond Keyword Searches”
12:30 Paolo Dal Checco & Andrea Lazzarotto con l’intervento: “Web Forensics: Le Nuove frontiere delle Prove Digitali”
13:15 Pranzo
14:30 Manlio Longinotti con l’intervento: “SANS DFIR Trainings: La Formazione Oltre l’Aggiornamento”
15:00 Pier Luca Toselli & Roberto Murenec con l’intervento: “Perquisizione e Sequestro del Dispositivo “Mobile” Tra Rispetto delle Regole Processuali e delle Garanzie di Parte”
15:45 Coffee Break
16:00 Intervento E-Trace
16:45 Q&A, Demo
18:00 Termine

Nello specifico, durante la conferenza su informatica forense organizzata da MSAB a Milano, insieme al collega Andrea Lazzarotto terrò un intervento sula “Web Forensics”, cioè l’insieme di tecniche, metodologie, princìpi e strumenti d’informatica forense applicati alla cristallizzazione o copia forense di siti web e risorse online finalizzata a un utilizzo in Tribunale in cause civili o penali.

L’intervento sulla web forensics durante l’evento di Milano, tenuto dal Dott. Paolo Dal Checco e dal Dott. Andrea Lazzarotto, entrambi soci ONIF (Osservatorio Nazionale d’Informatica Forense), sarà un misto tra teorico e pratico, con alcuni esempi di come sia possibile procedere a realizzare copie forensi di siti web, pagine, chat, post, commenti e qualunque risorsa presente su Internet, protetta o meno da password o credenziali di accesso.

Conferenza su digital e web forensics a Milano

I relatori che parteciperanno all’evento MSAB a Milano su informatica forense, mobile e web forensics sono i seguenti:

Mattia Epifani, CEO di Reality Net, consulente informatico forense, esperto in attività di Digital Mobile Forensics, docente certificato SANS, docente universitario, autore e divulgatore, con l’intervento: “Not So Private Browsing!“;
Paolo Dal Checco, Consulente informatico forense, esperto in attività di Digital Mobile Forensics, analisi e corsi OSINT, perizie informatiche su criptovalute, analisi forense di malware, docente universitario, autore e divulgatore, con l’intervento: “Web Forensics: Le Nuove frontiere delle Prove Digitali”;
Andrea Lazzarotto, consulente informatico forense, esperto in attività di Digital Mobile Forensics, ricercatore, sviluppatore, con l’intervento: “Web Forensics: Le Nuove frontiere delle Prove Digitali”;
Roberto Murenec, Maresciallo in forza al Comando Provinciale della Guardia di Finanza di Pordenone, autore, divulgatore ed esperto di Digital Forensics e relativa regolamentazione legislativa;
Pier Luca Toselli, Luogotenente Carica Speciale in forza al Comando Provinciale della Guardia di Finanza di Bologna, esperto di Digital Forensics e relativa regolamentazione legislativa, con l’intervento: “Perquisizione e Sequestro del Dispositivo ‘Mobile’ Tra Rispetto delle Regole Processuali e delle Garanzie di Parte”
I responsabili di E-Trace, rivenditore esclusivo MSAB per il territorio italiano;
Manlio Longinotti, Responsabile Italia SANS, con l’intervento: “SANS DFIR Trainings: La Formazione Oltre l’Aggiornamento”
Dario Beniamini, Esperto in proprietà intellettuale e tutela dei marchi, DFIR, NUIX Senior Consultant, docente certificato SANS, con l’intervento: “Rethinking Digital Investigations: Beyond Keyword Searches”
Ghennadii Konev, technical sales engineer di MSAB, con l’intervento: “Non Solo FFS, Estrazioni Fisiche BFU con XRY”
Giovanni Maria Castoldi, MSAB North Mediterranean Area Sales Manager.

L’evento è completamente gratuito ed un business lunch, così come le pause caffè, saranno offerte a tutti i partecipanti.

Per informazioni o iscrizioni, è disponibile gratuitamente il link dell’evento sul sito MSAB.

Recupero di messaggi WhatsApp eliminati tramite Msgstore Increment

forenser on 31 Marzo 2025

Recentemente, durante l’analisi di uno smartphone Android, è stato necessario recuperare dei messaggi cancellati appartenenti ad una chat eliminata dall’applicazione di WhatsApp. Fino a poco tempo fa anche effettuando un’analisi tramite software professionali quali Cellebrite UFED, Oxygen Forensic Detective e Magnet Axiom, non era possibile recuperare tale chat poiché eliminata prima del suo inserimento all’interno del classico backup periodico locale del database “msgstore.db” e quindi non visibile con le metodologie standard di recupero dati.

Di recente la funzionalità di recupero delle chat non presenti nei backup periodici è stata aggiunta ai software di mobile forensics, ma riteniamo utile illustrare in dettaglio come era possibile anche prima dell’aggiunta – e lo è tuttora – procedere manualmente con l’ispezione dei file relativi all’applicazione di WhatsApp e recuperare chat cancellate.

Nello specifico, illustreremo come recuperare una porzione della chat – non presenti nel DB o nei backup tradizionali – grazie all’analisi di un altro file di backup, incrementale e non completo: il “msgstore-increment.db“.

Cos’è il msgstore-increment.db e a cosa serve?

L’applicazione di WhatsApp, quando installata su dispositivi Android, effettua dei backup periodici del database principale “msgstore.db”, contenente tutte le informazioni correlate all’account di WhatsApp, inclusi i messaggi.

Purtroppo, la creazione dei backup e la loro gestione, in alcuni casi, può risultare difficoltosa da parte dell’applicazione soprattutto in situazione in cui i dati gestiti risultano essere centinaia di MB se non GB. Per questo motivo, per minimizzare la perdita dei dati e ottimizzare la gestione della memoria sul dispositivo, WhatsApp esegue dei backup incrementali, tra ogni backup completo, dentro i quali vengono salvati solo i cambiamenti avvenuti nell’applicazione: ad esempio, se il giorno successivo al backup completo vengono inviati cento messaggi, essi vengono inclusi all’interno del backup incrementale eseguito per quel giorno.

Questo significa che, se in seguito alla creazione del backup completo vengono inviati cento messaggi e poi cancellati, essi possono essere recuperati dal backup incrementale, ammesso che non siano stati eliminati prima della sua creazione.

A oggi, software professionali come Cellebrite UFED o Oxygen Forensics supportano il parsing del backup incrementale msgstore-increment, ma fino a pochi mesi fa era una funzionalità probabilmente ancora in lavorazione, dato che è comparsa di recente. Di conseguenza, per tentare il recupero dei messaggi eliminati, in passato, è stato necessario comprendere le logiche alla base di questo tipo di dato e creare uno script in grado di automatizzare l’estrazione di eventuali messaggi cancellati, ma ancora presenti nell’increment, mentre oggi chi ha a disposizione software professionali può eseguire il recupero direttamente tramite le funzionalità interne.

Come funziona e come si estraggono i dati dall’archivio msgstore-increment.db?

Il primo passo è stato quello di approfondire il funzionamento del backup incrementale, avendo prima replicato uno scenario in cui questa funzionalità ha generato degli increment. Tramite l’analisi dei dati generati dall’applicazione WhatsApp, sono stati individuati e analizzati diversi file denominati “msgstore-increment.db.crypt14”, ovvero archivi compressi e cifrati. Tali archivi sono stati decifrati attraverso l’utilizzo dello strumento “wa-crypt-tools” (https://github.com/ElDavoo/wa-crypt-tools) e, successivamente, decompressi, ottenendo file strutturati in formato JSON e un file binario denominato “messages.bin”.

Contenuto dell’archivio msgstore-increment.db.crypt14, backup incrementale

Tra i file in JSON ne è presente uno chiamato “header.json” dentro il quale sono contenute informazioni utili, relative agli altri file presenti nella cartella, compreso “messages.bin”. Inoltre, dall’analisi effettuata sul file binario, è stato possibile determinare il formato utilizzato per la codifica dei dati, ovvero il protocollo protobuf.

Protobuf è un formato di serializzazione dati sviluppato da Google e viene spesso utilizzato nella trasmissione delle informazioni tra applicazioni o per la memorizzazione di dati in un formato binario poiché risulta essere più leggero e performante rispetto a JSON o XML.

Il funzionamento è relativamente semplice, è necessario definire la struttura dei dati tramite la creazione di un file “.proto” e utilizzare un compilatore per la creazione di uno script in grado di codificare i dati basandosi, appunto, sul protocollo definito. Di seguito un esempio di definizione del protocollo:

Esempio di definizione per protobuf

In questo caso, uno script basato su tale definizione sarà in grado di creare un file binario contenente i dati “nome” ed “eta” riportati nel file protobuf.

Nell’applicazione di WhatsApp avviene la stessa cosa: il file binario “messages.bin” viene creato da una porzione di codice contenuta nell’applicazione ed è basato su un file “proto” dentro la quale è definita la struttura dei messaggi e delle conversazioni.

Inoltre, il file binario “messages.bin” viene strutturato con una o più porzioni del dato binario codificato con protobuf, tali porzioni vengono definiti anche segmenti o “length-delimited” (https://protobuf.dev/programming-guides/encoding/#length-types). Pertanto, per leggere il contenuto del file è prima necessario separare i vari segmenti e successivamente procedere con la lettura.

Rappresentazione dei segmenti contenuti nel file messages.bin

Per la separazione di ogni singolo segmento presente nel file “messages.bin” abbiamo creato uno script in python, che mettiamo a disposizione sulla nostra repository GitHub (https://github.com/Forenser-lab/wa-increment-decoder/blob/main/splitter.py), in grado di leggere il file “messages.bin” e creare diversi file binari ognuno contenente il dato (segmento) protobuf da leggere.

Successivamente, per la lettura di ogni singolo file, abbiamo utilizzato il tool “protobuf inspector” (https://github.com/mildsunrise/protobuf-inspector), uno script in grado di leggere un file binario codificato con protobuf:

Output del tool protobuf_inspector

Nonostante sia stato possibile estrapolare i vari messaggi contenuti nei segmenti, essi sono risultati un’aggregazione di dati “anonimi”. Sebbene alcuni dei dati ottenuti dall’estrazione della chat contengano campi con un significato intuitivo, come il testo del messaggio o il timestamp, altri sono risultati ignoti rendendo di conseguenza difficoltoso stabilirne il significato reale. Questo accade poiché noi non siamo in possesso della definizione del protocollo “proto” utilizzato da Meta e in grado di leggere correttamente i dati contenuti nel file binario.

Ciononostante, in rete, sono presenti diversi progetti di reverse engineering aventi oggetto la definizione del protocollo impiegato su WhatsApp, incluso quello del repository GitHub Wa-Proto (https://github.com/wppconnect-team/wa-proto) effettuato sulla versione web del software. Successivamente, provando ad adattare la loro definizione per il nostro scopo, siamo riusciti a decodificare correttamente l’intero contenuto del file binario “messages.bin” ottenendo tutti i dati in chiaro con il loro relativo significato.

A questo punto, è stato semplice creare uno script in grado di generare un file CSV contenente tutti i messaggi presenti nel file binario, indicando il caso in cui un messaggio risultasse essere stato eliminato. Si noti che sono stati effettuati alcuni test che hanno considerato anche i media (immagini, video, etc.) e in alcuni casi nella cartella decifrata e decompressa relativa all’increment è presente il folder “messages.bin” contenente miniature di immagini eliminate (successivi aggiornamenti saranno orientati a verificare in che misura è possibile recupera media o tracce di essi).

Proof of Concept di decifratura e analisi del msgstore-increment.db

Innanzitutto, è stato riprodotto lo scenario: abbiamo inizializzato una nuova chat, utilizzandola per qualche giorno per poi infine eliminarla, evitando che fosse memorizzata nel backup “msgstore.db”. Grazie a questa riproduzione, sebbene i messaggi della chat non siano stati inclusi nel backup settimanale, sono comunque stati inseriti nel backup incrementale giornaliero.

Nell’immagine seguente viene riportata un’illustrazione dello scenario riprodotto. Nello specifico è possibile vedere come il backup principale venga creato alle ore 02:00 AM del 10/01, successivamente alle ore 01:35 PM dello stesso giorno viene creata una conversazione con ID 123 che sarà inclusa nel backup incrementale alle ore 02:00 AM del 11/01. Infine, alle ore 04:00 PM del giorno 11/01 la chat con ID 123, viene eliminata (ma risulta ancora presente nel backup incrementale creato precedentemente):

Timeline dello scenario di riferimento

Successivamente, sono stati estratti i backup incrementali dal dispositivo Android, solitamente contenuti nella directory “/data/media/0/Android/media/com.whatsapp/WhatsApp/Databases/” e opportunamente decriptati tramite l’apposita chiave di cifratura, ottenendo così i seguenti file:

msgstore-increment-1-2025-01-16.1.db;
msgstore-increment-2-2025-01-16.1.db;
msgstore-increment-3-2025-01-16.1.db;
msgstore-increment-4-2025-01-16.1.db.

I vari backup sono stati inseriti tutti all’interno della stessa cartella e in seguito è stato eseguito lo script da noi creato per il recupero dei messaggi, il quale ha generato un file CSV contenente la lista di tutti i messaggi estratti:

Generazione del file CSV contenente i messaggi recuperati

Conclusioni

Grazie ad un approfondimento sulla gestione dei backup nell’applicazione di WhatsApp per dispositivi Android, siamo riusciti a comprendere come essi vengono strutturati tramite il concetto di backup incrementali. L’analisi ci ha portato alla creazione di un piccolo tool, scritto in python, in grado di estrarre in modo strutturato i messaggi dal backup incrementale “msgstore-increment.db” in modo efficiente, con dettagli di rilievo come il timestamp e senza bisogno di utilizzare altri strumenti.

La funzionalità dei backup incrementali permette il recupero di messaggi eliminati tra la creazione di un backup integrale, locale, “msgstore.db.crypt14” e un altro, quindi non recuperabili tramte le tradizionali tecniche di analisi forense e undelete dal DB sqlite o dai backup.

Per chi volesse sperimentare o provare l’estrazione di questi messaggi, lasciamo qui di seguito il link dello script scaricabile dalla nostra repository GitHub (https://github.com/Forenser-lab/wa-increment-decoder).

GPT personalizzati su informatica forense e digital forensics

forenser on 20 Marzo 2025

Per chi fosse nteressato all’uso della IA in ambito informatica forense, segnaliamo tre GPT personalizzati e custom creati da utenti esterni su ChatGPT utilizzabili da chiunque, configurati per fornire supporto su argomenti che riguardano la digital forensics e la perizia informatica.

Nei repository pubblici di GPT sono presenti decine di custom GPT in tema digital forensics, non conosciamo gli sviluppatori e quindi non possiamo garantire sulla qualità, considerato però che la parte iniziale del dialogo con l’IA può essere proprio orientata a capire su che basi sono stati configurati i bot, con quali documenti, tramite quali indicazioni operative, limiti e vincoli, così da valutare l’ambito di applicazione di ogni GPT.

1) https://chatgpt.com/g/g-g4xE4lNk0-digital-forensics-ita

GPT italiano che rappresenta – tramite l’intelligenza artificiale – un esperto digitale in Informatica Forense che applica normativa italiana in Mobile, Computer, Cloud e Network Forensics e con specializzazione su:

✔ Acquisizione e analisi forense di dati da computer, dispositivi mobili, reti e cloud.
✔ Identificazione di violazioni di dati e analisi di eventuali compromissioni.
✔ Utilizzo di strumenti forensi (come EnCase, FTK, Cellebrite, Autopsy) e tecniche di scripting per analisi avanzate.
✔ Supporto legale e conformità alla normativa italiana sulla digital forensics.
✔ Redazione di report forensi validi in tribunale.

2) https://chatgpt.com/g/g-H1VZzHBSK-digital-forensics-advanced-specialist

GPT custom in inglese personalizzato sulla Digital Forensics, progettato su ChatGPT per supportare chi esegue perizie informatiche tramite intelligenza artificiale esperti nell’analisi forense di dispositivi digitali, tra cui smartphone, tablet, droni e altri dispositivi elettronici. È basato su una vasta raccolta di manuali e guide forensi, coprendo strumenti come Cellebrite Physical Analyzer, Oxygen Forensic Suite, Magnet AXIOM, Exterro FTK, e altri, specializzato su:

✔ Estrazione e analisi dei dati da dispositivi mobili, computer e droni.
✔ Recupero dati e prove digitali, incluse cronologie di navigazione, dati eliminati e registri di sistema.
✔ Utilizzo di strumenti forensi per acquisizione e analisi, con procedure e best practice.
✔ Principi di sicurezza e gestione delle prove digitali, fondamentali per garantire l’integrità e l’ammissibilità delle prove.

3) https://chatgpt.com/g/g-66mvwhTqv-dfir-digital-forensics-and-incident-response

Custom GPT specializzato in supporto alla perizia informatica mediante AI personalizzato su Digital Forensics e Incident Response (DFIR), ovvero l’analisi forense digitale e la risposta agli incidenti di sicurezza informatica, in particolare utile per:

✔ Analisi forense digitale – Raccolta ed esame di prove digitali da dispositivi come computer, smartphone e reti.
✔ Risposta agli incidenti – Strategie per identificare, contenere e mitigare minacce informatiche come malware, attacchi ransomware o data breach.
✔ Recupero di dati e tracce digitali – Tecniche per estrarre informazioni da hard disk, memorie volatili, file cancellati e log di sistema.
✔ Threat hunting e analisi malware – Identificazione di comportamenti sospetti e analisi di codice dannoso.
✔ Best practice di sicurezza – Consigli su come proteggere sistemi e dati da attacchi informatici.

Ci sono decine di GPT negli archivi ChatGPT sull’argomento informatica forense e perizie informatiche che possono fornire supporto agli analisti grazie all’intelligenza artificiale: ne abbiamo segnalati tre tra quelli con maggiori feedback e consigliamo ovviamente di non caricare documenti riservati né fidarsi ciecamente di ciò che produce l’AI ma può talvolta essere utile – quantomeno dal punto di vista tecnico e giuridico – per trovare suggerimenti, idee o spunti.

Una giornata agli HackInBo Forensic Games

forenser on 17 Novembre 2024

Sabato 16 novembre si sono svolti a Bologna – nell’ambito del consueto e annuale evento sulla sicurezza informatica HackInBo – i “Forensic Games”, la sfida nel contesto delle indagini digitali alla quale partecipano, da ormai tre anni, appassionati d’informatica forense confrontandosi in scenari investigativi realistici e avvincenti.

La progettazione dei Forensic Games è frutto dell’impegno dell’instancabile Alessandro Farina, coadiuvato da Paolo Reale, Paolo Dal Checco, Mattia Epifani e Davide “Rebus” Gabrini, con la supervisione di Mario Anglani e del team HackInBo che rende possibile realizzare in concreto il frutto dell’immaginazione di tutti coloro che hanno contribuito.

Dalla fondazione dei Forensic Games, Alessandro Farina ha il merito di essere riuscito a coordinare e spronare il gruppo di lavoro in modo da arrivare all’evento con un gioco reso ancora più avvincente dalla collaborazione delle Forze dell’Ordine e dei volontari dell’ANPAS, che rendono ogni anno la scena del crimine e le indagini che su di essa si vanno a sviluppare ancora più realistica.

Gli HackInBo Forensic Games 2024, tenutisi a Bologna nella loro quarta edizione, si sono confermati anche quest’anno uno degli eventi più stimolanti e innovativi nel panorama della sicurezza informatica italiana, offrendo ai partecipanti l’opportunità di immergersi in un caso realistico – forse anche troppo 😅 – e complesso, ambientato in uno scenario che combinava tecnologia avanzata, criminalità informatica e investigazione tradizionale.

L’evento ha richiesto ai team di partecipanti – che non si erano mai incontrati prima – di affrontare una sfida multidisciplinare, intrecciando competenze tecniche, intuizione investigativa e capacità di collaborazione sotto pressione con il fine di produrre una perizia informatica preliminare basandosi su attività svolte sul campo.

Il contesto dei Forensic Games

L’ambientazione dei Forensic Games è stata curata nei minimi dettagli, ricreando il contesto di una banca, localizzata all’interno del Centro Congressi Grand Tour Italia (ex Fico) e diventata teatro di un crimine violento. Un impiegato è stato infatti trovato morto in circostanze misteriose e le indagini hanno subito rivelato un intreccio di attività illecite, dalla manipolazione di dati aziendali a traffici sul dark web.

L’obiettivo dei partecipanti non era solo quello di raccogliere prove, ma di ricostruire la catena di custodia, valutare la volatilità delle informazioni raccolte, identificare il movente e fornire elementi utili per individuare il responsabile dell’omicidio.

Questo scenario ha messo in luce l’importanza della digital forensics come disciplina fondamentale per risolvere crimini moderni. Le indagini forensi si sono infatti concentrate su dispositivi digitali compromessi, reti aziendali potenzialmente infiltrate, sistemi di videosorveglianza e dati crittografati che celavano segreti compromettenti alla base di un omicidio ricostruibile esclusivamente grazie alle tracce digitali lasciate dal colpevole.

I partecipanti hanno avuto accesso a strumenti avanzati d’informatica forense e a informazioni parziali, dovendo spesso colmare le lacune con ingegno e rigore scientifico, confrontandosi, prendendo decisioni anche in un contesto d’urgenza e arrivando a trarre le conclusioni dell’indagine digitale nel corso della stessa giornata.

Il cuore delle indagini digitali

I team di partecipanti ai Forensic Games hanno affrontato una gamma diversificata di dispositivi e problematiche, rappresentative delle sfide reali del settore dell’informatica forense. Tra le attività principali, spiccavano:

Analisi delle chiavette USB: Alcuni dispositivi rimovibili contenevano volumi cifrati protetti da password. Una volta decifrati, hanno rivelato file sospetti come richieste di riscatto, immagini legate a traffici illegali e collegamenti a wallet in criptovalute. L’uso di strumenti come VeraCrypt e WinSCP ha evidenziato un tentativo sistematico di nascondere e trasferire informazioni sensibili.
Recupero di dati crittografati: La crittografia è stata uno degli ostacoli principali delle attività dei team partecipanti ai Forensic Games. Attraverso l’uso di tool d’informatica forense come FTK Imager o Autopsy, i team sono riusciti a montare volumi protetti e analizzarne il contenuto, trovando prove che collegavano la vittima a operazioni sospette su piattaforme del dark web, come siti di e-commerce illegali e wallet Bitcoin orientati alla protezione della privacy.
Analisi della RAM: Un’attenzione particolare è stata data alla memoria volatile, che ha fornito dettagli su sessioni attive e applicazioni utilizzate prima dell’arrivo degli investigatori sulla scena del crimine. Questa pratica ha permesso di recuperare dati critici che sarebbero altrimenti andati persi dopo il riavvio dei dispositivi.
Ricostruzione della cronologia di navigazione: L’analisi dei browser ha giocato, come spesso accade, un ruolo cruciale. Sono emerse dall’analisi forense dello storico del browser password salvate, cronologie di accesso a gestionali aziendali e link a siti della rete Tor, utilizzati per attività illecite come traffico di droga e armi. Alcuni team hanno utilizzato metodi avanzati, come la modifica dei campi password tramite strumenti di ispezione del codice, per recuperare credenziali nascoste.
Indagini sulla rete aziendale: Il monitoraggio del traffico di rete – una embrionale network forensics – ha rivelato attività sospette, come connessioni a server remoti e tentativi di esfiltrazione di dati. Questa analisi ha suggerito che l’aggressore fosse ben organizzato e tecnicamente preparato.

Le sfide affrontate

Ogni fase dell’indagine informatica forense ha presentato ostacoli complessi. La crittografia dei dispositivi rimovibili e dei file rappresentava un problema tecnico significativo, risolto solo grazie alla combinazione di strumenti avanzati e forte intuito da parte dei partecipanti. La necessità di lavorare in tempo reale, senza compromettere le prove ha richiesto precisione e rapidità. Inoltre, l’interazione con le Forze dell’Ordine ha evidenziato quanto sia fondamentale combinare indagini digitali e investigazione tradizionale, in un contesto dove la cooperazione tra gli operatori è un elemento strategico.

La collaborazione tra team di partecipanti, Carbinieri, Polizia di Stato e Polizia Scientifica è stata cruciale, la scena del crimine è infatti stata popolata di operatori che si sono suddivisi i ruoli, dall’acquisizione delle impronte digitali, tracce biologiche, immagini alla raccolta di reperti e bossoli.

Anche l’analisi delle registrazioni dei video di sorveglianza del DVR della banca in cui è stato ambientato il forensic game ha giocato un ruolo strategico. Grazie al sistema di riconoscimento facciale SARI, un’immagine parziale del sospetto è stata migliorata e confrontata con un database esistente, portando a possibili corrispondenze. Questo passaggio ha sottolineato il ruolo sempre più centrale della tecnologia nell’identificazione di responsabili.

La premiazione

La premiazione delle squadre della 4° Edizione di HackInBo® Forensic Games – HackInBo® Classic Edition Winter 2024 – è stata avvincente, ha infatti seguito la presentazione dei casi da parte dei partecipanti, con interventi degli organizzatori Alessandro Farina, Paolo Reale, Paolo Dal Checco, Mattia Epifani e Davide “Rebus” Gabrini e con interventi e supervisione di Mario Anglani e del team HackInBo.

Al seguente link potete visionare il video youtube della premiazione dei Forensic Games 2025 ad HackInBo, con l’esposizione delle squadre partecipanti che hanno raccontato come hanno condotto l’analisi forense e redatto una piccola perizia informatica con le risultanze delle analisi tecniche.

Conclusioni e spunti di riflessione

Gli HackInBo Forensic Games si sono chiusi con una vittoria collettiva: ogni team ha portato contributi unici e complementari, dimostrando quanto la digital forensics sia una disciplina che richiede sia competenze tecniche che pensiero critico. La simulazione ha evidenziato i pericoli crescenti del crimine informatico, ma anche la potenza degli strumenti investigativi disponibili per combatterlo.

Il caso presentato, con le sue sfaccettature digitali e fisiche, è stato un esempio lampante della complessità del mondo moderno. Gli investigatori non solo hanno analizzato dati, ma hanno raccontato una storia: quella di un crimine nato dalla tecnologia e nascosto dietro file crittografati, software di anonimato e sistemi aziendali compromessi.

Questa edizione degli HackInBo Forensic Games non è stata solo una competizione, ma una lezione pratica su come affrontare le sfide della sicurezza informatica e informatica forense. Ha mostrato che il successo nel risolvere casi come questo richiede non solo abilità tecniche, ma anche collaborazione, intuito e la capacità di adattarsi a scenari in continuo mutamento. Un monito e un’opportunità per chi lavora nel settore della sicurezza delle informazioni, ma anche per chi guarda al futuro con preoccupazione e speranza.

NIS2, Informatica Forense e Cybersecurity ad HackInBo Business

forenser on 14 Novembre 2024

Nella giornata di venerdì 15 novembre 2024, nell’ambito dell’evento HackInBo Business a Bologna, si terranno diversi interventi sulla NIS2 durante i quali verranno approfonditi gli argomenti relativi alla Cybersecurity e all’Informatica Forense.

NIS2 e Digital Forensics ad HackInBo Business

In particolare, la società Forenser avrà l’occasione di fornire un piccolo contributo, dalle 14:30 alle 15:30, con la partecipazione a una tavola rotonda sulla NIS2 durante la quale parteciperanno:

Francesco Paolo Micozzi (Avvocato avvocato Cassazionista e docente di Informatica Giuridica al Dipartimento di Giurisprudenza dell’Università degli Studi di Perugia)
Cristina Magro (leadership and personal development coach per SANS)
Paolo Dal Checco (Consulente Informatico Forense, CEO Forenser Srl)
Luigi Ricchi (Information Security Manager dell’Aeroporto G. Marconi di Bologna SpA)
Massimo Bugani (Assessore Innovazione Digitale e Protezione Civile presso il Comune di Bologna)

Durante la tavola rotonda a Bologna si parlerà di NIS2, Informatica Forense e Cybersecurity mettendo a confronto esperienze in ambito aziendale e governativo legato alla direttiva.

NIS2 ed Informatica Forense ad HackInBo Business

Ogni relatore porterà il suo contributo all’argomento NIS2, tra gli altri verranno trattati brevemente gli aspetti che legano la NIS2 all’Informatica Forense, alla raccolta delle prove digitali e alla gestione degli incidenti informatici, che tra l’altro Paolo Dal Checco ha già anticipato nella Memoria Scritta su Atto del Governo n. 164 per le Commissioni Riunite I (Affari Costituzionali, della Presidenza del Consiglio e Interni) e IX (Trasporti, Poste e Telecomunicazioni) su chiamata per contributi nell’ambito del Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cybersicurezza nell’Unione – cd. NIS2.

Paolo Dal Checco e il contributo per la Memoria Atti del Governo in ambito NIS2

Per quanto la NIS2 sia più orientata alle problematiche legate alla sicurezza informatica rispetto alla digital forensics, è stato importante poter contribuire nella Memoria Scritta su Atto del Governo n. 164 per le Commissioni Riunite sulla NIS2 con alcune indicazioni sulle questioni relative alla gestione informatica forense degli incidenti informatici che sarebbe opportuno fosse annoverata tra le best practices ma soprattutto tra i requisiti di una buona gestione interna.

NIS2 e Informatica Forense, Tavola Rotonda ad HackInBo

Exterro, dietro front per FTK Imager

forenser on 12 Novembre 2024

Nell’articolo pubblicato il 28 ottobre scorso sul nostro sito, avevamo segnalato un importante aggiornamento dell’applicazione FTK Imager, uno degli strumenti più utilizzati del panorama informatico forense.

La novità determinante introdotta con la nuova versione 4.7.3.61 (hash MD5 “fb98287965d4e3b9a7e9de50a781dca4”) dell’applicazione era la possibilità di gestire la crittografia BitLocker che nel tool si mostrava pienamente supportata nei processi di mounting dell’immagine cifrata (senza necessità di montare il volume logico), anche nel caso di presenza di “clear key” e generazione di copia forense già decifrata.

Nei giorni immediatamente successivi la società ha rimosso il link dalla pagina di download, generando non poco stupore (e anche un pizzico di preoccupazione visto che nel changelog erano presenti fix di vulnerabilità) tra gli utenti:

Successivamente, il 3 novembre, Exterro ha rilasciato su X, dal suo profilo, un comunicato dove spiegava che il rilascio della versione che gestisce BitLocker non è stato sostanzialmente intenzionale, non precisando se la successiva versione dello strumento che sarebbe stata rilasciata il 5 novembre avrebbe incluso ancora tale funzionalità:

Tra il 5 e il 6 novembre Exterro ha annunciato sul suo portale, nella sezione relativa al download di FTK Imager (sbagliando nella sua precisazione ad indicare il numero di versione sostituita, riportando “4.7.3.21” anziché “4.7.3.61”) la pubblicazione della versione 4.7.3.81 (hash MD5 “3815b9c2a6aa8898ecbe55353aaf4b79”) che non include la funzionalità di gestione della crittografia:

comunicato-exterro-rilascio-non-intenzionale

Mentre questo “passo indietro” ha oggettivamente scosso la comunità di tecnici che ogni giorno utilizzano lo strumento e si sentivano arricchiti dall’introduzione di una feature così vantaggiosa, ci si chiede se mai si vedrà una nuova pubblicazione dello strumento con inclusa questa funzionalità. È sempre più facile, infatti, imbattersi in dischi che sono crittografati con Bitlocker e possedere un tool che supporti la decifratura/mounting delle immagini cifrate è strategico sia nella fase di produzione di copia forense che di processing e analisi dei dati.

Nel frattempo, si tornerà all’utilizzo di soluzioni alternative come ad esempio Arsenal Image Mounter che già nella versione gratuita include la possibilità di montare immagini forensi di volumi crittografati con BitLocker che utilizzano la “clear key” e agevola il processo di generazione di copia decifrata.

Non è chiaro quale sia il motivo esatto del “dietro front” di Exterro, anche se è facile immaginare che la società possa voler includere tale funzione in una versione più esclusiva (magari a pagamento) dell’applicazione o all’interno della suite di analisi FTK (Forensic Toolkit). Resta anche l’ipotesi che la società voglia mantenere le feature della versione 4.7.3.61 in una “internal build” che non verrà rilasciata al pubblico.