Litiano Piccin

In questi giorni in cui mi sto divertendo a “giocare” con Windows 7 ne escono delle “belle”. L’idea è di avere una postazione di analisi con Windows 7 per utilizzare appieno 4 processori e 6G di RAM. La realtà è quella di rimanere con XP. Ma siamo solo agli inizi.

Vediamo in breve alcune “issue” aperte:

• FTK 3.0.4: l’installazione di ORACLE 10 va in errore a causa di una configurazione errata dello SCRIPT automatico di installazione. Morale: se si installa ORACLE a “mano” l’operazione riesce ma mi devo “inventare le configurazioni” del DB. Quindi… vediamo se AD corregge il problema. Allo stato attuale siamo in “diversi” ad attendere una riposta.

• Encase 6.15: sia quest’ultima versione e sia le precedenti hanno dei problemi con VISTA e 7. Problema non proprio banale per chi è abituato ad usare diversi PC collegati via RDP (Remote Desktop di Microsoft).  Sembra infatti che se lanciate il programma via RDP il dongle non “viene sentito” ovvero è come se non fosse presente. Morale: il programma si avvia in modalità “acquisizione” e non “analisi”. Anche qui si sta cercando una FIX. Al momento l’unico modo è di lanciare il programma da una sessione “locale” e poi eventualmente collegarsi in RDP dalla sessione già aperta. Si può usare anche VNC e affini ma la velocità con cui ci si muove nel Desktop è troppo lenta.

Domani vediamo che mi combina X-WAYS via RDP…

Se qualcuno vuole approfondire le varie problematiche, consiglio di seguire i problemi direttamente dai forum dei produttori.

UPDATE: 24/12/2009

Nessun problema di incompatibilità di X-Ways Forensics 15.4 con Windows 7 a 64 bit anche da remoto via RDP.

.

Prima di perdere la pazienza perchè dopo aver installato tutto (certificato e HASP SRM Runtime cmdline) vi accorgete che il programma non funziona) fate cosi:

• Disinstallate i DRIVER del dongle da riga di comando: “haspdinst -r“.
• Rimuovete il DONGLE.
• Riavviate.

Al successivo riavvio, inserite il DONGLE e magicamente Windows 7 installarà in automatico i file.

Procedura banale ma che sembra essere l’unico Work-Around funzionante.

.

Mi sono messo per gioco a testare i prodotti della PASSWARE (1.3 Free/Demo) per l’identificazione di file “criptati” e la loro decodifica. Naturalmente i file TRUECRYPT non vengono riconosciuti. Nemmeno i file criptati con quella “vecchia” applicazione “KREMLIN” che mi è sempre piaciuta (anche se una versione ha un “buco” enorme…).

Funzionano bene per i file protetti con le applicazioni di OFFICE e di WINZIP. Per i file “OFFICE 2007″ il protocollo usato per la criptazione è l’AES e quindi si utilizza il classico “brutaforce”.

Comunque sia… se si vuole nascondere qualcosa è sempre meglio usare TRUECRYPT su un portatile isolato con acceso un JAMMER WIFI ricordandosi di andare a cancellare la lista dei documenti recenti e i LINK sparsi fra registro e desktop. Non dimenticate di “Wippare” pagefiles e lo spazio libero su disco ad ogni spegnimento…

.

“Sbarco” su TWITTER con contenuti relativi alla Digital Forensics che giornalmente affronto.

.

A due giorni dalla morte di suor Teresa Drago la Fondazione Un Raggio di Luce Onlus di Pistoia vuole ricordarla come una delle figure più carismatiche e ricche di spiritualità incontrate sul cammino della cooperazione in Africa.

Suor Teresa è stata, durante tutta la sua vita, una figura di riferimento per tutti quelli che l’hanno conosciuta. La sua capacità di donarsi agli altri era senza limiti e il suo spirito, il suo Grande Spirito, era dotato della capacità di riuscire a rendere concreti in breve tempo anche i progetti più complessi.

Per noi della Fondazione Un Raggio di Luce è stato un privilegio conoscerla e poterla aiutare nella sua instancabile opera presso la missione delle Suore Collegine a Morogoro in Tanzania.

Vogliamo ricordarla a tutti con alcune fotografie scattate fra il 2006 e il 2008 presso la sua missione a Morogoro e desideriamo esprimere la nostra partecipazione ai familiari, in particolare alla sorella Giuseppina.

Da parte nostra continueremo a sostenere, come promesso a suor Teresa, la missione di Morogoro.

Paolo Carrara.

Presidente della Fondazione “Un Raggio di Luce” Onlus
Via A. Franchetti, 11 – 51100 Pistoia, Italia
tel.: +39 0573 31291 – fax: +39 0573 907082
e-mail: fondazione@unraggiodiluce.org
www.unraggiodiluce.org

.

Poche ore fa si è spenta a Palermo Suor Teresa Drago della Congregazione delle Collegine. Il cancro in sei mesi ce l’ha portata via… lontano dalla sua Tanzania e dalla Missione di Morogoro.

A lei devo la mia passione per l’Africa.

La voglio ricordare con questa foto del 2006.

Buon viaggio… cercheremo assieme a Gruppo Mafalda di prenderci cura della Missione.

Litiano.

.

Questo ottimo libro che mi è stato regalato è un punto di partenza per chi vuole interessarsi alla FORENSIC dei dispositivi “APPLE”. Mi sono interessato alla parte relativa all’IPHONE che sto ancora sviluppando. E’ stato scritto quando in “commercio” non era ancora comparsa la versione 3.X del FIRMWARE. Mi sono accorto (molti lo sanno da tempo) che le operazioni descritte per la copia “dd” della “Slice2″ non funziona e al comando ritorna l’errore: “Device Busy”.

Vi è un “workaround” (su cui sto lavorando a tempo perso) per acquisire la partizione nella quale riesco però ad estrarre i dati solo attraverso “carving”. Molto più semplice è lavorare sul BACKUP (altra strada da seguire sempre a tempo perso).

.

Di forensics c’è ben poco ma per “bypassare” il codice di accesso ad un IPHONE protetto basta andare a rinominare il file:

/var/Keychains/Keychain-2.db

con uno dei tanti programmini che montano in RAW il file system.

Riavviato l’IPHONE entrate tranquillamente.

Contro: perdete le password degli account usati memorizzati nel file Keychain-2.db

.

Maneggiare e preservare i dispositivi mobili:

• FARADAYBAG
• JAMMER
• SIM CLONING

Strumenti usati per l’analisi dei dispositivi mobili:

• SOFTWARE: MOBILEDIT/OXYGEN
• HARDWARE: UFED

Case Study “Forensics IPHONE”

• JAILBREAK
• Copia fisica (realizzata e testata su firmware 3.0)

.

Ho iniziato nel 2000 ad occuparmi di CF grazie all’aiuto del mio caro amico Antonio che mi ha fornito il materiale e i “casi” su cui iniziare a lavorare. Assieme a lui ho fatto molta strada e sono arrivato fino a qui. Ora ho deciso di concludere la mia esperienza diretta nella CF lasciando il mio posto ad altri. Rimangono ancora alcuni mesi per chiudere le ultime consulenze e poi mi  dedicherò solo a me stesso e alle persone che mi stanno accanto.

Ciao.

Litiano Piccin

.

Finalmente è uscito la nuova versione dell’IMAGE MASSTER. Prima di dare un giudizio (i datasheet non sempre consentono di capirne a fondo le potenzialità) ho chiesto stamattina una quotazione per un probablie acquisto sfruttando il “peso” che ha ora l’EURO.

Le cose che mi interessano sono la contemporanea acquisizione di due SUSPECT riversati in due distinti EVIDENCE e la possibilità di utilizzare il formato “E01″ che uscirà a breve con un aggiornamento del FIRMWARE.

Maggiori info: ICS

.

Un veloce post per salutare amici e colleghi che si chiedono se sono rientrato.  I ricordi d tre settimane e 2600km di strada sono ancora ben presenti.

.

E’ una notizia che circola da tempo ma potrebbe essere utile se vi capita. Se aprite una evidenza acquisita con una versione di FTK IMAGER inferiore alla 2.6 (ora attualmente siamo alla 2.6.1) e durante la fase di acquisizione avete compilato tutti i campi “sforando” la lunghezza massima (per campo) di 12 caratteri vi compare un errore che potete tranquillamente “ignorare”.

Aggiornate FTK IMAGER all’ultima versione per evitare l’antipatico avvertimento.

.

Arrivo con un po’ di ritardo a commentare la parte di evento che Sabato 20 mi ha portato a Pescara a dare una mano per il “recupero della memoria”. L’idea (venuta a Lorenzo) era veramente lodevole:  dare un piccolo contributo a chi ha perso quasi tutto per recuperare i “ricordi” di quello che ora non c’è più.

Ad accompagnarmi in questa esperienza c’erano Mario Pascucci e Lorenzo Dina. Mi sono proprio divertito  con loro e con i “ragazzi” che erano presenti. Non posso astenermi dal dire che nessuno dei presenti aveva idea di cosa eravamo andati a fare e che quindi in realtà ben pochi sapevano effettivamente il motivo della nostra presenza.

Però  mi sono proprio divertito.

Pochi presenti ma fra loro molti appassionati e anche un gruppo di avvocati “sotto copertura”. Abbiamo anzi Lorenzo ha improvvisato (a braccio) un “mini” seminario pratico sulla CF andando a mostrare e spiegare tutti gli strumenti che normalmente usiamo (ne avevamo veramente tanti a disposizione inclusi gli imballaggi…). Gli interventi di Mario e miei servivano solo a “dargli fiato” fra un argomento e l’altro. (Quell’uomo è un vero “showman”).

Molto interessante l’intervento di alcuni avvocati presenti che hanno sottolineato la necessità di trovare un’interfaccia di comunicazione fra il “puro tecnico” e il puro “giurista”. E’ un buon segnale che già da tempo avverto. Penso (considerazione personale) che a breve la figura del puro tecnico andrà a “morire” inquanto c’è il bisogno nella CF di una visione più ampia del solo bit.

Nel bel mezzo delle discussione è apparsa la figura del simpaticissimo Clementi (Polizia Postale) che spiegando “terra terra” cosa hanno bisogno gli investigatori ha fatto capire ai ragazzi presenti che la CF non è la sola “mera analisi” ma un processo molto lungo che parte da una denuncia e si conclude con una sentenza.

Alle 13:30 abbiamo raccolto l’attrezzatura e ci siamo incamminati cercando di svincolarci dalle domande che ancora ci venivano poste… è stato molto bello.

Degno di nota è stato anche il passaggio che Lorenzo e Mario mi hanno dato fino a Roma: sono due persone splendide e “umane” (non esistono sono i Byte) con i quali mi auguro a breve di iniziare a collaborare. Sicuramente Mario diventerà un riferimento della CF in Italia mentre Lorenzo presenterà il prossimo Festival di Sanremo.

.

Nelle giornate del 19-20 Giugno avrà luogo a Pescara l’ ECL2009 organizzato da Giovanni Ziccardi. Durante la manifestazione, Lorenzo Dina si è preso l’impegno di organizzare un “recupero dati” per la popolazione dell’Abruzzo recentemente colpita dal Terremoto.  Ho il grande piacere di affiancarlo durante la giornata del sabato. Oltre a portare il mio piccolo contributo manuale ho creato “al volo” una serie di filmati (un collage) che mostrano l’attività sul “campo” che spesso affronto (alcuni sono veramente divertenti). Durante la mattinata saranno in visione.

.

Recentemente ho perso due “aiutanti”: SEAGATE 750 e WD 1TB.

Questi sono i modelli:

SEAGATE: ST375033AS

WD: WD10EAVS-32D7B1 (CAVIAR GREEN)

Mi servirebbe la componente elettronica per “rianimare” i due cari “estinti”. Se interessati, fatemi sapere: infoATlpcforensic.it

.

Quello che sto per descrivere non è un bug e ma è un avviso ai colleghi. Il Software della PARABEN SIMCARDSEIZURE nel suo REPORT descrive una informazione estratta dalla SIM che “messa in un certo modo” può portare un consulente a commettere un errore.

La prima cosa da “fissare” per bene in mente è che il numero di cellulare della SIM CARD NON VIENE SEMPRE SCRITTO NELLA SIM CARD (non è obbligatorio). Trovate tutta la documentazione in merito qui: http://www.3gpp.org/ftp/specs/html-info/1111.htm e scaricate il file: “CP-36 8.14.0 2007-06-1“  (grazie alla segnalazione di Mario Pascucci).

La pagina di riferimento è la “104″ e il campo “imputato” è questo: EF(MSISDN)

Per avere idea di cosa sia quel campo: qui il riferimento.

Il campo è OPZIONALE (… questo la dice lunga…) e quindi può essere ignorato.

Veniamo al REPORT generato dal programma SIMSEIZURE.

Il “campo di interesse” è il seguente: “Phone number: 3485XXXX” e come mi hanno confermato i tecnici del supporto della PARABEN, questa informazione è l’MSISDN:

“The SIM Card Seizure program extracts the information from the MSISDN.
The number it is showing is the number that is showing up on the SIM Card.”

Fino a qui nulla da dire, il programma non altera assolutamente nulla e non apporta informazioni che non siano corrette. Il problema nasce nella loro interpretazione. Tale informazioni stanno nella sezione “GSM SIM CARD” e ad una lettura non attenta potrebbero portare il consulente ad affermare che quel numero è quello della SIM CARD.

Tale campo, non sempre è “compilato” e su alcuni telefoni lo stesso utente può inserire un valore a piacimento quale il numero di cellulare della propria “fidanzata” (se proprio non lo vuole mettere nella rubrica).

Come comportarsi?

Il numero di cellulare associato alla SIM è una informazione che ha il gestore telefonico. Tale informazionie può essere richiesta direttamente al gestore tramite l’autorità giudiziaria competente. Se avete questo dubbio vi invito a seguire questa strada.

.

Ogni tanto qualche “news” colorita fa sempre bene (alle lunghe attese).

La Copia “DISK TO FILE” fatta con due Hard Disk SEAGATE (SATA) di 250GB (il sorgente) è durata meno di un’ora.

Sono rimasto incredulo e questo è un “pezzo” del file di LOG:

————————-Start of Tableau TD1 Log entry————————-

Task: Disk to File
Status: Ok
Created: 2009-06-XX 11:54
Closed : 2009-06-XX 12:52
User: LITIANO PICCIN

Duplicator serial num: 01d110XX
Duplicator log ID num: XX

———————-Disk-to-File Results———————-

# of sectors: 488,397,168 (250.0 GB)
Destination filename convention: Default
Chunk size in sectors: 3,906,250 (2.0 GB)
Chunks expected: 126
Chunks written: 126
Filename of first chunk:
Total errors: 0
Errors recorded: 0
SHA1: XX312afafdb5d8XX
MD5 : XX0c069e14026XX

Se qualcuno avesse il dubbio sulla integrità di cosa è stato “copiato” può stare tranquillo… tutto regolare: verificato a posteriori.

.

Si è conclusa da poco questa interessante manifestazione che ha coinvolto fornitori, tecnici, giuristi, magistrati e avvocati per ben tre giorni a Bologna. Un’occasione per affrontare i temi attuali  della DIGITAL  FORENSIC assieme alla possibilità di incontrare colleghi e amici proveniente da tutt’Italia.

Ecco in breve le tre giornate vissute da me.

Giovedì (FORNITORI).

Giornata dedicata ai fornitori italiani e stranieri di software/hardware. E’ stato un piacere conoscere e discutere con il Sig. Avi K. della CELLEBRITE  (produttore di UFED) il futuro delle tecniche di analisi della MOBILE FORENSICS  sempre più rivolte verso il  DUMP fisico della memoria.

Ho anche approfittato della cortesia di Andrea G. (SE.T.A) per capire se l’.XRY supportava appieno un modello di cellulare sul quale sto compiendo un’analisi. Questa cortesia mi ha risparmiato un sacco di tempo (e di denaro).

Ottimo il Software Sviluppato dalla Amped ( CEO Martino J.) con la quale si aprono nuove strade soprattutto per noi tecnici “bisognosi” di risposte “veloci”.

Una piccola parentesi per raccontare questo fatto. Fra i vari fornitori e arrivato direttamente dalla Germania in camper Dimitri K. della MH SERVICE assieme ai suoi due figli. Dovendo trasportare quasi 40KG di materiale dimostrativo (Workstation Trasportabile per la “copia” simultanea di 3 Hard Disk) sono arrivati direttamente difronte al luogo della manifestazione che è dentro le mura Bolognesi.  Bologna è una media città con un traffico cittadino che può fare invidia a città più grandi. Potete immaginare che alle ore 11 del giovedì è impossibile trovare parcheggio per una macchina… figuriamoci per un Camper…

Beh, sono salito assieme a lui e abbiamo provato… inutilmente. L’unica alternativa è stata scambiare il mio posto auto con il suo. L’ho accompagnato alla manifestazione è ho cercato un posto per la mia. Una cortesia che avrebbero fatto tutti.

Quello che non mi aspettavo è che venerdì sera (a conclusione della giornata), Dimitri si presenta davanti a me per salutarmi e darmi  un “regalo” per ringraziarmi del gesto. Beh, sono rimasto sorpreso e senza parole da quel gesto.

Venerdì (CYBERCOP e SEMINARI).

Sempre a causa del “parcheggio” sono arrivato tardi a giochi “iniziati”. E’ il giorno del CYBERCOP, una competizione che mette a confronto squadre composte da investigatori e tecnici. Si parte con una denuncia da parte di un privato cittadino per diffamazione e si cerca di andare direttamente a casa del colpevole passando attraverso diversi ostacoli resi complicati dagli organizzatori (GRAZIANI e MAZZARACO). Non si tratta di una caccia al tesoro percui chi prima arriva vince ma di una indagine che deve essere eseguita a “regola d’arte”. Vince che compie meno “errori”.

I miei colleghi sono una coppia già collaudata sul campo : Andrea Ghirardini (PILA) e Luigi Ranzato. Al mio fianco Alessandro Rossetti. Per dovere di cronaca, la squadra si chiamava “STUPEFACENTI” (ancora non capisco a chi sia venuta l’idea….).

Abbiamo iniziato alle 10:00 e mi sono alzato dalla sedia alle 17:45 solo perchè l’organizzazione è dovuta venirmi a prendere per il mio intervento.

Qualcuno si chiederà:  “ma come è andata?”

Siamo partiti “lenti” dal lato tecnico per andare sempre più in crescendo. Tecnicamente i vari “trabocchetti” non erano complicati se si ha a disposizione il “TEMPO” materiale per analizzarli.

Se non fosse per l’affiatamento e la bravura dei nostri due investigatori non avremmo vinto. Il 70% della vittoria va a loro e il restante a PILA.

Sabato (LA PREMIAZIONE).

E’ il giorno della premiazione. E’ anche il giorno dell’intervento di due miei cari amici ma è soprattutto il giorno della “verità”.  Sono uscito di casa senza pensarci e così è stato per tutto il tempo degli interventi. Poi verso le 12 è arrivato il momento di sapere come sono andate le cose. Di solito tengo sempre “soffocata” la mia tensione (in pubblico)  ed è difficile che esterni la mia gioia come mi è successo quando ho sentito  il nome del “caposquadra vincente”. Ho guardato negli occhi Rossetti per capire se eravamo veramente noi. Poi, mi sono ritrovato fra le braccia di Stefano (Fratepietro) che mi intimava di andare a ritirare il premio. Di quanto successo dopo, poco ricordo anche se ho cercato di mantenere un comportamento adeguato alla situazione. Ho passato il resto della giornata a congraturarmi con i miei compagni di squadra. Un ricordo particolare di una telefonata verso le 17:30, qualcuno che urlava “Campioni del Mondo…. Campioni del Mondo”…. mah…

Il momento dei saluti.

Oltre a ringraziare gli organizzatori  desidero ringraziare un paio di colleghi con i quali ci siamo proprio divertiti un sacco:

• Andrea Ghirardini (PILA): un amico, un riferimento e una tentazione… seguendo lui  oramai sto acquistando tutti gadget ellettonici che mi capitano a “tiro”.
• Luigi Ranzato:  ho avuto occasione di conoscerlo un’anno fa circa a Trento. Ne ero rimasto ben impressionato per la sua “calma” e “precisione”.  Dopo questa esperienza devo ammettere  che sarebbe il mio “capo” ideale.
• Riccardo T.: ci siamo conosciuti sul “campo”.  Lui in centro e io da una parte. Ho avuto occasione di osservarlo agire e ho  anche tentato di metterlo in difficoltà. Questo deve essere il motivo percui penso che un giorno sarà un riferimento per noi tecnici.
• Francesco S.: finalmente ho avuto l’occasione di conoscere la sua famiglia e i suoi due “angioletti” che pur di giovane età dimostrano una certa “loquacità”.
• Maurizio T.: finalmente ci siamo visti. Siamo della stessa città ma facciamo una gran “fatica” a vederci. Abbiamo però un punto a nostro favore: ci piace la MOBILE FORENSIC.
• Nicosia G.: promesso pubblicamente… fra un mese di passo il mio lavoro sulla virtualizzazione…. promesso.
• Lorenzo D.: anche se ci conoscevamo di “vista” è stato un piacere conoscerti anche di persona. Sono sicuro che assieme faremo dei bei lavori.
• Nicola C.: fai progressi a vista d’occhio e mi piace la tua passione che dimostri. Hai due grandi “fortune”: sei giovane e lavori nell’azienda giusta. Non perderti.
• Stefano Fratepietro: quest’anno mi hai dato una grossa mano il giovedì e ti sei dato da fare venerdì. A volte non basta. Concentriamoci sulla nuova DEFT.
• Alessandro Rossetti: ora che siamo “campioni del mondo” ci dobbiamo proprio ritirare? Ma proprio sul più bello? Grazie caro, stavolta è andata bene… la prossima volta però deve vincere il “cinno”.
• Antonino Attanasio: oltre a congraturarmi con te sia per l’entrata nel BOARD di IISFA e sia per gli ultimi successi professionali ti chiedo di essere paziente quando ti do delle “mezze risposte”. Spesso sono perso fra i “bit”.
• Mario B.: è confermata la partenza ad Agosto per la Tanzania. Percorso: DAR-MOROGORO-ISMANI-DODOMA-MOROGORO-TANGA-DAR. 21 giorni in mezzo ai bimbi.
• Ing. Marco Mattiucci: dopo anni di mail ho finalmente avuto l’occasione di conoscerlo. Non sono però riuscito a dirgli che è il mio punto di riferimento.

Di questi tre giorni mi rimane  un unico rammarico: non aver dedicato più tempo ad una persona.

.

Venerdì pomeriggio (08/05)  verso le 18 terrò un breve intervento sull’uso dei Jammer e delle “Faraday bags” nell’ambito della Mobile Forensics (PHONE Forensics). Presento poche slide (dato l’orario) e un filmato relativo ad un P.P. in cui sono stati utilizzati i due “strumenti”.

.