TRIBUNALE DI MILANO RITO ASSISE SEZ. I CORTE D'ASSISE VERBALE DI UDIENZA REDATTO IN FORMA STENOTIPICA. PAGINE VERBALE: n. 86

Transcript

1 TRIBUNALE DI MILANO RITO ASSISE SEZ. I CORTE D'ASSISE DOTT. GAMACCHIO PIERO DOTT.SSA SIMI ILARIA Presidente Giudice a latere VERBALE DI UDIENZA REDATTO IN FORMA STENOTIPICA PAGINE VERBALE: n. 86 PROCEDIMENTO PENALE N. R.G. C.A. 15/10- R.G.N.R /08 A CARICO DI: BERNARDINI MARCO+ ALTRI UDIENZA DEL 07/03/2012 MI0035 BUNKER l S. V. Esito: RINVIO AL 14/03/2012, ORE Caratteri:

2 INDICE ANALITICO PROGRESSIVO DEPOSIZIONE DEL TESTE- LIVOLSI UBALDO - oooooooo oo oooooooo oooo oo oo oo oo oooooooooo oo Pubblico Ministero oo oo. oo oo. oo oo oooo oooo. oo oooo oo oooo oo oo. oooo. 00 oooo 00 Difesa J annone- Avvocato Patrucchi oooo oo DEPOSIZIONE DEL TESTE- CACCA VELLA DONATO EUGENIO )( Pubblico Ministero oo. oo oo. oooo oooo oo oooo oo, oo oo oooo oo oo oooo 00 oooo l l Parte Civile -Avvocato Anselmi : Difesa Pompili- Avvocato Rossodivita oooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooo 4( Difesa J annone - Avvocato P a trucchi oooo ( Difesa Rangoni Preatoni- Avvocato Borella oooooooooooooooooooooooooooooooooooooooooooooooooooooooo 8: N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 2

3 DOTT. GAMACCHIO PIERO DOTT.SSA SIMI ILARIA DOTT. STEFANO CIVARDI Presidente Giudice a latere Pubblico Ministero SIG.RA FLAVIA FABI SIMEONE SIG.RA MARIA TERESA - Ass. d'udienza Stenotipista Ausiliario tecnico PROCEDIMENTO A CARICO DI - BERNARDINI MARCO + ALTRI - Il Presidente procede all'appello e alla regolare costituzione delle parti. PRESIDENTE - Possiamo cominciare con il primo Testimone. Ubaldo Livolsi. Viene introdotto in aula il Teste il quale, ammonito ai sensi dell'articolo 497 del Codice di Procedura Penale, dà lettura della formula di rito. TESTE LIVOLSI - Ubaldo Livolsi, nato a Milano il 27 ottobre 1945; residente a Cassina de' Pecchi in via Antares, numero 14. PRESIDENTE - Prego, Pubblico Ministero. N. R. G. C.A. 15/10- R.G.N.R !2 cibernardini MARCO+ ALTRI 3

4 Pubbiico Ministero Che professione svolge? TESTE LIVOLSI - Io sono un professionista, sono laureato in Economia e Commercio e sono presidente e amministratore delegato di una società di advisor e finanziaria, la Livolsi & Partners. E' anche un amministratore, un membro del Consiglio di Amministrazione di società quotate? TESTE LIVOLSI Lo sono stato in passato, attualmente sono membro di Consiglio di Amministrazione, ma non di società quotate. Nel 2004 aveva lo stesso ambito di attività? TESTE LIVOLSI - Sì, direi di sì. Si ricorda di essere stato interessato da Carla Cico riguardo a un contenzioso che separava Brasil Telecom da Telecom Italia? TESTE LIVOLSI - Sì, non direttamente, ma tramite una persona che lavorava in un Fondo Convergenza di cui ero presidente. Chi è questa persona? TESTE LIVOLSI - E' Stefano Borghi che conosceva evidentemente per un passato, perché aveva lavorato in società di telecomunicazioni, la Dottoressa Cico di Brasil Telecom. Allora penso che fosse l'amministratrice... l'amministratore delegato della società. N. R. G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 4

5 E Stefano Borghi aveva lavorato in passato in società di telecomunicazioni, anche in società che apprestavano strumenti per attività di intelligence? TESTE LIVOLSI - Lavorato non è la parola forse più adatta, nel senso che il Fondo Convergenza, che era un fondo di Private Equity, aveva acquistato il controllo, il 50,1% di una società operante nel campo delle telecomunicazioni, intercettazioni telefoniche e così via, apparati di sicurezza. Si ricorda il nome di questa società? TESTE LIVOLSI - Sì, SIO. La SIO di Cantù? TESTE LIVOLSI - Esatto. Essendo socio comunque di riferimento di questa società aveva avuto modo di conoscere persone all'interno delle forze dell'ordine? TESTE LIVOLSI -Lei parla di me o di Borghi? Di Stefano Borghi ed eventualmente anche di lei. TESTE LIVOLSI - Io personalmente no, adesso Stefano Borghi non saprei. Stefano Borghi attualmente dove risiede? TESTE LIVOLSI - Attualmente dovrebbe essere, perché è un po' che non lo sento nemmeno io, in Inghilterra. Deve risiedere in Inghilterra per dei problemi di carattere familiare. N. R.G. C.A R.G.N.R /03/2012 c/bernardini MARCO+ ALTRI 5

6 Perché io l'ho citato in Svizzera e non sono riuscito a raggiunger lo. TESTE LIVOLSI Penso che sia in Inghilterra perché ha dei problemi con un figlio e quindi hanno voluto portarlo per avere un'educazione particolare in Inghilterra. E' a conoscenza anche dell'indirizzo preciso? TESTE LIVOLSI Posso cercare di rintracciarlo. Io personalmente no, però non penso che sia difficile trovare e se volete poi posso fornirvelo. P.M. Comunque all'esito della sua audizione il Pubblico Ministero valuterà un'eventuale rinuncia del Teste, qualora i temi fossero già stati esplorati dal presente Testimone. Quindi se può spiegare esattamente in che cosa è consistita la sua attività e per quanto è a sua conoscenza anche quella di Stefano Borghi in questo contenzioso. TESTE LIVOLSI Stefano Borghi un giorno, lavorando evidentemente abbastanza a contatto perché poi la Livolsi & Partners svolgeva delle attività di advisor e finanziaria, ma anche per il Fondo Convergenza, mi parlò di una possibilità di avere un mandato di consulenza per la Livolsi & Partners in un primo tempo che era più finalizzato a una possibile quotazione di Brasil Telecom in Italia e dopo quindi alla Borsa di Milano. Invece nell'evoluzione i rapporti che teneva personalmente Stefano Borghi con la Dottoressa Cico ci è sembrato che N. R.G. C.A R.G.N.R c/bernardini MARCO+ ALTRI 6

7 l'obiettivo principale, la finalizzazione - diciamo - del rapporto dì consulenza dovesse essere quello dì trovare una possibilità dì soluzione, direi, pacifica fra Brasìl Telecom e Telecom Italia. P.M. Anche la possibile quotazione dì Brasìl Telecom in Italia era nell'ambito dì questo contenzioso, oppure c'era, come aveva percepito dalle persone che l'avevano contattata, un interesse specifico dì Brasìl Telecom a sbarcare sul mercato italiano? TESTE LIVOLSI - Inizialmente mi sembrava che fosse proprio un obiettivo quello dì valutare la possibilità, vista la conoscenza che c'era anche in Italia dì Brasi l Telecom, un'opportunità dì quotazione qui in Italia. Poi evidentemente anche ì rapporti conflittuali che emergevano fra Telecom Italia e Brasìl Tele com probabilmente hanno spinto più a concentrarsi su una soluzione dei problemi che esistevano fra Telecom Italia e Brasìl Telecom. Quindi lo spostamento che mi era stato richiesto era quello dì vedere se era possibile una soluzione, come dire, negozìale, non conflittuale dì questo rapporto. Questo in che periodo e con quali suoi atti poi sì è esplicitato? TESTE LIVOLSI La negozìazìone del mandato è stato tra il febbraio e il marzo del 2004 con la finalizzazione, mi sembra, nella seconda parte del marzo Poi N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernard!nl MARCO+ ALTRI 7

8 successivamente quello che io ho fatto è stato quello di avere un incontro col Dottor Marco Tronchetti Provera, questo è in epoca successiva, non ricordo esattamente la data, ma direi intorno ad aprile, dove il Dottor Marco Tronchetti Provera fu molto deciso e fortemente... come dire, molto sicuro nel non volere nessun tipo di confronto amichevole o di trovare delle soluzioni concordate con Brasil Telecom. Si ricorda di avere incontrato qualcuno al Four Seasons di Milano nella primavera del 2004, si ricorda di questo incontro? TESTE LIVOLSI - Le dovrei dire assolutamente di no. Cioè, non ricordo, ma mi sembra molto strano. Si ricorda se incontrò in quella occasione Carla Ci co al Four Seasons di Milano? TESTE LIVOLSI - No, io Carla Cico, dico la verità, non l'ho mai incontrata. Si ricorda se nell'ambito di questo mandato aveva avuto anche contatti con Kroll? TESTE LIVOLSI - No no, assolutamente no. Le dovevano fornire dei dati finanziari? TESTE LIVOLSI - No no. Guardi, la mia atti vi tà si è proprio risolta in quell'incontro che ho avuto con il Dottor Marco Tronchetti Provera e direi che è rimasto... Le fu proposto un incontro con Giuliano Tavaroli? TESTE LIVOLSI -No no, io non l'ho mai conosciuto. N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 8

9 Quando decise di recedere da questo rapporto, da questo incarico? TESTE LIVOLSI E' durato tre mesi, perché era prevista proprio nel contratto la durata del... che terminava dopo 90 giorni dalla data di assunzione. Il contratto...? TESTE LIVOLSI - Livolsi & Partners e Brasil Telecom. Non ho altre domande. PRESIDENTE - Domande delle Parti Ci vili? Nessuna domanda. Le Difese, prego. Difesa Jannone - Avvocato Patrucchi AVV. PATRUCCHI - Lei ebbe modo di conoscere il Dottor Angelo Jannone? TESTE LIVOLSI - No, non mi dice assolutamente nulla. AVV. PATRUCCHI - Quindi non sa dirmi se sia al corrente di un rapporto amicale, di conoscenza stretta tra il Dottor Jannone e Stefano Borghi? TESTE LIVOLSI - No, non lo so. AVV. PATRUCCHI - Non ho altre domande. PRESIDENTE - Può andare, grazie. Il prossimo? P.M. Il Dottor Caccavella. Per quanto riguarda questo Pubblico Ministero c'è rinuncia all'audizione di Stefano Borghi. Stefano Borghi rimane comunque un Teste della Difesa Jannone. N. R. G. C.A. 15/!0- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 9

10 PRESIDENTE - Va bene, la Corte ne prende atto. Quindi se la Difesa Jannone è interessata dovrà citarlo lei, ammesso che sia reperibile. Viene introdotto in aula il Teste il quale, ammonito ai sensi dell'articolo 497 del Codice di Procedura Penale, dà lettura della formula di rito. C.T. P.M. CACCAVELLA Donato Eugenio Caccavella, nato a Lucera (FG) il 27 marzo 1964; domiciliato a Casalecchio di Reno in via Guido Reni, numero 7. PRESIDENTE - Sono suoi appunti quelli? C.T. P.M. CACCAVELLA Sì, è la mia relazione. Chiedo il permesso poterla consultare. PRESIDENTE Il Presidente della Corte autorizza il Dottor Caccavella a consultare atti a sua firma che ha con sé recato. Prego, Pubblico Ministero. Pubblico M2nistero Può illustrare la sua attività professionale? Io sono docente di Informatica Forense presso l'università degli Studi di Bologna e come libero professionista svolgo l'attività di Consulente Tecnico o per le Procure, Tribunale o anche per privati, dal Ho cominciato questa attività con soddisfazione. N. R. G. C.A. 15/!0- R.G.N.R /08 07/03/2012 c!bernard!nl MARCO+ ALTRI 10

11 I suoi studi? La mia origine culturale deriva dalla laurea in Matematica. Io ho cominciato a studiare nel 1983, sono laureato in Matematica, all'epoca a Bologna non c'era la facoltà di Informatica e quindi ho tutta una parte di esami, poi nel secondo biennio di Matematica confluivano nell'ambito dell'informatica. Successivamente professionalmente ho cominciato a fare l'informatico all'inizio come sistemista, poi dopo come capo progetto. Poi ho fatto un master in Informatica Giuridica presso l'università di Studi di Bologna e poi ho cominciato l'attività di docente presso la stessa Università e anche come Consulente Tecnico per le Procure. Può illustrare la sua attività in ordine all'incarico conferito dalla Procura della Repubblica per quanto riguarda un'attività di hacking ai danni di alcune macchine in uso ad amministratori o comunque collaboratori o dipendenti di RCS? E' stato il primo incarico nell'ambito delle notizie di reato di questo processo. Ebbi l'incarico dal Dottor Bragò per analizzare quelli che erano dei reperti che erano stati acquisiti nell'ambito del... io lo definisco "incidente RCS" in maniera più sintetica, per quello che riguardava l'incidente RCS. I reperti oltre ad alcuni atti di P.G. sui quali ho concentrato l'attività d'analisi sono consisti ti in N. R. G. C.A R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 11

12 quelli che sono i file di log, poi spiegherò di che cosa si tratta, forniti da RCS nella notizia di reato e quelli che invece erano i dati, tecnicamente le immagini, le acquisizioni forensi di una macchina ritenuta utilizzata per questo attacco ai sistemi informatici ad RCS denominata ORP. Quindi sostanzialmente agivo sulle copie forensi di questo sistema sequestrato presso Telecom e sui dati, sui file log forniti da RCS nella notizia di reato. L'attività che ho svolto è stata quella di individuare degli elementi utili per apprezzare diverse condotte che in qualche modo potessero essere rilevanti per la notizia di reato. Nella consulenza tecnica inizio innanzitutto dalla disamina di quelli che sono i file di log forniti da RCS. Specifico per i non tecnici cosa sono i file di log. Solitamente in un'azienda o in un'organizzazione che è dotata di un sistema informatico di una certa complessità è buona prassi che gli amministratori di sistema attivino degli accorgimenti tecnologici tali atti a tracciare tutte quelle che sono le attività che si verificano sui computer dell'organizzazione. Quindi in un qualche modo il termine log vuol dire giornale di bordo, può essere inteso anche come registro delle attività e quindi quando si verificano degli incidenti, ma anche degli usi non conformi o comunque se si vuole verificare anche per scopi diagnostici che cosa si è verificato all'interno di N. R. G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 12

13 un sistema informatico la prima atti vi tà di analisi si concentra, appunto, sulla disamina di questi file di log. Quindi sostanzialmente sono delle atti vi tà diagnostiche che vengono registrate da delle apparecchiature e che servono in un secondo tempo per poter ricostruire cosa è accaduto su quei sistemi informatici. Nella mia consulenza tecnica ho individuato alcune attività rilevanti pertinenti alla notizia di reato, quindi sostanzialmente degli accessi o a delle macchine esterne che sono stati individuati con degli indirizzi IP... specifico cos'è un indirizzo IP. In Internet una macchina collegata in Internet viene individuata in maniera univoca attraverso l'indirizzo IP. Quindi sostanzialmente possiamo definire in maniera, i tecnici mi perdonino l'approssimazione, però possiamo definire individuare come indirizzo IP una sorta di numero telefonico con cui i computer dialogano tra di loro e con cui vengono in qualche modo individuati all'interno di Internet, inteso proprio con tutto il prefisso internazionale. Quindi nel file di log erano presenti le attività di connessione o anche di trasmissione di dati dove c'era traccia del sistema interno di RCS e del sistema esterno col quale si verificava questa comunicazione. Nella mia consulenza tecnica ne individuo diversi in diversi istanti, in momenti vicini ai momenti indicati alla notizia di reato che sono sostanzialmente cerco di essere comprensibile N. R. G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 13

14 SENTOSCRJVO Società Cooperativa sono sostanzialmente... cerco di essere comprensibile, non troppo tecnico, sono sostanzialmente o dei tentativi di connessione o delle trasmissioni di dati. Poi vengono in dettaglio elencati nella consulenza tecnica con tutti i riscontri. Una volta individuati questi elementi rilevanti, cioè questi numeri telefonici che o hanno chiamato i sistemi RCS o che sono stati chiamati dai sistemi RCS, perché si poteva verificare anche la circostanza che in un qualche modo dei dati venissero trasmessi dall'interno di RCS verso questi sistemi esterni. Diciamo, un'ipotesi era quella che in un qualche modo ci fosse all'interno della rete di RCS un virus o comunque un programma che potesse trasmettere queste informazioni. Quindi intendiamo comunicazioni in doppio senso, sia come invio ma anche come ricezione o anche come... potrebbe anche essere, come in alcuni si è verificato, anche consultazione di un sito web che per esempio poteva essere utilizzato - ci sono riscontri di questo nei file di log - per poi inoculare un virus. Su questa circostanza magari vado un po' più nel dettaglio, nel senso che molto spesso si verifica che per attaccare un'organizzazione cosa si fa? Si sollecita un utente di questa organizzazione attraverso una mail a collegarsi a un sito web. E' un po' il fenomeno che in questi anni è molto diffuso, che viene chiamato phishing, cioè quando molti di noi ricevono quelle mail che invitano a N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 14

15 collegarsi. Sono, appunto, delle mail che hanno molto spesso quell'obiettivo. Quindi nel caso dell'attacco a RCS nei file di log si sono individuate circostanze simili in cui praticamente un utente riceveva una mail e subito dopo si collegava a un sito web che era stato progettato per poi poter inoculare un virus. Diciamo, di questo tentativo che in alcuni casi è andato anche a buon fine c'è traccia nei file di log. Quindi, ripeto, le comunicazioni non sono soltanto invio e ricezione di file, ma anche accesso a web inteso in questo senso. Completata l'indi viduazione degli elementi rilevanti sui file di log forniti da RCS, mi sono poi nella mia attività di analisi concentrato invece sull'analisi del sistema ritenuto la macchina dalla quale sono partiti questi attacchi a RCS, che è appunto la macchina denominata ORP. Buona parte di questi dati risultavano cancellati, però attraverso un'attività abbastanza ordinaria di analisi forense di recupero dati è stato possibile in qualche modo individuare degli elementi rilevanti che sono, appunto, indicati nella mia consulenza tecnica; o l tre poi a fare una disamina dei diversi utenti, dove per utente indico quello che viene denominato user id e password, quindi non una persona fisica, ma un utente... diciamo, delle credenziali di accesso a quel sistema che in qualche modo erano riconducibili a dei soggetti fisici, ma non attraverso la N. R.G. C.A. 15/10- R.G.N.R /03/2012 c/bernardini MARCO+ ALTRI 15

16 mia analisi. Cioè, nel senso io nella mia disamina ho individuato gli utenti che per esempio si chiamavano "Abodei", "Apompili", "Aterrone", "Fpietrosanti", un altro utente che si chiamava "Gb". Li ho trattati come tali, cioè come credenziali d'accesso che in un qualche modo avevano possibilità di accedere a questo sistema. Eseguendo la disamina del sistema ORP oltre ad avere per ogni utente individuato la presenza o meno di elementi rilevanti sono stati trovati degli elementi di riscontro degli accessi da parte del sistema ORP o ai sistemi di RCS, quindi usando la metafora del numero di telefono o telefonate ai sistemi RCS o di telefonate a quei sistemi coinvolti individuati come rilevanti, cioè che hanno ricevuto o trasmesso dei dati, che erano coinvolti nell'incidente stesso. Cioè, nei file di log di RCS sono stati individuati invio e ricezione di dati sostanzialmente al sistema ORP e ad altri due sistemi con indirizzi IP stranieri. Se vuole li posso anche indicare per la trascrizione: sono il primo sistema indicato nella mia relazione con , questi sono indirizzi IP, l'altro sistema è individuato con l'indirizzo IP Mi scusi, per non appesantire anche l'udienza, queste circostanze le troviamo a pagina 9? Sì, della relazione. Relazione del 13 marzo N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernard!nl MARCO+ ALTRI 16

17 PRESIDENTE Che lei integralmente conferma, immagino, in questa sede. Sì sì sì. In modo da andare proprio in sintesi senza entrare nel dettaglio dei suoi elaborati. Quindi sostanzialmente ho evidenziato nella mia consulenza tecnica la circostanza che sui sistemi RCS sono state trovate queste comunicazioni rilevanti rispetto alla notizia di reato, rispetto ai tre sistemi: uno è l'indirizzo ORP e gli altri due sono i sistemi di cui ho indicato l'indirizzo IP. Sul sistema ORP ho trovato riscontro dell'accesso sui sistemi RCS e dei due sistemi esterni dove in qualche modo erano arrivati, o dove c'erano stati anche dei tentativi qualche volta andati anche a buon fine, in correlazione con i sistemi di RCS. Questa coincidenza di eventi, a mio parere, è stata valutata come una coincidenza non casuale, cioè oggetti va, perché una correlazione di simili indirizzi IP non può essere casuale. Ho anche dato una stima casistica, proprio per sgombrare il campo da eventuali valutazioni statistiche, e sono andato a concludere che il sistema ORP era stato utilizzato per portare avanti l'attacco a RCS, comunque gli elementi individuati erano particolarmente rilevanti e particolarmente oggettivi. Se vuole leggo le conclusioni che confermo in pieno in questa sede. N. R.G. C.A R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 17

18 Se con riferimento proprio allo schema riassuntivo di pagina 9 della sua relazione del 13 luglio può illustrare le interazioni tra le diverse macchine. C.T. P. M. CACCAVELLA - Sostanzialmente nello schema abbiamo individuato la macchina ORP che si collegava con quattro sistemi, tra cui uno di questi quattro sistemi è la rete RCS. Presidente, per una migliore comprensione della Corte io chiederei che fosse acquisita quantomeno in questa parte che sta illustrando la relazione in modo che la Corte la possa seguire. PRESIDENTE - Va bene. La Copia che viene consegnata alla Corte è stata appena sottoscritta per conferma dal Professar Caccavella. P.M. Per le Parti si tratta della consulenza tecnica affollata nel volume 6 da pagina 56 a pagina 105. In sostanza in questo schema vengono individuate quelle che sono le correlazioni che ho ritenuto rilevanti tra i vari sistemi che sono stati contattati dal sistema ORP e che poi a loro volta sono stati contattati anche dai sistemi della rete RCS. Quindi in questa maniera ho voluto in maniera più facilmente intellegibile, perché attraverso il numero di telefono ed indirizzi IP si rischia di non avere un'idea molto chiara, la circostanza che abbiamo i sistemi RCS che dialogano con i due sistemi che hanno indirizzo IP 213 e N. R.G. C.A. 15/!0- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 18

19 successivi e indirizzo IP e successivi che a loro volta erano contattati o gestiti dal sistema ORP. P.M. Quei sistemi che ha appena indicato si tratta di macchine...? C.T. P.M. CACCAVELLA Le macchine RCS sono quelle con l'indirizzo 80, quindi praticamente può considerare quel rettangolo come il sistema RCS. Nella disamina dei file di log ho individuato delle attività pertinenti alla notizia di reato con il sistema 213, quello che è in alto, e con il sistema 200. Praticamente c'era un invio, un accesso al web attraverso queste due macchine, due macchine che a loro volta risultano essere state non solo contattate, ma anche amministrate, gestite attraverso il sistema ORP. Cioè, sul sistema ORP, quindi sul sistema presente in Telecom si sono trovate tracce di atti vi tà sistemistica, quindi di amministrazione, di gestione di queste due macchine remote. P.M. Perché i dati a seguito dell'infiltrazione, dell'infezione col virus nelle macchine RCS non ve n i vano trasmessi immediatamente alla macchina ORP, ma ve n i vano trasmessi...? C.T. P.M. CACCAVELLA No, venivano trasmessi attraverso queste due macchine che vengono chiamate, appunto, teste di ponte. Cioè... Macchine ponte. Sì. N. R. G. C.A R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 19

20 PRESIDENTE - Lasciamolo finire, stava dicendo? Perché questo schema? Sostanzialmente in questa maniera si usavano dei sistemi intermediari per svolgere delle attività sui sistemi RCS. Cioè, in un qualche modo in questa maniera se c'era un invio di file da parte di macchine di RCS su uno di questi due sistemi, questi erano due sistemi che avevano indirizzi IP all'estero da come è stato accertato dalla p. G., praticamente un coinvolgimento diretto da ORP non sarebbe emerso, tant'è vero che l'unico modo per cui è stato possibile stabilire che questi due sistemi esteri, queste due macchine estere erano utilizzate come macchine ponte si è ottenuto facendo la disamina della macchina ORP. Quindi queste due macchine venivano utilizzate come macchine ponte, come intermediarie, chiamiamole così, per evitare che RCS... i log di RCS si rendessero conto dell'effettiva origine dell'attacco, anche se in qualche caso è stato fatto questo, però non è la parte più corposa di questa attività. Quindi sostanzialmente si usavano dei sistemi ponte all'esterno dell'italia per celare la vera origine dell'attacco, è una consuetudine abbastanza diffusa a livello informatico, perché l'indirizzo IP è un qualcosa che lascia traccia e può essere in qualsiasi momento identificata. Oltre alla consulenza sulla macchina ORP e al lavoro di clonazione di tutta una serie di reperti informatici sui N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 20

21 quali non mi soffermerò quali altre consulenze su attacchi, su accessi che si assumono abusi vi a sistemi informatici lei ha condotto su incarico della Procura della Repubblica? C.T. P.M. CACCAVELLA Successivamente a questa prima consulenza tecnica ebbi incarico dal Dottor Piacente di svolgere sia un'attività squisitamente tecnica proprio di clonazione dei dischi rigidi, quindi di acquisizione e di trattamento dei reperti informatici da un punto di vista conservativo e di messa a disposizione dell'autorità Giudiziaria di questi dati, ma in alcuni caso sono stato anche incaricato per svolgere un'attività di analisi e di individuazione di elementi utili da un punto di vista più investigativo di eventuali attacchi informatici ad altri sistemi. In questa occasione mi vennero consegnati numerosi reperti di cui poi o l tre ad eseguire la copia forense, come previsto dalla best practice, svolsi una vera e propria analisi di questi dati per trovare elementi utili pertinenti alla notizia di reato. La prima consulenza di questo genere che feci fu in merito a un... dico presunto, ma poi in qualche modo eventualmente confermato al Dottor Giacalone, consulenza tecnica che ho intitolata "De Giacalone" perché comunque era il soggetto attaccato, che si presumeva che fosse stato attaccato. I reperti su cui ho avuto modo di svolgere l'analisi, quelli più importanti, sono un DVD che era nella N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardin! MARCO+ ALTRI 21

22 disponibilità dì Giuliano Tavarolì, alcuni reperti che erano nella disponibilità dì Fabio Ghìonì, altri dì Alfredo Mellonì, altri ancora dì Andrea Pompìlì e altri dì Rocco Lucia. Poiché la consulenza tecnica era successiva alla prima consulenza tecnica, quella sull'attacco a RCS, ho utilizzato anche tutte le rìsultanze individuate e acquisite sul sistema ORP e quindi in un qualche modo ho avuto modo dì descrivere un quadro più ampio dei diversi riscontri ed elementi rilevanti. Vado a descrivere in maniera molto rapida quelle che sono state le rìsul tanze. In prima battuta proprio come successione logica dì analisi mi sono concentrato sul DVD nella disponibilità dì Giuliano Tavarolì, a individuare quelli che potevano essere dati che potenzialmente potevano essere ritenuti come risultato dì un'intercettazione telematica o in un qualche modo un'acquisizione illegittima dì dati. E nella mia consulenza tecnica, appunto, individuo diversi indirizzi mai l presenti in questo DVD che fanno riferimento poi a un indirizzo maìl che è descritto a pagina 7, che è acif@iol.it riconducibile a Gìannalberto Fara ce D'Ecclesìa, che contiene appunto queste comunicazioni. Ma nell'attività dì analisi un importantissimo elemento dì riscontro è emerso dall'analisi... anzi, importantissimi elementi dì riscontro sono emersi dall'analisi dì un... tecnicamente N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernardini MARCO+ ALTRI 22

23 si chiama Multimedia Player che è sostanzialmente quello che attualmente uno potrebbe chiamare un ipod. Praticamente è un dispositivo dove era possibile sia asco l t are musica che vedere film, ma allo stesso tempo dopo averlo smontato aveva anche una capacità di contenere dei dati. Quindi dopo aver provveduto a smontare questo PMP Player e a fare un'acquisizione forense all'interno di questo Player come dati cancellati, ma tutti recuperabili, sono state trovate diverse cartelle contenenti dati io dico pertinenti per la notizia di reato perché poi non ho svolto l'analisi del contenuto, però diverse cartelle di cui la prima si chiamava "Acif", la seconda "Vodka Red" e la terza "Research", comunque prodotte nella consulenza tecnica. Ma particolarmente rilevante, soprattutto per apprezzare eventuali condotte, è la presenza di un file che si chiama "animaletto.txt". Questo file non sto qui a leggerlo, lo sintetizzo, quindi con la imprecisione della sintesi rappresentava come una sorta di piano di attività dove venivano individuati diversi soggetti potenziali oggetti di attacco, scusate il gioco di parole, e fra questi ne individuo alcuni. La prima in lista in questo elenco si chiamava Carla Cico e, come poi si potrà vedere nella relazione, affianco al nome Carla Cico c'è scritto "FTPll". Questo elemento qui è molto importante, poi vedremo da un punto di vista tecnico N. R.G. C.A. 15/10- R.G.N.R /08-07/03/2012 c/bernard1n1 MARCO+ ALTRI 23

24 perché, ma per Carla Ci co era... c'è di fianco all'indirizzo mai l di questa persona che era ccicobrasiltelecom.com.br e sotto scritto "Animaletto pronto. Bisogna verificare le login su FTP e magari andrebbe creato un altro indirizzo mail per avere ridondanza". Mi scusi, sta parlando della consulenza del 21 luglio 2007? C.T. P.M. CACCAVELLA Quella che ha come titolo "De Giacalone...", 21 luglio 2007, sì. Io sto citando pagina 10. Analoghe considerazioni, anche se in forma di versa, erano per Stefano Borghi, Renato D'Andria, Edward Luttwak e altri, anche se per gli altri era indicato in maniera ripetiti va, praticamente un copia incolla, "Bisogna trovare un contatto fidato da cui mandargli l'animaletto. Va inoltre controllata la login su FTP, magari per altro indirizzo ". Quindi da tecnico mi sono preoccupato, anzi mi sono concentrato sull'individuare che cosa si intendeva per "animaletto" e nella... adesso sto facendo una sintesi, poi eventualmente posso approfondire, comunque direi che questa parte qui ho la presunzione che sia stata abbastanza ben descritta nella mia consulenza tecnica. Sostanzialmente il "contatto fidato" e "l'animaletto" consistevano, a mio parere, nel completare questa condotta. Sostanzialmente c'era l'obiettivo di mandare una con un mittente noto al soggetto che N. R.G. C.A R.G.N.R / c/bernardini MARCO+ ALTRI 24