DALL ACQUISIZIONE DEL SUPPORTO ALL ANALISI DEI DATI E DEI TABULATI DI TRAFFICO

Transcript

1 DALL ACQUISIZIONE DEL SUPPORTO ALL ANALISI DEI DATI E DEI TABULATI DI TRAFFICO Giuseppe DEZZANI (partner) Socio IISFA Studio Associato Digital Forensics Bureau

2 Argomenti Repertazione di un dispositivo mobile Le fasi dell esame tecnico I Tabulati e le aree di copertura

3 La Repertazione Ragioniamo in base alla tipologia di apparato che dobbiamo sottoporre a sequestro, in ogni caso richiedere immediatamente i PIN / Password di protezione (ed inserirli nel verbale) Telefono tradizionale : Rimozione della batteria e assicurazione in box idoneo SmartPhone : Valutare la situazione

4 La Repertazione (errori ricorrenti) Attenzione alle APP di controllo remoto degli SmartPhone! Ad oggi sono disponibili di default su tutti i modelli da parte del produttore. Si può effettuare il factory reset da remoto Attenzione alle funzioni automatiche pianificate

5 La Repertazione (SmartPhone) Android : Per moltissimi modelli è possibile eludere la protezione con il segno di sblocco Meno probabile la possibilità di eludere pin / password Modelli recenti sono inaccessibili senza conoscere pin / password

6 La Repertazione (SmartPhone) Iphone: È ormai noto che è possibile eludere il PIN fino al modello 4, dal 4S non è possibile accedere. Verificare la presenza di computer nella disponibilità dell indagato cui lo smartphone sia stato connesso.

7 Iphone Lockdown OS X /private/var/db/lockdown WinXP C:\Documents and Settings\All Users\Application Data\Apple\Lockdown Windows Vista, 7 e 8 C:\ProgramData\Apple\Lockdown

8 Iphone ios 8 - Assicurarsi che il dispositivo rimanga accesso e che abbia una carica sufficiente; - Attivare modalità Aereo - Rimuovere la SIM - Assicurare il device in box È indispensabile avere il codice di protezione o il pairing certificate che è contenuto nel PC. La nuova versione di ios ha integrato la funzione Protect Until First User Authentication."

9 Iphone ios 8 and-its-impact-on-investigations/ L acquisizione del computer è utile anche per l estrazione di eventuali backup.

10 Iphone & Apple Apple and Physical Device Data Extraction As of the release of ios 8, Apple has publicly notified law enforcement that the company is not technically capable of obtaining any information from an ios 8 device. Apple will not accept an ios 8 device for any reason. However, any ios 7 and earlier device can still be sent to Apple for data extraction.

11 Cosa possiamo chiedere a Apple Apple ha pubblicato nel Maggio 2014 le linee guida contenente i dati da loro acquisiti e memorizzati per la gestione dei servizi sui propri dispositivi e le modalità di acquisizione / richiesta da parte dell Autorità Giudiziaria :

12 Cosa possiamo chiedere a Apple Find My Iphone Apple cannot activate this feature on users devices upon a request from law enforcement. The Find My iphone feature must have been previously enabled by the user for that specific device. Apple does not have GPS information for a specific device or user.

13 Cosa possiamo chiedere a Apple Find My Iphone Find My iphone connection logs may be available and can be obtained with a subpoena or greater legal process. Find My iphone connection logs are available for a period of approximately 30 days. Find My iphone transactional activity for requests to remotely lock or erase a device may be available with an order under 18 U.S.C. 2703(d) or a court order with the equivalent legal standard or a search warrant.

14 Cosa possiamo chiedere a Apple MAC Address: A Media Access Control address (MAC address), is a unique identifier assigned to network interfaces for communications on the physical network segment. Any Apple product with network interfaces will have one or more MAC addresses, such as Bluetooth, Ethernet, Wi- Fi, or FireWire. By providing Apple with a serial number (or in the case of an ios device, IMEI, MEID, or UDID), this information may be obtained with a subpoena or greater legal process.

15 Cosa possiamo chiedere a Apple UDID: The unique device identifier (UDID) is a sequence of 40 letters and numbers that is specific to a particular ios device. It will look similar to following: 2j6f0ec908d137be2e f b

16 Cosa possiamo chiedere a Apple - Requests for Apple Retail Store Surveillance Videos (conservati per circa 3 giorni) - Game Center : Connection logs with IP addresses can be obtained with a subpoena or greater legal process. - ios Device Activation : When a customer activates an ios device or upgrades the software, certain information is provided to Apple from the service provider or from the device, depending on the event. IP addresses of the event, ICCID numbers, and other device identifiers may be available. This information can be obtained with a subpoena or greater legal process.

17 Cosa possiamo chiedere a Apple - Sign-on Logs : Sign-on activity for a user or a device to Apple services such as itunes, icloud, My Apple ID, and Apple Discussions, when available, may be obtained from Apple. - My Apple ID and iforgot Logs : My Apple ID and iforgot logs for a user may be obtained from Apple. My Apple ID and iforgot logs may include information regarding password reset actions. Connection logs with IP addresses can be obtained with a subpoena or greater legal process.

18 Cosa possiamo chiedere a Apple - FaceTime : FaceTime communications are endto-end encrypted and Apple has no way to decrypt FaceTime data when it is in transit between devices. Apple cannot intercept FaceTime communications. Apple has FaceTime call invitation logs when a FaceTime call invitation is initiated. These logs do not indicate that any communication between users actually took place. Apple has no information as to whether the FaceTime call was successfully established or duration of a FaceTime call. FaceTime call invitation logs are retained up to 30 days.

19 Cosa possiamo chiedere a Apple Dove chiediamo? - law_enforcement_esc@apple.com - subpoenas@apple.com

20 Cosa possiamo chiedere a RIM Le comunicazioni BES (BlackBerry Enterprise Server) possono avvenire attraverso il server centrale di RIM (Canada) oppure tramite un BES installato presso l azienda (grandi utenti) - Intercettazione dei dati che transitano su piattaforma BES (BBM, ) - Log trattenuti per 30 giorni (richiesti su decreto)

21 Cosa possiamo chiedere a RIM [Data that may be helpful may include transactional logging data, which is retained by BlackBerry for troubleshooting and quality assurance purposes (Please be advised that BlackBerry does not retain the content of BlackBerry Messenger conversations). Furthermore we may also be able to provide basic subscriber data, which can be used to assist the telco carrier] PSO Italy pso.it@blackberry.com PSO On-call pso.oncall@blackberry.com [emergenze] Lawful Access lawfulaccess@blackberry.com

22 Cosa possiamo chiedere a GOOGLE per Android GOOGLE non ha mai emesso un documento ufficiale di cosa è disponibile della piattaforma Android Phone Number: (001) Fax Number: (001) Address: legal-support@google.com

23 Cosa possiamo chiedere a GOOGLE per Android In corso di un indagine per omicidio, ho saputo da Google ed ottenuto dati cancellati da cartella Gdrive. - Google dichiara che a seguito di cancellazione i dati sono ancora disponibili per il recupero per alcuni giorni

24 Cosa possiamo chiedere a SAMSUNG Device information : hardware model, IMEI number and other unique device identifiers, MAC address, IP address, operating system version, and settings of the device you use to access the Services. Log information : such as the time and duration of your use of the Service, search query terms you enter through the Services, and any information stored in cookies that we have set on your device. Location information : such as your device s GPS signal or information about nearby WiFi access points and cell towers that may be transmitted to us when you use certain Services.

25 Cosa possiamo chiedere a SAMSUNG Voice information: such as recordings of your voice that we make (and may store on our servers) when you use voice commands to control a Service. (Note that we work with a third-party service provider that provides speech-to-text conversion services on our behalf. This provider may receive and store certain voice commands.) Other information: about your use of the Services, such as the apps you use, the websites you visit, and how you interact with content offered through a Service.

26 Cosa possiamo chiedere a SAMSUNG Legal Counsel SAMSUNG ELECTRONICS ITALIA SPA Via C. Donat Cattin, Cernusco sul Naviglio (MI) - Italy Phone

27 Cosa possiamo chiedere a MICROSOFT???? Non ho ottenuto alcun tipo di risposta

28 L esame tecnico Acquisizione Logica Acquisizione del File System Acquisizione Fisica Chip Off

29 L esame tecnico : Acquisizione Logica L acquisizione a livello logico da un dispositivo mobile è una copia bitfor-bit dei logical storage objects. I Logical storage objects sono i files e le directories che risiedono nella memoria di massa del dispositivo a livello di file system. In questo tipo di acqisizione i tools comunicano con il device e richiedono le informazioni tramite il sistema operativo del target tramite le API (Application Programming Interface). Di fatto è molto simile a quanto non fanno i tools prodotti dal singolo costruttore per la sincronizzazione dei dati con un PC. I dati vengono estratti impartendo al device comandi riconosciuti dal sistema operativo. Questo tipo di estrazione non produce normalmente la possibilità di recuperare dati eliminati.

30 L esame tecnico: Acquisizione del File System Gli strumenti Mobile su cui è presente un sistema operativo come Android, ios Windows Phone o similari permettono l acquisizione del file system, l acquisizione avviene in modo similare a quella logica, ma viene acquisita l intera struttura del file system. Ad esempio dove i dati sono salvati in data base SQLite quanto il dato viene cancellato, normalmente il dato non viene sovrascritto. Di solito il dato è marcato come cancellato, permettendo in questo modo il recupero, fino all eventuale successiva sovrascrittura. Questo tipo di analisi permette anche di accedere al file system.

31 L esame tecnico: Acquisizione Fisica L acquisizione a livello fisico è di fatto la copia bit-for-bit della memoria. È la modalità che più si avvicina alla computer forensic. La successiva analisi permette l estrazione ed il recupero (ove possibile) di dati cancellati.

32 L esame tecnico: Chip-off Sarà oggetto del prossimo intervento

33 L esame tecnico: Chip-off Attività di acquisizione del dispositivo mobile è da considerarsi ripetibile o irripetibile?

34 Iphone Pin Brute Force - IP-Box Apple ha inserito una fix nell ios 8.1.1

35 Iphone Pin Brute Force -

36 Iphone Pin Brute Force -

37 Iphone Pin Brute Force -

38 L acquisizione con strumenti Commeriali:

39 L acquisizione con strumenti Open Source (ios): h"p:// supporta iphone, ipod Touch, ipad and Apple TV N non richiede jailbreak e non dipende da librerie esterne E in grado di: leggere informazioni circa il disposi1vo eseguire backup/restore del disposi1vo Montare parte del filesystem (come ifunbox) gesdre icone e applicazioni leggere addressbook/calendars/notes e bookmarks (udlizzando libgpod) sincronizzare musica e video Può essere considerata quasi un acquisizione filesystem

40 L acquisizione con strumenti Open Source (ios): Latest Release: Supporta : ipod Touch 1G/2G/3G/4G/5G iphone 1G/2G/3G/3GS/4/4S/5/5C/5S/6/6+ ipad 1/2/3/4/Mini/Mini 3/Air/Air 2 Apple TV 2G/3G running up to firmware 8.2.0

41 L acquisizione con strumenti Open Source (Android): Può essere considerata quasi un acquisizione filesystem Se esegue tramite il tool ADB, Android Debug Bridge. Utility command line inclusa nell SDK Google Android che permette di comunicare con l emulatore Android o un device connesso via USB per: Controllare il dispositivo via USB Copiare file da e verso il dispositivo Installare e disinstallare applicazioni Eseguire comandi da shell / Fare debug di applicazioni Backup/restore (Android >= 4.0)

42 L acquisizione con strumenti Open Source: Interessante documento sull acquisizione degli strumenti mobile attraverso l impiego di software Open Source : atti_milano_2014/20/ _dalchecco.pdf

43 Casi Particolari (LUMIA): I LUMIA 800 E 710 COMPATIBILI CON LO SBLOCCO Per scoprire se il proprio Nokia Lumia 800 o 710 è sbloccabile basta metterlo in download mode:

44 Casi Particolari (LUMIA): - Scaricate la ROM per il vostro Lumia - Entrate nel menu Qualcomm premento contemporaneamente i tasti del volume e il tasto power (partendo dal telefono spento) e collegate il telefono al computer. - Nel prompt di dd (in Linux; non abbiamo conferme che funzioni anche in Windows) digitate dd if=./os-new.nb of=/dev/sdx9 dove X è il numero o la lettera corrispondente al Nokia Lumia riconosciuto dal sistema.

45 Casi Particolari (LUMIA): - Ora dovrete eseguire un hard reset del Lumia: tenete premuto il tasto di accensione per 10 secondi per uscire dal menu Qualcomm. - Premete il tasto power, il tasto per abbassare il volume e il tasto della fotocamera contemporaneamente fino a quando il Lumia non vibrerà. - Dopo la vibrazione lasciate solo il tasto di accensione e tenete premuti ancora il tasto per abbassare il volume e quello della fotocamera per 5 o più secondi. - Al riavvio il vostro Lumia avrà l Interop-Unlock!

46 L analisi : Parsing di immagine proveniente da Chip-off con UFED:

47 L analisi :

48 L analisi : Parsing di immagine proveniente da Chip-off con XRY:

49 L analisi : Parsing di immagine proveniente da Chip-off con XRY:

50 L analisi : Parsing di immagine con IEF :

51 L analisi : Parsing di immagine con IEF :

52 L analisi : Gli strumenti commerciali puntano all estrazione degli artefatti principali, e sicuramente più utili : - Registro chiamate - Chat - Files multimediali -

53 L analisi : Esempi di analisi del file system / dump fisico effettuati manualmente al fine di individuare informazioni di cui gli strumenti commerciali non effettuano il parsing : Estratti da LOG di Samsung Android : [AAAA.M.GG - HH:MM:SS] Local time is changed...

54 L analisi : [AAAA.M.GG - HH:MM:SS] Power Off BmDirectShutDown() is called: LPM Mode TA_REMOVED or USB_REMOVED.. [AAAA.M.GG - HH:MM:SS] Power on : Normal booting... [AAAA.M.GG - HH:MM:SS] Power off : Normal Mode... [AAAA.M.GG - HH:MM:SS] Power on : Normal booting...

55 L analisi : [AAAA.M.GG - HH:MM:SS] Create New Alarm! (type=1, halarm=4, duetime=2014/1/23 06:00, repeat type=254, snooze type=1, snooze count = 1) [AAAA.M.GG - HH:MM:SS] OrgAppAlarmPopupTimerCallback is called [AAAA.M.GG - HH:MM:SS] Snooze Alarm! (type=1, halarm=-1, duetime=2014/1/22 06:01, repeat type=254, snooze type=1, cursnoozecnt = 1, setsnoozecnt=1)

56 L analisi :

57 L analisi :

58 L analisi (DropBox Event) : start= end=

59 L analisi (WIFI) : ctrl_interface=eth0 update_config=1 device_name=wireless Client manufacturer=samsung Electronics device_type=1-0050f204-1 network={ ssid="telecom " psk="sfwamryvpsw417huxpmaciik" key_mgmt=wpa-psk priority=1 }

60 Localizzazione : SS7, anche noto come Signaling System #7, è un set standardizzato di protocolli di segnalazione usati nelle reti telefoniche PSTN (Public Switched Telephone Network) mondiali per gestire le chiamate. Il principale obiettivo di SS7 è quello di gestire l'attivazione e la chiusura delle chiamate. Altri utilizzi di questo sistema di segnalazione sono la gestione dei servizi SMS (Short Message Service), la fatturazione con sistemi prepagati, la traduzione del numero chiamato o chiamante (number translation) e una ampia gamma di servizi aggiuntivi ormai appannaggio dei clienti di molte delle reti telefoniche mondiali.

61 Localizzazione : HLR Lookup (Home Location Register) è un servizio attraverso il quale l'utente registrato può controllare lo stato di un numero cellulare in tutto il mondo. In realtà, con questo servizio è possibile analizzare perché l'invio di un messaggio è fallita o è in sospeso. È inoltre possibile controllare in quale operatore di rete un numero di cellulare appartiene. Come forse saprete, non possiamo essere sicuri in quale rete un numero di cellulare (MSISDN) appartiene. Le persone spesso mantengono il loro numero di telefono e cambiano operatore, situazione ben nota come portabilità del numero cellulare.

62 Localizzazione : home location register (HLR) è costituito da un data base che contiene ogni dato di un numero telefonico GSM autorizzato ad accedere alla rete GSM(oltre ad altre informazioni). Il DB HLR è dislocato presso ogni operatore telefonico, ed interconnesso con gli altri, e contiene i dettagli di ogni SIM card rilasciata. Esistono servizi per interrogare il DB HLR e sapere se un numero è attivo, e la sua localizzazione. Es. :

63 Localizzazione :

64 Localizzazione : [is_roaming] - Roaming indication [roaming_country_prefix] - The country code where number is [roaming_country_name] - Roaming country description [roaming_operator_prefix] - Roaming operator's dialing code [roaming_operator_name] - The name of the roaming operator

65 Tabulati telefonici Fino a Ieri : 24 Mesi per il traffico telefonico 30 giorni per le chiamate senza risposta 12 Mesi per il traffico dati Si può richiedere in base al Numero telefonico / IMEI dell apparato telefonico : fare sempre la verifica incrociata Richiedere sempre anche il traffico dati

66 Tabulati telefonici

67 Tabulati telefonici La condizione U3/3 si verifica nei casi in cui l apparato telefonico di destinazione della chiamata riceve la chiamata ma l utente non risponde, lasciano trascorrere il periodo time out di 60 La condizione U3/2 si verifica nei casi in cui il mittente della chiamata termina la connessione con il tasto di chiusura della chiamata

68 LAC

69 LAC

70 Traffico Dati blackberry.net 348XXXXX 20/12/XXXX19:00:41 20/12/XXXX19:30:42 N (GPRS) durata 3572XXXXXXXXXXXXX [LAC]

71 Copertura BTS

72 Copertura BTS

73 Copertura BTS

74 Copertura BTS!

75 Copertura BTS

76 Grazie! Giuseppe DEZZANI (partner) Studio Associato Digital Forensics Bureau