Bitcoin: cyberinvestigation tra aspetti tecnici e giuridici

Transcript

1 Security Summit Roma 19/06/2014 Sala Lucia ore 16:30 Bitcoin: cyberinvestigation tra aspetti tecnici e giuridici IISFA Cybercop 2014 Litiano Piccin Partendo da una denuncia per estorsione scattata su Facebook e richiesta di pagamento tramite bitcoin, cinque squadre si sono sfidate analizzando computer e Telefoni passando attraverso l'analisi di tabulati e log per culminare con l'arresto dell'estortore attraverso la tecnica OSINT. Bitcoin 2.0 sta superando la sua tempestosa adolescenza? Luigi Ranzato Lo davano per morto dopo la caduta di MTGOX e invece fa ancora parlare di sé. Negli ultimi mesi la potenza di calcolo della rete Bitcoin è triplicata e il suo valore ricomincia a crescere. Combatte ogni giorno con le accuse sempre più pressanti di essere un bene di scambio adatto per le attività criminose in quanto garantirebbe l'anonimato. Bitcoin: aspetti giuridico/economici e fiscali Antonino Attanasio Bitcoin e le criptovalute rappresentano una sfida estremamente interessante non solo al monopolio monetario ma anche per gli operatori economici e del diritto, perché costituisce un modo originale di rappresentare lo strumento principale usato dall umanità per pagare un corrispettivo in cambio di un bene o un servizio 1

2 International Information System Forensics Association Italian Chapter Security Summit 2014 CYBERCOP 2014 IISFA - ww.iisfa.net Litiano Piccin litiano@studiopiccin.it

3 INTRODUZIONE Il CYBERCOP è una gara a squadre che annualmente viene tenuta contestualmente all IISFA FORUM. Viene simulata un indagine investigativa che ha per oggetto un reato compiuto attraverso uno o più strumenti informatici. Alle squadre viene consegnata una Denuncia e una serie di evidenze per iniziare una sorta di caccia all uomo che le porterà all arresto del malfattore. 3

4 INTRODUZIONE Quest anno il CYBERCOP è stato pensato in modo da tracciare un unico percorso guidato ; tutte le eventuali strade senza uscita sono state sbarrate. L accuratezza e precisione nella stesura della Relazione di Consulenza Tecnica e le varie richieste formali fatte all Autorità Giudiziaria hanno avuto un peso notevole nel determinare i vincitori. 4

5 TRAMA Marco Valerio Corvo girovagando in Internet con il suo cellulare arriva nella pagina FACEBOOK di una graziosa ragazza chiamata Ande. I due iniziano a conoscersi fra chat e messaggi. Dopo qualche giorno di scambio i due si danno appuntamento su SKYPE per vedersi in video. Durante uno di questi incontri i due consumano un rapporto sessuale virtuale. Alcuni giorni dopo MVC riceve una mail con una richiesta di denaro (BITCOIN) in cambio di una non pubblicazione di un video che lo ritrae in atteggiamenti ambigui. 5

6 TRAMA MVC si spaventa e decide di chiudere immediatamente l account FACEBOOK facendo prima un backup del suo account che salverà nel telefono. Qualche giorno dopo l arrivo della mail di estorsione un amico lo avvisa che ha trovato un video imbarazzante in Internet che lo ritrae. MVC decide allora di presentare una formale denuncia all Autorità Giudiziaria. 6

7 TRAMA Durante la stesura della denuncia, MVC omette alcuni particolari: Non fa riferimenti espliciti al tipo di chat avute con SKYPE. Non indica che nella mail vi era allegato uno stralcio del filmato. Non fa riferimento alla possibile età della ragazza. Non dichiara di aver ricevuto una mail da un amico che lo avvisa del video pubblicato in rete. 7

8 EVIDENZE A ciascuna squadra vengono fornite le seguenti evidenze: Acquisizione Cell. di Marco Valerio Corvo in formato Android Backup Acquisizione SD CARD di MVC in formato Advanced Forensics Format Denuncia in formato cartaceo Durante la gara, vengono fornite le seguenti evidenze in base alle richieste: I log in formato cartaceo di: FACEBOOK, TELECOM e SUBITO.IT Acquisizione del PC di Andelka Lin in formato Encase s Evidence File Acquisizione del PC di David Trezaghi in formato Acronis True Image 8

9 EVIDENZE I log forniti per le richieste a FACEBOOK, TELECOM e SUBITO.IT sono stati riportati in un formato verosimile. 9

10 SOLUZIONE Le evidenze consegnate possono essere aperte per l analisi con i seguenti tools (free): Acquisizione Cell. di MVC in formato Android Backup : convertita in formato Tape Archive utilizzando il software Open Source Android Backup Extractor Acquisizione SD CARD di MVC in formato Advanced Forensics Format : convertita in altri formati utilizzando il software freeware FTK IMAGER di ACCESSDATA 10

11 SOLUZIONE Le evidenze consegnate possono essere aperte per l analisi con i seguenti tools (free): Acquisizione del PC di Andelka Lin in formato Encase s Evidence File : convertita eventualmente in altri formati utilizzando il software freeware FTK IMAGER di ACCESSDATA Acquisizione del PC di David Trezaghi in formato Acronis True Image : questa copia non Forensically sound può essere aperta soltanto utilizzando il programma Acronis True Image 2014 in modalità trial 11

12 SOLUZIONE Nella denuncia si fa riferimento alle chat di FACEBOOK e di SKYPE. Tali informazioni sono la base per l inizio dell indagine in quanto incrociando queste chat si individuano le relazioni fra i vari personaggi della vicenda. Ogni evidenza contiene i riferimenti per passare al passo successivo individuando il personaggio che sta dietro il PC. Le evidenze di MVC portano ad individuare l identità di Ande. Le evidenze di Ande portano ad individuare l identità di MRX. Le evidenze di MRX indicano che lui è il colpevole. 12

13 SOLUZIONE Per le analisi i tools (free) che potevano essere utilizzati sono: Estrazione chat di SKYPE: Skype Log Viewerv LGG Estrazione chat di FACEBOOK: Facebook Chat Extractor (utilizzato per estrarre le chat direttamente dal pagefile) Esplorazione delle evidenze: FTK IMAGER 13

14 SOLUZIONE I vari passaggi per la soluzione sono i seguenti: Dal Cellulare di MVC si estrae l ID e USERNAME di Ande. Richiesta a FACEBOOK dell ultimo IP usato da quell utente. Richiesta al fornitore Telefonico delle generalità dell utente. Sequestro del PC e verifica dell esistenza delle chat fra i due protagonisti. Individuazione del filmato su una cartella condivisa con DROPBOX. Individuazione della MAIL a cui la condivisione è stata abilitata. OSINT sull indirizzo MAIL che porta ad un annuncio sul sito SUBITO.IT Richiesta a SUBITO.IT dell ultimo IP usato dall utente dell annuncio. Richiesta al fornitore Telefonico delle generalità dell utente. Sequestro del PC e verifica dell esistenza delle chat e filmati fra i due. 14

15 SOLUZIONE All interno delle evidenze sono stati inseriti alcuni particolari: SD CARD di MVC: formattata in un formato NTFS. SD CARD di MVC: il profilo FACEBOOK è zippato e la password è nascosta sull Alternate Data Stream del file stesso. PC ANDE: nella cartella condivisa vi è la Carta di Identità di Ande Lin che indica l attuale età di 15 anni. PC ANDE: nella cartella condivisa con MRX vi sono altri filmati che indicano la consuetudine delle attività fatte dalla protagonista. 15

16 RISULTATI Analizziamo le 4 consulenze che non hanno vinto per individuarne i punti deboli. 16

17 RISULTATI SQUADRA 1 Non è giunta all arresto del malfattore ma è arrivata a casa dello stesso fermandosi alla constatazione del formato dell immagine prodotta con ACRONIS. Non è stato evidenziata la presenza della mail di estorsione e nemmeno del suo allegato. Non è stata evidenziata la presenza della mail dell amico di MVC. Non è stata evidenziata la presenza dei vari filmati presenti nel PC di Ande che ne indicano il comportamento ambiguo. Non è stata evidenziata l età di Ande. Non è stata allegata nessuna evidenza in formato elettronico di quello riportato nella Relazione. Non sono stati riportati nella Relazione: chat, IP, hash, etc. 17

18 RISULTATI SQUADRA 2 Non è stato evidenziata la presenza della mail di estorsione e nemmeno del suo allegato. Non è stata evidenziata la presenza della mail dell amico di MVC. Non è stata evidenziata la presenza dei vari filmati presenti nel PC di Ande che ne indicano il comportamento ambiguo. Non è stata evidenziata l età di Ande. Non è stata allegata nessuna evidenza in formato elettronico di quello riportato nella Relazione. Non sono stati riportati nella Relazione: chat, IP, hash, etc. Non sono stati riportati i tools utilizzati. Le evidenze trovate non sono state descritte ma solo elencate. 18

19 RISULTATI SQUADRA 3 Non è stato evidenziata la presenza della mail di estorsione e nemmeno del suo allegato. Non è stata evidenziata la presenza della mail dell amico di MVC. Non è stata evidenziata la presenza dei vari filmati presenti nel PC di Ande che ne indicano il comportamento ambiguo. Non è stata evidenziata l età di Ande. Non è stata allegata nessuna evidenza in formato elettronico di quello riportato nella Relazione. Le evidenze trovate nel PC di ANDE e di MRX non sono state descritte ma solo elencate. 19

20 RISULTATI SQUADRA 4 Non è stato evidenziata la presenza della mail di estorsione e nemmeno del suo allegato. Non è stata evidenziata la presenza della mail dell amico di MVC. Non è stata evidenziata la presenza dei vari filmati presenti nel PC di Ande che ne indicano il comportamento ambiguo. Non è stata evidenziata l età di Ande. Non è stata allegata nessuna evidenza in formato elettronico di quello riportato nella Relazione. Le evidenze trovate non sono state descritte ma solo elencate. 20

21 RISULTATI Riassumiamo i punti deboli di queste 4 consulenze: Sommaria descrizione del tools usati. Hash mai riportati o «deboli» (solo MD5). Correlazione fra le evidenze solo accennata. Nessuna evidenza è stata consegnata in formato elettronico. Superficialità nella descrizione delle evidenze. Particolari quali l età della ragazza sono stati ignorati. 21

22 RELAZIONE VINCENTE Tipo di Relazione Tipo di Procedimento Destinatario Introduzione «anche l occhio vuole la sua parte» 22

23 RELAZIONE VINCENTE Nella premessa viene riportato uno stralcio del fatto e l elenco delle evidenze consegnate con relativo HASH E sempre opportuno riportare l HASH delle evidenze in due formati: MD5 e SHA 23

24 RELAZIONE VINCENTE Le foto all interno della relazione aiutano a documentare meglio le operazioni compiute E buona cosa indicare sempre le versioni dei software utilizzati 24

25 RELAZIONE VINCENTE Quando possibile visualizzare il contenuto delle evidenze con degli «screenshot» E buona cosa indicare sempre le versioni dei software utilizzati 25

26 RELAZIONE VINCENTE Si sono accorti dell età di Ande 26

27 RELAZIONE VINCENTE E stata individuata la cartella DROPBOX con il filmato ma non si è provveduto a incrociare le chat di SKYPE o FACEBOOK per avere la conferma dei rapporti fra i due Si evidenzia in maniera velata anche la presenza di altri video 27

28 RELAZIONE VINCENTE Viene ben indicata la procedura OSINT utilizzata per la ricerca della mail Le conclusioni sono però un po troppo coincise 28

29 RELAZIONE VINCENTE Le conclusioni di una Consulenza dovrebbero: Riportare un riassunto delle evidenze consegnate. Riportare un riassunto delle evidenze analizzate. Riportare un riassunto delle operazioni fatte. Riportare un riassunto di tutte le informazioni estratte e pertinenti all indagine. Devono essere scritte con un linguaggio chiaro e riportare solo elementi certi. Tutto il resto deve essere documentato con la massima precisione e riportato o nella relazione o negli allegati. 29

30 RINGRAZIAMENTI La realizzazione del gioco è stata possibile grazie all aiuto di alcuni volontari dell associazione che hanno dedicato molto tempo per la realizzazione di personaggi veri con un profilo e una loro vita virtuale. La stesura della trama è iniziato a Gennaio 2014 e l ultima modifica è stata apportata il giorno prima della gara (Maggio). Durante la gara sono stati realizzati filmati e interviste che verranno presentate in un documentario entro l anno. 30

31 RINGRAZIAMENTI Dietro i vari personaggi ci sono: MVC: Giuseppe Specchio e il suo SAMSUNG. E lui l ideatore iniziale della trama che ha passato giornate a chattare con Ranzato. Andelka Lin: ovvero Luigi Ranzato che nella realizzazione del profilo FACEBOOK ha totalizzato un elevato numero di amicizie maschili. David Trezaghi: meglio conosciuto come Davide Gabrini (Rebus). Oltre a curare il suo personaggio, Davide ha proposto e curato l idea di usare l OSINT per smascherare il suo personaggio. 31

32 RINGRAZIAMENTI LOG: dietro la creazione dei file di log dei fornitori vi è la mano di Marco Alvise De Stefani che si è occupato di tenere intrecciata tutta la trama. FILMATI E INTERVISTE: tutte le riprese del CYBERCOP e del FORUM sono state effettuate da Nicola Gentile che si occuperà di tutto il montaggio. Le interviste sono invece state curate da Manuela Cianfrone che ha saputo distinguersi anche in questa occasione. 32

33 RINGRAZIAMENTI Uno doveroso ringraziamento va anche a chi il giorno delle gara si è prodigato a gestire le squadre e le varie richieste pervenute: Davide Gabrini e Lorenzo Nicolodi 33