Il nostro team di esperti forensi è raggiungibile al numero 0221 64306610. Descriveteci il vostro problema.
Informatica forense mobile – acquisizione e analisi delle prove digitali da smartphone
Gli smartphone e i tablet sono tra gli elementi di prova più ricchi di informazioni che possono emergere nel corso di un’indagine. In questo contesto, non è fondamentale estrarre il maggior numero possibile di dati da un dispositivo. È invece fondamentale acquisire in modo controllato le tracce rilevanti ai fini probatori, valutarle nel loro contesto e documentarle in modo comprensibile – compresi i punti in cui una perizia tecnica non è più attendibile.
LanCologne è uno studio peritale con un proprio laboratorio forense a Colonia specializzato nell’analisi dei dispositivi mobili. Poiché copriamo anche gli altri settori della informatica forense e della ricostruzione dei dati, all’occorrenza è possibile mettere in relazione i dispositivi mobili con ulteriori prove digitali, anziché considerarli isolatamente. La base professionale è costituita da una qualifica certificata dal TÜV Rheinland per la scienza forense dei dispositivi mobili e di Windows, consultabile pubblicamente nella banca dati dei certificati Certipedia con il numero di certificato 0000067863.
Sospetti la presenza di spyware, stalkerware o malware su uno smartphone? Effettuiamo analisi forensi su dispositivi iOS e Android alla ricerca di indizi di compromissione, con una procedura documentata, risultati tracciabili e una chiara interpretazione di ciò che indicano e di ciò che non indicano. Verifica della vulnerabilità
Cosa può fare la scienza forense mobile – e cosa non può fare
La scienza forense mobile comprende il salvataggio, l’estrazione, l’analisi e la valutazione delle informazioni digitali provenienti da smartphone, tablet e dalle fonti di dati ad essi collegate. Fornisce risposte a domande di natura tecnica: quali dati sono presenti sul dispositivo? Quando sono stati generati, modificati o ricevuti? È possibile ricostruire le sequenze degli eventi? Qual è il valore probatorio delle tracce rinvenute?
Non risponde a domande di natura giuridica. Spetta al tribunale o al committente – e non al perito – decidere se un risultato sia rilevante ai fini di un procedimento. Inoltre, non fornisce alcuna garanzia: la possibilità di ricostruire una determinata informazione dipende dal modello del dispositivo, dalla versione del sistema operativo, dalla crittografia, dalle condizioni del dispositivo e dall’ulteriore utilizzo dopo l’evento in questione.
Sospetto di spyware, stalkerware o malware
Una parte consistente delle richieste nel campo della digital forensics mobile nasce da un sospetto: qualcuno è a conoscenza di informazioni che non potrebbe conoscere. Un dispositivo è sfuggito temporaneamente al controllo del proprietario. Una situazione di separazione si aggrava. Oppure uno smartphone aziendale mostra comportamenti anomali dopo un episodio di phishing.
In questi casi teniamo un analisi forense della compromissione . Non si tratta di una scansione antivirus e non utilizza firme, ma analizza il dispositivo alla ricerca di tracce che potrebbero essere state lasciate da un’eventuale manipolazione o sorveglianza.
Cosa viene esaminato in questo contesto
- le applicazioni installate, la loro provenienza e le autorizzazioni loro concesse
- Impostazioni di configurazione e profilo, gestione dei dispositivi e certificati
- Elementi del sistema e di avvio, nonché meccanismi che consentono la permanenza a lungo termine sul dispositivo
- Elementi relativi alla rete e alle connessioni, comprese le connessioni verso destinazioni insolite
- Dati di diagnostica, di arresti anomali e di log che possono indicare un’attività inattesa del processo
- Account, collegamenti e accessi sincronizzati sui dispositivi associati
Cosa indica un risultato
Distinguiamo sistematicamente tra un aspetto tecnico Prova, un Nota, un sospetto non confermato e un prova mancante. Se non vengono riscontrate anomalie, ciò non significa che con certezza non vi sia nulla: significa semplicemente che, con i dati e i metodi a disposizione, non è stato possibile individuare alcun indizio. Inseriamo questa distinzione nel rapporto perché è determinante ai fini delle ulteriori decisioni del committente.
A ciò si aggiunge il fatto che gli attacchi ai dispositivi mobili possono essere progettati per lasciare il minor numero possibile di tracce permanenti. Anche per questo motivo, l’assenza di anomalie non consente di escludere con certezza la presenza di un attacco, ma permette comunque di trarre una conclusione attendibile su ciò che è stato verificato e su ciò che non è emerso.
Ogni fase dell’esame viene documentata: cosa è stato verificato, con quale procedura, con quale risultato e quali sono i limiti della sua attendibilità. Descriviamo in dettaglio la procedura nella pagina Verifica delle minacce mobili e del malware.
Lo svolgimento dell'esame
Oggetto della causa e questione probatoria
Il punto di partenza è la domanda a cui si deve rispondere, non lo strumento. Dalla domanda di prova si deduce quali fonti di dati siano effettivamente rilevanti, quale metodo di acquisizione sia adeguato e quale sia l’ambito di indagine appropriato. Una domanda poco chiara porta a un risultato poco chiaro.
Conservazione delle prove e stato delle apparecchiature
Uno smartphone è un sistema dinamico. Riceve messaggi, sincronizza account, registra eventi e ripulisce i database – anche quando nessuno lo sta utilizzando. Ogni minuto in cui il dispositivo continua a funzionare dopo l’evento in questione può alterare le tracce rilevanti.
Per questo motivo vengono documentati la ricezione, lo stato e l'identificazione del dispositivo e si evitano modifiche non necessarie. Laddove le circostanze lo richiedano, effettuiamo il backup forense in loco, anziché trasportare il dispositivo.
Estrazione
I dati vengono estratti dal dispositivo messo in sicurezza in un formato idoneo all’analisi. Le procedure disponibili dipendono dal dispositivo e dalla versione. Nel caso di dispositivi protetti o bloccati, a seconda del modello, della versione del sistema operativo e delle condizioni, può essere possibile sbloccarli o decriptarli. Non è possibile trarne una garanzia generale; valuteremo la situazione caso per caso.
Analisi e correlazione
È qui che emerge il vero valore conoscitivo. I singoli elementi vengono considerati nel loro contesto: un database viene confrontato con i log di sistema, un timestamp con una fonte indipendente, un elemento di localizzazione con il contesto in cui è stato generato. Le contraddizioni tra le fonti non costituiscono un fattore di disturbo, ma spesso rappresentano proprio il risultato della ricerca.
Valutazione e documentazione
Il risultato finale è una classificazione che distingue tra fatti tecnicamente accertabili, conclusioni scientificamente fondate, semplici indicazioni e ipotesi non dimostrabili – e che indica dove finisce la validità dell’affermazione.
Tipi di protezione
Le procedure comunemente utilizzate si differenziano per portata e requisiti:
- Backup logico – accede ai dati che il sistema operativo mette a disposizione tramite interfacce definite. Ampiamente utilizzabile, ma limitato a ciò che il sistema fornisce.
- Backup basato sul file system – rileva le strutture del file system e, di conseguenza, spesso anche i residui dei database, le memorie cache e le strutture secondarie che un backup logico non rileva.
- Procedure specifiche per i dispositivi – accessi avanzati, la cui disponibilità dipende in larga misura dal modello, dalla versione del sistema operativo e dal livello di sicurezza.
Il termine „copia di sicurezza fisica“ viene utilizzato in modo non uniforme nella pratica. Nel caso dei dispositivi mobili, di norma non fornisce un’immagine del flusso di bit inalterata come nel caso di un disco rigido classico. Lo utilizziamo quindi solo nei casi in cui sia tecnicamente applicabile – e non come garanzia di qualità.
iOS e Android: situazioni di partenza diverse
Le possibilità differiscono notevolmente. Un’equivalenza generalizzata tra le due piattaforme è fuorviante.
iPhone e iPad
I dispositivi Apple sono altamente standardizzati e, al contempo, protetti da una crittografia basata sull’hardware e da un accesso al sistema strettamente controllato. Ciò a cui è possibile accedere dipende in larga misura dalla generazione del modello, dalla versione di iOS e dallo stato del dispositivo. Vengono analizzati, tra l’altro, i dati di comunicazione, i file multimediali con i relativi metadati, nonché gli artefatti di sistema e di utilizzo. I dettagli relativi alla piattaforma sono trattati nella pagina dedicata a analisi forense degli iPhone.
Android
Android è fortemente frammentato: produttori, chipset, versione di Android, stato delle patch di sicurezza e livello di crittografia variano notevolmente. Da un lato ciò amplia la gamma di possibili procedure, dall’altro i risultati sono meno prevedibili rispetto a iOS. Per approfondire l’argomento: L'analisi forense di Android in dettaglio.
Analisi forense dell'iPhone
La generazione del modello, la versione di iOS e lo stato del dispositivo determinano le procedure possibili.
Analisi forense di Android
Il produttore, il chipset, la versione e lo stato delle patch determinano situazioni di partenza molto diverse.
Controllo di compromesso
Analisi per individuare tracce di spyware, stalkerware e malware – con una chiara interpretazione dei risultati.
Analisi forense di iCloud
Gli account, i backup e i contenuti sincronizzati possono contenere informazioni che non sono presenti sul dispositivo.
Campi di reperti principali
Messaggistica e comunicazione
Messaggi, allegati, contatti, informazioni relative ai gruppi e agli orari, nonché i relativi metadati, sono tra i dati più frequentemente analizzati. È importante distinguere tra ciò che un’app mostra sullo schermo e ciò che è effettivamente memorizzato nelle sue strutture di dati. Uno screenshot di una chat non costituisce un’analisi forense. Maggiori informazioni su Analisi forense di Messenger.
Database delle app, SQLite, WAL e SHM
Molte applicazioni memorizzano i propri dati in database SQLite. Oltre al file del database vero e proprio, spesso esistono strutture secondarie, in particolare il Write-Ahead-Log (WAL) e il file di memoria condivisa (SHM). Queste possono contenere voci che non sono più visibili nel database principale. In caso di risultati rilevanti ai fini probatori, esaminiamo queste strutture a livello di dati grezzi, anziché affidarci alla rappresentazione elaborata da uno strumento. Si veda a tal proposito il Analisi WAL e SHM.
Dati cancellati
Non esiste alcuna garanzia di recupero. I dispositivi moderni utilizzano la crittografia di default; le memorie flash vengono ripulite in background; i database si ripuliscono automaticamente. Se le chiavi corrispondenti sono state eliminate o le aree sovrascritte, la ricostruzione è tecnicamente impossibile.
Spesso, tuttavia, esistono tracce secondarie: voci in strutture secondarie di database, memorie cache, anteprime, cronologie delle notifiche, backup o copie sincronizzate su dispositivi collegati. Al contrario: il fatto che un’informazione non sia più ricostruibile non dimostra che non sia mai esistita.
Dati relativi alla posizione e agli spostamenti
Possibili fonti sono i metadati delle foto, i dati relativi a mappe e navigazione, gli artefatti delle app e del sistema, nonché i riferimenti alla rete e al cloud. Nella valutazione è necessaria cautela: un artefatto di localizzazione attesta l’attività di un dispositivo, non il luogo in cui si trovava una determinata persona. Chi avesse con sé il dispositivo nel momento in questione non è una questione tecnica, bensì una questione probatoria.
Marcatori temporali e ricostruzione degli eventi
Le indicazioni temporali sono una delle fonti di errore più comuni. I fusi orari e i formati variano, e lo stesso file può contenere diversi valori temporali che assumono significati diversi: creazione, modifica, ricezione, invio, sincronizzazione, inserimento nel database o visualizzazione. Un singolo valore, quindi, raramente è sufficiente da solo. Ove possibile, lo mettiamo in relazione con fonti indipendenti – ad esempio con Log dei dispositivi Android.
Analisi anziché rapporto sugli strumenti
Il software forense è in grado di eseguire il backup, estrarre, organizzare i dati e fornire indizi. Tuttavia, il rapporto generato automaticamente da uno strumento non costituisce di per sé un’interpretazione peritale.
Gli strumenti partono da ipotesi: assegnano voci, interpretano valori temporali e rappresentano correlazioni che potrebbero non verificarsi nei singoli casi. Per questo motivo, verifichiamo la plausibilità dei risultati rilevanti ai fini probatori a livello di artefatti e dati grezzi, nella misura in cui ciò sia necessario e tecnicamente possibile. Per una classificazione di livello superiore, si veda il nostro Servizi di perizia informatica forense.
Account cloud e dispositivi collegati
Un dispositivo raramente è un caso a sé stante. Gli account, i backup, i contenuti sincronizzati e gli altri dispositivi dello stesso utente possono contenere informazioni rilevanti, talvolta anche quando queste non sono più presenti sul dispositivo oggetto dell’indagine. Tali fonti vengono prese in considerazione esclusivamente nell’ambito dell’incarico di indagine conferito e delle autorizzazioni legali e tecniche disponibili.
Trasparenza dei risultati, documentazione e catena di custodia
Le indagini vengono condotte senza pregiudizi. Gli reperti rilevanti vengono analizzati, indipendentemente dal fatto che confermino o smentiscano un’ipotesi di lavoro. Anche quando l’indagine viene commissionata da una delle parti, l’analisi tecnica rimane imparziale. La mancata individuazione di prove costituisce un risultato tecnicamente corretto e viene indicata come tale.
Vengono documentati la ricezione, lo stato e l’identificazione del dispositivo, i passaggi di consegna, le fasi di elaborazione, il metodo di backup scelto, gli strumenti e le versioni utilizzati, le fasi di analisi nonché i limiti dell’esame. Vengono generati valori di integrità o hash, nella misura in cui siano tecnicamente applicabili; nel caso dei dispositivi mobili, ciò non è possibile in ogni procedura né a ogni livello.
Tipi di risultati: documentazione, relazione, perizia
L'entità dipende dall'incarico, dalla questione oggetto della prova e dalla finalità di utilizzo:
- Documentazione tecnica – elaborazione strutturata dei dati salvati ed estratti, affinché il committente possa proseguire autonomamente il lavoro.
- Relazione sull’indagine forense – valutazione completa con risultati, interpretazione, significatività e limiti specificati.
- Perizia forense informatica – risposta peritale a una questione probatoria concreta, elaborata per essere utilizzata in un procedimento.
Prima dell'inizio dell'esame chiariremo quale sia la forma più appropriata.
Per chi conduciamo le ricerche
L'analisi tecnica è la stessa in tutti i casi; ciò che cambia sono le domande tipiche da porre.
Tribunali richiedono una risposta neutrale e comprensibile a una questione probatoria concreta. Avvocati e difensori penali fanno verificare dal punto di vista tecnico i risultati delle analisi più frequenti. Autorità di polizia giudiziaria affidare l'acquisizione dei dati e la loro analisi come prestazione complementare di perizia. L'azienda indagano su incidenti interni, possibili fughe di dati o sulla ricostruzione di processi specifici. Assicurazioni richiedono il chiarimento tecnico dei sinistri e la verifica delle prove digitali. Privati si rivolgono a noi con domande relative ai propri dispositivi e necessitano inoltre di una spiegazione chiara dei risultati.
Limiti tecnici
Le possibilità di indagine sono limitate dal modello del dispositivo e dalla versione del sistema operativo, dagli aggiornamenti di sicurezza e dalla crittografia, dallo stato di blocco e dalle condizioni del dispositivo, dalle cancellazioni effettuate e dalle operazioni di pulizia del database, dall’ulteriore utilizzo successivo all’evento in questione, dai processi di sincronizzazione, nonché da difetti e danni fisici.
In questo contesto, è particolarmente rilevante se un dispositivo sia già stato sbloccato almeno una volta dall’ultima accensione. Prima del primo sblocco, gran parte dei dati è crittografata e tecnicamente inaccessibile; dopo lo sblocco, un numero maggiore di aree si trova in uno stato decrittografato. Questa differenza può determinare quali analisi siano effettivamente possibili – ed è un motivo per non riavviare inutilmente un dispositivo dopo un evento rilevante.
Non è quindi possibile garantire la completezza o il successo dell’intervento. Solo dopo aver esaminato il dispositivo e valutato la problematica sarà possibile fornire una stima attendibile di ciò che è realizzabile nel caso specifico. Se si tratta di un difetto fisico o se l’obiettivo principale è il recupero dei dati, in alcuni casi potrebbe essere necessario Recupero dati il modo più appropriato.
Tecnologie e strumenti forensi
Per il salvataggio, l’estrazione e l’analisi vengono utilizzati strumenti forensi consolidati, integrati da procedure di analisi interne. La scelta dipende dal dispositivo, dalla fonte dei dati e dal contesto dell’indagine – e non viceversa.
La competenza tecnica non deriva dal possesso di software, dai loghi dei partner o dai nomi dei produttori, bensì dalla verifica metodologica dei risultati. I risultati generati dagli strumenti vengono verificati in caso di riscontri rilevanti ai fini probatori e non vengono accettati senza verifica.
Domande frequenti sulla scienza forense mobile
Come si svolge un’analisi forense su dispositivi mobili?
Chiarire la questione oggetto dell'indagine, mettere in sicurezza il dispositivo in modo controllato, estrarre i dati, analizzare e correlare gli artefatti, classificare e documentare i risultati. La portata delle singole fasi dipende dalla problematica da affrontare.
Quanto dura una visita?
Dipende dal dispositivo, dalla quantità di dati, dalla procedura di backup e dall’entità dell’analisi. Forniremo una stima attendibile dopo aver esaminato il caso: indicare una durata forfettaria non sarebbe attendibile.
È possibile recuperare i messaggi cancellati?
A volte. Il successo di una ricostruzione dipende dalla crittografia, dalla gestione della memoria, dal tempo trascorso e dall’utilizzo successivo. Spesso esistono tracce secondarie in strutture secondarie di database, memorie cache o backup. Non vi è alcuna garanzia.
È possibile esaminare un dispositivo bloccato?
A seconda del modello, della versione del sistema operativo e delle condizioni del dispositivo, potrebbe essere possibile sbloccarlo o decriptarlo. Verificheremo in anticipo se ciò sia possibile nel caso specifico.
In cosa differiscono l'iPhone e Android?
iOS è altamente standardizzato e protetto in modo rigoroso, mentre Android è molto eterogeneo. Entrambi questi aspetti influiscono direttamente sulle procedure di sicurezza disponibili e sulla prevedibilità dei risultati.
Vengono generati valori di hash?
Sì, nella misura in cui ciò sia tecnicamente fattibile. Nel caso dei dispositivi mobili, non tutti i metodi producono un’immagine per la quale il valore hash abbia lo stesso significato che avrebbe su un supporto dati tradizionale. Documentiamo ciò che è stato generato e a cosa si riferisce.
Qual è la differenza tra una relazione e una perizia?
Una relazione d'indagine documenta i risultati e la loro interpretazione. Una perizia, invece, fornisce una risposta a una questione probatoria concreta in una forma adeguata al procedimento.
È possibile stabilire se un dispositivo sia stato monitorato?
Gli artefatti di sistema, delle app e di rete possono fornire indizi. È possibile trovare prove, ma non è possibile escludere con certezza: se non vengono rilevate anomalie, ciò significa che con i dati disponibili non è stato possibile individuare alcun indizio.
Rispondiamo alle altre domande in un unico posto all’indirizzo Tutte le domande e le risposte sulla digital forensics mobile.
Richiedi un'analisi forense del dispositivo mobile
Descriveteci il problema e le condizioni dell'apparecchio: vi diremo cosa è tecnicamente possibile e cosa no.
Per una prima valutazione sono utili il modello del dispositivo, la versione del sistema operativo, lo stato attuale (acceso, bloccato, danneggiato), l'accessibilità del dispositivo e una breve descrizione del problema. Non possiamo garantire in anticipo che l'estrazione o il recupero avranno esito positivo.