Newsgroup: it.lavoro.informatica
Titolo: di che area parlano?

Inoltre i nuovi esami informatici confermano che ''aprendo file, filmati, 
fotografie sul computer di Alberto, i carabinieri hanno cancellato senza 
volerlo le tracce dei salvataggi di Word fra le 10.20 e le 12.20''. Per 
arrivare a questa conclusione, prosegue il ''Corriere della Sera'', ''sono 
stati simulati prima la scrittura di qualche pagina di tesi e poi le 
operazioni eseguite dai carabinieri. Risultato: il sistema operativo ha 
cancellato i file di salvataggio, proprio come accadde ad agosto del 2007. 
Per ritrovarli e' stato necessario esplorare un'area del computer mai 
visionata finora e per entrare in quell'area si e' dovuto seguire una 
procedura tutt'altro che standard, voluta da tutti i periti informatici. Ma 
sapere come ci si e' arrivati ad Alberto importa poco. Lui parte dalla fine, 
dall'esito. E sa benissimo che questo e' un punto a suo favore, che il 
pubblico ministero adesso sara' in difficolta'''.
Parlano del file di paging ?
ciao 

> Parlano del file di paging ?
Parlano dell'undeleting o del log di word. Se i pivelli hanno accesso
il PC dopo il sequestro però sarebbero da appendere per...

 Inoltre i nuovi esami informatici confermano che ..
Mettendo le mani avanti, io di tutta questa storia so poco o niente,
ma questo premesso, una volta che persone capaci hanno in mano un
computer, specie se come in questo caso si tratta di un Windows, non
ci dovrebbero essere particolari difficolta' a stabilire tutto quello
che c'e' da stabilire senza possibilita' di dubbio.
Il fatto che ancora oggi a distanza di anni ci ricamino sopra, e' un
indizio che probabilmente qualcosa non e' stata fatta a regola
d'arte ..
--
ale
http://ale.riolo.co.uk

 che c'e' da stabilire senza possibilita' di dubbio.
per me il pc non puo' essere assolutamente usato come prova determinante 
solo per queste cose:
1. era un pc portatile
2. non si sa chi era al pc
3. non potra' mai capire se c'era un umano che inseriva i dati
4. puo' essere usato a distanza
etc... che poi stabiliscano quello che vogliono ma per me rimane 
totalmente inattendibile come alibi.
ciao

 volerlo le tracce dei salvataggi di Word
Qualcuno mi spieghi *cosa diamine significa questa frase*, grazie.
-- 
Vide

Vide ha scritto:

boh dalla frase non si capisce nulla...
tipo che word per salvare usa dei file temporanei(che poi elimina pero' 
magari sono recuperabili) e loro magari hanno smanettato nel pc e l'hd 
e' andato a riscrivere piu' volte in questi settori impedendone 
qualsiasi recupero.

 4. puo' essere usato a distanza
senza lasciare tracce di alcun genere?
Tutte obiezioni lecite e sensate ma spero, davvero, che siano venute
in mente anche a qualunque perito che si occupi di indagini forensi.
Se così non fosse sarebbe da mettere in forse qualunque risultato
fornito dalle indagini, perché condotte da un inetto.
Ciao
Mattia

 fornito dalle indagini, perch� condotte da un inetto.
non voglio dire che le indagini forensi siano condotte male, voglio solo 
dire che per me usare il pc come alibi non basta... :-D
Comunque e' una vergogna che non si riescano a risolvere questi omicidi 
in maniera rapida... :-(
ciao :-D

 si mi pare che fosse collegato e' vero.
Con ADSL ? o con il cellulare ?
Windows registra da qualche parte se qualcuno cambia l'orario al pc ?

 4. puo' essere usato a distanza
benissimo, se l'accusa dimostrerà almeno una di queste ipotesi vorrà dire 
che avrà smontato l'alibi. 
se io ti dico che all'ora del delitto stavo scrivendo la tesi sul 
portatile la perizia andrà a verificare se è confermata. se lo è, 
qualsiasi versione alternativa dei fatti va dimostrata. non è che puoi 
confutare con delle ipotesi inventate, ne chiedere che una persona 
dimostri inequivocabilmente che non è possibile qualsiasi versione 
alternativa alla sua.

 portatile la perizia andrà a verificare se è confermata. 
Ecco, io è proprio questa cosa che non capisco.
Se non ho frainteso male le cose dette: viene inferito che il tizio 
stava al computer a quell'ora perché si sono ritrovate tracce di 
salvataggi automatici, prima non prese in considerazione per via della 
(supposta) maldestria dei carabinieri, giusto?
Ma:
1_ I carambicchieri non saranno mica stati così sprovveduti da inquinare 
le prove nel momento stesso in cui dovevano farlo, no? Se così fosse ci 
dovrebbe preoccupare di pagargli, invece che la benza per le macchine, 
almeno un bel corso di Computer Forensic con i controc...i, dico bene?
2_ La questione del salvataggio automatico non quaglia per nulla! Se io 
imposto il salvataggio automatico di Word ogni 10 minuti, è chiaro che 
posso lasciare il pc acceso per 20 anni e questo, a meno di problemi di 
alimentazione, continuerà a salvare il testo ogni 10 minuti, no? Nel 
frattempo avrei avuto comunque modo di fare almeno 10 figli o giù di lì 
senza che per questo io abbia garantito la mia presenza davanti al 
terminale.
Ciao
uLi

 alimentazione, continuerà a salvare il testo ogni 10 minuti, no?
Se non ci son ocambi non salva eh?
-- 
Vide

Vide ha scritto:

Macro che aggiunge la lettera "a" ogni dieci minuti al testo che ho già 
aperto, troppo complicata?
Accesso da remoto no, eh?
Ma dubito che i carramba non abbiano già controllato queste cose!!!
Ciao

 Accesso da remoto no, eh?
Lascia tracce.
 
-- 
Vide

 contempo io vado a compiere l'omicidio.
certo, se l'accusa ritiene che questa sia una tesi percorribile per 
smontare l'alibi allora la percorra, cerchi prove che la dimostrino. se 
l'ipotesi del complice non è congruente con il movente ipotizzato e la 
ricostruzione dei fatti non è che l'accusa può buttarla lì solo a scopo di 
fud.
 

Scusa Vide, ma se "tutto" lascia tracce com'è che non le hanno trovate?
Ciao
Vide ha scritto:


 "sua" webmail dal pc del killer :-)
Certo, ma sul sospettato ci sono solo indizi, non prove..Se gli avessero
trovato in casa traccie del sangue della vittima, lui non avrebbe potuto
dire che al momento del delitto era di fronte al PC...
Francesco
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Scusa Vide, ma se "tutto" lascia tracce com'è che non le hanno trovate?
Beh ma se quello che riporta il Corriere è vero, che le indagini siano state 
fatte alla pene di segugio (cit.) non ci piove.
-- 
Vide

 al pc a fare le operazioni di cui sopra 
non è questo il punto.
se tu accusa ipotizzi un complice, allora devi rivedere tutta la 
ricostruzione dei fatti in base a questo elemento. perché ovviamente la 
presenza di un complice non sta in piedi ne con l'omicidio passionale del 
fidanzato geloso, ne con il raptus di follia e ne con tante altre 
ricostruzioni. ti pare plausibile sostenere che il ragazzo abbia chiesto 
ad un amico di usare il suo computer per coprirlo mentre si assentava 
un'oretta giusto il tempo di massacrare la propria fidanzata?


Quantomeno dovevano clonare il disco prima di accenderlo su un'altro
PC.

 Mi pare una vaccata.......
Come hanno detto molti: si prenda il perito assegnato al caso, o
l'esperto di indagini forensi incaricato dalle forze dell'ordine
(carabineri) e lo si APPENDA ALLE PALLE per non aver prodotto
un'immagine disco da utilizzare N volte dal pc appena sequestrato, che
a quel punto si poteva adirittura restituire.
INOLTRE la vera indagine forense si fa sul disco offline (magari in
readonly) e NON utilizzando il sistema operativo del portatile!!!
E' un problema di coordinazione che esiste in quel corpo, visto che
esistono ufficiali e sottufficiali che ne sanno molto di più della
polizia postale, almeno a Roma: avrebbero dovuto incaricare almeno
loro.
Che dire: chi tale via prende....

 a quel punto si poteva adirittura restituire.
Io quando leggo queste storie canticchio Didi, di Khaled ;)
Un po' di rai e copia di sistema, compagni inseparabili :))
--
ale
http://ale.riolo.co.uk


lo Stasi , durante il sequestro , aveva chiesto di poter salvare la tesi su 
una chiavetta , cos� non rimaneva indietro con gli studi ...
I carabinieri acconsentirono . 

<INOLTRE la vera indagine forense si fa sul disco offline (magari in
<readonly) e NON utilizzando il sistema operativo del portatile!!!
ma infatti cos� � stato fatto ....ma purtroppo dopo LA RIACCENSIONE E LA 
COPIA DELLA TESI SU CHIAVETTA ...
Fra l'altro dicono che basterebbe modificare l'ora del pc per procurarsi un 
alibi ....ma su windows non si risale ai cambi dell'ora se sono stati 
effettuati ?
Ciao 


boh!
l'unica possibilit� che mi viene in mente potrebbe
essere il visualizzatore di eventi negli strumenti di
aministrazione, ma ho provato, non registra il cambio
dell'ora e comunque pu� essere cancellato.

 forense...
lol
eggi�
d.

 dell'ora e comunque puï¿œ essere cancellato.
ma uno dei problemi e' questo, se uno e' bravo puo' modificare tutto, 
ora non so se windows ci sono dei super spyware nascosti... ma lol

 Ciao
Tarè,
l'errore è proprio questo, di averlo acceso quel cacchio di portatile.
Il disco si smonta (a portatile spento) e si fa la copia offline poi
avoglia di tool forensic...

Wolferin wrote:

ma un banale dd if=/dev/hda of=/media/sd1 da una normale distro linux live? 
unnera meglio? 
ahhhhh

 avoglia di tool forensic...
Avevo visto tempo fa un articolo su dispositivi come questo
[
http://www.wiebetech.com/products/HotPlug.php]che
 permettono di portare
via anche un computer fisso senza spegnerlo. Serve per preservare dati
in ram che andrebbero persi altrimenti, recuperati quelli si pu�
spegnere la macchina e clonare i dischi.
Per� mi sa che per recuperare dati cancellati da disco e sovrascritti
bisogna analizzare la struttura magnetica del supporto originale.

 bisogna analizzare la struttura magnetica del supporto originale.
Yep, e a quel punto anche didi non serve più.
3+ anni fa ho comprato dei server usati da un tipo a Luton, andava a
ritirarli dalle banche o da vari uffici nella City, dopodichè usava un
software (che si lamentava essere specifico o quasi per ogni banca)
per spianare in maniera random gli HD, dopo un paio di giorni di tot
passate (non mi meraviglierei se tot fosse > 1000) erano pronti per
essere rivenduti su ebay.
--
ale
http://ale.riolo.co.uk

 essere rivenduti su ebay.
asd chissa' che affare che hanno fatto quelli che li hanno comprati!! 
:-D dopo 3 anni di usura piu' tot giorni di stress sui singoli clusters...
cya

 :-D dopo 3 anni di usura piu' tot giorni di stress sui singoli clusters...
Li ho comprati io, per un mio ex-datore di lavoro.
C'è da dire che a noi gli HD ci interessavano relativamente (in
generale ne montavamo di più grandi, usando quelli per altro), in
realtà ci interessavano le macchine (4 processori e 8 processori con
16/32GB e RAID array spettacolari a 4 soldi), andavano meglio di
quelle che ci potevamo permettere nuove ..
--
ale
http://ale.riolo.co.uk

 
http://ale.riolo.co.uk
Nello standard DoD degli Stati Uniti 3 passate e nello standard NATO
sono 7 mi pare. Un metodo forte come quello di Peter Gutmann utilizza 35
passate (8 casuali + 27 con pattern specifici), certo poi se ne possono
dare quante se ne vogliono ma mi sentirei abbastanza tranquillo.


In pratica è uguale. Sempre a portatile spento, col disco smontato...

 in ram che andrebbero persi altrimenti, recuperati quelli
come fanno a recuperare la RAM di un pc acceso ? 

 come fanno a recuperare la RAM di un pc acceso ? 
si fa un dump della ram, accertamente tecnico non ripetibile.
-- 
Sei cosi' secco...
Che se ti metti di profilo e tiri fuori la lingua...
Sembri una Zip!

Tarello ha scritto:

addirittura sembra possibile farlo con un pc (appena) spento e poi un
cold boot (msramdmp, ram2usb). ma non l'ho mai provato devo dire..
http://citp.princeton.edu/memory/
http://citp.princeton.edu/pub/coldboot.pdf

 
http://ale.riolo.co.uk
si infatti poteva anche prenderle bruciare i dischi e metterne di nuovi :)