Newsgroup: it.diritto.internet
Titolo: HELP! (forse OT)

Salve a tutti,
Ho bisogno di sapere se esiste un modo per rintracciare la data di ultimo
start-up e/o shutdown di un pentium 2 con sistema operativo Win98 SE. Ciò
per verificare se il pc è stato acceso e se i dati al suo interno manipolati
dopo una certa data.
Ho bisogno di queste informazioni, perché ad un mio amico è stato
sequestrato il pc dalla polizia postale. Siamo quasi certi che, dopo il
sequestro, il computer è stato acceso (non sono stati applicati i sigilli)
ed i dati che vi erano potrebbero essere stati manipolati.
Per questo motivo ci occorre verificare che:
1) il pc è stato acceso *dopo* la data del sequestro. In tal caso dalle
manipolazioni possono essere avenute; se fatte da persone esperte sarebbero
difficilmente riscontrabili.
2) verificare in tutti i modi possibili se i dati sono stati manipolati.
In linea di principio, è possibile accendere il pc dopo la data del
sequestro, modificare la data di sistema immettendo dati *compromettenti*.
Dopodiché, si rimette la data a posto, per fare lo shutdown. Mi sembra però,
che una tale operazione sia "rilevabile" nel senso che la data originale
(cioè dell'ultima accensione) dovrebbe risultare sul file system durante il
boot. Anche se poi questo problema potrebbe essere bypassato facendo il boot
con un HD esterno. Non so però quanto sia valido questo ragionamento.
Grazie in anticipo
Extrabyte

 2) verificare in tutti i modi possibili se i dati sono stati manipolati.
Se c'è di mezzo la postale, la cosa può essere fatta solo da un perito di
parte....
Certamente ogni volta che viene avviato Windows vengono generati dei files e
modificati il registro ed altro....

 parte....
Ehm, nel post ho sbagliato: non era la polizia postale, ma la semplice (si
fa per dire) polizia giudiziaria. BTW non hanno nominato alcun perito.
Ciao, Extrabyte


E' molto strano.... Per legge devono avvertirti se stanno visionando il tuo
computer. E tu puoi prendere un perito di fiducia per verificare che i
controlli avvengano nella regolarita'.
Cmq si puoi risalire allo shotdown del pc.. Ma ci sono moltissimi modi per
verificare se il computer e' stato manipolato. Diversi software riescono a
dirti la data di entry di un file reggata in un hd, mentre potresti
utilizzare un undelete per verificare se hanno cancellato o modificato
qualcosa. Come ben sai in un hd anche se cancelli normalmente tali dati
rimangono.
Semplicemente basta vedere i file logs. dell'ultimo boot ha effettuato il
pc... Non credo siano capaci a modificarli :)....
Che SO utilizzava il tuo amico ?
bismark
www.bismark.it
(Il primo Network Security Italiano)

 Che SO utilizzava il tuo amico ?
Innazitutto grazie per la dritta. Dunque l'SO era Win98 (*non* SE). Sě lo
so, le stranezze sono tante, come ad esempio questa: chi ha fatto l'analisi
dell'HD non aveva la benché minima conoscenza d'informatica, in quanto non
era un perito ma un semplice ufficiale di PG.
Per quanto riguarda la manipolazione dei dati, da come ho potuto capire ciň
puň essere fatto, facendo lo sturt up con un HD esterno... In tal modo, sul
file system interno non risulta niente. Non sň perň fino a che punto sia
corretto questo ragionamento.
Piů di cancellazione di file, qui si parla di "immissione" di file; piů
precisamente di un documento di Microsoft Word 97.
Ciao, Extrabyte

 wrote in message
news:IN3R7.275614$sq5.13...@news.infostrada.it...

Si ok anche se si effettua un boot da un hd esterno cmq sia l'effettiva
registrazione sull'hd interessato avviene cmq.  Tra l'altro ti basta
scaricare un piccolo file : 
http://www.vision4.dial.pipex.com/
 che ti indica
l'ultima che si e' effttuato un bot. Cmq tu stesso hai detto che chi ha
fatto le verifiche non ne capiva nulla, e non penso sia capace a far bootare
un sistema con un hd diverso :) .... Il file word... se non erro hanno delle
signature interne,quindi penso sia possibile a risalire all'eventuale
modifica....
Cmq affidatevi ad un perito di fiducia, se ci sa fare si vede subito la
manomissione....
IN bocca al lupo
--


THANX per le info e per l'url.
Ciao, Extrabyte