Una delle domande più frequenti nelle indagini aziendali è semplice: qualcuno ha copiato dati su una chiavetta? Il collegamento di un dispositivo USB lascia nel computer una serie di tracce che, lette insieme, permettono spesso di stabilire quale dispositivo è stato collegato, quando, con quale lettera di unità e, in alcuni casi, quali file sono stati aperti da esso.
Perché il sistema lascia tracce
Quando colleghi un dispositivo, il sistema operativo deve riconoscerlo, caricare il driver giusto, assegnargli un nome e, se si tratta di un supporto di memoria, montarne il volume. Ognuno di questi passaggi viene registrato per consentire al sistema di riconoscere il dispositivo le volte successive. Sono queste registrazioni, non pensate per le indagini, a costituire la base dell'analisi.
Le informazioni che si possono ricavare
Identificazione del dispositivo
Ogni dispositivo USB comunica al sistema alcuni identificativi:
- identificativo del produttore e del prodotto, che indicano marca e modello;
- numero di serie, assegnato dal produttore, che in molti casi distingue quella specifica chiavetta da tutte le altre dello stesso modello;
- nome descrittivo del dispositivo.
Non tutti i dispositivi hanno un numero di serie univoco. Alcuni economici ne sono privi o ne usano uno generico; in quel caso il sistema genera un identificativo proprio, che però non permette di riconoscere la chiavetta su un altro computer.
Date di collegamento
Su Windows le informazioni sui dispositivi sono distribuite tra il registro di sistema, i registri eventi e il file di installazione dei driver. Combinandole si ricavano in genere:
- la prima volta che il dispositivo è stato collegato;
- l'ultima volta che è stato collegato;
- talvolta l'ultima rimozione;
- in alcune versioni, una cronologia di collegamenti successivi nei registri eventi.
Lettera di unità e nome del volume
Il sistema registra quale lettera di unità, per esempio E: o F:, è stata assegnata al volume e quale nome aveva. Questo dato è prezioso perché permette di collegare il dispositivo ai file aperti da quella lettera.
Utente
Alcune voci sono registrate nel profilo dell'utente connesso al momento del collegamento. Si può così stabilire con quale account il volume è stato aperto.
Collegare il dispositivo ai file
Sapere che una chiavetta è stata collegata non dice ancora cosa è stato fatto. Per avvicinarsi alla risposta si incrociano altri artefatti:
- collegamenti ai file recenti: se un file è stato aperto direttamente dalla chiavetta, il collegamento creato dal sistema riporta il percorso con la lettera di unità e spesso il numero di serie del volume;
- elenchi delle cartelle visitate, che mostrano le cartelle aperte sul dispositivo;
- cronologie dei programmi, come i documenti recenti di un elaboratore di testi;
- timeline: accessi ravvicinati a molti file del computer nei minuti in cui la chiavetta era collegata possono suggerire una copia.
| Domanda | Fonti principali |
|---|---|
| Quale dispositivo? | Identificativi di produttore, prodotto e numero di serie |
| Quando? | Registro, registri eventi, file di installazione driver |
| Da quale utente? | Voci nel profilo utente |
| Quali file sono stati aperti dal dispositivo? | Collegamenti recenti, cartelle visitate |
| Sono stati copiati file sul dispositivo? | Timeline, analisi della chiavetta stessa |
Il limite principale: la copia non lascia sempre tracce
Il sistema registra bene l'apertura di file da un dispositivo, molto meno la copia di file dal computer verso il dispositivo. Una copia trascinando una cartella può non generare nessuna voce specifica. Le prove indirette, come la timeline degli accessi, sono indizi da valutare con cautela, perché anche un antivirus o un'indicizzazione possono produrre accessi simili.
La prova più forte si ottiene quando si dispone anche della chiavetta: l'analisi del suo file system può mostrare quali file contiene o conteneva, con date coerenti con quelle del computer, e il numero di serie conferma che è proprio quella.
Altri sistemi operativi e altri dispositivi
Anche macOS e Linux registrano i collegamenti dei dispositivi, in registri di sistema con struttura diversa e spesso con un periodo di conservazione più breve. Telefoni collegati via USB, dischi esterni e lettori di schede lasciano tracce simili, con qualche variante nel modo in cui vengono riconosciuti.
Buone pratiche
- Acquisisci il disco del computer prima di qualsiasi verifica, per non aggiungere nuovi collegamenti.
- Non collegare la chiavetta sospetta a un computer qualsiasi per "vedere cosa c'è": usa un write blocker.
- Documenta numero di serie e identificativi di ogni dispositivo sequestrato.
- Confronta gli orari in un unico fuso orario.
- Distingui chiaramente nella relazione ciò che è dimostrato da ciò che è solo compatibile.
In sintesi
- Ogni collegamento USB lascia identificativi, date, lettere di unità e utente.
- Il numero di serie permette spesso di riconoscere la singola chiavetta.
- L'apertura di file dal dispositivo è ben documentata, la copia verso il dispositivo molto meno.
- Avere anche la chiavetta rafforza enormemente le conclusioni.
- Acquisisci prima, verifica dopo, e non collegare il dispositivo senza protezioni.