Copiare su USB i dati di un computer (per spiarli)

Come fare la copia forense del disco del computer, per investigazione o spionaggio

Quando un investigatore o la polizia deve controllare l'uso di un computer non è che si mette a smanettare su Windows cercando i file, ordinandoli per data e cosi via. Non sono un esperto del campo ma so che viene fatta una verifica interna sull'uso dell'hard disk utilizzando programmi appositi di investigazione digitale. Un programma di questo tipo fa la copia dell'hard disk, ne permette l'analisi dei file per verificare, ad esempio, eventuali utilizzi illeciti, cause di infezioni da virus o prove di qualche crimine.
La nota società di sviluppo software Passmark, già incontratata in questo blog per i suoi strumenti di benchmark, ha rilasciato un programma gratuito chiamato OSForensics che permette di controllare in profondità ogni dettaglio d'uso del computer.
Inoltre mette a disposizione alcuni tool davvero semplici da utilizzare che possono essere utilizzati per fare la copia esatta di un hard disk del computer.
Questa clonazione però non ha fini di backup o riparazione ma soltanto di analisi e, semmai, di recupero file erroneamente cancellati.

La copia forense del disco del computer serve a diversi scopi, alcuni limpidi, altri molto meno. Visto che questo strumento è gratis e facilissimo da usare, non nascondo che si possa utilizzare, ad esempio, per farsi una copia del computer di un collega o amico di nascosto.

Tra i programmi di informatica forense migliori per trovare tutti i dati di un computer c'è OSForensics, una vera e propria suite gratuita per investigatori informatici di vediamo gli strumenti correlati che possono avere un'utilità più immediata.

OSFClone è attualmente offerto come una strumento gratuito (potrebbe non esserlo più quando uscir dalla beta) e funziona su qualsiasi computer (Windows, Mac Linux).
OSFClone è un'immagine ISO da masterizzare su un CD, DVD o su una penna USB.
L'installazione su penna USB richiede l'esecuzione del file ImageUSB.exe e qualche passaggio aggiuntivo descritto nella pagina di istruzioni.
Riavviando il computer con boot da lettore CD/DVD o da penna USB, OSFClone si avvia immediatamente ed automaticamente, indipendentemente dal sistema operativo installato sul computer. Un programma auto-boot si avvia al posto del sistema operativo, non richiede autenticazioni o password del proprietario del pc e funziona anche se Windows non funzionasse più.

Non c'è interfaccia grafica ma, anche se solo a riga di comando, è davvero semplice da utilizzare. All'inizio si deve premere Invio poi il programma visualizza subito le opzioni disponibili in un menu di testo. Tramite la tastiera si sceglie una delle opzioni scrivendo il numero e si preme invio per cominciare l'operazione.

OFSClone è in grado di creare immagini copia del disco o di una partizione, in formato raw (IMG, ISO o BIN) o in formato Forensics Advance (AFF).
Un'altra opzione interessante è la possibilità di verificare che l'unità clonata sia identica all'hard disk copiato, confrontando gli hash tra il clone e unità di origine.

Una volta ottenuta la copia di un hard disk, per aprirla anche su un altro computer, si deve può usare il software OSFMount che permette di montare l'immagine e analizzarla.

Un altro programma gratis in grado di fare la copia esatta di un hard disk, settore per settore, è HDD Raw Copy Tool.
HDD Raw Copy Tool supporta hard disk S-ATA (SATA), IDE (E-IDE), SCSI, SAS e funziona anche con qualsiasi porta USB o FireWire quindi per la copia di penne USB, schede SD, MMC e Memory Stick. Lo strumento crea una copia settore per settore di tutte le aree del disco fisso (compreso l'MBR, il record di avvio).

Ci tengo a precisare che questi non sono strumenti di backup e, anche se possono essere usati per recuperare i file dal computer, è più un programma di analisi e verifica adatto solo per esigenze molto specifiche.
In un altro articolo sono descritti i programmi migliori per clonare un disco e fare backup e ripristino del computer.