Drone Forensics

La crescente popolarità ed utilizzo dei “Sistemi a Pilotaggio Remoto” (noti anche come Droni) ha creato nuove sfide e opportunità nelle attività di “Indagine Forense“. L’Ecosistema Drone, come IoT (Internet of things), continua ad evolversi e sarà disponibile in una sempre più ampia gamma di forme e dimensioni.
La disponibilità e la popolarità dei Sistemi a Pilotaggio Remoto è in aumento da diversi anni sia tra gli hobbisti che tra i professionisti in una vasta gamma di settori, dai video e photo makers, alla realizzazione di superbe mappe geografiche 2D e 3D, ai servizi per l’agricoltura, al motitoraggio energetico, etc …

Purtroppo questo aumento di popolarità ha portato anche all’aumento di rischi e minacce. Dal terrorismo alla criminalità organizzata, dall’ISIS ai cartelli della droga alle organizzazioni criminali locali hanno adottato e adattano Sistemi a Pilotaggio Remoto altamente versatili e capaci per i loro obbiettivi. L’ISIS ha utilizzato UAV standard già nel 2014, Her Majesty’s Prisons ha avvistato per la prima volta i droni nel 2013, cartelli della droga messicani ricercavano droni auto costruiti per consegne di droga già nel 2013, nella Prigione di Taranto è stato ritrovato un drone con un carico di droga e cellulari nel 2018 e a fine aprile del 2020 un drone è precipitato nel Carcere di Secondigliano.

E’ fondamentale per gli Investigatori e gli Analisti conoscere il più possibile l’Ecosistema Informatico che caratterizza i sistemi a pilotaggio remoto per poter mitigare il più possibile le minacce (Sistemi AntiDrone – ne darò qualche cenno alla fine di questo articolo su come funzionano e l’importanza del SoftKill) e per poter approcciare correttamente l’acquisizione e l’analisi forense di tutto l’Ecosistema Drone.

TUTTA LA DIGITAL FORENSICS IN UN UNICO REPERTO

Per collocare correttamente la Drone Forensics riprenderò alcuni fondamenti della Digital Forensics e delle Best Pratics nella fase principale di identificazione e approccio alla:

• verificabilità, intesa come valutazione dell’operato da parte di terzi.
• ripetibilità o riproducibilità, ossia la possibilità di ottenere gli stessi risultati a parità di condizioni. Tale principio non è inteso in senso assoluto (nel campo digital forensic non potrebbe essere altrimenti). Il principio viene infatti soddisfatto quando è provata l’affidabilità dei processi utilizzati, anche mediante il controllo di qualità e la produzione di apposita documentazione.
• giustificabilità, che si intende soddisfatta quando si è in grado di giustificare ciò che si è fatto e le metodologie utilizzate per il trattamento delle potenziali prove o indicatori di rischio informatici digitali. In sostanza, bisogna poter dimostrare che è stata sempre effettuata la scelta migliore disponibile in quel momento.

“Linee guida l’identificazione, la raccolta, l’acquisizione e la conservazione delle prove o indicatori di rischio informatici digitali”
Le quattro fasi previste dalla norma sono: identificazione, raccolta, acquisizione e conservazione.
L’identificazione dell’evidenza digitale è la prima fase, che consiste nell’individuazione sia del device ove l’evidenza può essere contenuta, sia degli strumenti di archiviazione digitale. Per gli strumenti di archiviazione non è possibile ormai limitarsi ai consueti supporti di memoria e tutto ciò che di tangibile “contiene” dati, che è già di difficile individuazione a causa delle dimensioni sempre più ridotte. La costellazione di dispositivi che memorizzano dati è ormai arricchita di cloud, e di tutte le memorie flash contenute nei dispositivi wearables ed in tutti gli smart-objects.
La seconda fase è chiamata raccolta, che prevede lo spostamento del device presso un laboratorio forense per la successiva acquisizione ed analisi. Tale operazione può avvenire sotto forma di sequestro a seconda del contesto e delle condizioni generali. La raccolta può comprendere non soltanto i device, ma tutto ciò che è potenzialmente in grado di fornire informazioni ulteriori (come ad esempio le impronte digitali e le tracce biologiche). Tutto il processo va documentato, ivi compreso l’imballaggio. Bisogna fornire motivazioni in merito alla scelta di includere o escludere i device dalla raccolta, così come descrivere le motivazioni alla base del metodo utilizzato in relazione alla procedura legale o amministrativa, situazione, costi, tempi e oltre che all’imballaggio eseguito.
L’acquisizione, invece, è la creazione di una copia forense sul posto. La scelta di procedere all’acquisizione, rispetto alla raccolta, deve essere adeguatamente motivata in termini di metodo, strumenti utilizzati e attività compiute. Tale attività, eseguita su sistemi in esecuzione (si pensi a sistemi mission critical, droni alimentati o sistemi di connettività) è intrinsecamente invasiva dei sistemi, e comporta inevitabilmente l’alterazione, anche minima, del sistema ove si effettua. Il DEFR, pertanto, dovrà applicare le metodologie meno invasive possibili, documentando pedissequamente le motivazioni dell’adozione del metodo utilizzato e degli eventuali cambiamenti apportati al sistema. Anche gli strumenti utilizzati dovranno essere il più possibile affidabili e riconosciuti.
La Drone Forensics ha lo scopo di identificare, acquisire ed analizzare tutto l’”Ecosistema Drone”. Il presente capitolo vuole fornire una guida agli operatori per un miglior approccio per l’indagine tecnica sull’ecosistema drone.
Ed in fine l’attività più importante nel processo sopra descritto è la conservazione, cioè l’attività che garantisce di mantenere l’integrità e l’autenticità delle potenziali prove digitali, e non solo, e della loro catena di custodia in modo da garantire la ripetibilità delle acquisizioni e delle analisi.

Il mondo dei droni o UAS (Unmanned Aerial System), attualmente molto accessibile, vede un mercato sempre maggiore rivolto ad un pubblico molto vasto, dagli inesperti e/o principianti che, grazie all’elevata tecnologia di volo assistito e semplificato dei droni commerciali, possono acquistare droni pronti al volo online o nei vari negozi di elettronica, ai criminali esperti per l’uso illecito di questi potenti strumenti che non richiedono particolari competenze di volo ma che hanno un elevata versatilità e capacità operativa.
Se volessimo dividere in due macro categorie i droni offensivi potremmo identificarli come:

• UAS offensivi che posso mettere in pericolo persone e/o infrastrutture e/o aerei
• UAS offensivi che possono essere usati come mezzi di consegna/contrabbando anche nelle carceri.

Le due categorie sopra riportate sono le più comuni e conosciute a livello mediatico anche se la prevenzione e l’analisi sull’uso illecito dei droni ha scenari criminali infiniti. È importante per i Digital First Responder e per gli operatori che intervengono per primi nella scena del crimine conoscere come operare senza compromettere eventuali tracce digitali.

Types of Drones – Explore the Different Models of UAV’s

L’enorme quantità di droni ed il continuo crescere delle tecnologie con il continuo scendere dei prezzi può rendere difficile l’identificazione e la categorizzazione degli UAS.
Di seguito proponiamo due macro categorie per identificare gli UAS ed il loro campo applicativo:
(non vengono presi in considerazione tutti gli aeromodelli, anche multi rotore, che non hanno tecnologie e software per la gestione del volo assistito o automatico)
Tutti gli UAS sono composti dal sistema APR (Aeromodello Pilotaggio Remoto) e da SPR (Sistema Pilotaggio Remoto) che insieme costituiscono il SAPR (Sistema Aeromobile Pilotaggio Remoto)

Alcuni nomi di marche di droni e tecnologie più conosciute nel mercato:

3D Robotics AirMap Autel Auterion DJI DroneBase DroneDeploy Esri FLIR Flyability FreeFly
Inspired Flight KittyHawk Parrot Pix4D Sentera Skydio Skyward Teal Drones Wingtra Yuneec senseFly

Recreational and commercial UAVs

Sono tutti i droni brandizzati che possono essere acquistati online o nei vari negozi di elettronica o di giocattoli. Questo tipo di droni possono essere utilizzati sia a livello ricreativo (hobbistico) che commerciale/professionale, generalmente tutti dotati di telecamera e di volo assistito ed automatico.

Bespoke UAVs

Sono tutti i Droni autocostruiti o personalizzati che costituiscono quella parte del mercato non tracciato e quindi del quale non si hanno i valori certi di vendita e di utilizzo non professionale. Generalmente i droni auto costruiti sono composti da:

Physical Components
Sono tutti i componenti che compongono il drone che di seguito vengono divisi e descritti nelle varie categorie:
1. Flight Frame
è il corpo del drone che può avere le seguenti configurazioni:

2. Flight Controller
È il controllore di volo. È il cuore del drone composto da diversi giroscopi, bussole e barometri per la stabilizzazione del drone durante il volo, può essere gestito e comandato da un radiocomando (SPR) o direttamente dal software interno per i voli automatici. Generalmente composto da una CPU, RAM e memoria interna ed esterna e gestito da un Sistema Operativo proprietario (ex. Pixhawk con ChibiOS).
3. Motors, Propellers, and Speed Controllers
Sono I motori, gli ESC (controllori dei motori per dare o togliere velocità al motore a seconda della necessità) e le eliche.
4. Protective Casing
è la copertura che protegge fisicamente l’elettronica sensibile e delicata del drone in caso di urti
5. GPS Receiver
GPS (Global Position System) che permette il posizionamento del UAS ed è generalmente collegato alla Flight Controller
6. Radio Receiver (RX)
É la ricevente che viene collegata alla Flight Controller per poter gestire e pilotare il Drone (RX) tramite un Radiocomando SPR.
7. Transmitter (TX)
È il Radiocomando (SPR) che permette di pilotare e gestire il drone ed i vari payload traspostati dal UAS.
8. Telemery (RX e TX)
È un modem radio collegato alla Flight Controller ed alla Ground Station che permette di ricevere la telemetria del UAS (es. Altezza, Velocità, carica residua delle batterie, posizionamento GPS, log di funzionamento, etc…) ed inviare istruzioni o programmazioni di volo.

Software

Tutti gli UAS, per il loro funzionamento, utilizzano applicazioni e sistemi per la gestione e configurazione del drone. Quelli commerciali utilizzano di solito sistemi Closed quindi con alcune personalizzazioni, mentre i sistemi trattati in questo paragrafo possono essere gestiti da software Open e quindi personalizzati in ogni loro parte e per eseguire un numero imprecisato di compiti. I Software Open sono disponibili gratuitamente in Internet e scaricabili da tutti.
Tra i più conosciuti ed utilizzati riportiamo:

Indipendentemente dal sistema utilizzato o dalla configurazione dei componenti hardware e software, le soluzioni software UAS possono essere classificate in due categorie principali:

Flight Management Software

È il software che viene installato nella Flight Controller e server per la gestione del UAS sia manualmente che in modo automatico e permette di gestire la stabilizzazione, takeoff e land del drone.

Ground Control Software

È il sistema a terra di controllo del drone e permette di gestire, comandare, impartire operazioni, localizzare, pianificare missioni, etc … Una ground station può sostituire il radiocomando e può gestire un UAR via Radio con diversi tipo di tecnologie di comunicazione (Radio, Radio criptata, WiFi, 2G, 3G, 4G e 5G).
I sistemi Open Source pur mantenendo alti livelli di sicurezza degli UAS sono più economici e possono essere scelti più facilmente per utilizzo illecito in quanto posso essere realizzati a secondo dello scopo e utilizzano generalmente la stessa tecnologia per diverse configurazione dell’UAS (molti rotori, ala fissa, VTOL, elicottero, dirigibile).

Drone Payloads

Ci sono diversi Payload (carichi) che possono essere montati e trasportati de un UAS commerciale o Open Source e generalmente posso rientrare in una delle seguenti categorie:
1. Camera and Video Payloads
Sono generalmente telecamere o macchine fotografiche motate su degli stabilizzatori a 1 o 2 o 3 assi chiamati gimbal che permettono le video riprese stabilizzate in volo
2. Thermal and Infrared Payloads
Sono generalmente telecamere termiche o a infrarossi montate su degli stabilizzatori a 1 o 2 o 3 assi chiamati gimbal che permettono le video riprese stabilizzate in volo. Generalmente utilizzate nelle applicazioni che riguardano agricultural surveying, health and safety, law enforcement, and digital search and rescue.
3. Delivery Payloads
È un settore in continua espansione negli ultimi anni. Consiste nell’utilizzo di UAS per la consegna di pacchi. Tra i pionieri troviamo UPS, DHL e Amazon con Prime Air.
4. Agriculture payload
Agricultural Spraying Drone – Sono payload molto pesanti che possono essere trasportati da droni di grande dimensioni per il mondo dell’agricoltura con la possibilità di distribuire prodotti per utili alle coltivazioni.
5. Weapon Payloads
Sono gli UAS che posso trasportare armi o esplosivi per attacchi militari o terroristici. Possono essere usati anche contro a strutture detentive. Grazie alla semplicità di utilizzo e di programmazione delle missioni, gli UAS, possono essere usati come strumenti per attacchi di precisione.

Understanding Drones and Other Associated Evidence Sources

Gli UAS richiedono diverse tecnologie a supporto per il loro funzionamento e per mantenere un adeguata capacità operativa, di seguito riportiamo ed illustriamo alcuni componenti di base per il funzionamento dei droni:

Remote Controller (sistemi di pilotaggio remoto SPR – radiocomandi)

Va sottolineato che sia i sistemi Closed (commerciali) che quelli Open (Open Source) necessitano di sistemi informatici per la gestione del UAS. In particolare nei primi due sistemi di pilotaggio remoto si nota un radiocomando con sistema windows per la programmazione e gestione del UAS (computer Forensics) mentre il secondo sistema è un sistema di pilotaggio remoto commerciale con gestione del UAS basato su Android (Mobile Forensics).

Sistemi di pilotaggio remoto con supporto mobile e tablet:

Sistema di pilotaggio remoto con sistema operativo Open Source OpenTX. Il sistema salva diverse informazioni utili agli investigatori in una SD Memory installata nel Radiocomando (Computer Forensics)

Memory Cards

Nelle SD Memory possono essere recuperate immagini, video, log di gestione, log di programmazione, log di volo, etc… le SD Memory vanno acquisite mediante la metodologia dettata dalla Computer Forensics ed analizzate con i relativi software di gestione o con i software di Mobile Forensics che supportano la Drone Forensics (es. MSAB).

Cloud Storage

Il UAS può usufruire dei servizi di cloud per memorizzare i dati di volo, foto e video nel cloud

Personal Computer

Molti sistemi utilizzano anche il Personal Computer per la gestione e la programmazione dei Droni. I personal Computer sono una importantissima fonte di tracce digitali in quanto possono memorizzare tutte le missioni effettuate. Generalmente i Personal Computer che vengono utilizzati per la gestione, configurazione e programmazione degli UAS, indipendentemente dal sistema operativo (Linux, Windows o OSx), vengono chiamati Ground Station.

NB entrambre le Ground Station sopra illustrate sono dei personal computer con SO Windows o Linux.

Tutte le Digital Evidence Source sopra illustrate sono comunque secondarie rispetto alla Digital Evidence principale che rimane il UAS. È comunque indispensabile che tutte le Digital Evidence Secondarie siano trattate e gestite con i principi della Digital Forensics.
Il Drone, che rimane la fonte principale delle Digital Evidence, collocato in tutta lo scenario di interesse in quanto è, ovviamente, un oggetto che si muove nei tre assi, quindi vanno valutati tutti gli eventi fisici e logici associati (anche le condizioni ambientali e luoghi di interesse).
Alcuni di questi elementi, che possono sembrare superflui in altre indagini, possono essere molto utili per il successo dell’indagine.

Drone Data

Come in tutti gli scenari dove sono interessate le Digital Evidence anche nel sistema che interessa un UAS va valutato tutto l’Ecosistema Drone, come il log storici che possono essere recuperati da Ground Station, SD Memory e Cloud.

Types of Data

Ci sono diverse tipologie di dati che possono essere molto utili in indagini e scenari che interessano gli UAS, e sono:

Audio Visual Content

Una delle maggiori fonti di informazioni digitali in un UAS sono le immagini Foto e/o Video ed a volte anche audio memorizzate nelle SD Memory installata nel UAS o inviate ad apparati esterni e/o cloud. Si vedano le informazioni inviate dai droni commerciali al relativo cloud del produttore o gestore del servizio.

Other Payload Created Content

In alcuni AUS i payload possono mantenere nella propria memoria dati di utilizzo o log di funzionamento del payload stesso.

Automated Usage Logs

Gli UAS possono essere programmati per effettuare dei voli in orari precisi con percorsi precisi, tali programmazioni possono anche essere utilizzate ripetutamente o possono essere salvate per poterle riutilizzare in seguito.
In alcuni AUS anche i payload possono mantenere nella propria memoria dati di utilizzo o log di funzionamento del payload stesso.
Le informazioni digitali che spesso vengono salvate dal UAS sono anche i log di funzionamento che possono fornire molte informazioni anche per i produttori che possono utilizzarle per migliorare/aggiornare il firmware del UAS e che possono essere anche trasmesse al cloud del produttore del Drone. Tali informazioni spesso sono sconosciute all’utente finale e purtroppo anche agli investigatori. I dati di log sul funzionamento generalmente contengono anche i dati di consumo delle batterie e carica residua, dati GPS, dati di missione, altitudine, direzione, velocità e tutte le informazioni tecniche utili per il produttore per individuare eventuali malfunzionamenti.

Drone Ecosystem Forensics – Accessing Different Data Storage Mediums

Come precedentemente decritto sono molteplici le fonti di prova che un Ecosistema Drone può offrire ad un investigatore. Negli UAS le tracce digitali sono ricche di informazioni che possono portare gli investigatori a valutare correttamente l’attività svolta da un UAS. La particolarità del sistema, come nella mobile forensics, presenta una inconsapevolezza dei dati trattati nell’intero ecosistema ed è per questo che delle pagine successive verranno riportate alcune linee guida indispensabili agli investigatori per salvaguardare il più possibile le tracce digitali utili alle indagini.
Per individuare correttamente tutte le fonti di dati che possono interessare un ecosistema drone va sottolineato che ogni ecosistema è diverso l’uno dall’altro. È fondamentale avere delle nozioni di “Digital Profiling”, quindi un ampio profilo tecnico in modo da poter eseguire una valutazione il più puntuale possibile.

Controllare il movimento delle persone e limitare il numero di persone che entrano nella scena del crimine, è essenziale per mantenere l’integrità della scena, salvaguardare le prove e ridurre al minimo la contaminazione.

DRONE FORENSICS AND INVESTIGATION
Prima di tutto la Sicurezza dell’Operatore e del reperto

WHERE DRONE DATA MAY BE FOUND

Di seguito uno schema per la valutazione ed il primo intervento su un UAS oggetto di indagine:

DRONI COMMERCIALI

La maggior parte dei sistemi drone commerciali salvano i dati di volo e le immagini generalmente in:

• DRONE: I dati contenuti nei droni commerciali sono generalmente quelli salvati nelle SD Memory removibili e in alcuni casi anche nella memoria interna del UAS. Si deve tener conto che tutti i Droni Commerciali e Open Source, muniti di GPS, gestiscono la funzione “Fail Safe” e che i dati di partenza “Home” vengono salvati nella memoria interna in modo da garantire il “ritorno a casa” anche nel caso in cui la SD Memory si guasti. Il Drone va acquisito tramite software forense come XRY di MSAB, UFED e OXYGEN FORENSICS.
• SD MEMORY: è la memoria estraibile che generalmente viene installata nel drone o nella flight control (Centralina di volo). Le operazioni di acquisizione sono le stesse adottate nella Computer Forensics e si consiglia di utilizzare per l’analisi i sistemi software XRY di MSAB, UFED o OXYGEN FORENSICS.
• APP: sono le varie applicazioni che possono essere installate negli Smart Phone o nei Tablet per poter gestire i droni e ricevere immagini e log di Telemetria. Generalmente le APP salvano i log in database sqlite che possono essere letti ed analizzati con diversi sistemi software di analisi. Le APP installate nei dispositivi mobili vanno acquisite tramite software forense come XRY di MSAB, UFED o OXYGEN FORENSICS.
• CLUOD: Alcuni Droni commerciali inviano i log di volo e le immagini al Cloud del produttore e/o a Cloud che gestiscono sistemi di analisi video. I Cloud sono accessibili, per l’acquisizione forense, tramite login e password o tramite token che può essere ricavato dall’analisi mobile. I Cloud possono essere acquisiti tramite software forense OXYGEN FORENSICS.
• REMOTE CONTROL: Il Radiocomando o SPR può mantenere al suo interno una serie di informazioni utili agli investigatori come i seriali o i mac address del drone pilotato.

DRONI OPEN SOURCE

La maggior parte dei droni open source memorizza i dati di volo generalmente in:

• DRONE: I dati contenuti nei droni con tecnologia Open Source sono generalmente salvati nelle SD Memory removibili e nella memoria interna della flight control. Si deve tener conto che tutti i Droni Commerciali e Open Source, muniti di GPS, gestiscono la funzione “Fail Safe” e che i dati (coordinate geografiche) di partenza “Home” vengono salvati nella memoria interna in modo da garantire il “ritorno al punto di partenza” anche nel caso in cui la SD Memory si guasti. Il Drone va acquisito tramite software forense come XRY di MSAB, UFED e OXYGEN FORENSICS.
• SD MEMORY: è la memoria estraibile che generalmente viene installata nella flight control (Centralina di volo). Le operazioni di acquisizione sono le stesse adottate nella Computer Forensics e si consiglia di utilizzare per l’analisi i sistemi software Open Source utilizzati per la gestione delle flight control relativa o i software forensi come XRY di MSAB, UFED e OXYGEN FORENSICS.
• APP: sono le varie applicazioni che possono essere installate negli Smart Phone o nei Tablet per poter gestire i droni e ricevere immagini e log di Telemetria. Generalmente le APP salvano i log in database sqlite che possono essere letti ed analizzati con diversi sistemi software di analisi. Le APP installate nei dispositivi mobili vanno acquisite tramite software forense come XRY di MSAB, UFED o OXYGEN FORENSICS.
• DESKTOP – GROUND STATION: Come precedentemente descritto, I sistemi Open Source sono gestiti e configurati tramite software che può essere installato in Personal Computer e molti software di gestione sono multi piattaforma (Windows, OSX e Linux). Le operazioni di acquisizione sono le stesse adottate nella Computer Forensics, mentre per l’analisi si possono utilizzare anche gli stessi software di gestione dei sistemi UAS.
• REMOTE CONTROL: Il Radiocomando o SPR può mantenere al suo interno una serie di informazioni utili agli investigatori come i seriali o i mac address del drone pilotato. Nei radiocomandi son software o tecnologia Open Source possono essere salvati anche configurazioni o script per la gestione automatica degli UAS.

Di seguito vengono riportate alcune Flight Contro tra le più diffuse:

Le Flight Control sotto riportate sono basate su Raspberry e vanno considerate e quindi gestite come se fossero dei computer e quindi con l’approccio descritto nel capitolo che riguarda la Computer Forensics.

Il Pixhawk Cube Flight Control, illustrato di seguito, può contenere un Intel Edison “Companion Computer”; questo tipo di tecnologia di gestione drone dovrebbe ana- logamente essere gestito come fosse un computer (informatica forense).

Edison è il nuovo potente modulo Intel®.
Di dimensioni abbastanza ridotte per adattarsi a dispositivi indossabili, abbastanza versatile per gestire applicazioni IoT e sufficientemente potente per controllare le piattaforme robotiche.
Edison include una serie di funzioni, tra cui WiFi (802.11a / b / g / n), Bluetooth (4.0 e 2.1 EDR), UART, I2C, SPI, USB ans 40 GPIO.
È pilotato da un processore a 32 bit Intel® Atom™ con clock a 500 MHz, supportato da 1 GB di RAM LPDDR3 e 4 GB di memoria flash eMMC.

Le applicazioni che possono supportare queste tecnologie possono riguardare “Terra, Acqua e Aria”

Quanto sopra descritto serve a sottolineare che l’”Ecosistema UAS” e la Drone Forensic comprendono tutta la Digital Forensics descritta inizialmente.
L’ecosistema drone apre agli scenari che riguardano la Mobile Investigation con l’acquisizione e l’analisi dei Tabulati Telefonici e dei Tabulati per Cella in quanto, soprattutto nei droni commerciali, vengo utilizzati sistemi di comunicazione mobile quali gli Smart Phone ed i Tablet.
Un corretto approccio in una caso dove vengono utilizzati i sistemi UAS per contrabbandare nei carceri stupefacenti, cellulari o altri materiali illegali risulta essere fondamentale un approccio puntuale di Digital Profiling e di Digital Investigation.