PDS Srl e i container VeraCrypt
Trama del caso
Il signor Marc Gruffalo viene rinvenuto cadavere all’interno della sala amministrazione e contabilità dell’azienda PDS Srl, società che si occupa di contabilità per conto di alcune PMI.
Nella sala ci sono tre postazioni di lavoro collegate al sistema di gestione della contabilità in cloud Dolibarr.
I due colleghi della vittima sono scioccati, ma hanno urgenza di tornare al lavoro perché si avvicinano le scadenze di fine mese. I colleghi vengono ascoltati dalle Forze dell’Ordine intervenute.
Il PC della vittima è accessibile previa richiesta della password all’amministratore di sistema.
Contesto del crimine
Sul PC della vittima sono presenti elementi che suggeriscono un possibile coinvolgimento in attività collegate a ransomware, Bitcoin, traffici illeciti e accessi a infrastrutture aziendali.
Il browser è aperto alla pagina del portale Dolibarr. Sono presenti tracce di navigazione su Tor, due container VeraCrypt smontati, una pendrive Kingston cifrata collegata alle credenziali per aprire i container, oltre a WinSCP e PuTTY.
Nella pendrive Kingston è presente una lista di password e link onion. Nei container VeraCrypt sono presenti immagini e materiali riconducibili a droga, criminali ricercati e informazioni utili per accedere via WinSCP al server su cui si trova Dolibarr, dove risultano presenti copie dei file VeraCrypt.
Il PC della vittima si riavvia ogni 30 minuti, smontando la pendrive e chiudendo i file.
Descrizione della scena
La scena si trova nella sala amministrazione e contabilità di PDS Srl. Sono presenti tre computer e una pendrive. Uno dei PC ha un timer che avvia una cancellazione simulata se non viene scollegato dalla rete.
Su una USB rinvenuta sulla scena sono presenti copie dei container VeraCrypt provenienti dal PC della vittima. La pendrive risulta essere stata collegata sia al PC della vittima sia al PC dell’utente 3, che viene individuato come possibile colpevole.
Durante le attività di sopralluogo può intervenire un rappresentante SCO/ROS per segnalare che la vittima era sotto sorveglianza e che sono disponibili fotografie di soggetti con cui si era intrattenuta. Isolando la persona nella foto, i partecipanti possono recarsi presso la postazione di Polizia dove è installato il SARI per effettuare il riconoscimento.
Sono presenti anche spunti investigativi legati a immagini di videosorveglianza, chat WhatsApp con immagini di droga e foto della vittima con uno spacciatore. Alcuni dati di navigazione sui PC non sono collegati al caso.
Ambientazione
Sala amministrazione e contabilità di PDS Srl, con tre postazioni di lavoro collegate al gestionale cloud Dolibarr. La scena comprende computer, pendrive, documenti digitali, possibili tracce ransomware e materiali utili per attività SARI e videosorveglianza.
Persone coinvolte
Marc Gruffalo
Vittima rinvenuta cadavere nella sala amministrazione e contabilità dell’azienda PDS Srl.
Collega 1
Collega della vittima, presente nel contesto lavorativo e ascoltato dalle Forze dell’Ordine intervenute.
Collega 2
Collega della vittima, scioccato dall’accaduto ma con urgenza di tornare al lavoro per le scadenze di fine mese.
Utente 3
Possibile colpevole. La pendrive risulta essere stata collegata sia al PC della vittima sia al PC dell’utente 3.
Dispositivi
PC aziendale
- Proprietario
- Marc Gruffalo
- Tipo
- PC aziendale
Computer della vittima. Browser aperto su Dolibarr, tracce Tor, due container VeraCrypt smontati, WinSCP, PuTTY e riavvio programmato ogni 30 minuti per smontare pendrive e chiudere file.
Kingston
- Proprietario
- Marc Gruffalo
- Tipo
- Pendrive cifrata
Pendrive collegata alle credenziali per aprire i container VeraCrypt. Contiene lista di password e link onion.
USB / supporto rimovibile
- Proprietario
- Scena del crimine
- Tipo
- USB / supporto rimovibile
Supporto rinvenuto sulla scena con copie dei container VeraCrypt provenienti dal PC della vittima. Risulta collegato anche al PC dell’utente 3.
Server Dolibarr
- Proprietario
- PDS Srl
- Tipo
- Server Dolibarr
- Sistema operativo
- Ubuntu / cloud
Server del gestionale Dolibarr. Nel caso sono presenti elementi di accesso tramite WinSCP e copie dei file VeraCrypt. Le credenziali operative non sono pubblicate nella scheda.
Soluzione del caso
L'ipotesi investigativa principale porta a un omicidio commesso da un collega.
Una USB rinvenuta sulla scena contiene copie dei container VeraCrypt presenti sul PC della vittima. La pendrive risulta collegata sia al PC della vittima sia al PC dell'utente 3, che viene quindi individuato come possibile colpevole.
Gli elementi digitali ricostruiscono il contesto: accesso al portale Dolibarr, tracce Tor, container VeraCrypt, pendrive Kingston cifrata, lista di password e link onion, strumenti WinSCP e PuTTY, copie dei file sul server Dolibarr e materiali collegati a ransomware, Bitcoin e droga.
L'indagine può essere rafforzata dalle immagini di videosorveglianza e dal riconoscimento SARI dei soggetti con cui la vittima era stata vista. Il collegamento tra la pendrive, il PC della vittima e il PC dell'utente 3 costituisce l'elemento principale per indirizzare l'accertamento verso il collega.
Una USB rinvenuta sulla scena contiene copie dei container VeraCrypt presenti sul PC della vittima. La pendrive risulta collegata sia al PC della vittima sia al PC dell'utente 3, che viene quindi individuato come possibile colpevole.
Gli elementi digitali ricostruiscono il contesto: accesso al portale Dolibarr, tracce Tor, container VeraCrypt, pendrive Kingston cifrata, lista di password e link onion, strumenti WinSCP e PuTTY, copie dei file sul server Dolibarr e materiali collegati a ransomware, Bitcoin e droga.
L'indagine può essere rafforzata dalle immagini di videosorveglianza e dal riconoscimento SARI dei soggetti con cui la vittima era stata vista. Il collegamento tra la pendrive, il PC della vittima e il PC dell'utente 3 costituisce l'elemento principale per indirizzare l'accertamento verso il collega.
Sponsor e partner
Sponsor e partner dell edizione
Sponsor
Partner
Foto evento
Gallery
