Capitolo 04 · Computer forensics

Analisi forense di computer Windows

Guida operativa per analizzare una copia forense o immagine verificata di un computer Windows: Registro, Event Log, Prefetch, Amcache, ShimCache, LNK, Jump Lists, USB artifacts, browser, cloud e timeline.

Questo capitolo è ambientato nel contesto operativo dello Studio Quaranta a Roma ed è pensato per periti, consulenti, avvocati, aziende e professionisti che devono comprendere come si ricostruiscono tecnicamente le attività svolte su un sistema Windows.

URL pagina/analisi-forense-computer-windows.html

Strumenti principaliAutopsy, X-Ways, Magnet AXIOM, KAPE, Eric Zimmerman Tools, Event Viewer

Output attesoScheda sistema, artefatti estratti, timeline, tabelle evidenze, note tecniche

Indice del manuale

Avvertenza preliminare

Le procedure descritte in questo capitolo devono essere eseguite solo su computer, immagini forensi, dischi, supporti o dati acquisiti lecitamente, nell’ambito di un incarico professionale, di una consulenza tecnica, di una perizia informatica, di un’attività aziendale autorizzata o di un incarico difensivo.

Limite operativo: questa guida non insegna ad accedere abusivamente a computer o account, superare password, aggirare cifrature, sottrarre dati, eludere sistemi di sicurezza o manomettere log. L’analisi forense Windows è attività di conservazione, lettura, correlazione e documentazione tecnica.

La regola di base è semplice: non si analizza mai direttamente l’originale se è possibile lavorare su immagine forense o copia verificata. Prima si preserva, poi si verifica l’hash, poi si analizza.

A cosa serve l’analisi forense di un computer Windows

Un computer Windows può contenere una quantità enorme di tracce: utenti, accessi, file aperti, programmi eseguiti, dispositivi USB collegati, documenti cancellati, cartelle visitate, pagine web aperte, file scaricati, log di sistema e indizi compatibili con uso improprio, copia dati, installazione di software sospetti o manipolazione di documenti.

In una perizia informatica a Roma, l’analisi forense di un computer Windows può essere richiesta per casi di dipendente infedele, sottrazione di dati, accesso non autorizzato, truffa online, contestazioni lavoristiche, incidenti informatici, ransomware, creazione o modifica di file audio/video/PDF e verifica delle attività svolte da un determinato utente.

Un computer non conserva una sola prova: conserva un ecosistema di tracce. Il compito del perito informatico è collegarle in una timeline tecnica documentata.

Che cosa avere prima di iniziare

Prima di iniziare l’analisi Windows, il perito dovrebbe già disporre della documentazione tecnica dei capitoli precedenti: triage, catena di custodia, hash e copia forense.

codice caso e codice reperto;
verbale di ricezione e scheda reperto;
immagine forense del disco o copia verificata;
hash dell’immagine e log dello strumento di acquisizione;
registro della catena di custodia;
quesiti tecnici dell’avvocato, del cliente o dell’azienda;
cartelle di output predisposte per strumenti e report.

Se manca l’immagine forense, bisogna tornare al Capitolo 03. Se manca l’hash, bisogna tornare al Capitolo 02. Se non è chiaro cosa cercare, bisogna tornare al Capitolo 01.

Quesiti tipici in una perizia Windows

Il perito non deve analizzare “tutto” senza criterio. Deve trasformare la richiesta del cliente in domande tecniche verificabili.

Domanda del cliente	Quesito tecnico
Un dipendente ha copiato file su USB?	Ricercare USB artifacts, LNK, Jump Lists, Shellbags, MFT, USN Journal e timeline.
Un documento è stato cancellato?	Analizzare Cestino, MFT, $LogFile, USN Journal, Shadow Copies e file system.
Un certo programma è stato eseguito?	Controllare Prefetch, Amcache, ShimCache, Event Log e percorsi dell’eseguibile.
Un file audio è stato modificato su questo PC?	Correlare MFT, file recenti, software audio, LNK, Jump Lists, metadati ed eventuali export.
Qualcuno ha effettuato accesso?	Esaminare Security.evtx, logon/logoff, profili utenti, RDP, eventi di sistema e sessioni.

L’analisi forense non deve confermare una storia già decisa; deve ricostruire ciò che i dati tecnici consentono di affermare.

Strumenti principali del capitolo

Strumento	Uso principale
Autopsy / Sleuth Kit	Analisi immagine disco, file system, timeline, web artifacts, Registry, file cancellati.
X-Ways Forensics	Analisi avanzata di immagini, file system, filtri, ricerca, recupero, export e report.
Magnet AXIOM	Correlazione di artefatti computer, mobile e cloud con timeline e reportistica.
KAPE	Raccolta e parsing rapido di artefatti Windows tramite Targets e Modules.
Eric Zimmerman Tools	Parsing specializzato di Event Log, Prefetch, Registry, LNK, Jump Lists, MFT, SRUM e Cestino.
Event Viewer	Prima lettura manuale dei log eventi Windows.
Timeline Explorer	Lettura, filtro e analisi dei CSV prodotti dagli strumenti Zimmerman e da KAPE.

Gli strumenti non sostituiscono il perito. Estraggono dati, ma la valutazione nasce dalla correlazione tra più fonti tecniche e dalla documentazione del metodo.

Preparazione dell’ambiente di analisi

La cartella caso deve essere ordinata. Una struttura consigliata è la seguente:

MQ-2026-0044_Analisi_Windows_Roma/
│
├── 00_incarico_e_verbali/
├── 01_immagine_forense/
├── 02_hash_e_verifiche/
├── 03_mount_readonly/
├── 04_export_autopsy/
├── 05_export_xways/
├── 06_kape_output/
├── 07_ez_tools_output/
├── 08_event_logs/
├── 09_registry/
├── 10_timeline/
├── 11_screenshot_documentativi/
├── 12_note_analisi/
├── 13_relazione/
└── 14_allegati/

Prima di importare l’immagine in qualunque strumento, verificare l’hash:

Get-FileHash "D:\\Casi\\MQ-2026-0044\\01_immagine_forense\\disco.E01" -Algorithm SHA256

Oppure su Linux:

sha256sum disco.dd

Non montare l’immagine in scrittura

L’immagine forense deve essere aperta in modo da non alterarla. I modi corretti sono: importazione in Autopsy, X-Ways o FTK Imager, mount in sola lettura, oppure lavoro su copia derivata verificata.

Non fare: non montare l’immagine in scrittura, non salvare output dentro l’immagine, non avviare Windows dall’immagine originale senza controllo, non cancellare file e non eseguire programmi presenti nell’evidenza.

Ogni output generato dagli strumenti deve essere salvato nelle cartelle di caso, non dentro il reperto.

Primo orientamento: cosa contiene l’immagine

Prima di cercare prove specifiche, bisogna capire quale sistema si sta analizzando.

È Windows 10, Windows 11 o Windows Server?
Qual è il nome del computer?
Qual è il fuso orario?
Quanti utenti sono presenti?
Il disco è NTFS?
Sono presenti volumi cifrati?
Ci sono cartelle cloud o profili aziendali?

Percorsi iniziali da mappare:

C:\Windows\
C:\Windows\System32\config\
C:\Windows\System32\winevt\Logs\
C:\Windows\Prefetch\
C:\Users\
C:\$Recycle.Bin\
C:\ProgramData\

Scheda sistema Windows

Compilare una scheda sistema aiuta a mantenere ordine e rende la relazione più leggibile.

SCHEDA SISTEMA WINDOWS

Codice caso:
Codice reperto:
Tipo immagine:
Hash immagine:
Sistema operativo:
Versione/build:
Nome computer:
Fuso orario:
Utenti locali:
Utenti dominio:
Partizioni:
File system:
BitLocker/cifratura:
Data installazione OS:
Ultimo spegnimento:
Ultimo avvio:
Strumenti usati:
Note:

Registro Windows: hives, versione e nome computer

Il Registro di Windows è un punto centrale dell’analisi. I principali file hive di sistema si trovano in:

C:\Windows\System32\config\

Hives principali:

SYSTEM
SOFTWARE
SAM
SECURITY
DEFAULT

Hives utente:

C:\Users\<utente>\NTUSER.DAT
C:\Users\<utente>\AppData\Local\Microsoft\Windows\UsrClass.dat

Chiavi utili:

SOFTWARE\Microsoft\Windows NT\CurrentVersion
SYSTEM\CurrentControlSet\Control\ComputerName\ComputerName
SYSTEM\CurrentControlSet\Control\TimeZoneInformation

Registry Explorer

Aprire Registry Explorer.
Caricare la copia dell’hive SOFTWARE o SYSTEM.
Cercare la chiave pertinente.
Esportare i risultati o acquisire screenshot documentativi.
Annotare strumento, versione e percorso analizzato.

RECmd

RECmd.exe -f "D:\Caso\Mount\Windows\System32\config\SOFTWARE" --csv "D:\Caso\07_ez_tools_output\RECmd"

Il Registro non va interpretato isolatamente. Le informazioni devono essere correlate con file system, Event Log, Prefetch e artefatti utente.

Analisi degli utenti Windows

Le cartelle utente si trovano generalmente in:

C:\Users\

Per ogni profilo annotare: nome cartella, SID, data creazione cartella, Desktop, Documenti, Download, AppData, NTUSER.DAT e UsrClass.dat. Molti artefatti sono legati al singolo utente: file recenti, LNK, Jump Lists, Shellbags, browser, cloud, cartelle aperte e documenti Office.

Regola di attribuzione: un’attività registrata su un computer non identifica automaticamente una persona fisica. Serve correlare utente, sessione, orario, account, artefatti e contesto.

Event Log Windows

Gli Event Log sono una fonte primaria per accessi, servizi, errori, esecuzioni pianificate, PowerShell, RDP e attività di sistema.

Percorso dei file:

C:\Windows\System32\winevt\Logs\

Log principali:

Security.evtx
System.evtx
Application.evtx
Setup.evtx
Microsoft-Windows-PowerShell/Operational.evtx
Microsoft-Windows-TerminalServices-LocalSessionManager/Operational.evtx
Microsoft-Windows-TaskScheduler/Operational.evtx

Event Viewer

Aprire Event Viewer o caricare log esportati.
Controllare Application, Security, System.
Filtrare per data, livello, ID evento e canale.
Annotare evento, timestamp, utente, computer e messaggio.

EvtxECmd

EvtxECmd.exe -d "D:\Caso\Mount\Windows\System32\winevt\Logs" --csv "D:\Caso\07_ez_tools_output\EvtxECmd"

Aprire il CSV con Timeline Explorer e filtrare per TimeCreated, Provider, EventId, Channel, User e Payload.

Formula prudente: un evento 4624 documenta un evento di logon registrato dal sistema. L’attribuzione a una persona richiede correlazione con utente, tipo logon, sessione, orario e altri artefatti.

Esecuzione programmi: Prefetch, Amcache, ShimCache

Prefetch

Il Prefetch può indicare che un programma è stato eseguito e fornire informazioni su numero di esecuzioni, tempi e file caricati.

C:\Windows\Prefetch\

PECmd.exe -d "D:\Caso\Mount\Windows\Prefetch" --csv "D:\Caso\07_ez_tools_output\PECmd"

Cercare browser, software di copia file, editor audio/video, tool di cancellazione, programmi cloud, accesso remoto, client VPN o strumenti sospetti.

Amcache

C:\Windows\AppCompat\Programs\Amcache.hve

AmcacheParser.exe -f "D:\Caso\Mount\Windows\AppCompat\Programs\Amcache.hve" --csv "D:\Caso\07_ez_tools_output\Amcache"

ShimCache / AppCompatCache

AppCompatCacheParser.exe -f "D:\Caso\Mount\Windows\System32\config\SYSTEM" --csv "D:\Caso\07_ez_tools_output\AppCompatCache"

Attenzione: ShimCache non dimostra da solo l’esecuzione certa di un programma. Deve essere correlato con Prefetch, Amcache, Event Log, MFT e altri artefatti.

File recenti: LNK, Jump Lists, Shellbags e Cestino

LNK files

I file .lnk possono documentare interazione con file, percorsi locali, cartelle di rete o dispositivi esterni.

C:\Users\<utente>\AppData\Roaming\Microsoft\Windows\Recent\

LECmd.exe -d "D:\Caso\Mount\Users\Mario\AppData\Roaming\Microsoft\Windows\Recent" --csv "D:\Caso\07_ez_tools_output\LECmd"

Jump Lists

C:\Users\<utente>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\
C:\Users\<utente>\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\

JLECmd.exe -d "D:\Caso\Mount\Users\Mario\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations" --csv "D:\Caso\07_ez_tools_output\JLECmd"

Shellbags

Le Shellbags possono indicare cartelle visualizzate dall’utente tramite ambiente shell Windows, incluse cartelle USB o rete.

SBECmd.exe -d "D:\Caso\Mount\Users\Mario" --csv "D:\Caso\07_ez_tools_output\ShellBags"

Cestino Windows

C:\$Recycle.Bin\

RBCmd.exe -d "D:\Caso\Mount\$Recycle.Bin" --csv "D:\Caso\07_ez_tools_output\RecycleBin"

NTFS: MFT, USN Journal, $LogFile e Shadow Copies

$MFT

La Master File Table può contenere record relativi a file esistenti, file cancellati, percorsi, dimensioni e timestamp.

MFTECmd.exe -f "D:\Caso\Mount\$MFT" --csv "D:\Caso\07_ez_tools_output\MFTECmd"

USN Journal

L’USN Journal può aiutare a ricostruire creazione, rinomina, cancellazione e modifiche a file e directory, se disponibile.

$LogFile

È utile in analisi avanzate su eventi recenti del file system, ma richiede interpretazione specialistica.

Volume Shadow Copies

Le shadow copies possono contenere versioni precedenti di file, cartelle o hives del Registro, utili per recuperare vecchi stati e ricostruire timeline.

Timestamp: i tempi del file system non vanno trasformati automaticamente in azioni umane. Devono essere correlati con altri artefatti e con il fuso orario del sistema.

USB forensics: dispositivi collegati e possibile copia dati

Uno dei quesiti più frequenti nelle aziende di Roma è: “un dipendente ha copiato file su una pendrive?”. La risposta richiede correlazione tra più fonti.

SYSTEM\CurrentControlSet\Enum\USBSTOR
SYSTEM\MountedDevices
SOFTWARE\Microsoft\Windows Portable Devices\Devices
C:\Windows\inf\setupapi.dev.log
LNK, Jump Lists, Shellbags, MFT, USN Journal e timeline.

Procedura:

Identificare dispositivi USB collegati.
Annotare vendor, product e seriale.
Ricercare lettere unità assegnate.
Cercare collegamenti LNK verso percorsi esterni.
Correlare con Jump Lists e Shellbags.
Confermare o limitare l’ipotesi mediante timeline.

Formula prudente: gli artefatti USB documentano tracce compatibili con il collegamento di dispositivi. L’eventuale copia di specifici file richiede correlazione con ulteriori artefatti.

Browser, download e Zone.Identifier

I browser possono conservare cronologia, download, cache, ricerche, profili, percorsi di scaricamento e file temporanei.

C:\Users\<utente>\AppData\Local\Google\Chrome\User Data\
C:\Users\<utente>\AppData\Local\Microsoft\Edge\User Data\
C:\Users\<utente>\AppData\Roaming\Mozilla\Firefox\Profiles\

Quando un file viene scaricato da Internet, Windows può associargli un Alternate Data Stream chiamato Zone.Identifier. Su copia controllata:

Get-Item -Path ".\file.pdf" -Stream *
Get-Content ".\file.pdf" -Stream Zone.Identifier

La presenza di Zone.Identifier può essere compatibile con download o provenienza da zona Internet; deve essere correlata con cronologia browser, cartella Download e timeline.

SRUM, scheduled tasks, PowerShell e persistenza

SRUM

C:\Windows\System32\sru\SRUDB.dat

SrumECmd.exe -f "D:\Caso\Mount\Windows\System32\sru\SRUDB.dat" --csv "D:\Caso\07_ez_tools_output\SRUM"

Può aiutare a valutare uso applicazioni, attività di rete ed energia.

Scheduled Tasks

C:\Windows\System32\Tasks\
Microsoft-Windows-TaskScheduler/Operational.evtx

Cercare task creati di recente, percorsi anomali, script PowerShell, eseguibili in AppData/Temp.

PowerShell artifacts

Controllare log PowerShell operativi e script block logging quando disponibile. Un comando PowerShell non è automaticamente sospetto: serve contesto.

Autoruns e persistenza

Su sistemi live autorizzati o analisi offline, Autoruns può aiutare a mappare avvii automatici, servizi, estensioni, driver e chiavi Run.

Cartelle temporanee e cloud folders

Molte attività lasciano tracce in cartelle temporanee e cloud.

C:\Windows\Temp\
C:\Users\<utente>\AppData\Local\Temp\
C:\Users\<utente>\Downloads\
C:\Users\<utente>\OneDrive\
C:\Users\<utente>\Dropbox\
C:\Users\<utente>\Google Drive\
C:\Users\<utente>\iCloudDrive\

La presenza di file in cartelle cloud deve essere interpretata tenendo conto dei meccanismi di sincronizzazione, download on-demand, modifiche automatiche e account collegati.

Analisi con Autopsy

Aprire Autopsy e creare un nuovo caso.
Inserire nome caso e cartella di lavoro.
Aggiungere l’immagine forense come data source.
Impostare il timezone corretto.
Selezionare moduli ingest pertinenti.
Avviare l’analisi.
Esaminare Timeline, Web History, Downloads, Recent Documents, User Accounts, Deleted Files, Keyword Hits.
Esportare elementi e report nella cartella del caso.

Formula di relazione:

L’immagine forense è stata importata in Autopsy come data source. L’analisi automatizzata ha prodotto artefatti relativi a file system, attività recenti, navigazione web, file cancellati e altri dati utili alla successiva valutazione tecnica.

Magnet AXIOM, X-Ways e KAPE

Magnet AXIOM

Utile quando occorre correlare computer, smartphone e cloud in un unico case, con timeline e report leggibili.

X-Ways Forensics

Molto adatto a file system, filtri, ricerca veloce, file cancellati, metadati, export e report professionale.

KAPE

KAPE usa Targets per raccogliere artefatti e Modules per processarli. È efficace per triage Windows rapido su immagine montata, cartella estratta o sistema live autorizzato.

kape.exe --tsource E:\ --tdest D:\Caso\06_kape_output\targets --target Windows

Il target reale deve essere scelto in base al caso e alla documentazione KAPE. Annotare sempre versione dello strumento, sorgente, destinazione e moduli utilizzati.

Costruire una timeline forense

La timeline collega i singoli artefatti e permette di ricostruire sequenze temporali. È il cuore dell’analisi Windows.

MFT e USN Journal;
Event Logs;
Prefetch, Amcache e ShimCache;
LNK, Jump Lists e Shellbags;
browser history e downloads;
Recycle Bin e Shadow Copies;
SRUM e cloud folders.

Metodo pratico:

raccogliere output CSV;
normalizzare timezone;
importare in Timeline Explorer, Timesketch o strumento equivalente;
filtrare il periodo di interesse;
marcare eventi chiave;
distinguere eventi automatici da attività utente;
costruire una tabella cronologica allegabile alla relazione.

Software di editing audio/video e contenuti sospetti

Per un sito dedicato a prove digitali e AI forensics, è importante verificare se un computer Windows contiene tracce di software compatibili con editing audio, video, immagini, conversione, deepfake, voice cloning o manipolazione multimediale.

Artefatti utili:

programmi installati;
Prefetch di editor audio/video;
Amcache e ShimCache;
LNK e Jump Lists verso file multimediali;
cartelle progetto;
export in Desktop, Documenti, Download o cartelle cloud;
metadati dei file contestati;
browser download e cronologia.

Formula prudente: la presenza di software di editing non dimostra da sola la manipolazione di uno specifico file. Deve essere correlata con timeline, file di progetto, esportazioni, metadati e artefatti utente.

Casi pratici

Dipendente infedele e pendrive USB

Verificare USBSTOR, MountedDevices, setupapi.dev.log, LNK, Jump Lists, Shellbags, MFT e timeline. Non concludere sulla copia di file da un solo artefatto.

Documento cancellato

Cercare in MFT, Cestino, LNK, Jump Lists, RecentDocs, Shadow Copies, cartelle cloud e download browser. La recuperabilità dipende dalla sovrascrittura.

Accesso non autorizzato

Analizzare Security.evtx, logon/logoff, RDP logs, programmi eseguiti, file aperti, PowerShell e timeline. Un singolo evento non basta per attribuire l’azione a una persona.

Programma sospetto

Calcolare hash, annotare percorso, verificare firma digitale, controllare Prefetch, Amcache, ShimCache, task pianificati e autostart. Non eseguire il file sul sistema di analisi.

File audio contestato

Cercare nome file, file simili, software audio, LNK, Jump Lists, cartelle progetto, export, metadati e correlazione temporale con l’evento contestato.

Modelli di note tecniche

L’analisi è stata eseguita sull’immagine forense del supporto, non sul supporto originale. L’immagine è stata verificata mediante hash prima dell’avvio delle attività tecniche.

I log eventi Windows sono stati estratti e analizzati come artefatti tecnici del sistema operativo. Gli eventi rilevati sono stati interpretati in correlazione con ulteriori dati di sistema e utente.

Le tracce di esecuzione applicativa sono state valutate mediante Prefetch, Amcache, ShimCache/AppCompatCache e altri artefatti. Nessuna singola fonte è stata considerata sufficiente da sola per formulare conclusioni definitive.

La presenza di artefatti USB è stata valutata con riferimento a dispositivi collegati, lettere unità, percorsi recenti, file LNK, Jump Lists, Shellbags e timeline.

Errori da evitare

analizzare l’originale invece della copia verificata;
formulare conclusioni da un solo artefatto;
ignorare fuso orario e conversioni UTC/locali;
confondere computer, utente e persona fisica;
eseguire file sospetti;
non salvare output e log degli strumenti;
non annotare versione degli strumenti;
confondere download, apertura, modifica ed esecuzione;
ignorare sincronizzazioni cloud;
usare conclusioni troppo forti rispetto ai dati disponibili.

Checklist operativa completa

Prima di iniziare

immagine forense verificata;
hash e log acquisizione;
quesiti tecnici;
timezone annotato;
cartelle output pronte.

Orientamento iniziale

versione Windows;
nome computer;
utenti;
partizioni;
profili e cartelle principali.

Artefatti di sistema

Registry hives;
Event Logs;
Prefetch;
Amcache/ShimCache;
SRUM e Scheduled Tasks.

Artefatti utente

Desktop, Documenti, Download;
LNK, Jump Lists, Shellbags;
browser;
cloud folders;
Cestino e file cancellati.

Output minimo del capitolo

Alla fine dell’analisi Windows dovrebbero essere prodotti almeno:

scheda sistema Windows;
elenco utenti;
elenco artefatti analizzati;
output Event Logs;
output Registro;
output Prefetch, Amcache e ShimCache;
output LNK e Jump Lists;
output MFT/USN, se usati;
timeline degli eventi rilevanti;
screenshot documentativi;
tabella evidenze;
nota sui limiti;
bozza di conclusioni tecniche.

Riferimenti tecnici esterni

Autopsy / Sleuth Kit — piattaforma grafica per digital forensics.
Autopsy user docs — output e log del caso.
KAPE documentation — Targets e Modules.
Eric Zimmerman Tools — EvtxECmd, PECmd, MFTECmd, RECmd, LECmd, JLECmd, SrumECmd e Timeline Explorer.
Microsoft Windows Event Log Reference.
Microsoft Registry Hives.
Microsoft Sysinternals Autoruns.
Magnet AXIOM.
X-Ways Forensics.

Devi analizzare un computer Windows a Roma?

Se un computer può contenere prove digitali, non bisogna limitarsi ad aprire cartelle o cercare file manualmente. Un’analisi forense Windows richiede immagine verificata, catena di custodia, Registro, Event Log, Prefetch, Amcache, ShimCache, LNK, Jump Lists, USB artifacts, timeline e relazione tecnica.

Richiedi una valutazione preliminare

Conclusione del capitolo

L’analisi forense di un computer Windows è una delle attività più ricche dell’informatica forense. Un computer conserva file, utenti, log, registro, prefetch, collegamenti, programmi, USB, browser, cloud, eventi e timeline.

Formula da ricordare:
un artefatto indica. Più artefatti correlati dimostrano meglio. La timeline collega. La relazione tecnica spiega.

Nel prossimo capitolo il manuale passerà a un altro ambiente operativo fondamentale: Capitolo 05 · Analisi forense di macOS e Linux.