M2Labs - Cyber Security & Data Recovery

Sì, tutti i software della suite (ForensicHub, Forensic Case Lab, C-Lab TriagePro, Video & Image Forensic e Android Forensic Preview) sono stati progettati per funzionare offline in scenari di isolamento assoluto (Air-Gapped). L'attivazione e la validazione della licenza PRO avvengono completamente offline tramite una chiave cifrata legata all'ID hardware del PC (BIOS UUID), garantendo la sicurezza delle prove.

Le licenze annuali includono l'accesso a tutti i rilasci intermedi. Quando viene pubblicata una nuova guida o un aggiornamento normativo (ad esempio le nuove direttive E-Evidence), riceverai un archivio zip cifrato da installare localmente.

Certamente. Offriamo licenze Team/Agency multi-postazione con sconti dedicati ed attivazione a chiave unica. Per grandi organizzazioni o reparti scolastico-didattici è possibile richiedere una Site License aziendale.

Il client desktop è leggero e compatibile con Windows 10/11 (64-bit). Richiede circa 200MB di spazio su disco per l'applicazione base. I simulatori pratici di Case Lab vengono avviati direttamente in-app o tramite strumenti del browser senza richiedere l'installazione di macchine virtuali pesanti.

La versione di valutazione di ForensicHub Pro (il database delle procedure operative) permette l'accesso completo offline per 3 giorni, includendo una filigrana trasparente personalizzata sulle guide. Per gli altri software della suite (TriagePro, Video Forensic e Android Forensic) è possibile testare le demo interattive online direttamente sul sito, oppure richiedere una licenza di prova temporanea compilando il modulo contatti e fornendo il proprio BIOS UUID.

C-Lab TriagePro è una suite portatile di acquisizione forense live progettata per essere avviata da chiavetta USB senza installazione sul sistema target (modalità Zero-Footprint). È destinata a consulenti tecnici d'ufficio (CTU), investigatori privati, forze dell'ordine e laboratori di analisi forense che necessitano di acquisire rapidamente evidenze digitali sul campo.

La Pro Suite Completa include tutti e cinque i software della piattaforma: ForensicHub Pro (240+ guide operative), Forensic Case Lab Pro (305+ casi reali e simulatori), C-Lab TriagePro (acquisizione forense live), Video & Image Forensic (analisi metadati e GPS) e Android Forensic Preview (mirroring e controllo mobile). Acquistando la Suite si ottiene uno sconto del 46% rispetto all'acquisto dei singoli prodotti, con un risparmio totale di € 646.

Android Forensic Preview è uno strumento professionale per il triage on-the-field di dispositivi Android. Consente il mirroring dello schermo a bassissima latenza, l'interazione da PC (anche per schermi touch rotti), la cattura di screenshot da framebuffer e la registrazione video forense con calcolo in tempo reale degli hash (SHA-256 e MD5) per preservare l'integrità della catena di custodia.

Sì, supportiamo la fatturazione elettronica PA con codice destinatario SDI, split payment IVA e i codici identificativi CIG/CUP quando richiesti. Per acquisti da parte di enti pubblici, forze dell'ordine o università, è sufficiente compilare il modulo preventivi B2B specificando le esigenze di fatturazione nelle note.

Nella sezione Prezzi, il tab "Crea Pacchetto" ti permette di selezionare quali software includere nel tuo pacchetto e il numero di licenze desiderato. Il sistema calcola in tempo reale il prezzo finale applicando automaticamente lo sconto pacchetto (fino al 37% con tutti e 3 i software) e lo sconto volume (fino al 30% per 11+ postazioni). Al termine, puoi inviare la richiesta di quotazione direttamente dal configuratore.

Sì, tutti i report generati da C-Lab TriagePro includono firma digitale con hash SHA-256, timestamp certificato e catena di custodia completa. I documenti sono formattati secondo gli standard richiesti dai tribunali italiani per le perizie informatiche e sono pronti per essere allegati come prove documentali in procedimenti civili e penali.

I software tradizionali creano archivi cifrati palesi (.enc, .pgp, .zip protetti) che rivelano l'esistenza di dati riservati e possono essere bloccati da firewall aziendali. CryptoSteg Enterprise adotta un approccio differenziato per carrier: crittografia autenticata NIST SP 800-38D (AES-256-GCM con PBKDF2-HMAC-SHA512 a 100.000 iterazioni e Salt CSPRNG a 128 bit), iniezione LSB Matching ±1 su formati lossless (PNG, BMP, WAV), Append Mode strutturato (EOF overlay) per flussi documentali PDF e file JPEG (evitando la distruzione del payload causata dalla compressione lossy DCT), marcatura Canary Trap Unicode Zero-Width per leak detection e container HTML Vault autosufficienti client-side a installazione zero con CSP 'connect-src none'.

CryptoSteg incapsula i file cifrati in un container HTML Vault autonomo. Il destinatario riceve un singolo file .html che apre in qualsiasi browser moderno (Windows, Mac, Linux, iOS, Android) completamente offline. La decifratura avviene in memoria volatile applicativa tramite WebCrypto API standard senza generare file temporanei in chiaro sul filesystem (%TEMP%), consentendo inoltre al destinatario di generare una risposta cifrata al volo.

CryptoSteg inietta una Canary Trap documentale composta da sequenze Unicode Zero-Width invisibili (ZWSP, ZWNJ, ZWJ) all'interno del testo. Se il documento viene copiato e incollato in contesti che non applicano filtri o normalizzazioni Unicode (es. chat WhatsApp, Telegram, email, documenti Word), la marcatura invisibile permane. Lo Scanner Forense Anti-Leak di CryptoSteg rileva tali sequenze e le correla all'identificativo di licenza e timestamp per individuare con precisione la fonte del leak.

CryptoSteg utilizza PBKDF2-HMAC-SHA512 con 100.000 iterazioni, Salt casuale a 128 bit (16 byte) generato da CSPRNG per ogni singolo container, e lunghezza chiave derivata di 256 bit (32 byte) per AES-256-GCM. Il Salt è univoco per cifratura: non esiste un salt fisso o condiviso. Nella compatibilità con il browser (HTML Vault tramite WebCrypto API), viene usato l'equivalente PBKDF2-HMAC-SHA256 con le stesse 100.000 iterazioni. Per passare da PBKDF2 a una KDF memory-hard (Argon2id, più resistente ad attacchi GPU/ASIC su password deboli) è prevista una roadmap futura.

In AES-GCM la collisione di nonce con la stessa chiave comprometterebbe confidenzialità e integrità. CryptoSteg genera, per ogni operazione di cifratura, sia un Salt indipendente a 128 bit (16 byte, via CSPRNG) sia un IV/Nonce a 96 bit (12 byte, via CSPRNG). Poiché il Salt è diverso per ogni container, anche la chiave derivata da PBKDF2 è diversa per ogni container. La combinazione Salt unico → chiave unica → IV unico garantisce che la probabilità di collisione sia inferiore a 2⁻⁴⁸, computazionalmente trascurabile anche dopo milioni di operazioni. Il tag di autenticazione ha lunghezza 128 bit e viene verificato a tempo costante prima della decompressione.

CryptoSteg adotta tre misure contro la steganalisi statistica: (1) LSB Matching ±1 invece del semplice LSB Replacement, che preserva la simmetria dell'istogramma dei colori di primo ordine; (2) distribuzione pseudo-casuale dei bit su tutta la matrice di pixel tramite permutazione Fisher-Yates guidata da CSPRNG; (3) Deep Optical Carrier Sanitizer, che ridistribuisce il rumore LSB sui pixel non utilizzati dall'embedding per bilanciare le Pairs of Values (PoV) e ridurre le anomalie Chi-Square e RS Analysis. Per i carrier JPEG e PDF, dove la compressione lossy renderebbe l'LSB inutilizzabile, CryptoSteg utilizza Append Mode strutturato. È corretto rilevare che nessun metodo LSB è garantito invisibile a ogni forma di steganalisi avanzata: CryptoSteg riduce significativamente le tracce statistiche, ma benchmark indipendenti su dataset pubblici sono in corso di predisposizione.

No. IRONCLAD non usa l'entropia globale del file come soglia di allarme. I file compressi (ZIP, 7z, RAR), le immagini JPEG e i database cifrati presentano comunemente valori H ≥ 7.2 bits/byte sull'intero file e non costituiscono una firma ransomware. Il motore implementa invece un'analisi di entropia di Shannon a blocchi da 4 KB (calculateChunkEntropy, sliding window): rileva un picco entropico localizzato anche quando l'entropia media globale del file è bassa (es. H globale = 0.83, picco su chunk = 7.95). Questo approccio — denominato chunk-based intermittent encryption detection — è in grado di intercettare la tecnica di intermittent encryption usata da ceppi come LockBit 3.0 e BlackCat/ALPHV, che cifrano soltanto 4–16 KB ogni 64 KB per abbassare l'impatto sull'euristica standard. Il segnale entropico a blocchi è correlato in tempo reale con il processo scrivente, la velocità di scrittura (Velocity Monitor) e la lista dei processi autorizzati (whitelist peritale: FTK, X-Ways, VeraCrypt, 7z) per ridurre al minimo i falsi positivi.

No. Affermare che tutti i ransomware cifrino i file in ordine alfabetico sarebbe tecnicamente inesatto. La ricerca scientifica (ACM 2025) sui pattern di enumerazione dei ransomware conferma che le famiglie differiscono ampiamente nelle strategie di selezione dei target. IRONCLAD implementa una matrice canary stratificata su 3 livelli con 9 template complessivi per ogni directory protetta: (1) Strato 1 (!00_, 4 file su formati ad alto valore: .xlsx, .docx, .pdf, .db) per ceppi a scansione lessicografica A→Z; (2) Strato 2 (!01_, 2 file) per intercettare ceppi che applicano skip dell'indice-0 o worker pool multi-thread concorrenti; (3) Strato 3 (!02_, 1 file) per ceppi con logica avanzata di resume o selezione casuale; (4) Coda tattica (zz_99_.zip) per intercettare ceppi a scansione inversa Z→A o cicli secondari di cleanup; (5) Decoy realistici (backup_credentials.sql, bilancio_2026.xlsx) non prioritari. Il Self-Healing Canary System rigenera automaticamente ogni esca alterata entro millisecondi. Nei testbed di laboratorio la Data Loss Window (DLW) sui documenti utente è risultata pari a zero poiché l'attacco impatta la matrice esca prima di raggiungere i file di lavoro effettivi.

La risposta del motore opera su due componenti temporali distinte e complementari: (1) Finestra di correlazione euristica di massa (Velocity Monitor): opera con una Sliding Window calibrata a 800 ms con soglia di 8 operazioni/secondo. Questo intervallo è rigorosamente tarato per intercettare le raffiche tipiche dei ransomware moderni — LockBit 3.0 esegue 8 cifrature in circa 267 ms e BlackCat/ALPHV in circa 121 ms — garantendo al contempo immunità totale da falsi positivi su operazioni lecite (backup automatici: max 3–5 file/burst; scansioni antivirus: 1–2 file/burst; compilazioni software: max 6 file/burst). (2) Congelamento atomico ed eliminazione (FastFreeze sub-50 ms): non appena scatta la soglia euristica o viene toccato un canarino, l'helper nativo Win32 C# (ironhelper.exe) invoca direttamente ntdll.dll!NtSuspendProcess congelando tutti i thread del processo ostile in RAM in 12–22 ms (media di benchmark: ~18 ms), interrompendo all'istante qualsiasi operazione di I/O disco. Successivamente, la terminazione ad albero via TerminateProcess e Restart Manager (rstrtmgr.dll) chiude l'intero albero di processi malevoli. La correlazione a 800 ms individua la raffica, mentre la chiamata API sub-50 ms neutralizza i thread sul nascere.

La quasi totalità dei ransomware moderni (LockBit 3.0, Conti, REvil/Sodinokibi, Ryuk, BlackCat/ALPHV, Phobos, Akira) include una fase di shadow copy wiping per impedire il ripristino: esegue comandi come vssadmin.exe Delete Shadows /All /Quiet, wmic shadowcopy delete, bcdedit /set {default} recoveryenabled no e wbadmin delete catalog -quiet. Il modulo VSS Shield di IRONCLAD intercetta in tempo reale ogni processo che invochi questi pattern tramite un watchdog WMI su Win32_Process: il processo viene terminato prima che il comando venga completato, preservando intatte le Volume Shadow Copies e le opzioni di boot recovery. I comandi ordinari di sistema e amministrazione non vengono interferiti (zero falsi positivi nei test). Il perimetro tecnico documentato prevede che attaccanti con privilegi NT AUTHORITY\SYSTEM e driver kernel malevoli già caricati (BYOVD) possano potenzialmente tentare di aggirare il watchdog operando direttamente a basso livello senza invocare i comandi di sistema intercettati.

La RAM Enclave di IRONCLAD alloca i file operativi e le chiavi effimere AES-256-GCM esclusivamente in memoria volatile e invoca VirtualLock (Win32 API) per bloccare l'intervallo di indirizzi nella memoria fisica, inibendone lo swapping su pagefile.sys da parte del kernel di Windows. La dicitura "Zero-SSD" specifica formalmente che nessun dato gestito dall'enclave viene scritto sul filesystem o sul supporto di memorizzazione persistente durante la sessione operativa. A livello di integrità peritale, si precisa che il perimetro di protezione copre i buffer allocati dal modulo: crash di sistema non gestiti possono generare minidump di sistema operativo a livello kernel se non preventivamente disabilitati dalle policy di hardening. All'uscita o in modalità Panic Purge, il motore esegue una bonifica in-memory multi-passaggio dei buffer allocati (pattern a tre passate: 0x55, 0xAA, 0x00) prima della deallocazione e dereferenziazione delle chiavi. Tale procedura assicura l'azzeramento forense dei dati volatili gestiti dall'applicazione, preservando al contempo la durata e l'assenza di tracce sul silicio delle unità SSD.

La modalità Chameleon Duress è un'architettura crittografica di Plausible Deniability a doppia password: se l'operatore o il dirigente viene costretto da malintenzionati o aggressori a sbloccare la cassaforte cifrata, l'inserimento della password di coercizione (Duress PIN) apre all'istante un'area di storage decoy (civetta) perfettamente realistica. L'interfaccia mostra documenti apparentemente autentici (bilanci preliminari, note legali fittizie e documenti aziendali non sensibili generati dinamicamente), mentre i dati riservati autentici rimangono invisibili e non referenziati. Contestualmente, il sistema genera un allarme silenzioso di emergenza nei log forensi locali per documentare l'evento di estorsione a fini probatori e giudiziari.

I Decoy Honeytoken Beacons sono documenti civetta (fogli di calcolo .xlsx, documenti legali .docx, credenziali SQL e certificati fittizi) progettati per apparire come asset aziendali ad altissimo valore. Vengono disseminati strategicamente in cartelle di rete, share condivise e percorsi sensibili. Al loro interno integrano identificatori univoci e meccanismi di telemetria forense locale (beaconing): non appena un dipendente infedele, un attaccante o un malware tenta di aprire, copiare o esfiltrare il documento civetta, BlackBox intercetta l'accesso registrando l'utente, il timestamp ad alta precisione, l'indirizzo IP/host e l'hash del file, attivando l'allarme tempestivo prima che vengano toccati i documenti autentici dell'azienda.

BlackBox genera automaticamente una Relazione Tecnica Peritale Asseverata completa in formato Microsoft Word (.docx) e consultabile a video, strutturata secondo i canoni della perizia forense informatica. Il documento certifica: l'identificativo univoco del container cifrato, gli hash crittografici (SHA-256 e MD5) a garanzia di integrità e non ripudio, il registro cronologico degli accessi con timestamp ISO 8601, l'audit trail delle operazioni e la catena di custodia. Il report è conforme ai requisiti di ammissibilità della prova digitale previsti dall'Art. 234 c.p.p., dalla Legge 48/2008 (ratifica Convenzione di Budapest) e dallo standard internazionale ISO/IEC 27037:2012, risultando pronto per il deposito giudiziario da parte di legali, CTU, periti di parte o per la denuncia alle Forze dell'Ordine.