Bonifica forense anti-spyware, sofware spia, malware e trojan con copia/analisi bit-a-bit di smartphone, PC, server, reti, dispositivi OT/IoT. Stalkerware, key-logger, RAT. Analisi 48h. Bonifica in Lab/on-site. Report legali certificati SHA-256/ISO.

About us
Quando un dispositivo “parla” senza permesso, non è solo un problema tecnico: è un rischio probatorio.

Lo spyware — dallo stalkerware ai Remote Access Trojan — modifica condotte, esfiltra informazioni, altera scenari legali.

→ La nostra bonifica non è una pulizia/analisi generica: è procedura forense che identifica, isola e rimuove il codice ostile preservando integrità, tracciabilità e valore legale di ogni evidenza.

Operiamo su smartphone, PC/server e reti/IoT con catena di custodia, clonazione su copia, hashing SHA-256, report court-ready e hardening post-incidente.

Un telefono che si scarica troppo in fretta, un PC con processi sconosciuti, una rete che comunica verso server ignoti → dietro anomalie apparentemente innocue può nascondersi uno spyware.

Riconoscerle, isolarle e documentarle con tecniche forensi certificate, è essenziale per bonificare il dispositivo ottenendo prove digitali conformi all'uso giudiziale in sede civile o penale, rispettando catena di custodia e standard internazionali (ISO/IEC 27037, GDPR, art. 615-ter c.p.).

Garantiamo integrità e valore probatorio di ogni analisi, con testimonianza qualificata, consulenze/CTP in tribunale.

Perché intervenire subito? (rischio, prova, impatto)

La compromissione peggiora nel tempo: aumentano persistenze, si contaminano log, si perdono tracce.

Intervenire presto riduce danni e salva prova.

Contenimento mirato — blocchiamo l’esfiltrazione senza distruggere artefatti utili in giudizio.
Integrità probatoria — lavoriamo su cloni/snapshot; l’originale resta intatto per CTU/CTP.
Tracciabilità completa — hash-set, timeline, firme digitali e chain of custody verificabile.
Strategia legale — dossier tecnico che orienta querela, azione civile o accordo stragiudiziale.

Segnali attendibili (e falsi positivi da escludere)

Valutiamo indizi in cluster coerenti, non sintomi isolati.

Mobile
→ Batteria che cala a riposo, surriscaldamenti, micro-lag in chiamata.
→ Permessi eccessivi (Accessibilità/Device Admin), profili MDM anomali, traffico notturno.
→ SMS/OTP inviati senza azione, notifiche “mute” da app sconosciute.

PC/Server
→ Processi ignoti, PowerShell non attesa, task pianificati opachi, DNS rari, beacon periodici.
→ Persistenze WMI/Registry/Services, anomalie UEFI/SecureBoot.

Reti/IoT
→ Access point “ombra”, cam IP con firmware alterato, tunnel cifrati fuori policy, PLC esposti.

Falsi positivi
→ Aggiornamenti, backup aggressivi, app mal configurate: li escludiamo con acquisizione su copia e analisi forense multilivello.

Vettori d’attacco e superfici a rischio

Capire come è entrato lo spyware guida bonifica e prevenzione recidive.

Social engineering — link in chat, QR malevoli, finti portali OTP.
App-clone / profili MDM — file manager “gratis”, antivirus fake, MDM abusivi.
Allegati armati — macro Office, LNK/ISO/IMG, script e living-off-the-land.
Supply-chain — estensioni, plugin, driver non firmati.
IoT esposti — credenziali di default, servizi debug aperti.
Accessi fisici — installazioni rapide su device incustoditi.

Ambiti di intervento — Phone e tablet (iOS/Android)

Su mobile la prova è fragile: si opera con tecnica dedicata e finestre controllate.

→ Estrazione full-file system quando lecito/possibile; audit permessi e API push (APNS/FCM).
→ Rilevazione root/jailbreak stealth, abusi Accessibilità/Device Admin, MDM sospetti.
→ Individuazione app-clone, canali C2 (fingerprint JA3/JA4), esfil su storage/backup cloud.
→ Rimozione controllata, verifica post-bonifica, hardening KNOX / Secure Enclave-aware.

Ambiti di controllo — PC e Server

Gli endpoint ospitano persistenze sofisticate: metodo e strumenti fanno la differenza.

Memory forensics, driver kernel, DLL-injection, fileless e LOLBins.
→ Persistenze WMI/Tasks/Registry; controllo UEFI/SecureBoot; bootkit check.
→ Correlazioni MITRE ATT&CK (TTP), regole YARA/Sigma, KAPE/Sysmon, timeline artefatti.
→ Bonifica RAT/key-logger, rotazione credenziali/token, validazione integrità finale.

Analisi — Reti, IoT e sistemi OT/SCADA

Gli oggetti connessi sono varchi silenziosi: li mappiamo, segmentiamo e mettiamo in sicurezza.

→ Packet inspection ICS/SCADA (Modbus, OPC-UA), discovery bridge Wi-Fi nascosti.
→ Analisi firmware cam IP/NVR, inventory servizi esposti, controllo posture router/AP.
Zero-trust, DNS filtering, patch virtuali e playbook di contenimento senza downtime.

Workflow forense certificato (8 fasi)

Processo ripetibile, verificabile, difendibile.

Ogni passaggio è tracciato.

1) Briefing riservato — obiettivi, rischi, cornice giuridica; NDA e canali cifrati.
2) Stabilizzazione — blocco esfil senza distruggere tracce; finestre operative sicure.
3) Acquisizione — imaging/snapshot su copia, write-blocker, hashing SHA-256, chain of custody.
4) Triage — signatures, euristiche, ML-anomaly; mappatura IoC e persistenze.
5) Analisi — timeline, correlazioni log, attribuzione tecnica (C2, famiglie, TTP).
6) Bonifica — kill persistence, revoca token/API, pulizia profili e policy.
7) Hardening — MFA, segmentazione, policy EDR/Mobile, patching; verifica post-bonifica.
8) Report — dossier court-ready con hash, IoC, screenshot e istruzioni di verifica.

Toolchain e metodo (adattati al caso)

La piattaforma varia con contesto e obiettivi, la tracciabilità resta costante.

Mobile — Cellebrite / XRY, ripper artefatti, audit MDM/Profiles, check Accessibilità/Device Admin.
Endpoint — Velociraptor, KAPE, Sysmon, DFIR timeline; regole YARA/Sigma; sandbox controllate.
Rete — IDS/IPS, DNS sinkhole, JA3/JA4, NetFlow, inventory automatico.
Correlazione — MITRE ATT&CK, grafo eventi, validazione su duplicati controllati.

Standard, norme e ammissibilità

Il rigore tecnico vale poco senza conformità.

Lavoriamo “by design”.

ISO/IEC 27037 — identificazione, acquisizione e conservazione delle prove digitali.
GDPR — minimizzazione, pertinenza, storage sicuro, consegna tracciata al difensore.
Penale — art. 615-ter (accesso abusivo), 617-septies (diffusione riprese/registrazioni fraudolente), 612-bis (stalking).
Inutilizzabilità — preveniamo eccezioni ex art. 191 c.p.p. con corretta catena di custodia e replicabilità metodologica.

Casi esemplificativi (anonimizzati)

Esempi che mostrano impatto, tempi e deliverable, senza dati identificativi.

Stalkerware su iPhone — app-clone con abusi Accessibilità; FFS, rimozione, querela con allegati e hash.
Agent Tesla su PC — triage in 2h, rotazione credenziali SWIFT, bonifica in giornata, dossier a HR/Legale.
Backdoor su PLC/NVR — segmentazione, patch virtuale, hardening router/AP, ripristino SCADA in 36h.

Hardening post-bonifica (prevenire recidive)

La bonifica chiude l’incidente; l’hardening evita che si ripeta.

→ MFA ovunque, revisione permessi app, allow-list e DNS filtering.
→ Policy EDR/Mobile, aggiornamenti rapidi, backup immutabili.
→ Segmentazione zero-trust, gestione segreti, formazione mirata anti-spy.

Servizi attivabili (catalogo operativo)

Cosa mettiamo subito in campo, on-site e da remoto.

→ Scan anti-spyware per smartphone, tablet, PC e server.
→ Memory forensics e triage malware con priorità executive/HR-legal.
→ Bonifica remota assistita e verifica post-intervento.
→ Threat hunting su rete; firmware analysis per cam/IP e IoT.
→ Report forense con hash SHA-256; supporto a querele/azioni inibitorie.
→ Training anti-spy per ruoli esposti (C-level, legale, HR).

Logistica e sicurezza operativa

Scegliamo il canale più efficace in base a urgenza e perimetro.

On-site — intervento riservato con finestre senza impatto operativo.
Remoto — toolkit cifrato, sessioni assistite, audit completo delle azioni.
Ritiro/Riconsegna — vault cifrato, tracking, consegna con verbale e hash.

Tempi, SLA, Costi e quote

Trasparenza ex-ante: il perimetro decide effort e budget.

Triage 24–48h (urgent care: in giornata).
Bonifica smartphone/PC: da poche ore; reti estese: fasi concordate.
Costi/Quote — da poche centinaia di euro per singolo device; per infrastrutture, KPI probatori e SLA in preventivo.

Perdo dati durante la bonifica?

→ No. Lavoriamo su cloni/snapshot: l’originale resta intatto per eventuali perizie/controperizie.

È legale far analizzare miei dispositivi?

→ Sì, se sei titolare/avente diritto.

Per asset aziendali operiamo con policy interne e indirizzi DPO/legale.

Leggete i miei contenuti privati?

→ No: analizziamo log, artefatti e flussi.

I contenuti si toccano solo se indispensabili e leciti ai fini probatori.

Il report è ammissibile in tribunale?

→ Sì: hash, timeline, IoC, metodologie conformi ISO/IEC 27037 e catena di custodia completa, pronti per CTU/CTP.

Come prevenire nuove infezioni?

→ MFA, aggiornamenti tempestivi, allow-list app, DNS filtering, EDR, segmentazione zero-trust, formazione periodica.

AGIAMO ADESSO, CON METODO FORENSE


Valutazione riservata entro 30–120 minuti con stima di successo, tempi e costi.

Ogni operazione è svolta su copia forense certificata, preservando i reperti originali e producendo un report court-ready.

Contatta un nostro esperto: riservatezza assoluta, tecniche avanzate, consulenza immediata.

→ Analisi disponibili in tutto il territorio nazionale, on-site o da remoto, con NDA e canali cifrati.
→ Ambiente bonificato, dati integri, prove difendibili quando servono.
Servizi più richiesti