ledlight33/copyfail-dfir# Analisi interattiva DFIR di CVE-2026-31431 (Copy Fail) - dall'avviso SIEM al verdetto confermato. Comandi reali di Volatility 3, metodologia verificata.
Un walkthrough interattivo e passo-passo per l'indagine forense della vulnerabilità del kernel Linux Copy Fail (CVE-2026-31431).
Segui uno scenario di incident response, dall'alert SIEM al verdetto confermato, con i comandi che un analista eseguirebbe realmente e note in linguaggio semplice a ogni passaggio.
Usa i tasti freccia sinistra e destra per spostarti tra i passaggi. Ogni passaggio può essere collegato direttamente, ad esempio #step-5 salta all'analisi della page cache.
La guida è disponibile in inglese e greco. Usa il pulsante EN | ΕΛ nella barra del titolo, oppure apri direttamente la versione greca: ledlight33.github.io/copyfail-dfir/?lang=el. La scelta viene ricordata e un browser in greco si apre in greco per impostazione predefinita.
Solo le spiegazioni sono tradotte (istruzioni, risultati, note, domande, la checklist e il verdetto). Comandi, codice e termini tecnici restano in inglese.
Ελληνική έκδοση: ledlight33.github.io/copyfail-dfir/?lang=el
linux.pagecache.Files, linux.pagecache.InodePages) usati sull'immagine di memoriaausearch, e tracce dell'exploit recuperate con stringsTutti pubblicano vulnerabilità. Pochissimi mostrano come indagarle.
Copy Fail è un attacco solo alla page cache: il file su disco non viene mai modificato, quindi un'immagine disco a macchina spenta appare pulita. L'analisi live e della memoria mostra la manomissione. Questo walkthrough mostra cosa cercherebbe un analista DFIR, in quale ordine e perché.
Ogni passaggio ha un pannello di note opzionale (attivalo nella barra del titolo) con una spiegazione in parole semplici, perché il passaggio è importante, un errore comune, una breve lista di termini, una domanda "verifica te stesso" e link alle fonti.
L'ultima schermata del walkthrough ha una checklist in sola lettura che puoi eseguire sulla tua macchina: versione del kernel, se il modulo vulnerabile è caricato, un confronto tra cache e disco di ogni file setuid, un controllo del package manager su su, e alcune tracce nei log. Ti dice cosa significa un riscontro e cosa fare dopo. Aprila direttamente: ledlight33.github.io/copyfail-dfir/#step-8
Non testare mai eseguendo l'exploit pubblico su una macchina a cui tieni. Un risultato pulito è un buon segno, non una prova, perché la pagina avvelenata può essere espulsa o persa al riavvio.
L'output della console è illustrativo: PID, hash, indirizzi e timestamp sono inventati, e le tabelle lunghe sono abbreviate. I comandi, i numeri di syscall, i nomi e le opzioni dei plugin, e i meccanismi dell'attacco sono stati verificati rispetto a fonti primarie (il PoC di Theori e il write-up di Xint, NVD, CISA, il sorgente di Volatility 3, gli advisory dei vendor). Ogni passaggio collega le sue fonti, e la schermata del verdetto le elenca tutte.
Due cose vale la pena sapere:
dd iflag=direct) segue il metodo a doppio percorso descritto da rfxn. Non è stato catturato in laboratorio per questa guida, e il supporto I/O diretto dipende dal filesystem, quindi testalo sul tuo.Hai trovato un errore? Apri una issue.
HTML a pagina singola con React (via CDN). Nessun build step, nessuna dipendenza: basta aprire index.html.
🧪 Tavola Periodica del DFIR: 118 strumenti per Digital Forensics & Incident Response
Marino Bekios, MB Labs
MIT - © 2026 Marino Bekios, MB Labs