Femicidios: una pista clave que la Justicia debe descifrar

En esta nota, te quiero contar sobre  la utilización de diferentes programas que se utilizan en el mundo en materia de informática forense para la examinación y análisis de los diferentes dispositivos móviles.

Como todos sabemos, la mayoría de todos los celulares del mundo tienen Android como sistema operativo por defecto. Los peritos, al examinar el dispositivo, se encuentran con diferentes inconvenientes que pueden ser los siguientes: 

. No hay un programa que extraiga mágicamente todos los datos de cualquier celular. Con esto, obliga a los peritos a adaptar diferentes estrategias para tener acceso a la mayor cantidad de datos posibles. 

. La mayoría de los sistemas operativos no proveen un sistema oficial de ingreso al dispositivo en caso de emergencia por lo que se tienen que recurrir a programas (algunos muy certeros basados en Python, Java, etc) para penetrar el sistema e ingresar a los archivos del celular. 

. Antes, la tarea era bastante simple ya que solo interesaban datos puramente del teléfono como agenda de contactos, SMS, llamadas, calendario, etc. Ahora, aparte de todo lo mencionado, se agregan conversaciones en aplicaciones de mensajería instantánea (WhatsApp, Messenger, Telegram, etc), historial de navegación del explorador del celular (Chrome, Opera, Firefox, etc), por lo que la búsqueda es muy grande y cada vez se complica más: mientras más complejas sean las funciones ejecutadas en el celular, más difícil es acceder a ellas. 

. Otro patrón, no menor por cierto, son los precios de los programas que más ejecuciones realizan. Son muy elevados y costosos en sus planes tanto mensuales como anuales. 

. Otro inconveniente es que al momento de tomar poder del dispositivo, es muy difícil que no haya sido sometido a un patrón de eliminación global por parte del delincuente para borrar todo tipo de pruebas que lo complique.

¿Cuáles son los métodos que utilizan para extraer los datos? 

Como te muestro en la imagen, hay 3 metodologías: 

Chip-off: se basa en la extracción de todos los datos desde el chip no necesitando el dispositivo móvil. Es uno de los métodos más difíciles pero el más efectivo ya que extrae todo tipo de comportamientos que son esenciales. 

JTAG: con este método de depuración se arreglan ciertas incongruencias y fallas en los archivos del dispositivo, pudiendo una vez depurado, extraer todos los datos del celular de forma correcta. Es un buen método para recopilar información borrada por el delincuente. 

A través de programas: se utilizan programas o herramientas web que permiten realizar diferentes funciones. Este es el método más utilizado, pero hay que saber utilizar la herramienta adecuada. 

¿Cuál es el método más eficiente? 

La eficiencia se puede obtener mediante la combinación de todas las estrategias de trabajo sumando las grandes virtudes que puede ofrecer la extracción de datos a través de Bluetooth o NFC en aquellos teléfonos que soporten este tipo de metodologías. 

Todas estos métodos crean un mapa llamado "El árbol de la evidencia" en el cual, a través de carpetas, se esconden los archivos más remotos del celular. 

Decodificando cada dato con SQLite podemos acceder a ciertos patrones y datos esenciales en la investigación por un femicidio, tales como últimas conversaciones leídas, archivadas, eliminadas de Whatsapp u otras aplicaciones de mensajería instantánea; SMS y llamadas del celular, registro de contactos y más datos. 

También, con el soporte de programas externos, se puede acceder al llavero del celular el cual contiene las contraseñas a sus cuentas en Facebook, Gmail entre otros servicios esenciales y más utilizados en el dispositivo. 

Con Iphone, ¿qué pasa? 

¿Te acordás del asunto del iPhone 5C y la NO colaboración por parte de Apple  en el proceso de recuperación del passcode del terminal del llamado terrorista de San Bernardino? Todo llevó a que acabara en los tribunales y con el FBI pidiendo no ya la colaboración de Apple para desbloquear ese iPhone 5C, sino una llave maestra para desbloquear cualquier terminal iPhone. 

La trama se complicó mediáticamente hasta que al final el FBI dijo que había conseguido acceder al terminal  y decidió olvidar el asunto.

Está más que claro que el FBI quería aprovechar la oportunidad para obtener una llave maestra de Apple pero... ¿cómo hizo para ingresar a un celular que se considera inquebrantable?

Lo hicieron a través de la metodología NAND Mirror, que si te lo explico de forma muy simple, la idea consiste en copiar la memoria del chip que controla el número de intentos de password. La  NAND Memory. 

Después, se clona y todos los datos que contiene la memoria NAND  original se copian sobre otra memoria vacía. Esto hace que la memoria NAND original tenga el contador de intentos intacto al igual que la memoria NAND clonada. 

Después, se conecta la memoria NAND clonada al terminal y se prueba un número de  passcodes sin llegar a alcanzar el límite máximo que lanza el proceso de borrado del disco, al que llamaremos límite de seguridad.

Una vez alcanzado el límite de seguridad en los intentos, la memoria NAND clonada tiene el contador al límite, así que se vuelve a copiar sobre ella el contenido de la memoria NAND original que tiene el contador inicial y se vuelve a conectar al terminal iPhone 5C para continuar con otro conjunto de intentos hasta alcanzar el límite de seguridad. Así, el proceso se repite hasta poder dar con el passcode en un ataque de fuerza bruta.

Esto, te puede llevar días, pero el FBI tuvo una práctica inteligente de la cual no necesito del apoyo de Apple. Para los interesados, les dejo un video al respecto: 

¿Sirve la informática forense para estudiar femicidios? 

Por supuesto que sí, ya que no solo se puede hacer un estudio del celular del delincuente sino también de la víctima y obtener datos completos y entrecruzados que completen aún más la investigación. 

Es un estudio que la Justicia de Mendoza tiene que realizar porque a través de muchas herramientas de informática forense se pueden acceder a todos aquellos datos que no podemos ver y que pueden marcar la historia de abusos y violencias por parte del delincuente a la víctima. 

Si te interesa el informe, seguime en Twitter y debatimos. Contame tu experiencia y cómo estás desarrollando investigaciones de este tipo.