Nuestro laboratorio de informática forense en Colonia

Copia de seguridad forense de soportes de datos

Por regla general, la primera fase de una investigación forense es la copia de seguridad. En la medida en que sea técnicamente posible, se protege el soporte de datos original contra el acceso de escritura y, en primer lugar, se realiza una copia de seguridad forense. El análisis posterior se lleva a cabo, por norma general, sobre la base de esta copia de seguridad o de una copia de trabajo creada a partir de ella.

Por qué es importante la protección contra la escritura en los soportes de datos originales

El mero hecho de conectar un soporte de datos a un ordenador normal puede alterar los datos. El sistema operativo, por ejemplo, crea archivos o actualiza las marcas de tiempo. Por ello, para los soportes de datos compatibles utilizamos bloqueadores de escritura por hardware. Estos permiten el acceso de lectura e impiden el acceso de escritura involuntario al soporte original conectado. De este modo, se puede comprobar posteriormente en qué estado de los datos se basa el análisis.

Copia de seguridad controlada y comprobación de integridad mediante valores hash

Para la copia de seguridad se dispone de sistemas especializados de imagen forense. Para cada copia de seguridad calculamos valores hash. Se trata de una especie de huella digital: incluso un cambio mínimo en los datos da lugar a un valor diferente. Si los valores hash coinciden, queda demostrado que la copia analizada se corresponde con los datos guardados.

Más información al respecto: Análisis forense de Windows · Los «writeblockers» en la informática forense de Linux

Por qué no existe un único método válido para todos los smartphones

Los datos que se pueden recuperar dependen de varios factores: el fabricante y el modelo, la versión del sistema operativo, el estado de seguridad (bloqueado o desbloqueado, cifrado) y el caso concreto. Por lo tanto, en función de la situación inicial, se pueden considerar diferentes métodos de extracción y análisis. En cada investigación documentamos qué método utilizamos y cuáles son sus límites.

Detección de malware y supervisión

Si se sospecha la presencia de spyware, stalkerware u otro software malicioso, analizamos los dispositivos Android e iOS con sistemas de análisis especializados. Un resultado negativo no significa que se pueda descartar un ataque. Por eso explicamos el significado de cada resultado.

Si ya no es posible leer los datos de un dispositivo de forma normal

Daños por agua, roturas, componentes defectuosos o un dispositivo que ya no se enciende: en estos casos, a menudo no es posible realizar la copia de seguridad de los datos a través de las conexiones habituales. Entonces hay que intervenir primero en el hardware para que sea posible, siquiera, recuperar los datos.

Microscopía, técnicas de soldadura y de reparación

Muchos componentes de las placas de circuito impreso modernas solo pueden evaluarse y manipularse con seguridad mediante aumento. En el puesto de trabajo de electrónica se dispone para ello de un microscopio digital, equipos de soldadura y retrabajo con sistema de extracción de humos de soldadura, así como superficies de trabajo con protección ESD. Las superficies ESD protegen los componentes electrónicos sensibles frente a las descargas electrostáticas.

Métodos de acceso basados en hardware: JTAG y «chip-off»

Si un dispositivo no responde a través de sus conexiones habituales ni siquiera tras una modificación del hardware, se pueden considerar métodos basados en el hardware. En el caso de JTAG, se accede a la memoria a través de los conectores de prueba y comprobación de la placa; en el caso de Chip-Off, se desoldan los módulos de memoria y se leen con un dispositivo de programación. Ambos métodos los llevamos a cabo en nuestro taller de electrónica. Que resulten adecuados depende del dispositivo, la arquitectura de la memoria y los mecanismos de seguridad. En muchos smartphones modernos, los datos están cifrados y vinculados al hardware del dispositivo. Una memoria leída directamente proporciona datos en bruto, pero no necesariamente datos de usuario utilizables. Antes de llevar a cabo el procedimiento, aclararemos contigo si este tiene posibilidades de éxito en tu caso concreto.

Recuperación de datos en la mesa de trabajo de la sala limpia

Algunos trabajos con soportes de datos deben realizarse protegidos del polvo. Para ello, el laboratorio cuenta con una mesa de trabajo de sala limpia. Esta suministra al área de trabajo aire purificado mediante un filtro HEPA de clase H14. Según la norma EN 1822, los filtros de esta clase retienen al menos el 99,995 % de las partículas del tamaño más difícil de retener. Se trata de un puesto de trabajo controlado para soportes de datos abiertos y componentes electrónicos sensibles, no de una sala limpia clasificada.

A continuación, evaluamos los soportes de datos dañados en el puesto de trabajo de análisis utilizando un software especializado en recuperación de datos.

Más información al respecto: Recuperación de datos en Colonia