Informática forense · macOS

Validar manualmente los artefactos de SQLite, WAL y SHM

Muchas aplicaciones de macOS —Mensajes, Safari, Fotos, Notas— almacenan sus datos en bases de datos SQLite. Además del archivo principal, suelen existir un archivo „-wal“ y otro „-shm“. El archivo WAL puede contener cambios recientes y versiones anteriores de páginas de la base de datos que aún no figuran en el archivo principal o que ya no se encuentran en él.

Solicitar información sin compromiso

En el caso de los ordenadores Apple, este aspecto es especialmente importante, ya que la arquitectura de hardware y de seguridad ha cambiado considerablemente en los últimos años. No se puede tratar de la misma manera un iMac antiguo con procesador Intel, un Mac con procesador Intel y chip de seguridad T2 y un Mac Studio actual con Apple Silicon. APFS, Secure Enclave, FileVault y el estado del sistema en cada caso determinan a qué datos se puede acceder y qué método de copia de seguridad provoca menos cambios.

Los analizadores automáticos pueden tratar el contenido del WAL de forma diferente. Por ello, cuando es necesario, los registros relevantes se comparan directamente con las páginas de la base de datos, el contexto de la transacción y los archivos complementarios.

Antecedentes técnicos

En el registro por adelantado (Write-Ahead-Logging), los cambios se escriben primero en el WAL y, posteriormente, se transfieren al archivo principal mediante un punto de control. Quien abra la base de datos con herramientas estándar puede activar un punto de control y modificar el WAL. Los distintos analizadores sintácticos tratan las tramas del WAL de forma diferente; por ello, pueden faltar registros, aparecer por duplicado o asignarse a un momento incorrecto.

Pistas y fuentes de datos relevantes

  • La base de datos principal, el archivo «wal» y el archivo «shm» se han guardado como una unidad
  • Marcos WAL con valores de sal y marcas de confirmación
  • Páginas de la lista libre y área no asignada (registros eliminados)
  • Esquema de la tabla y formatos de marca de tiempo (por ejemplo, «Mac Absolute Time»)

¿Por qué LanCologne?

LanCologne no analiza los ordenadores de Apple siguiendo un esquema estándar genérico, sino basándose en la arquitectura concreta del hardware y de seguridad. Nuestros empleados cuentan con décadas de experiencia en tecnologías de la información y una dilatada trayectoria práctica en informática forense.

Así es como procedemos

  • Copia de seguridad de los archivos como grupo; análisis solo de las copias.
  • Comparar el resultado del análisis con el nivel de la página y el del marco.
  • Documentación que indica de qué fuente (archivo principal, trama WAL, área libre) procede un registro.

Fronteras

  • Una vez completado el punto de control y realizada la sobrescritura, las versiones anteriores ya no están disponibles.
  • No siempre es posible asignar una trama WAL a un momento concreto.

Posibles resultados

  • Conjuntos de datos validados con indicación de origen
  • Indicaciones sobre entradas eliminadas o modificadas

Ámbitos de aplicación habituales

•Peritajes judiciales y extrajudiciales
•Conservación de pruebas en iMac, Mac mini, Mac Studio, MacBook y Mac Pro
•Análisis de sistemas Apple Silicon, T2 y sistemas Intel más antiguos
•Respuesta ante incidentes e investigaciones sobre malware
•Análisis de artefactos APFS, de usuario, de aplicación y del sistema
•Reconstrucción de actividades relacionadas con archivos, usuarios y redes
•Verificación cruzada de los resultados de los analizadores sintácticos automáticos
•Análisis de rastros borrados, históricos o visibles únicamente de forma indirecta
•Documentación para tribunales, abogados, empresas y organismos públicos

¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?

Muchas aplicaciones de macOS almacenan información en SQLite. Una investigación rigurosa no solo tiene en cuenta la base de datos principal, sino también, en función de su estado, los archivos WAL y SHM, y distingue los registros activos de los fragmentos reconstruidos.

El valor forense no reside únicamente en la cantidad de datos encontrados, sino en su procedencia y fiabilidad. El nombre de un archivo, una marca de tiempo o una entrada en una base de datos pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo pudo haberse generado un artefacto, qué explicaciones alternativas existen y qué otras pruebas respaldan el hallazgo.

Los analizadores automáticos pueden tratar el contenido del WAL de forma diferente. Por ello, cuando es necesario, los registros relevantes se comparan directamente con las páginas de la base de datos, el contexto de la transacción y los archivos complementarios.

Además, precisamente en los Mac modernos, el intento de realizar un análisis „clásico“ del disco puede fracasar debido a limitaciones técnicas. El cifrado integrado en el hardware, Secure Enclave, FileVault y APFS dejan claro por qué es tan importante realizar una copia de seguridad adecuada antes del análisis propiamente dicho. Los errores cometidos en esta fase no siempre se pueden revertir posteriormente.

Preguntas frecuentes

¿Qué aspectos forenses hay que tener en cuenta al „validar manualmente los artefactos SQLite, WAL y SHM“?
Nuestra investigación no comienza con la ejecución de un programa de análisis, sino con la recopilación de pruebas. Se documentan el dispositivo, el modelo, el número de serie o de inventario, el estado de las conexiones, el estado visible del sistema y los periféricos disponibles. A continuación, se decide si el sistema debe permanecer apagado, si es conveniente realizar un análisis en tiempo real o si es técnicamente viable aplicar un procedimiento de recuperación, de disco de destino o de disco compartido. En el siguiente paso se define la estrategia de copia de seguridad. Para ello, distinguimos entre copia orientada a bloques, copia de seguridad lógica y selección selectiva. La elección no depende de la comodidad, sino de la generación del hardware, FileVault, la estructura APFS, el estado de desbloqueo disponible y la cuestión probatoria concreta. Siempre que sea técnicamente posible, se trabaja en modo de solo lectura. Los cambios de estado inevitables que se produzcan durante las medidas en tiempo real o de recuperación se registran expresamente. La copia de seguridad generada se documenta con valores hash. El análisis propiamente dicho no se realiza sobre el original, sino sobre una copia de trabajo o una imagen de prueba verificada. De este modo, se pueden emplear analizadores sintácticos, búsquedas o programas auxiliares propios sin alterar continuamente la prueba original. En casos complejos, optamos deliberadamente por no trabajar con un único software. RECON LAB o RECON ITR, Belkasoft X y X-Ways ofrecen diferentes perspectivas sobre el mismo conjunto de pruebas. Si un artefacto relevante no queda completamente cubierto por los analizadores estándar, complementamos la investigación con programas auxiliares y scripts desarrollados por nosotros mismos. Lo decisivo es siempre el vínculo con los datos brutos: un analizador sintáctico desarrollado por nosotros mismos solo tiene sentido desde el punto de vista forense si su resultado es reproducible y técnicamente verificable. Para un lector sin conocimientos especializados, hay un aspecto especialmente importante: un programa forense no „descubre“ automáticamente la verdad. Lee estructuras de datos y las interpreta según reglas conocidas. Si Apple modifica una base de datos o un formato de metadatos con una nueva versión de macOS, un analizador sintáctico puede responder de forma incompleta o errónea. Por eso, ante hallazgos decisivos, comprobamos de qué archivo, base de datos o estructura del sistema de archivos procede el resultado y si un segundo método técnico confirma los mismos hechos. Esa es también la razón por la que utilizamos varias herramientas. RECON LAB puede analizar estructuras específicas de Apple de forma nativa en macOS; Belkasoft X ofrece una perspectiva diferente de los artefactos y la correlación; X-Ways permite realizar análisis muy detallados del sistema de archivos y de los datos en bruto. Si los análisis independientes coinciden, la fiabilidad aumenta. Si no coinciden, se investiga la causa y no se selecciona simplemente el resultado más conveniente.
¿Cómo se lleva a cabo en la práctica una investigación forense de este tipo?
1. Recogida de pruebas y documentación del estado: En primer lugar, se identifica de forma inequívoca el dispositivo de Apple y se documenta mediante fotografías o por escrito. Se registra si está encendido o apagado, si ha iniciado sesión, si está bloqueado o si está conectado a soportes de datos externos. Esta información puede resultar decisiva más adelante. 2. Clasificación técnica: se determinan la generación del chip, la versión de macOS, la estructura APFS, FileVault y los mecanismos de seguridad relevantes. Solo a partir de ahí se determina el método de captura adecuado. 3. Copia de seguridad con garantía forense: la copia de seguridad se elige de tal forma que se modifique lo menos posible el original. RECON ITR puede utilizarse, según el caso, para la creación de imágenes o el triaje de Macs modernos. Otras situaciones requieren Apple Recovery, el modo de disco de destino (Target Disk Mode) en Intel o Share Disk en Apple Silicon. Se registra cada paso. 4. Comprobación de integridad: Las imágenes o copias de seguridad lógicas generadas se nombran de forma unívoca, se les asignan valores hash y se verifican. A continuación, el análisis y las búsquedas se realizan en copias de trabajo. 5. Evaluación en varias etapas: se combinan RECON LAB, Belkasoft X y X-Ways en función de la cuestión que se plantee. En la medida de lo posible, un resultado importante no se toma únicamente a partir de una única vista del analizador. 6. Validación manual: si un artefacto es especialmente relevante como prueba, inusual o solo es compatible de forma parcial con el software estándar, comprobamos manualmente los datos brutos, las estructuras de bases de datos, los metadatos o la información del sistema de archivos. Si es necesario, utilizamos herramientas propias. 7 Informe y referencia probatoria Al final, no nos limitamos a enumerar lo que ha mostrado una herramienta. Explicamos qué fuente técnica respalda el hallazgo, qué conclusión es admisible y dónde se encuentran los límites.
¿Qué valor probatorio forense tienen los resultados en este ámbito?
Muchas aplicaciones de macOS almacenan información en SQLite. Un análisis riguroso no solo tiene en cuenta la base de datos principal, sino también, según su estado, los archivos WAL y SHM, y distingue los registros activos de los fragmentos reconstruidos. El valor forense no reside únicamente en la cantidad de datos encontrados, sino en su procedencia y fiabilidad. Un nombre de archivo, una marca de tiempo o una entrada en la base de datos pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo pudo haberse generado un artefacto, qué explicaciones alternativas existen y qué otras pistas respaldan el hallazgo. Los analizadores automáticos pueden tratar el contenido de los archivos WAL de forma diferente. Por ello, cuando es necesario, los registros relevantes se comparan directamente con las páginas de la base de datos, el contexto de la transacción y los archivos complementarios. Además, especialmente en los Mac modernos, el intento de realizar un análisis „clásico“ del soporte de datos puede fracasar debido a limitaciones técnicas. El cifrado integrado en el hardware, Secure Enclave, FileVault y APFS dejan claro por qué es tan importante realizar una copia de seguridad adecuada antes del análisis propiamente dicho. Los errores cometidos en esta fase no siempre pueden revertirse posteriormente.
¿Se presentan las hipótesis como resultados contrastados en un estudio de este tipo?
No. Los resultados de los análisis técnicos solo se presentan en la medida en que estén respaldados por los datos realmente contrastados. Las hipótesis que no puedan demostrarse no se formulan como hallazgos contrastados.
¿Por qué no se puede abrir la base de datos sin más?
Porque al abrirlo se puede activar un punto de control y modificar el archivo WAL.
¿Se pueden encontrar los mensajes borrados en la WAL?
A veces, cuando aún no se han sobrescrito las versiones anteriores de la página.
¿Esto solo se aplica a macOS?
No, las aplicaciones de iOS, Android y Windows también utilizan SQLite con WAL.

Temas relacionados

LanCologne – Análisis forense de macOS en Colonia

¿Necesita un análisis profesional sobre la „validación manual de artefactos SQLite, WAL y SHM“? LanCologne le ayuda a realizar copias de seguridad con valor probatorio, un análisis en varias fases y una documentación trazable. Lo fundamental no es generar el mayor número posible de resultados automáticos, sino obtener pruebas técnicamente sólidas y verificables.

Ponte en contacto con nosotros ahora