Informática forense · macOS

Comprobar los datos borrados de un Mac con X-Ways Forensics

X-Ways Forensics está especializado en el análisis de sistemas de archivos a bajo nivel, archivos borrados, resultados de búsqueda y datos sin referencias regulares. Sin embargo, en el caso de APFS en SSD, las funciones «Copy-on-Write», el cifrado y TRIM limitan la posibilidad de recuperación.

Solicitar información sin compromiso

En el caso de los ordenadores Apple, este aspecto es especialmente importante, ya que la arquitectura de hardware y de seguridad ha cambiado considerablemente en los últimos años. No se puede tratar de la misma manera un iMac antiguo con procesador Intel, un Mac con procesador Intel y chip de seguridad T2 y un Mac Studio actual con Apple Silicon. APFS, Secure Enclave, FileVault y el estado del sistema en cada caso determinan a qué datos se puede acceder y qué método de copia de seguridad provoca menos cambios.

No garantizamos la recuperación de datos por el mero hecho de que se haya eliminado una entrada de archivo. Las condiciones técnicas del soporte de datos concreto determinan si los bloques de datos siguen existiendo.

¿Por qué LanCologne?

LanCologne no analiza los ordenadores de Apple siguiendo un esquema estándar genérico, sino basándose en la arquitectura concreta del hardware y de seguridad. Nuestros empleados cuentan con décadas de experiencia en tecnologías de la información y una dilatada trayectoria práctica en informática forense. Prestamos apoyo a empresas, abogados y particulares, así como, de forma habitual, a tribunales y organismos públicos, en la investigación técnica de hechos de carácter digital.

El análisis se lleva a cabo, por regla general, sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y con garantías probatorias. La prueba original se conserva sin modificaciones o, en caso de que se realicen intervenciones técnicamente inevitables, se documentan de forma transparente y se conservan con garantías probatorias.

Nuestra forma de trabajar y las herramientas que utilizamos

Nuestra investigación no comienza con la ejecución de un programa de análisis, sino con la recopilación de pruebas. Se documentan el dispositivo, el modelo, el número de serie o de inventario, el estado de las conexiones, el estado visible del sistema y los periféricos disponibles. A continuación, se decide si el sistema debe permanecer apagado, si conviene realizar un análisis en tiempo real o si es técnicamente viable aplicar un procedimiento de recuperación, de disco de destino o de disco compartido.

En el siguiente paso se define la estrategia de copia de seguridad. Para ello, distinguimos entre la representación orientada a bloques, la copia de seguridad lógica y la selección selectiva. La elección no depende de la comodidad, sino de la generación del hardware, FileVault, la estructura APFS, el estado de desbloqueo disponible y la cuestión concreta que se quiera demostrar. Siempre que sea técnicamente posible, se trabaja en modo de solo lectura. Los cambios de estado inevitables que se produzcan durante las medidas en tiempo real o de recuperación se registran expresamente.

La copia de seguridad generada se documenta mediante valores hash. El análisis propiamente dicho no se realiza sobre el original, sino sobre una copia de trabajo o una imagen de prueba verificada. De este modo, es posible utilizar analizadores sintácticos, búsquedas o programas auxiliares propios sin modificar continuamente la prueba original.

Utilizamos X-Ways Forensics, en particular, para realizar análisis detallados del sistema de archivos y a bajo nivel. X-Ways es compatible con APFS y HFS/HFS+, imágenes E01, copias de seguridad lógicas y funciones documentadas de auditoría y protección contra escritura. Además, a través de la API de X-Tensions se pueden añadir análisis especializados. Si es necesario, los resultados específicos de Mac se verifican adicionalmente con una solución nativa de macOS.

Para un lector sin conocimientos especializados, hay un aspecto especialmente importante: un programa forense no „descubre“ automáticamente la verdad. Lee estructuras de datos y las interpreta según reglas conocidas. Si Apple modifica una base de datos o un formato de metadatos con una nueva versión de macOS, un analizador sintáctico puede reaccionar de forma incompleta o errónea. Por eso, ante hallazgos decisivos, comprobamos de qué archivo, base de datos o estructura del sistema de archivos procede el resultado y si un segundo método técnico confirma los mismos hechos.

Esa es también la razón por la que utilizamos varias herramientas. RECON LAB puede analizar estructuras específicas de Apple de forma nativa en macOS; Belkasoft X ofrece otra perspectiva de los artefactos y las correlaciones; X-Ways permite realizar comprobaciones muy detalladas del sistema de archivos y de los datos en bruto. Si los análisis independientes coinciden, la fiabilidad aumenta. Si no coinciden, se investiga la causa y no se selecciona simplemente el resultado más conveniente.

Ámbitos de aplicación habituales

•Peritajes judiciales y extrajudiciales
•Conservación de pruebas en iMac, Mac mini, Mac Studio, MacBook y Mac Pro
•Análisis de sistemas Apple Silicon, T2 y sistemas Intel más antiguos
•Respuesta ante incidentes e investigaciones sobre malware
•Análisis de artefactos APFS, de usuario, de aplicación y del sistema
•Reconstrucción de actividades relacionadas con archivos, usuarios y redes
•Verificación cruzada de los resultados de los analizadores sintácticos automáticos
•Análisis de rastros borrados, históricos o visibles únicamente de forma indirecta
•Documentación para tribunales, abogados, empresas y organismos públicos

Así es como se lleva a cabo la investigación forense

1Recopilación de pruebas y documentación del estado

En primer lugar, se identifica de forma inequívoca el dispositivo de Apple y se documenta mediante fotografías o por escrito. Anotamos si está encendido o apagado, si ha iniciado sesión, si está bloqueado o si está conectado a soportes de datos externos. Esta información puede resultar decisiva más adelante.

2Clasificación técnica

Se determinan la generación del chip, la versión de macOS, la estructura APFS, FileVault y los mecanismos de seguridad pertinentes. Solo a partir de ahí se puede determinar el método de registro adecuado.

3Almacenamiento con garantía de conservación de pruebas

La copia de seguridad se selecciona de tal forma que se modifique lo menos posible el original. RECON ITR puede utilizarse, según el caso, para la creación de imágenes o la clasificación de Mac modernos. Otras situaciones requieren Apple Recovery, el modo de disco de destino en Intel o Share Disk en Apple Silicon. Se registra cada paso.

4Comprobación de integridad

Las imágenes creadas o las copias de seguridad lógicas se nombran de forma unívoca, se les asignan valores hash y se verifican. A continuación, los análisis y las búsquedas se realizan en copias de trabajo.

5Análisis en varias etapas

RECON LAB, Belkasoft X y X-Ways se combinan en función de la cuestión que se plantee. En la medida de lo posible, un resultado importante no se toma únicamente de una única vista del analizador sintáctico.

6Validación manual

Si un artefacto reviste especial importancia como prueba, es inusual o el software estándar solo lo admite de forma parcial, revisamos manualmente los datos brutos, las estructuras de las bases de datos, los metadatos o la información del sistema de archivos. En caso necesario, utilizamos herramientas propias.

7Informe y referencia a las pruebas

Al final, no solo se enumera lo que ha mostrado una herramienta. Explicamos cuál es la fuente técnica en la que se basa el resultado, qué conclusión se puede extraer y cuáles son sus límites.

¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?

X-Ways Forensics está especializado en el análisis de sistemas de archivos a bajo nivel, archivos borrados, resultados de búsqueda y datos sin referencias regulares. Sin embargo, en el caso de APFS en SSD, las funciones «Copy-on-Write», el cifrado y TRIM limitan la posibilidad de recuperación.

El valor forense no reside únicamente en la cantidad de datos encontrados, sino en su procedencia y fiabilidad. El nombre de un archivo, una marca de tiempo o una entrada en una base de datos pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo pudo haberse generado un artefacto, qué explicaciones alternativas existen y qué otras pruebas respaldan el hallazgo.

No garantizamos la recuperación de datos por el mero hecho de que se haya eliminado una entrada de archivo. Las condiciones técnicas del soporte de datos concreto determinan si los bloques de datos siguen existiendo.

Además, precisamente en los Mac modernos, el intento de realizar un análisis „clásico“ del disco puede fracasar debido a limitaciones técnicas. El cifrado integrado en el hardware, Secure Enclave, FileVault y APFS dejan claro por qué es tan importante realizar una copia de seguridad adecuada antes del análisis propiamente dicho. Los errores cometidos en esta fase no siempre se pueden revertir posteriormente.

Preguntas frecuentes

¿Qué aspectos forenses hay que tener en cuenta al „analizar datos borrados de un Mac con X-Ways Forensics“?
Nuestra investigación no comienza con la ejecución de un programa de análisis, sino con la recopilación de pruebas. Se documentan el dispositivo, el modelo, el número de serie o de inventario, el estado de las conexiones, el estado visible del sistema y los periféricos disponibles. A continuación, se decide si el sistema debe permanecer apagado, si es conveniente realizar un análisis en tiempo real o si es técnicamente viable aplicar un procedimiento de recuperación, de disco de destino o de disco compartido. En el siguiente paso se define la estrategia de copia de seguridad. Para ello, distinguimos entre copia orientada a bloques, copia de seguridad lógica y selección selectiva. La elección no depende de la comodidad, sino de la generación del hardware, FileVault, la estructura APFS, el estado de desbloqueo disponible y la cuestión probatoria concreta. Siempre que sea técnicamente posible, se trabaja en modo de solo lectura. Los cambios de estado inevitables que se produzcan durante las medidas en tiempo real o de recuperación se registran expresamente. La copia de seguridad generada se documenta con valores hash. El análisis propiamente dicho no se realiza sobre el original, sino sobre una copia de trabajo o una imagen forense verificada. De este modo, se pueden emplear analizadores sintácticos, búsquedas o programas auxiliares propios sin alterar continuamente la prueba original. Utilizamos X-Ways Forensics, en particular, para inspecciones detalladas del sistema de archivos y de bajo nivel. X-Ways es compatible con APFS y HFS/HFS+, imágenes E01, copias de seguridad lógicas y funciones documentadas de auditoría y protección contra escritura. Además, a través de la API de X-Tensions se pueden añadir análisis especializados. Si es necesario, los resultados específicos de Mac se verifican adicionalmente con una solución nativa de macOS. Para un lector sin conocimientos técnicos, hay un aspecto especialmente importante: un programa forense no „descubre“ automáticamente la verdad. Lee estructuras de datos y las interpreta según reglas conocidas. Si Apple modifica una base de datos o un formato de metadatos con una nueva versión de macOS, un analizador sintáctico puede reaccionar de forma incompleta o errónea. Por eso, ante hallazgos decisivos, comprobamos de qué archivo, base de datos o estructura del sistema de archivos procede el resultado y si un segundo método técnico confirma los mismos hechos. Esa es también la razón por la que utilizamos varias herramientas. RECON LAB puede analizar estructuras específicas de Apple de forma nativa en macOS; Belkasoft X ofrece una perspectiva diferente de los artefactos y la correlación; X-Ways permite realizar análisis muy detallados del sistema de archivos y de los datos en bruto. Si los análisis independientes coinciden, la fiabilidad aumenta. Si no coinciden, se investiga la causa y no se selecciona simplemente el resultado más conveniente.
¿Cómo se lleva a cabo en la práctica una investigación forense de este tipo?
1. Recogida de pruebas y documentación del estado: En primer lugar, se identifica de forma inequívoca el dispositivo de Apple y se documenta mediante fotografías o por escrito. Se registra si está encendido o apagado, si ha iniciado sesión, si está bloqueado o si está conectado a soportes de datos externos. Esta información puede resultar decisiva más adelante. 2. Clasificación técnica: se determinan la generación del chip, la versión de macOS, la estructura APFS, FileVault y los mecanismos de seguridad relevantes. Solo a partir de ahí se determina el método de captura adecuado. 3. Copia de seguridad con garantía forense: la copia de seguridad se elige de tal forma que se modifique lo menos posible el original. RECON ITR puede utilizarse, según el caso, para la creación de imágenes o el triaje de Macs modernos. Otras situaciones requieren Apple Recovery, el modo de disco de destino (Target Disk Mode) en Intel o Share Disk en Apple Silicon. Se registra cada paso. 4. Comprobación de integridad: Las imágenes o copias de seguridad lógicas generadas se nombran de forma unívoca, se les asignan valores hash y se verifican. A continuación, el análisis y las búsquedas se realizan en copias de trabajo. 5. Evaluación en varias etapas: se combinan RECON LAB, Belkasoft X y X-Ways en función de la cuestión que se plantee. En la medida de lo posible, un resultado importante no se toma únicamente a partir de una única vista del analizador. 6. Validación manual: si un artefacto es especialmente relevante como prueba, inusual o solo es compatible de forma parcial con el software estándar, comprobamos manualmente los datos brutos, las estructuras de bases de datos, los metadatos o la información del sistema de archivos. Si es necesario, utilizamos herramientas propias. 7 Informe y referencia probatoria Al final, no nos limitamos a enumerar lo que ha mostrado una herramienta. Explicamos qué fuente técnica respalda el hallazgo, qué conclusión es admisible y dónde se encuentran los límites.
¿Qué valor probatorio forense tienen los resultados en este ámbito?
X-Ways Forensics está especializado en el análisis de sistemas de archivos a bajo nivel, archivos borrados, resultados de búsqueda y datos sin referencias regulares. Sin embargo, en el caso de APFS en SSD, las técnicas de „copy-on-write“, el cifrado y TRIM limitan la capacidad de recuperación. El valor forense no reside únicamente en la cantidad de datos encontrados, sino en su origen y fiabilidad. Un nombre de archivo, una marca de tiempo o una entrada en una base de datos pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo pudo haberse generado un artefacto, qué explicaciones alternativas existen y qué otras pistas respaldan el hallazgo. No prometemos la recuperación de datos solo porque se haya borrado una entrada de archivo. Las condiciones técnicas del soporte de datos concreto determinan si los bloques de datos aún existen. Además, especialmente en los Mac modernos, el intento de realizar un análisis «clásico» del soporte de datos puede fracasar debido a limitaciones técnicas. El cifrado integrado en el hardware, Secure Enclave, FileVault y APFS dejan claro por qué es tan importante realizar una copia de seguridad adecuada antes del análisis propiamente dicho. Los errores cometidos en esta fase no siempre pueden revertirse posteriormente.
¿Se presentan las hipótesis como resultados contrastados en un estudio de este tipo?
No. Los resultados de los análisis técnicos solo se presentan en la medida en que estén respaldados por los datos realmente contrastados. Las hipótesis que no puedan demostrarse no se formulan como hallazgos contrastados.

LanCologne – Análisis forense de macOS en Colonia

¿Necesita un análisis profesional sobre „Cómo examinar datos borrados de un Mac con X-Ways Forensics“? LanCologne le ayuda a realizar copias de seguridad que cumplan con los requisitos probatorios, un análisis en varias fases y una documentación trazable. Lo fundamental no es generar el mayor número posible de resultados automáticos, sino obtener pruebas técnicamente sólidas y verificables.

Ponte en contacto con nosotros ahora