INVESTIGACIÓN FORENSE DE DISPOSITIVOS MÓVILES

Encargar un análisis profesional de los metadatos digitales

PREGUNTAS TÍPICAS

¿Cuándo es necesario realizar este análisis?

• ✔¿Pertenece técnicamente un mensaje al chat que se muestra?

• ✔¿Está vinculado un archivo multimedia a un registro de noticias concreto?

• ✔¿Qué fechas y horas se han registrado en relación con la creación, el envío, la recepción o el cambio de estado?

• ✔¿Existen relaciones en la base de datos que confirmen o maticen esa captura de pantalla?

• ✔¿Se pueden explicar las lagunas por el borrado, la sincronización, la migración de datos o el comportamiento de las aplicaciones?

• ✔¿Se pueden comparar los ID de los mensajes o las referencias a los hilos con otros dispositivos o copias de seguridad?

La generación automática de herramientas no debe equipararse a una evaluación definitiva. Los esquemas de las bases de datos y los significados de los campos pueden variar entre las distintas versiones de la aplicación. Por ello, la comprobación manual, la validación y la interpretación documentada son imprescindibles.

El sistema de archivos no solo gestiona el contenido de un archivo, sino también características técnicas como el nombre, la ruta, el tamaño, los atributos y diversos valores temporales. Dependiendo del sistema operativo y del sistema de archivos, puede haber más información disponible. Estos datos ayudan a analizar la ubicación de un archivo, los posibles procesos de copia y su relación con una aplicación.

Sin embargo, las fechas del sistema de archivos no deben equipararse a la fecha de creación del contenido. Si se exporta una foto desde una aplicación de mensajería, el nuevo archivo puede tener una fecha de creación posterior, aunque la imagen en sí sea más antigua. Por el contrario, al restaurar desde una copia de seguridad, en algunos casos pueden conservarse los valores de fecha originales. Por lo tanto, la clasificación correcta depende de la vía concreta de almacenamiento y transmisión.

La información de ubicación puede aparecer directamente en archivos multimedia, en bases de datos de aplicaciones, en datos de mapas o de navegación, en referencias WLAN o en otros artefactos del sistema. Las coordenadas GPS de una imagen son solo una de las posibles fuentes. Otros elementos del sistema pueden reflejar ubicaciones, movimientos, búsquedas de rutas, posiciones guardadas o referencias de red.

Los datos de ubicación requieren especial precaución. Una ubicación almacenada puede referirse a la ubicación del dispositivo, al destino de una búsqueda, al lugar donde se ha grabado un archivo o, simplemente, a una posición deducida a partir de otros datos. También deben comprobarse la precisión, el método de medición y la referencia temporal. Por lo tanto, un valor de ubicación aislado nunca debe presentarse como prueba de presencia sin su contexto.

Otros rastros relevantes se refieren al dispositivo y a las aplicaciones instaladas. Entre ellos pueden figurar información sobre el modelo y el sistema, identificadores de paquetes de aplicaciones, referencias de instalación o Update, permisos, identificadores de cuenta, estado de sincronización e información de copias de seguridad. Estos datos ayudan, por ejemplo, a comprobar si una aplicación concreta estaba presente durante el periodo en cuestión o si los datos podrían haberse sincronizado a través de varios dispositivos y servicios en la nube.

Esta información también debe contextualizarse en el tiempo. El estado actual de la instalación no demuestra necesariamente que una aplicación se haya utilizado de forma activa en un momento anterior. Por el contrario, pueden conservarse restos de una aplicación instalada anteriormente, aunque se haya eliminado posteriormente.

Muchas aplicaciones móviles almacenan datos en bases de datos SQLite. Además de los datos de usuario visibles, estas bases de datos suelen contener campos técnicos, identificadores, valores de estado y relaciones entre tablas. En el modo WAL, pueden existir páginas adicionales o que aún no se hayan transferido a la base de datos principal en un archivo WAL asociado. El archivo SHM permite gestionar el funcionamiento del WAL.

Para realizar un análisis adecuado, se deben realizar copias de seguridad y documentar conjuntamente la base de datos principal, el WAL y el SHM, siempre que estén disponibles. No obstante, hay que tener en cuenta que no todos los registros que se encuentran en un archivo WAL se consideran automáticamente eliminados, antiguos o relevantes a efectos probatorios. Es necesario evaluar desde un punto de vista técnico su posición, transacción, asignación de páginas y el estado de la base de datos.

Los metadatos pueden poner de manifiesto contradicciones. Por ejemplo, una foto que supuestamente se ha tomado directamente con un smartphone puede contener datos del software que indiquen un procesamiento posterior. Una captura de pantalla de un chat puede no coincidir, ya sea en el tiempo o en su estructura, con las entradas existentes en la base de datos. Un archivo puede haberse creado en el sistema de archivos en un momento distinto al de la fecha de captura que figura en él.

Sin embargo, estas discrepancias son, en un primer momento, solo indicios que deben investigarse. También pueden deberse a procesos legítimos, como la exportación, la sincronización en la nube, el reenvío, la edición, el cambio de huso horario o la restauración a partir de una copia de seguridad. Por lo tanto, una investigación rigurosa distingue entre:

• ✔una desviación detectada técnicamente,

• ✔una explicación técnica plausible,

• ✔un indicio fehaciente de modificación posterior y

• ✔un acto de manipulación que se pueda demostrar efectivamente.

Neutralidad forense: el objetivo de la investigación no debe consistir en confirmar una afirmación concreta. Lo determinante son las pruebas objetivas existentes y las conclusiones razonables que de ellas se puedan extraer.

Precisa la pregunta: ¿Qué afirmación se debe comprobar desde el punto de vista técnico?

Documentar las pruebas: se registran el dispositivo, su estado, las características identificativas y la entrega.

Copia de seguridad forense de datos: el método de copia de seguridad adecuado se elige en función del dispositivo y del encargo.

Documentar la integridad: los archivos y las exportaciones se protegen —siempre que sea pertinente— con valores hash y copias de trabajo trazables.

Identificar fuentes relevantes: se delimitan los medios de comunicación, las bases de datos, el sistema de archivos, los registros, los artefactos de la nube y de las aplicaciones.

Comprobación de formatos y significados: se validan el formato de hora, la zona horaria, el campo de la base de datos y la semántica técnica.

Correlación de metadatos: las pistas individuales se cotejan con fuentes independientes.

Analizar posibles explicaciones alternativas: se tienen en cuenta la sincronización, la exportación, la migración, las copias de seguridad y el comportamiento del software.

Documentar los resultados de forma reproducible: se registran los pasos del proceso, las herramientas, las versiones, las consultas y las limitaciones.

Diferenciar entre los resultados y la valoración: se distingue claramente entre la constatación técnica y la conclusión pericial.

• ✔Una marca de tiempo aislada se denomina „fecha de creación“ sin que se haya realizado ninguna comprobación.

• ✔Se confunden la hora UTC, la hora local y el horario de verano.

• ✔La hora del sistema de archivos y la hora de grabación del contenido se consideran equivalentes.

• ✔La falta de datos EXIF se interpreta automáticamente como un indicio de manipulación.

• ✔Los datos del GPS se presentan como prueba de presencia sin comprobar su veracidad.

• ✔Los resultados de las herramientas analizados automáticamente se aceptan sin necesidad de validación manual.

• ✔No se tienen en cuenta las versiones de las aplicaciones ni los distintos esquemas de bases de datos.

• ✔Una copia o una exportación se trata igual que el archivo original.

• ✔Las contradicciones no se comparan con posibles procesos de sincronización o de copia de seguridad.

• ✔La ausencia de rastros se interpreta como prueba de que un hecho no ha tenido lugar.

Los metadatos pueden eliminarse, modificarse, sobrescribirse o volver a generarse mediante procesos normales del sistema. Algunas aplicaciones almacenan muy poca información; otras utilizan estructuras de datos cifradas o propias. Los sistemas operativos modernos restringen el acceso a determinadas áreas. Además, las manipulaciones sofisticadas o los errores de software desconocidos pueden dificultar el análisis.

Por lo tanto, un análisis riguroso no promete poder reconstruir cada proceso sin lugar a dudas. Más bien describe qué fuentes de datos se utilizaron, qué métodos se aplicaron, qué resultados son reproducibles y dónde persisten las incertidumbres técnicas.

• ✔Verificación de la autenticidad o la datación de fotografías y vídeos,

• ✔Investigación sobre las supuestas manipulaciones en los chats,

• ✔Reconstrucción de los procesos de comunicación y de los sucesos,

• ✔Comprobación del origen de los archivos, su exportación o edición,

• ✔Análisis de las relaciones entre la ubicación y el movimiento,

• ✔investigaciones internas y respuesta ante incidentes,

• ✔Elaboración de un informe pericial privado o judicial,

• ✔Comprobación de la verosimilitud de las pruebas digitales.