/Introducción informática forense

Transcripción

1

2 Índice Introducción Objetivo Etapas previas Adquisición de las pruebas digitales Análisis de la prueba digital Herramientas: Cellebrite y comparativa Informe pericial Preguntas?

3 /Introducción La informática forense es la ciencia forense que se encarga de asegurar, identificar, preservar, analizar y presentar la prueba digital, de manera que ésta sea aceptada en un proceso judicial. El ámbito de actuación de la informática forense es muy diverso, como por ejemplo: Persecución criminal. Litigación civil. Investigación de seguros. Temas corporativos. Finalidad preventiva. Data recovery. Network forensics.

4 /Objetivo Se pretende mostrar cómo realizar un análisis forense de un dispositivo móvil de la marca Nokia serie 40 (concretamente el modelo 2630 con placa base RM-298), mediante un volcado de la memoria flash en hexadecimal y su posterior análisis. Este análisis será el resultado de aplicar métodos científicos al dispositivo móvil con el fin de asegurar, identificar, preservar, analizar y presentar la prueba digital, de manera que ésta sea aceptada en un proceso judicial.

5 /Etapas previas!!! A I D Aseguramiento de la escena del sucesoto S U Esta etapa de la metodología del análisis forense consiste, C básicamente, en asegurar la escena del suceso, restringiendo su E acceso para que nadie D la pueda alterar. Aprueba digital Identificación N de la E Se denomina así al proceso de identificación y localización de las D A pruebas que se deben recoger para ser analizadas C posteriormente. Antes de comenzar la tarea del mero análisis e informe pericial, hay que tener en consideración las primeras etapas del análisis forense:

6 /Adquisición de las pruebas digitales Este apartado es el más crítico de toda la secuencia, ya que un error en este punto podría llegar a invalidar una prueba en el tribunal. En esta fase trataremos de: Documentar e identificar el teléfono móvil. Aislar la señal de radiofrecuencia, en caso que el terminal estuviera en funcionamiento. Seleccionar la herramienta o técnica de extracción de la evidencia digital. Realizar la extracción, preservando la integridad de la evidencia digital.

7 /Adquisición / Flashing a phone "Flashing a phone" se basa en la utilización de cajas (box) desarrolladas para desbloquear y reprogramar el teléfono, añadiendo métodos forenses, con el fin de obtener una extracción de la memoria flash del teléfono móvil en un fichero hexadecimal, tanto para realizar un análisis lógico como físico. En nuestro caso utilizaremos una Box Tornado UFS-3 :

8 /Adquisición / Flashing a phone Cuando usar esta técnica: El terminal está averiado y no es posible su lectura con las herramientas tradicionales (software propietario de la marca del terminal, soluciones software muy conocidas como MobilED! o dispositivos como Cellebrite UFED). El terminal no dispone de SIM (no smartphone!). El terminal ha perdido su batería y no se puede, ni se debe conectar. El terminal está protegido por una contraseña que no nos permite ponerlo en marcha. No existe ningún software de interpretación existente que proporcione los datos que se necesitan.

9 /Adquisición / Flashing a phone Primer paso, recolección de información del terminal Marca Nokia Corporation Modelo 2630 Tipo de placa RM-298 IMEI: /01/ /2

10 /Adquisición / Flashing a phone Terminal de la Serie 40 de Nokia versión 3 (esta serie tiene 6 versiones)

11 /Adquisición / Flashing a phone Pinout Término anglosajón de traducción libre, que significa "asignación de patillaje", es usado en electrónica para determinar la función de cada pin en un circuito integrado, o bien en un dispositivo electrónico discreto, describiendo el propósito de cada pin o patilla. La siguiente información que necesitamos para acceder al teléfono móvil, es conocer las conexiones que permite el modelo de placa RM-298 que dispone el terminal.

12 /Adquisición / Flashing a phone/pinout RX: Data receive, conexión para recibir datos. GND: Ground, conexión a tierra. Mbus: Data exchange protocol (half duplex). Método de comunicación de teléfonos móviles de Nokia para la transmisión de datos, el servicio y ajustes. Con Mbus es posible realizar una interfaz con casi todos los teléfonos móviles de Nokia para el servicio y con fines de ajuste. TX: Data send, conexión para enviar datos. VPP: Programming power supply, Programación de la fuente de alimentación. BSI: Information about Battery Size Indicator, indicador de batería. GND: Ground, conexión a tierra. Vbat +: Positive battery terminal. Para alimentar el sistema.

13 /Adquisición / Flashing a phone/pinout Realización de un circuito para conectar el terminal a una box: 1ª parte, preparar un RJ45 2º montar el circuito en una placa protoboard 3º conectar el circuito a los conectores del terminal

14 /Adquisición / Flashing a phone/pinout 1ª parte, preparar un RJ45 Tomamos un típico cable de red ethernet y desmontamos los extremos de cables de par trenzado. Como podemos ver en el diagrama anterior, tenemos 8 cables de diferentes colores. Una buena práctica es etiquetar los cables, o por orden (PIN1, PIN2, etc.), o por destino (VBAT +, RX, etc.).

15 /Adquisición / Flashing a phone/pinout Resistencia R1. Resistencia 2ª parte, prepararr2. el circuito en una placa protoboard Para poder llegar a losuna 68k,resistencia disponemos resistencias serie de los valores Usamos de cuatro 5100 (verde, marrónen y rojo) (rojo, rojo, naranja) (rojo, rojo, naranja) (rojo, rojo, naranja) (rojo, rojo, rojo). Debe conectarse al conector pin3 (white) del conector RJ45 Debe conectarse al conector GND del teléfono móvil Debe conectarse al conector BSI del teléfono móvil

16 /Adquisición / Flashing a phone/pinout Las resistencias llevan grabadas sobre su cuerpo unas bandas de color que nos permiten identificar el valor óhmico que tienen. Recordemos la tabla de colores de las resistencias:

17 /Adquisición / Flashing a phone/pinout Ejemplo con la R2 : Tolerancia +/- 5

18 /Adquisición / Flashing a phone/pinout 3ª parte. Conectar el circuito a los conectores del terminal Para poder realizar las conexiones al teléfono móvil, soldaremos un material conductor (estanque o cable) en los pins RX, TX, Mbus y VPP, tal y como se muestra en la siguiente imagen:

19 /Adquisición / Flashing a phone/pinout Resumen de las conexiones a realizar: Origen Destino RJ45 Pin1 RJ45 Pin2 RJ45 Pin3 RJ45 Pin4 RJ45 Pin5 RJ45 Pin6 RJ45 Pin7 RJ45 Pin8 Terminal Vbat+ Sin conexión placa protoboard, izquierda R2 Terminal TX Terminal RX Terminal MBus Terminal GND o conexión a tierra. Terminal VPP( RX2 en el diagrama) Terminal BSI placa protoboard, derecha de R1 Terminal GND o placa protoboard, izquierda de R1 conexión tierra

20 /Adquisición / Flashing a phone/pinout Finalmente:

21 /Adquisición / Flashing a phone Obtener el DUMP:

22 /Adquisición / Flashing a phone Obtener el DUMP:

23 /Adquisición / Flashing a phone Obtener el DUMP:

24 /Análisis de la prueba digital La interpretación o análisis de este vertido no es una tarea sencilla y depende del fabricante del terminal de telefonía. Por tanto, lo primero que debemos realizar es ampliar la búsqueda de información sobre el terminal, incluso con la web de los fabricantes. El dump se encuentra en formato hexadecimal, donde la información se estructura en tres items básicos, Key, Sub-Key y Data:

25 /Análisis de la prueba digital Técnica utilizada ingeniería inversa! - Tener un terminal idéntico. - Realizar un dump del terminal sin información almacenada, y otros vaciados donde hemos introducido datos en el terminal. - Realizar una comparación de los dump para encontrar los cambios que se producen en la información contenida en el campo Data anteriormente descrito, y poder ubicar de esta manera en qué Keys y Sub-Keys se guarda la información que hemos introducido previamente en el terminal. - Podemos utilizar notepad++, Kdiff3, WinMerge, etc.

26 /Análisis de la prueba digital Código de Seguridad del Teléfono Móvil Nokia serie 40 Versión 3 Key 308 Sub-Key 5

27 /Análisis de la prueba digital Tarjetas SIM introducidas Última SIM insertada en el teléfono móvil -> Key 117, Sub-Key 5 (ICC-ID) y 6 (IMSI). ICC-ID (Integrated Circuit Card ID) es un número de serie que identifica aspectos tales como el chip, el código del país y el operador de telefonía móvil. Este número está almacenado en la tarjeta SIM, así como grabado o impreso en el cuerpo de plástico de la misma. Está formado por una serie de dígitos. IMSI (International Mobile Subscriber Identity) es un número de la identidad internacional de un abonado inscrito en una tarjeta SIM. Las tarjetas SIM se identifican en sus redes móviles individuales mediante un IMSI único. Los operadores de telefonía móvil conectan las llamadas a teléfonos móviles y se comunican con sus tarjetas SIM comercializadas usando su IMSI.

28 /Análisis de la prueba digital Tarjetas SIM introducidas Última SIM insertada en el teléfono móvil -> Key 117, Sub-Key 5 (ICC-ID) y 6 (IMSI). ICC-ID IMSI

29 /Análisis de la prueba digital Tarjetas SIM introducidas Técnica "reverse-nibble": alteración del orden de los caracteres o semioctetos ICC-ID = IMSI =

30 /Análisis de la prueba digital Histórico de las tarjetas SIM introducidas Key 66 y buscar las Sub-Keys donde el valor empiece por 98 [66] 88= F F F7FFFFFFFFFFFFFFFFFFFF F F7 88= F F F7FFFFFFFFFFFFFFFFFFFF F F7

31 /Análisis de la prueba digital Lista de contactos [Key 58] 7 contactos!

32 /Análisis de la prueba digital Lista de contactos [Key 58] [SubKey 0] 0= F000A0B = F000A0B indica núm. de registros que tenemos (metadatos/datos) Los 4 primeros caracteres indican la longitud de los datos (0004 indica que tiene un tamaño de 4 bytes, o en nuestro caso 8 caracteres semioctetos). El resto de caracteres hacen referencia al tipo de datos (nombre, apellidos o teléfono) F Estos 4 bytes son la primera información que tenemos, y si sacamos los 00 y lo ponemos en un convertidor de hexadecimal a ascii obtenemos "Yo" (nombre del contacto). 000A0B03 Los 4 primeros caracteres indican la longitud de los datos (000A indica que tiene un tamaño de 10 bytes, o en nuestro caso 20 caracteres semioctetos). El resto de caracteres hacen referencia al tipo de datos (nombre, apellidos o teléfono) Este campo guarda el número de teléfono del contacto, el cual es

33 /Análisis de la prueba digital Lista de contactos [Key 58]

34 /Análisis de la prueba digital Lista de llamadas / Llamadas realizadas [Key 59] 0=03000A0B AA DD030C0A0B1B =03000A0B AA DD030C0A0B1 B B01 0B[número de teléfono] / 01[número de registro] AA AA2296[número de teléfono] [fecha y hora de la llamada] / 02[número de registro] 07DD030C0A0B1B01 12/03/ :11:27 07DD030C 07DD (año 2013) 03 (mes 3) 0C (día 12) 0A0B1B01 0A (hora 10) 0B (min. 11) 1B (seg. 27) [duración de la llamada] / 03[número de registro] segundos (no tener en cuenta 02 final)

35 /Análisis de la prueba digital Lista de llamadas Codificación de tipos de datos: 0B01 número de teléfono 1302 fecha y hora de la llamada (pueden ser varios registros) 4403 duración de la llamada 0704 nombre del contacto si esta en la agenda Codificación de tipos de datos: Llamadas realizadas [Key 59] Llamadas perdidas [Key 60] Llamadas recibidas [Key 61]

36 /Análisis de la prueba digital Notas en el calendario [Key 51] 0= D8051B BC FBFFFFFFFFFFFF F = D8051B BC FBFFFFFFFFFFFF F D8051B D8 (año 2008) 05 (mes 5) 1B (día 27) F Curso abp

37 /Análisis de la prueba digital Configuración bluetooth [Key 202] SubKey 4 Nombre del terminal 4= F A Pasar valor hexadecimal a ASCI Fouz dev SubKey 5 Conexiones guardadas F F Pasar valor hexadecimal a ASCI Ford Audio

38 /Análisis de la prueba digital Lista de mensajes SMS - OS s40 [Key 140] mensajes SMS, el mensaje codificado en PDU (Protocol Data Unit) [Key 143] Status del SMS [143] 1= = leído 02 = carpeta de entrada (inbox) 03 = enviado 04 = carpeta borrador (saved) 05 = carpeta enviado 07 = No enviado mensaje leído (01) y ubicado en la carpeta de entrada (02)

39 /Análisis de la prueba digital Lista de mensajes SMS - OS s40 [140] 1=02025B C C01080B F48 20C F580241E22D337FB0DA29741F17A599E0E83C FD9E 83C4F5B2FB3D0791D Dos partes diferenciadas, cabecera (98 caracteres) + mensaje codificado: 02025B C C01080 B F4820C F580241E22D337F B0DA29741F17A599E0E83C FD9E83C4F5B2FB3D0791D

40 /Análisis de la prueba digital Lista de mensajes SMS - OS s B C C01080 B F4820C F580241E fecha y hora del SMS reverse-nibble /11/ :25: F4 teléfono del remitente reverse-nibble F F5 telefono SMSC (Short Message Service Center) reverse-nibble F SMSC =

41 /Análisis de la prueba digital Lista de mensajes SMS - OS s40 22D337FB0DA29741F17A599E0E83C FD9E83C4F5B2FB3D0791D Para poder ver el texto asociado a este mensaje, podemos usar cualquier herramienta online para hacer esta tarea, como por ejemplo "Online PDU Encoder and Decoder" en la dirección Antes de la información a decodificar, cabecera de 9 campos: , donde: 01 = 1 º campo, corresponde a la longitud del SMSC en bytes. 11 = 2 º campo, corresponde al teléfono SMSC. 11 = 3 º campo, tipo de PDU. 11 = 4 º campo, número de referencia, es un valor indiferente. 02 = 5 º campo, longitud del teléfono en nibbles y sin los 2 primeros = 6 º campo, teléfono. 00 = 7 º campo, protocolo de identificación. 00 = 8 º campo, codificación. 11 = 9 º campo, periodo de vigencia del SMS.

42 /Análisis de la prueba digital Lista de mensajes SMS - OS s D337FB0DA29741F17A599E0E83C FD9E83C4F5B2FB3D0791D

43 /Análisis de la prueba digital Multimedia ( imágenes, videos, sonidos, etc ) NO se ha podido extraer la información multimedia realizando dumps lógicos del terminal!!

44 /Herramientas cellebrite i comparativa Existen herramientas comerciales, como UFED, que permiten realizar la extracción de información forense de diferentes terminales.

45

46 /Informe pericial El elemento central de nuestra función como perito es la realización de la prueba pericial, que comprende tanto el informe pericial como las variadas intervenciones procesales de los peritos. El informe se ha de centrar en los conceptos clave según los extremos solicitados, y debe ser muy objetivo, sin caer en la tentación de hacer disertaciones sobre teorías no probadas o sin base suficiente.

47 /Informe pericial Metodología estándar El estudio previo de la documentación e identificación de las pruebas periciales solicitadas. La búsqueda de información, datos y otras pruebas asociadas a cada pericial. El desarrollo de las conclusiones. Características Preciso, sencillo y conciso. Estructurado. Técnico. Imparcial. Fundamentado.

48 /Informe pericial Forma y contenido Portada. Índice. Presentación y partes implicadas. Antecedentes. Objeto del informe. Fundamentos teóricos y métodos o procedimientos aplicados. Resultados de las actuaciones. Conclusiones. Anexos.

49 /sudo shutdown h now Preguntas?