El Rol del Perito Forense en vista a los nuevos Dispositivos Moviles

El Trabajo del examinador forense en cuanto a los nuevos dispositivos móviles es multifacético y sobre todo complejo. Los nuevos dispositivos móviles deben ser coaccionados muchas veces para que entreguen algo de información útil que realmente le sirva a la justicia, y es ahí donde el examinador forense debe tener la agudeza para lograrlo. 
cuando hablo de coaccionar, me refiero a realmente conocer todos los métodos existentes para la extracción de datos. por el simple hecho que el uso masivo de estos dispositivos en la comisión de diferentes delitos hace que el experto tenga que tener debajo de la manga un libro para poder seguir investigando nuevas técnicas, y nuevas metodologías de trabajo sobre ellos. especialmente en esta área se esta dando que mes a mes van apareciendo seminarios en diferentes provincias sobre esta área, dando la posibilidad de ampliar los conocimientos y sobre todo poder intercambiar ideas nuevas, como nuevos métodos de extracción que ya expondremos mas abajo. 


La unidad UFED de la fiscalia de la Ciudad Autónoma de Buenos Aires, a cargo de la Dra. Garcia. Logran a diario realizar extracciones de diferentes dispositivos móviles que son aportados por los denunciantes, dándole la ventaja a estos examinadores poder conocer una nueva galaxia de dispositivos y sobre todos cada uno con un perfil único he irrepetibles.


Hace apenas diez años, la mayoría de los teléfonos móviles no tenían cámaras, tarjetas de memoria, Internet, funcionalidad GPS. Esos cambios son parte de la razón por la que el forense de dispositivos móviles se está convirtiendo cada vez más complejo, tenemos más dispositivos que pueden realizar más tareas.
Es por eso que el perfil del examinador no solo debe ser técnico, sino contener una base legal dado que la responsabilidad de presentar sus informes como futura evidencia en un caso, podrá cortar la libertad de las personas involucradas en el proceso. 

Basado en la UDIF Unidad de Informática Forense del Cuerpo de Investigaciones Judiciales, de la Fiscalia de la Ciudad Autónoma de Buenos Aires, encontrándose a cargo el Lic. Fernandez.
Hablaremos de los perfiles necesarios por parte de estos nuevos CSI Crime Scene Investigation de los Dispositivos Móviles.   

1.- Perfil 
  • a.- Principios Criminalisticos
  • b.- Principios Forenses 
  • c.- Legislación Vigente 
  • d.- Manejo de Cadenas de Custodias
2.- Dispositivos 
  • a.- Modelos de Dispositivos 
  • b.- Que datos almacenan los dispositivos
  • c.- Interfaces de Conexión 
  • d.- Sistemas operativos
3.- Adquisición 
  • a.- Técnicas de Extracción (manual, lógica, jtag, chip-off)
  • b.- Herramientas de extracción (diferentes gamas - diferentes fabricantes)
  • c.- Problemas de adquisición (porque no adquiere, privilegios elevados, brickeados) 
4.- Analista 
  • a.- Fundamentos de datos (de donde salen los datos)
  • b.- Datos eliminados (como fundamentar)
  • c.- Interpretación de datos brutos 
  • d.- Desarrollo de herramientas o defensa de las mismas
5.- Informe  
  • a.- Datos recuperados convertidos y volcados en datos acopiados (Anexos)
  • b.- Producción del informe técnico pericial

Para aclarar algunos temas que seguramente tendrán ruido luego de esta publicación, serian en el punto 1 y sus incisos, es netamente escuela, o sea una capacitación tanto legal como técnica sobre la persona logrando así adquirir los conocimientos necesarios para arrancar con esta nueva especialidad dentro de otra especialidad como es la de Forensia en Dispositivos Móviles dentro de Informática Forense.
En el punto siguiente punto 2 y sus incisos es netamente técnico y especifico del investigador forense, dado que esta parte es la mas importante en cuanto a lo que incumbe al profesional.
En esta parte la tercera, es a mi entender la mas importante, los métodos de adquisición de la información de los dispositivos. Un método de adquisición no destructivo que permita al profesional obtener una imagen forense completa del dispositivo a través del cable USB, seria lo ideal y recomendable, pero ya tiramos la piedra al principio donde hablamos sobre los nuevos desafíos que debemos sortear en los nuevos smartphone.
Uno de los métodos menos utilizados de recuperación de información es el método forense Jtag que viene de Joint Test Action Group. 
La adquisición sobre Aire o también conocida como OTA por sus siglas Over-the-air,  e Esta comprenderá la descarga del perfil que posee el dispositivo móvil en la nube de la empresa en la cual esta registrado el dispositivo, esto seria un reservorio de información no explotado a la hora de conseguir la información. 
Por ultimo existen dos técnicas nuevas que estoy llevando a cabo en la UDIF del CIJ, las técnicas ISP y Chip-Off, la técnica ISP que viene de In-system programming técnica que logra desnudar la placa del dispositivo y realizar el testeo de puntos de la placa para poder encontrar un jumper a la memoria interna, técnica que vengo probando hace casi dos largos años con resultados asombrosos, ya que he podido levantar algunos dispositivos móviles sin tener sus respectivas contraseñas, patrones o sin encender. 


la técnica Chip-Off que viene ultima pero no por eso menos importante, es la eliminación física de la memoria del dispositivo de su placa base y posterior lectura fuera de la misma, la cual produce datos en crudos, que pueden ser exportados a una imagen forense. Técnica novedosa que promete novedosos resultados, ya que no requiere que el dispositivo este funcionando, o desbloqueado.

Examinadores que analizan un dispositivo Android arraigado tienen otro lugar para extraer el sistema de archivos plena y completa del dispositivo mediante la generación de una llamada copia de seguridad Nandroid. copias de seguridad nandroid se pueden crear mediante el arranque del dispositivo en una recuperación a medida (ya sea por la emisión de un comando ADB o, de depuración USB no está habilitado, mediante la celebración de las teclas Vol- y encienda el dispositivo) y seleccionando la opción de menú correspondiente.


Las siguientes condiciones deben cumplirse con el fin de producir una copia de seguridad Nandroid

  1. Cargador de arranque está desbloqueado y recuperación personalizada (por ejemplo CWM o TWRP) está instalado, -o-
  2. El dispositivo tiene sus raíces, instala el paquete Busybox y una aplicación de copia de seguridad Nandroid como este se utiliza.-
Tenga en cuenta que una aplicación de copia de seguridad de Nandroid se puede utilizar para producir una copia de seguridad completa de Nandroid incluso si el cargador de arranque esta bloqueado y no hay recuperación personalizada, está disponible cuando se instala el paquete busybox y una aplicación de copia de seguridad o de restauración Nandroid, la operación se lleva a cabo a través de la recuperación personalizada. Si todas estas condiciones anteriormente mencionadas se cumplen , el experto forense en dispositivos móviles puede arrancar la recuperación personalizada también conocida como custom recovery, y hacer un volcado del dispositivo para que aporte sus datos en una tarjeta SD  o unidad flash OTG, también existe la posibilidad de encontrar copias Nandroid existentes en el dispositivo. 


Lentamente Android se esta convirtiendo en una plataforma segura, un dispositivo que por sus nuevas funciones de CIFRADO de todo el disco y su tarjeta SD va ganando adeptos en el mercado. Pero al mismo tiempo va convirtiéndose en un obstáculo a la hora de que los expertos en esta área intentan recuperar información de este, y el monopolio que tienen algunas herramientas forense que todavía no pueden obtener toda la gama de dispositivos hacen un caldo de cultivo para que el experto empiece a buscar nuevas herramientas.-


Por ahora terminaremos la primera parte de esta visión de los nuevos CSI Crime Scene Investigation de los Dispositivos Móviles.   

MR