Análisis forense de dispositivos móviles

La informática forense de dispositivos móviles es una rama de la informática forense que se ocupa de la recuperación de datos o pruebas digitales de un dispositivo móvil en condiciones forenses sólidas. El término «dispositivo móvil» suele referirse a teléfonos móviles ; sin embargo, también puede referirse a cualquier dispositivo digital que tenga memoria interna y capacidad de comunicación , incluidos dispositivos PDA , dispositivos GPS y tabletas .

Los dispositivos móviles pueden utilizarse para guardar diversos tipos de información personal, como contactos, fotos, calendarios y notas, así como mensajes SMS y MMS . Además, los smartphones pueden contener vídeos, correo electrónico, información de navegación web, información de ubicación y mensajes y contactos de redes sociales.

Existe una creciente demanda de análisis forense móvil debido a varias razones, y algunas de las más importantes son:

• Uso de teléfonos móviles para almacenar y transmitir información personal y corporativa.
• Uso de teléfonos móviles en transacciones en línea
• Uso de dispositivos de telefonía móvil por parte de delincuentes ^{[ 1 ]}

El análisis forense de dispositivos móviles puede ser particularmente desafiante en varios niveles: ^{[ 2 ]}

Existen desafíos técnicos y probatorios. Por ejemplo, el análisis de la ubicación de la celda a partir de la cobertura de un teléfono móvil no es una ciencia exacta. Por consiguiente, si bien es posible determinar aproximadamente la zona de la celda desde la que se realizó o recibió una llamada, aún no es posible afirmar con certeza que una llamada de teléfono móvil se originó en una ubicación específica, como una dirección residencial.

• Para mantener su competitividad, los fabricantes de equipos originales cambian con frecuencia el diseño de los teléfonos móviles , la estructura de archivos del sistema operativo , el almacenamiento de datos, los servicios, los periféricos e incluso los conectores y cables. En consecuencia, los peritos forenses deben emplear un proceso forense diferente al de la informática forense .
• La capacidad de almacenamiento sigue creciendo gracias a la demanda de dispositivos tipo "minicomputadora" más potentes. ^{[ 3 ]}
• No solo los tipos de datos, sino también la forma en que se utilizan los dispositivos móviles, evolucionan constantemente.
• Comportamiento de hibernación en el que los procesos se suspenden cuando el dispositivo está apagado o inactivo, pero al mismo tiempo permanecen activos. ^{[ 1 ]}

Como consecuencia de estos desafíos, existe una amplia variedad de herramientas para extraer pruebas de dispositivos móviles; ninguna herramienta o método por sí solo puede obtener todas las pruebas de todos los dispositivos. Por lo tanto, se recomienda que los peritos forenses, especialmente aquellos que deseen acreditarse como peritos judiciales, reciban una formación exhaustiva para comprender cómo cada herramienta y método obtiene las pruebas, cómo mantiene los estándares de fiabilidad forense y cómo cumple con los requisitos legales, como el estándar Daubert o el estándar Frye .

Como campo de estudio, el análisis forense de dispositivos móviles data de finales de la década de 1990 y principios de la de 2000. Las fuerzas del orden ya reconocían desde hacía tiempo el papel de los teléfonos móviles en la delincuencia. Con la mayor disponibilidad de estos dispositivos en el mercado de consumo y la amplia gama de plataformas de comunicación que admiten (por ejemplo, correo electrónico, navegación web), aumentó la demanda de análisis forenses. ^{[ 4 ]}

Los primeros intentos de examinar dispositivos móviles emplearon técnicas similares a las de las primeras investigaciones forenses informáticas: analizar el contenido del teléfono directamente a través de la pantalla y fotografiar el contenido importante. ^{[ 4 ]} Sin embargo, esto resultó ser un proceso lento, y a medida que aumentaba el número de dispositivos móviles, los investigadores solicitaron métodos más eficientes para extraer datos. Algunos peritos forenses móviles utilizaron software de sincronización de teléfonos celulares o PDA para realizar copias de seguridad de los datos del dispositivo en una computadora forense para su procesamiento, o bien, simplemente realizaron análisis forenses en el disco duro de la computadora sospechosa donde se habían sincronizado los datos. Sin embargo, este tipo de software podía escribir en el teléfono además de leerlo, y no podía recuperar datos eliminados. ^{[ 5 ]}

Algunos peritos forenses descubrieron que podían recuperar incluso datos borrados utilizando dispositivos como el flasher o el twister, herramientas desarrolladas por los fabricantes para flashear la memoria de un teléfono con fines de depuración o actualización. Sin embargo, estos dispositivos son invasivos y pueden alterar los datos; su uso puede resultar complejo; y, al no estar diseñados como herramientas forenses, no realizan verificaciones de hash ni (en la mayoría de los casos) registros de auditoría. ^{[ 6 ]} Por lo tanto, para los análisis forenses físicos, siguen siendo necesarias mejores alternativas.

Para satisfacer estas demandas, surgieron herramientas comerciales que permitieron a los examinadores recuperar la memoria del teléfono con mínima interrupción y analizarla por separado. ^{[ 4 ]} Con el tiempo, estas técnicas comerciales se han desarrollado aún más y la recuperación de datos borrados de dispositivos móviles propios se ha vuelto posible con algunas herramientas especializadas. Además, las herramientas comerciales incluso han automatizado gran parte del proceso de extracción, lo que permite que incluso los primeros intervinientes con una formación mínima —quienes actualmente tienen muchas más probabilidades de encontrar sospechosos con dispositivos móviles en su poder, en comparación con computadoras— realicen extracciones básicas para fines de triaje y vista previa de datos.

La informática forense de dispositivos móviles es más conocida por su aplicación en las investigaciones policiales, pero también es útil para la inteligencia militar , las investigaciones corporativas, las investigaciones privadas , la defensa penal y civil , y el descubrimiento electrónico de pruebas .

Con el avance de la tecnología de los dispositivos móviles , la cantidad y los tipos de datos que se pueden encontrar en ellos aumentan constantemente. La evidencia que potencialmente se puede recuperar de un teléfono móvil puede provenir de diversas fuentes, como la memoria del dispositivo, la tarjeta SIM y las tarjetas de memoria externas, como las tarjetas SD .

Tradicionalmente, la informática forense de teléfonos móviles se ha asociado con la recuperación de mensajes SMS y MMS , así como con registros de llamadas, listas de contactos e información IMEI / ESN del teléfono. Sin embargo, las nuevas generaciones de teléfonos inteligentes también incluyen una mayor variedad de información: desde la navegación web, la configuración de la red inalámbrica , la información de geolocalización (incluidas las geoetiquetas contenidas en los metadatos de las imágenes ), el correo electrónico y otras formas de contenido multimedia enriquecido en internet, incluidos datos importantes, como publicaciones y contactos de redes sociales , que ahora se conservan en las aplicaciones de los teléfonos inteligentes. ^{[ 7 ]}

El proceso forense para dispositivos móviles coincide en líneas generales con otras ramas de la informática forense; sin embargo, existen algunas consideraciones particulares. En general, el proceso se puede dividir en tres categorías principales: incautación, adquisición y examen/análisis. Otros aspectos del proceso forense informático, como la recepción, la validación, la documentación/elaboración de informes y el archivo, siguen siendo aplicables. ^{[ 2 ]}

Adquisición

El segundo paso en el proceso forense es la adquisición , que en este caso generalmente se refiere a la recuperación de material de un dispositivo (en comparación con la obtención de imágenes de bits utilizada en la informática forense). ^{[ 10 ]}

Debido a la naturaleza propietaria de los móviles, a menudo no es posible adquirir datos con el dispositivo apagado; la mayoría de las adquisiciones de datos de dispositivos móviles se realizan en tiempo real. Con los smartphones más avanzados que utilizan una gestión de memoria avanzada, conectarlos a un cargador y colocarlos en una jaula de Faraday puede no ser una buena práctica. El dispositivo móvil detectaría la desconexión de la red y, por lo tanto, cambiaría su información de estado, lo que podría activar el gestor de memoria para escribir datos. ^{[ 11 ]}

La mayoría de las herramientas de adquisición de datos para dispositivos móviles son de naturaleza comercial y constan de un componente de hardware y otro de software, a menudo automatizados.

La extracción de datos de dispositivos móviles se puede clasificar según un continuo, a lo largo del cual los métodos se vuelven más técnicos y “forensemente sólidos”, las herramientas se vuelven más caras, el análisis lleva más tiempo, los examinadores necesitan más capacitación y algunos métodos pueden incluso volverse más invasivos. ^{[ 15 ]}

Las primeras investigaciones consistían en el análisis manual en tiempo real de dispositivos móviles; los peritos fotografiaban o anotaban el material útil para su uso como prueba. Sin equipos de fotografía forense como Fernico ZRT, EDEC Eclipse o Project-a-Phone, esto presentaba la desventaja de arriesgarse a modificar el contenido del dispositivo, además de dejar inaccesibles muchas partes del sistema operativo propietario.

En los últimos años han surgido diversas herramientas de hardware y software para recuperar evidencia lógica y física de dispositivos móviles. La mayoría de estas herramientas constan de componentes de hardware y software. El hardware incluye varios cables para conectar el dispositivo móvil al equipo de adquisición; el software se encarga de extraer la evidencia y, en ocasiones, incluso de analizarla.

Más recientemente, se han desarrollado herramientas forenses para dispositivos móviles en el terreno. Esto responde tanto a la demanda de las unidades militares de inteligencia antiterrorista rápida y precisa, como a la demanda de las fuerzas del orden de capacidades de análisis forense en la escena del crimen, durante la ejecución de órdenes de registro o en circunstancias excepcionales. Estas herramientas forenses móviles suelen estar reforzadas para soportar entornos hostiles (por ejemplo, el campo de batalla) y un trato brusco (por ejemplo, caídas o inmersión en agua). ^{[ 24 ]}

En general, dado que es imposible que una sola herramienta capture toda la evidencia de todos los dispositivos móviles, los profesionales de la informática forense móvil recomiendan que los examinadores establezcan conjuntos completos de herramientas que consistan en una combinación de herramientas forenses comerciales, de código abierto, de amplio soporte y de soporte específico, junto con accesorios como cargadores de batería, bolsas de Faraday u otros equipos de interrupción de señal, etc. ^{[ 25 ]}

Herramientas físicas

desoldadura forense

Conocida comúnmente en la industria como técnica de "desmontaje del chip", el método más intrusivo para obtener una imagen de memoria consiste en desoldar el chip de memoria no volátil y conectarlo a un lector de chips. Este método conlleva el riesgo potencial de la destrucción total de los datos: es posible dañar el chip y su contenido debido al calor generado durante la desoldadura. Antes de la invención de la tecnología BGA , era posible conectar sondas a los pines del chip de memoria y recuperar la información a través de ellas. La técnica BGA une los chips directamente a la placa de circuito impreso mediante soldadura fundida , lo que imposibilita la conexión de sondas.

La desoldadura de los chips se realiza con cuidado y lentamente para evitar que el calor dañe el chip o los datos. Antes de desoldar el chip, la placa de circuito impreso se hornea para eliminar la humedad residual. Esto previene el llamado efecto palomitas de maíz, en el que la humedad restante podría dañar el encapsulado del chip durante la desoldadura.

Existen principalmente tres métodos para fundir la soldadura: aire caliente, luz infrarroja y vapor. La tecnología de luz infrarroja utiliza un haz de luz infrarroja enfocado sobre un circuito integrado específico y se emplea para chips pequeños. Los métodos de aire caliente y vapor no permiten un enfoque tan preciso como la técnica infrarroja.

Rebobinado de chips

Tras desoldar el chip, un proceso de reballing limpia el chip y le añade nuevas bolas de estaño. El reballing se puede realizar de dos maneras diferentes.

• El primer paso consiste en utilizar una plantilla. La plantilla depende del chip y debe ajustarse con precisión. A continuación, se aplica la soldadura de estaño sobre la plantilla. Tras enfriar el estaño, se retira la plantilla y, si es necesario, se realiza una segunda limpieza.
• El segundo método es el reballing láser. ^{[ 27 ] [ 28 ]} Aquí, la plantilla se programa en la unidad de reballing. Un cabezal de unión (que parece un tubo/aguja) se carga automáticamente con una bola de estaño desde un tanque de separación de bolas de soldadura. Luego, la bola se calienta con un láser, de modo que la bola de estaño-soldadura se vuelve fluida y fluye sobre el chip limpio. Inmediatamente después de fundir la bola, el láser se apaga y una nueva bola cae en el cabezal de unión. Mientras se recarga, el cabezal de unión de la unidad de reballing cambia de posición al siguiente pin.

Un tercer método hace innecesario todo el proceso de reballing. El chip se conecta a un adaptador con resortes en forma de Y o pines pogo con resorte . Los resortes en forma de Y necesitan una bola en el pin para establecer una conexión eléctrica, pero los pines pogo se pueden usar directamente en las almohadillas del chip sin las bolas. ^{[ 11 ] [ 12 ]}

La ventaja de la desoldadura forense es que el dispositivo no necesita estar en funcionamiento y que se puede realizar una copia sin modificar los datos originales. La desventaja es que los dispositivos de reballing son caros, por lo que este proceso resulta muy costoso y existe el riesgo de pérdida total de datos. Por lo tanto, la desoldadura forense solo debe ser realizada por laboratorios con experiencia. ^{[ 13 ]}

JTAG

Existen interfaces estandarizadas para la lectura de datos integradas en varios dispositivos móviles, por ejemplo, para obtener datos de posición de equipos GPS ( NMEA ) o para obtener información de desaceleración de unidades de airbag. ^{[ 16 ]}

No todos los dispositivos móviles ofrecen una interfaz estandarizada, ni existe una interfaz estándar para todos ellos, pero todos los fabricantes comparten un problema. La miniaturización de los componentes plantea la cuestión de cómo probar automáticamente la funcionalidad y la calidad de los componentes integrados soldados. Para abordar este problema, un grupo industrial, el Joint Test Action Group (JTAG), desarrolló una tecnología de prueba denominada boundary scan .

A pesar de la estandarización, existen cuatro tareas previas a la utilización de la interfaz del dispositivo JTAG para recuperar la memoria. Para encontrar los bits correctos en el registro de exploración de límites, es necesario conocer qué procesador y circuitos de memoria se utilizan y cómo están conectados al bus del sistema. Cuando no es accesible desde el exterior, se deben localizar los puntos de prueba de la interfaz JTAG en la placa de circuito impreso y determinar qué punto de prueba se utiliza para cada señal. El puerto JTAG no siempre está soldado con conectores, por lo que a veces es necesario abrir el dispositivo y volver a soldar el puerto de acceso. ^{[ 12 ]} Es necesario conocer el protocolo para leer la memoria y, finalmente, determinar la tensión correcta para evitar daños en el circuito. ^{[ 11 ]}

El escaneo de límites produce una imagen forense completa de la memoria volátil y no volátil . Se minimiza el riesgo de alteración de datos y no es necesario desoldar el chip de memoria . La generación de la imagen puede ser lenta y no todos los dispositivos móviles son compatibles con JTAG. Además, puede resultar difícil encontrar el puerto de acceso de prueba. ^{[ 13 ]}

En general, no existe un estándar que defina qué constituye un dispositivo compatible en un producto específico. Esto ha provocado que distintos proveedores definan un dispositivo compatible de forma diferente. Esta situación dificulta enormemente la comparación de productos basándose en las listas de dispositivos compatibles proporcionadas por los proveedores. Por ejemplo, un dispositivo cuya extracción lógica mediante un producto solo genera una lista de las llamadas realizadas por el dispositivo puede figurar como compatible con ese proveedor, mientras que otro proveedor puede ofrecer mucha más información.

Además, los distintos productos extraen diferentes cantidades de información de los diferentes dispositivos. Esto genera un panorama muy complejo a la hora de analizar los productos. En general, esto lleva a que se recomiende encarecidamente probar un producto exhaustivamente antes de comprarlo. Es bastante común utilizar al menos dos productos que se complementen entre sí.

La tecnología de los teléfonos móviles evoluciona a un ritmo vertiginoso. La informática forense aplicada a dispositivos móviles parece estar estancada o evolucionar lentamente. Para que la informática forense de teléfonos móviles se adapte a los ciclos de lanzamiento de nuevos teléfonos, es necesario desarrollar un marco más completo y exhaustivo para evaluar las herramientas forenses móviles y poner a disposición de forma oportuna datos sobre las herramientas y técnicas adecuadas para cada tipo de teléfono. ^{[ 32 ]}

La informática forense es más difícil debido al pequeño tamaño de los dispositivos y al acceso restringido a los datos del usuario. ^{[ 13 ]} Sin embargo, existen avances para proteger la memoria en el hardware con circuitos de seguridad en la CPU y el chip de memoria, de modo que el chip de memoria no se pueda leer incluso después de desoldarlo. ^{[ 33 ] [ 34 ]}

• Lista de herramientas de análisis forense digital
• Portal de teléfonos

• Conferencia 'Mobile Forensics World'
• Análisis forense de chips extraídos (forensicwiki.org)
• Análisis forense de JTAG (forensicwiki.org)
• Estudios de casos prácticos sobre análisis forense de teléfonos móviles (QCC Global Ltd)