Ingeniería inversa y análisis forense en Android (II): análisis forense en un terminal Android.

El análisis forense es la aplicación de técnicas científicas y analíticas especializadas en infraestructura tecnológica que permiten identificar, preservar, analizar y presentar datos que sean válidos dentro de un proceso legal. Al análisis forense también se le llama informática forense.

El uso del análisis forense incluye reconstruir el bien informático (ordenador, tablet, servidor, etc.), examinar datos residuales, autentificar datos y explicar las características técnicas del uso dado a los datos y bienes informáticos (vamos, como en la serie CSI pero con material informático).

La informática forense se utiliza, sobre todo, para detectar pistas sobre ataques informáticos, robo de información, conversaciones o pistas de emails y chats.

La infraestructura informática que puede ser analizada es toda aquella que tenga una memoria, por lo que se pueden analizar:

1. Disco duro de un ordenador o un servidor.


2. Documentación referida del caso.


3. Tipo de sistema de telecomunicaciones.


4. Información de la dirección MAC.


5. Logs de seguridad.


6. Información de firewalls.


7. Direcciones IP, redes Proxy, archivos host y pasarelas.


8. Programas de monitoreo y seguridad.


9. Credenciales de autentificación.


10. Trazo de paquetes de red (paquetes ping).


11. Smartphones.


12. Agendas electrónicas (PDA).


13. Dispositivos de GPS.


14. Impresoras.


15. Pendrives y discos duros externos.


16. BIOS (Basic Imput  Output System).

Fases de un análisis forense.

Un análisis forense consta de cuatro fases: identificación, preservación, análisis y presentación.

• Identificación: es muy importante conocer los antecedentes a la investigación, situación actual y el proceso que se quiere seguir para poder tomar la mejor decisión con respecto a las búsquedas y las estrategias.


• Preservación: esta fase incluye la revisión y generación de las imágenes forenses de la evidencia para poder realizar el análisis. Dicha duplicación se realiza utilizando tecnología punta para poder mantener la integridad de la evidencia y la cadena de custodia que se requiere (soportes).


• Análisis: en esta fase es dónde se aplican técnicas científicas y analíticas a los medios duplicados por medio de la anterior fase (preservación) para poder encontrar pruebas de ciertas conductas.


• Presentación: esta última fase consiste en recopilar toda la información obtenida a partir del análisis para realizar el reporte y la presentación a los abogados, jueces o instancias que soliciten este informe, la generación (si se da el caso) de una pericial y de su correcta interpretación sin hacer usos de tecnicismos. Se debera presentar de manera cauta, prudente y discreta al solicitante la documentación.

Programas necesarios para realizar un análisis forense.

Dado que nos estamos refiriendo al análisis forense en dispositivos Android necesitaremos los programas indicados en el post Ingeniería y análisis forense en Android (I): ingeniería inversa en aplicaciones Android.

Ejemplo de análisis forense en dispositivos Android.

Supongamos que nos presentan un caso en el que se han eliminado archivos importantes en el smartphone Android del empleado X de la empresa I. El empleado afirma que él no los ha borrado y el juez encargado del caso nos pide que averigüemos si eso es cierto o no.

1. Identificación: sabemos que los datos supuestamente borrados por X, quien había perdido de vista su smartphone durante 15 minutos, han sido eliminados a las 11:00 de la mañana. Como el smartphone esta en buen estado y funciona correctamente decidimos conectar el smartphone a nuestro ordenador.


2. Preservación: creamos una imágen .iso y la guardamos en un disco duro externo.


3. Análisis: analizamos el contenido del smartphone en cuestión con MOBILedit Lite. En el análisis queda reflejado que el primer acceso a los archivos borrados fue a las 10:40, cuando X lo tenía en su poder, y que 20 minutos después, a la hora de los hechos, las 11:00, se produce el borrado de los mismos.


4. Presentación: le presentamos al juez un informe de nuestras averiguaciones en el que queda contrastado de forma feaciente que X no pudo ser quien borró esos archivos, ya que lo dejó por descuido en su mesa de trabajo y a las 10:50, que fue cuando se dio cuenta de que no lo tenía, empezó a buscarlo y no lo encontró hasta las 11:05.

[caption id="attachment_282" align="alignnone" width="300"] Creamos una imágen .iso del contenido del smartphone usando el programa AnyToISO.[/caption]