Los rastros digitales suelen aparecer mucho antes de que resulte evidente que serán necesarios para una investigación. Un iPhone almacena información de comunicación y del sistema, un ordenador con Windows documenta la actividad del usuario y de los archivos, y un servicio en la nube puede contener datos adicionales. LB Forensik analiza datos digitales en smartphones, ordenadores, dispositivos de almacenamiento, copias de seguridad y sistemas en la nube accesibles para particulares, empresas y abogados en Ratisbona.

El enfoque se centra en una cuestión técnica específica. ¿Se eliminaron mensajes? ¿Es posible que otra persona accediera al teléfono inteligente? ¿Cuándo se utilizó o modificó un archivo? ¿Se copiaron datos de la empresa a un dispositivo de almacenamiento externo? ¿Se pueden vincular cronológicamente los eventos de varios dispositivos? La informática forense intenta reconstruir estos procesos a partir de los artefactos existentes, sin extraer conclusiones de hallazgos técnicos individuales que vayan más allá de lo que permiten los propios datos.

Existen sistemas forenses especializados para asegurar y analizar pruebas. Según el dispositivo, el sistema operativo y el objetivo de la investigación, utilizamos herramientas como Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensic . Ninguna herramienta cubre todas las fuentes de datos con la misma eficacia. Por lo tanto, si se identifican hallazgos relevantes, puede ser recomendable contrastarlos con otro método.

Análisis forense informático para Ratisbona: Áreas de investigación de un vistazo

• Análisis forense de teléfonos móviles para iPhones de Apple y smartphones Android.
• Informática forense Para PC con Windows, portátiles y Mac de Apple
• Análisis de WhatsApp y otras comunicaciones digitales
• Examen de datos eliminados y no visibles de inmediato
• Verifique si existen pruebas técnicamente detectables de acceso no autorizado.
• Análisis de discos duros, SSD, memorias USB y otros medios de almacenamiento.
• Evaluación de las copias de seguridad existentes y los datos accesibles en la nube.
• Reconstrucción de las actividades relevantes de archivos, usuarios y sistemas.
• Investigación de posibles fugas de datos e incidentes internos.
• correlación temporal de trazas de múltiples fuentes de datos digitales
• Preservación forense de conjuntos de datos definidos
• Documentación comprensible de las pruebas y los pasos de la investigación.

También explicamos los fundamentos técnicos y otras cuestiones en nuestra base de conocimientos sobre informática forense . Allí, los métodos y las fuentes de datos se abordan por separado, para que la página del servicio regional no repita innecesariamente el mismo contenido.

¿Qué rastros digitales se pueden examinar?

La informática forense no se limita a examinar archivos visibles. Los sistemas operativos, las aplicaciones y los programas generan información adicional durante su uso que posteriormente puede resultar relevante para reconstruir un suceso.

Dependiendo del sistema, esto incluye, por ejemplo, bases de datos de aplicaciones, información de comunicación, metadatos de archivos, artefactos del navegador, inicios de sesión de usuarios, registros del sistema, dispositivos de almacenamiento conectados, sincronizaciones en la nube e información del sistema relacionada con el tiempo.

La relevancia de estos rastros depende de la cuestión que se esté investigando. Se analizan diferentes artefactos al investigar una posible fuga de datos que al determinar si un mensaje específico estaba presente en un teléfono inteligente o cuándo se utilizó un archivo por última vez.

Análisis forense de teléfonos móviles para iPhone y Android en Ratisbona.

En Ratisbona, la informática forense de teléfonos móviles se ocupa de los rastros digitales en los smartphones y las fuentes de datos asociadas. Los dispositivos móviles modernos suelen contener una parte importante de la comunicación personal o profesional de una persona. Mensajes, fotos, vídeos, aplicaciones, datos del navegador y cuentas de usuario residen en un único dispositivo y pueden estar interconectados.

Por lo tanto, un análisis forense de un teléfono inteligente va más allá de la simple revisión manual del contenido visible. Dependiendo del dispositivo y los datos disponibles, se pueden examinar las bases de datos de las aplicaciones, los mensajes, los archivos multimedia, la información de las llamadas, las marcas de tiempo y ciertos datos del sistema, la ubicación y las conexiones.

Los datos disponibles dependen del fabricante, el modelo, la versión del sistema operativo, el estado de seguridad, el cifrado y el método de extracción técnicamente posible.

Análisis forense de iPhones en dispositivos Apple

En un iPhone de Apple, el hardware, iOS y los mecanismos de protección criptográfica funcionan en estrecha colaboración. Por lo tanto, antes de un análisis técnico, no se puede garantizar con certeza que se puedan leer todos los datos del iPhone.

Según el estado del dispositivo, pueden estar disponibles datos como mensajes, datos de aplicaciones, fotos, vídeos, archivos, información del navegador, marcas de tiempo y otros elementos del sistema. Las copias de seguridad locales y los datos autorizados de iCloud también pueden constituir fuentes de datos adicionales.

El estado actual del dispositivo puede ser de particular importancia. Un iPhone encendido que ya ha sido desbloqueado desde el último reinicio puede ofrecer posibilidades forenses diferentes a las del mismo dispositivo inmediatamente después de un reinicio.

Encontrará información técnica adicional en el artículo publicado "¿Qué es la informática forense del iPhone?".

Análisis forense de Android para Samsung, Google, Honor y otros fabricantes.

Los smartphones Android no constituyen un sistema técnicamente uniforme. El fabricante, el modelo, el chipset, la versión de Android y el parche de seguridad influyen significativamente en las posibilidades de recuperación forense de datos.

Dependiendo del dispositivo, pueden ser relevantes los datos de mensajería, las bases de datos de las aplicaciones, los archivos, las imágenes, los vídeos, la información del navegador, los artefactos del sistema y otra información de uso.

Sobre todo en dispositivos Android, elegir la herramienta adecuada es fundamental. Las distintas soluciones forenses pueden admitir diferentes métodos de extracción o áreas de datos, según el fabricante y el dispositivo.

Análisis técnico de la comunicación de WhatsApp

Los datos de mensajería instantánea pueden resultar relevantes en conflictos privados, casos de fraude, acoso, asuntos laborales o investigaciones internas de empresas. WhatsApp suele figurar entre las fuentes de datos móviles más importantes en estos casos.

Un análisis forense de WhatsApp no ​​se limita a leer un chat visible. Dependiendo de los datos disponibles, se pueden analizar mensajes, información de los participantes, estructuras de grupos, marcas de tiempo, imágenes, videos, documentos, mensajes de voz y otros elementos de la aplicación.

Explicamos las posibilidades técnicas con más detalle en el apartado "Análisis forense de mensajes de WhatsApp".

Mensajes eliminados: ¿Qué se puede recuperar?

Un mensaje de WhatsApp borrado no se puede recuperar automáticamente. La posibilidad de que queden archivos utilizables depende de factores como el sistema operativo, la versión de la aplicación, el estado de la base de datos, las copias de seguridad existentes y el uso posterior del teléfono inteligente.

En condiciones adecuadas, la información de la base de datos, los soportes de almacenamiento, las copias de seguridad u otras fuentes de datos pueden permitir una reconstrucción completa o parcial. Sin embargo, no sería técnicamente viable garantizar la recuperación.

Incluso un resultado negativo debe interpretarse correctamente. Si no se encuentra ningún mensaje relevante en la base de datos examinada, no significa automáticamente que nunca haya existido. Podría, por ejemplo, haber sido eliminado por completo o haber existido únicamente en una fuente de datos no disponible.

Por qué una captura de pantalla de un chat no es lo mismo que una extracción forense.

Una captura de pantalla simplemente documenta lo que se ve en la pantalla. No contiene automáticamente la base de datos subyacente de WhatsApp, los identificadores internos ni otros elementos de la aplicación.

Si se dispone del dispositivo original o de un método de extracción adecuado, se puede utilizar información técnica adicional para la comparación. Esto permite un análisis mucho más exhaustivo de la base de datos que el que se puede realizar con una sola imagen.

Análisis forense informático en Ratisbona para Windows y macOS

En Ratisbona, la informática forense examina los rastros técnicos en ordenadores de sobremesa, portátiles, Mac de Apple y sus respectivos soportes de almacenamiento. Un ordenador registra numerosos procesos durante su uso, aunque estos no siempre sean visibles de inmediato.

Dependiendo de la pregunta, se pueden examinar archivos, estructuras del sistema de archivos, metadatos, datos eliminados, cuentas de usuario, información del navegador, actividades del programa, registros del sistema, medios de almacenamiento externos y artefactos de la nube local.

Las conclusiones más relevantes suelen surgir de la interacción de múltiples registros. Por lo tanto, una sola marca de tiempo o entrada USB no debe interpretarse sin su contexto técnico correspondiente.

Explicamos la metodología con más detalle en el artículo "¿Qué es la informática forense?".

¿Se puede rastrear el uso de una memoria USB?

Los sistemas Windows pueden almacenar diversa información sobre los dispositivos USB conectados. Según los datos, se pueden determinar, por ejemplo, los identificadores de los dispositivos y las relaciones temporales.

Sin embargo, la prueba técnica de que una memoria USB se conectó a una computadora no demuestra que se haya realizado una copia de datos. Para determinar si se produjo una transferencia de datos concreta, deben considerarse otros elementos.

Esto puede incluir accesos a archivos, archivos utilizados recientemente, información del sistema de archivos, marcas de tiempo y otras actividades del usuario o del sistema.

¿Cuándo se creó, abrió o modificó un archivo?

Los sistemas de archivos y los programas pueden generar diversas marcas de tiempo. Según el sistema, estas pueden utilizarse para obtener información sobre la creación, modificación, acceso u otras operaciones de procesamiento.

Sin embargo, estas marcas de tiempo no deben interpretarse de forma aislada. Los procesos de copia, las sincronizaciones en la nube, el software y los procesos del sistema operativo pueden influir en la información horaria. Por lo tanto, una evaluación más fiable considera varios elementos coincidentes.

Archivos eliminados, unidades SSD y recuperación de datos

La posibilidad de recuperar archivos eliminados depende en gran medida del medio de almacenamiento. Los discos duros magnéticos, las unidades SSD y la memoria flash de los dispositivos móviles se comportan de manera diferente desde un punto de vista técnico.

En las unidades SSD modernas, los mecanismos de borrado de datos pueden provocar que los datos eliminados se vuelvan inaccesibles con relativa rapidez. Otros factores que influyen son el sistema de archivos utilizado, el cifrado, el momento de la eliminación y el uso posterior del sistema.

La informática forense va más allá de la mera recuperación de datos. Si un archivo se va a evaluar como evidencia digital, su origen, metadatos, referencia temporal y otros elementos del sistema también pueden ser relevantes.

Servicios de informática forense para particulares en Ratisbona.

La informática forense no se limita a las empresas ni a los procesos penales. Los teléfonos inteligentes y ordenadores personales pueden contener una cantidad significativa de información relevante en conflictos personales o litigios.

Los clientes particulares se ponen en contacto con LB Forensik, por ejemplo, cuando se sospecha de un acceso no autorizado a un teléfono inteligente, cuando han desaparecido mensajes, cuando se está produciendo un acoso digital o cuando es necesario proteger las comunicaciones y examinarlas técnicamente de forma rastreable por motivos legales.

Teléfono móvil sospechoso de haber sido pirateado o vigilado

El alto consumo de batería, la generación de calor, los mensajes desconocidos o el tráfico de datos inusual no son, por sí solos, prueba de que un teléfono inteligente haya sido comprometido.

Por lo tanto, una investigación forense examina, sin prejuicios, si existen anomalías técnicas relevantes. Según el dispositivo, se pueden analizar aplicaciones, configuraciones, perfiles, información del sistema, registros de comunicación y otros datos.

Igualmente importante es el umbral para un resultado negativo. Si no se encuentra evidencia de acceso no autorizado en los datos disponibles, esto no prueba necesariamente que no se haya producido una vulneración con anterioridad.

Pruebas digitales en casos de acoso, separación y conflictos personales.

Los mensajes de mensajería, los archivos, las fotos, las cuentas de usuario u otra información digital pueden ser relevantes en disputas privadas. Sin embargo, la accesibilidad técnica y el derecho legal son dos cuestiones distintas.

LB Forensics solo examina dispositivos, cuentas y conjuntos de datos para los que cuenta con la autorización correspondiente. El acceso secreto a los teléfonos inteligentes o cuentas de usuario de otras personas no constituye una investigación forense permitida.

Investigaciones digitales para empresas en Ratisbona

Ratisbona combina una sólida base industrial y tecnológica con universidades, centros de investigación y numerosas empresas medianas. En particular, en sectores como la automoción, la ingeniería eléctrica, la tecnología de semiconductores, las tecnologías de la información, la tecnología de sensores y otras industrias tecnológicas, se generan amplios conjuntos de datos empresariales.

En casos de sospecha interna o incidentes de seguridad informática, varias fuentes de datos pueden volverse relevantes simultáneamente: estaciones de trabajo, portátiles, teléfonos inteligentes, soportes de datos externos, sistemas de correo electrónico, cuentas de usuario o aplicaciones en la nube.

Sospecha de fuga de datos por parte de empleados

Ante la sospecha de una filtración de datos, el primer paso debe ser investigar qué métodos de transmisión son técnicamente viables. Los dispositivos de almacenamiento USB son solo una posibilidad. El almacenamiento en la nube, el correo electrónico, las aplicaciones web o las aplicaciones de mensajería también pueden ser relevantes, según las circunstancias.

Por lo tanto, una investigación forense puede comparar los accesos a archivos, los dispositivos de almacenamiento externo, la actividad del navegador, los artefactos en la nube y otra información del sistema.

No se debe sobreinterpretar un único artefacto. Solo cuando varias trazas independientes coinciden en cuanto a contenido y tiempo, se puede obtener una imagen técnica general más fiable.

Análisis posterior a un incidente cibernético

Tras un presunto ataque, por ejemplo, se pueden examinar la actividad del usuario, los registros del sistema, los archivos sospechosos, los mecanismos de persistencia, las pistas de red y otros artefactos.

En un incidente en curso, la contención y la preservación de pruebas deben considerarse conjuntamente. Un ordenador encendido y ya descifrado puede presentar un punto de partida forense diferente al del mismo sistema tras un reinicio.

Por lo tanto, la recomendación general de apagar inmediatamente todos los dispositivos afectados no es técnicamente correcta en todos los casos.

Cellebrite para el análisis de datos móviles y teléfonos inteligentes.

Utilizamos Cellebrite principalmente para proteger y analizar datos de dispositivos móviles y otras fuentes de datos digitales. Dependiendo del dispositivo y su nivel de seguridad, pueden existir diferentes métodos de extracción.

Sin embargo, la extracción técnica es solo la base de la investigación. Lo fundamental es determinar qué artefactos están realmente presentes y cómo se evalúan en relación con la pregunta de investigación específica.

X-Ways Análisis forense para ordenadores y dispositivos de almacenamiento de datos

X-Ways Forensics permite realizar investigaciones detalladas de sistemas de archivos, discos duros, unidades SSD y otros medios de almacenamiento.

Esto permite examinar los archivos existentes y eliminados, los metadatos, la información del sistema de archivos y otras estructuras técnicas. El análisis detallado del sistema de archivos puede ser especialmente relevante al abordar cuestiones relacionadas con el uso de archivos, los medios de almacenamiento o la información eliminada.

Belkasoft para la correlación de diferentes fuentes de datos

Belkasoft permite el análisis estructurado de artefactos digitales procedentes de diversas fuentes. En los casos más complejos, esto puede ayudar a relacionar la comunicación, las actividades de los usuarios y otros datos entre sí en términos de tiempo y contenido.

MOBILedit Forensic como método adicional de análisis forense de teléfonos móviles.

MOBILedit Forensic complementa nuestras capacidades para extraer y analizar datos de dispositivos móviles. Dada la amplia gama de especificaciones técnicas de los diferentes fabricantes de Android, un método adicional de extracción o análisis puede resultar muy beneficioso.

¿Por qué no se utiliza un solo programa forense?

Las herramientas forenses tienen diferentes puntos fuertes. Un programa puede ser especialmente bueno para reconocer ciertas estructuras de aplicaciones, mientras que otro puede procesar información adicional del sistema de archivos u otros artefactos.

En caso de hallazgos relevantes, un segundo método puede servir para verificar su plausibilidad. Sin embargo, la fuente de datos original siempre es decisiva. Un resultado generado automáticamente por un software no constituye una conclusión forense definitiva.

Preservación de la evidencia digital e integridad de los datos

En una investigación basada en evidencia, debe ser posible rastrear la fuente de datos examinada y el conjunto de datos en el que se basa el análisis. El método de respaldo adecuado depende del dispositivo específico.

Por ejemplo, en condiciones adecuadas, un soporte de datos tradicional puede protegerse de forma diferente a un teléfono inteligente encendido o a un sistema informático cifrado en funcionamiento.

Los valores hash pueden utilizarse para comprobar la integridad de un conjunto de datos definido. Sin embargo, un valor hash no demuestra automáticamente que la copia de seguridad se haya realizado correctamente ni que la interpretación posterior de un hallazgo sea correcta.

Encontrará información técnica detallada en el apartado Integridad de la evidencia digital.

Cadena de custodia: desde el dispositivo hasta los hallazgos documentados.

La cadena de custodia documenta el manejo de las pruebas. Esto puede incluir la adquisición de un teléfono inteligente o una computadora, su identificación inequívoca, las medidas de seguridad adoptadas y otras transferencias relevantes.

No debe confundirse con las comprobaciones de integridad técnica. Un valor hash verifica un conjunto definido de datos. La cadena de custodia, por otro lado, documenta cómo se gestionó el objeto de la investigación y las copias de seguridad resultantes.

Explicamos la diferencia en detalle en el artículo publicado " Cadena de custodia en la informática forense".

¿Cómo se lleva a cabo una investigación forense informática?

Aclarar la pregunta

En primer lugar, se determina qué proceso técnico se va a investigar y qué período de tiempo es relevante.

Determinar los dispositivos y las fuentes de datos pertinentes.

No es necesario examinar automáticamente todos los dispositivos disponibles. Los teléfonos inteligentes, las computadoras, los medios de almacenamiento, las copias de seguridad y los datos en la nube se priorizan según su relevancia para la pregunta en cuestión.

Capturar el estado inicial

El modelo del dispositivo, el sistema operativo, el estado de seguridad, el cifrado y las opciones de acceso disponibles pueden influir en la estrategia de copia de seguridad adecuada.

Proteger los datos de forma técnicamente adecuada.

El método de preservación de datos se adapta al objeto específico que se investiga. Cuando procede, el análisis posterior se basa en un conjunto de datos definido.

Analizar los artefactos relevantes

Los archivos, las bases de datos, la información de comunicación y los rastros del sistema se evalúan específicamente en función de la pregunta de investigación definida previamente.

Las trazas independientes se correlacionan

Cuando varias fuentes de datos se refieren a un mismo evento, pueden compararse cronológica y objetivamente. Esto suele permitir una clasificación más precisa del evento que la que sería posible con un solo dato.

Hallazgos separados de la interpretación profesional

La documentación debe mostrar claramente qué hallazgos técnicos se obtuvieron, qué conclusiones se pueden extraer de ellos y en qué casos los datos disponibles no permiten formular una afirmación clara.

Análisis forense informático en la zona de Ratisbona y Baviera Oriental.

Ratisbona es un importante centro económico, científico y tecnológico en el este de Baviera. Por lo tanto, las investigaciones digitales afectan tanto a los dispositivos personales como a los sistemas informáticos empresariales en la industria, la tecnología, la investigación, los servicios y las pequeñas y medianas empresas.

La región circundante incluye, entre otros, Neutraubling, Bad Abbach, Kelheim, Burglengenfeld, Schwandorf, Straubing, Cham y Abensberg . Estas localidades se mencionan aquí únicamente a título informativo y no se presentan como sucursales de LB Forensik.

Para otras zonas de Baviera, ya existen páginas independientes y verificadas sobre análisis forense informático en Múnich , Ingolstadt y Augsburgo.

En el caso concreto que se investiga, los límites de la ciudad son de importancia secundaria. Lo que importa son las pruebas digitales disponibles, su estado, el período de tiempo relevante y la cuestión técnica en cuestión.

¿Qué se debe evitar antes de un examen forense?

Un teléfono inteligente que pueda servir como prueba no debe restablecerse apresuradamente a la configuración de fábrica. Tampoco se deben eliminar de forma independiente las aplicaciones, mensajes o archivos sospechosos si se va a investigar su origen o uso posteriormente.

Los programas de recuperación, limpieza y protección contra spyware pueden crear nuevos archivos y registros, lo que puede alterar los datos originales.

Un ordenador que ya se ha apagado no debe reiniciarse normalmente, ni siquiera para una inspección preliminar. El arranque del sistema operativo genera nueva actividad y puede modificar archivos existentes.

Por el contrario, apagar inmediatamente un sistema encendido no siempre es la solución adecuada. Especialmente en el caso de dispositivos cifrados, el estado actual puede afectar las opciones de copia de seguridad futuras.

Preguntas frecuentes sobre informática forense en Ratisbona

¿LB Forensik también trabaja para particulares de Ratisbona?

Sí. Dependiendo de la pregunta específica, los particulares pueden solicitar que se examinen sus teléfonos inteligentes, ordenadores, dispositivos de almacenamiento de datos, copias de seguridad existentes y datos en la nube autorizados.

¿Se puede investigar si mi teléfono ha sido pirateado?

Una investigación forense puede buscar evidencia técnicamente detectable de un posible acceso no autorizado o una vulneración de la seguridad. Las conclusiones que se puedan extraer dependerán del dispositivo específico y de los datos disponibles.

¿Se pueden recuperar los mensajes de WhatsApp eliminados?

En determinadas circunstancias, la información restante de la base de datos, las copias de seguridad, los soportes u otros elementos podrían permitir la reconstrucción. No se puede garantizar una recuperación completa.

¿Es posible determinar si se han copiado archivos a una memoria USB?

Conectar un dispositivo de almacenamiento USB puede dejar rastros técnicamente detectables. La posibilidad de rastrear una transferencia de archivos específica más allá de eso depende de otros artefactos existentes.

¿Se pueden examinar conjuntamente un teléfono inteligente y un ordenador?

Sí. Si varios dispositivos están relacionados con el mismo problema, la información relevante se puede analizar conjuntamente y correlacionar a lo largo del tiempo.

¿Es posible determinar cuándo se utilizó un archivo?

Según el sistema operativo y el tipo de datos, los metadatos del archivo, los rastros de la aplicación y otros artefactos del sistema pueden proporcionar pistas sobre el uso de un archivo. Sin embargo, una sola marca de tiempo no debe interpretarse sin contexto técnico.

¿Puede la informática forense determinar de forma definitiva quién actuó?

No automáticamente. Los artefactos digitales suelen atribuirse a un dispositivo, una cuenta de usuario o un proceso técnico. Esto no implica necesariamente qué persona física operó el dispositivo en el momento pertinente.

¿Se puede verificar técnicamente una captura de pantalla de WhatsApp?

Se puede analizar una captura de pantalla, pero por sí sola contiene información técnica limitada. Si se dispone del teléfono inteligente original o de un método de extracción adecuado, se pueden utilizar otros elementos de la aplicación y de la comunicación para realizar comparaciones.

¿Qué software forense utiliza LB Forensics?

En función del dispositivo, la fuente de datos y el objetivo de la investigación, utilizamos, entre otros, Cellebrite, X-Ways Forensics, Belkasoft y MOBILedit Forensic.

¿Debería reiniciarse o restablecerse un teléfono inteligente sospechoso?

Esto no debe hacerse con un dispositivo que pueda ser relevante como prueba sin una evaluación técnica previa. Reiniciar el dispositivo puede alterar los datos disponibles y, en el caso de los teléfonos inteligentes modernos, también el estado del dispositivo que le sería útil para análisis forenses.