Pericias desarrolladas en el servicio de criminalística de la Guardia

212
Peritaciones y Arbitrajes
Pericias desarrolladas en el servicio
de criminalística de la Guardia Civil
EN EL PRESENTE ARTÍCULO SE TRATARÁ DE LAS COMPETENCIAS TÉCNICAS QUE
ACTUALMENTE POSEE ESTE DEPARTAMENTO
bien, por falta de personal adecuado
Servicio de
Criminalística de la
Guardia Civil
Departamento de
Electrónica e
Informática Forense
(DEI)
Sí se quiere resaltar que este
no se ha desarrollado al nivel de las
departamento, al igual que todos los
dos anteriores.
propios del Servicio de Criminalística,
En el presente artículo se tratará
pertenece a la Red Europea de
específicamente de las competencias
Laboratorios Forenses (ENFSI), y en
técnicas que actualmente posee este
concreto, a su grupo de nuevas
departamento, reseñando
tecnologías (FITWG), a cuyas
puntualmente en su desarrollo algún
reuniones se acude anualmente y de
cuyo comité directivo forma parte. En
A
modo de introducción a la
temática central de este
artículo, es conveniente
determinar las dos grandes áreas que
engloba el Servicio de Criminalística de
la Guardia Civil, con sede en la
Dirección General del Cuerpo en
Madrid. Estas dos áreas son la Sección
de Criminalística Física y la Sección de
Criminalística Analítica, dentro de la
la última reunión de este grupo
Este Departamente tiene
dos grandes áreas, como
son la de electrónica y
telefonía móvil y la de
informática forense
cual se incluyen los Departamentos de
celebrada en Dublín, en septiembre del
presente año, se determinó que el
próximo país anfitrión en su
organización sería España, y en
concreto, la Guardia Civil por medio del
DEI. En estos foros participan la gran
mayoría de países europeos con
laboratorios forenses de nuevas
tecnologías, así como países asociados,
como son Estados Unidos, Canadá,
Análisis Biológicos, Química y Medio
Japón, China (Hong Kong), Turquía y
Ambiente, Acústica e Imagen y el que
otro campo del conocimiento forense
otros. En consecuencia, la participación
nos ocupa, el Departamento de
que también puede ser activado en un
activa en este foro ha permitido a la
Electrónica e Informática Forense (DEI).
futuro inmediato, como puede ser la
Guardia Civil estar al día en los
investigación de los delitos
procedimientos y métodos de análisis
2001, tras haber permanecido durante
económicos de toda índole. Al tener
forense de las evidencias/muestras
un tiempo como un apéndice del de
un enfoque eminentemente práctico,
cibernéticas que usan los laboratorios
Acústica e Imagen. Tras medio año de
no se tratarán los temas jurídicos que
más importantes en esta temática de
formación específica en la Universidad
supone la consideración de prueba
nuestro entorno geográfico.
Politécnica de Madrid, se constituyó en
electrónica, la delimitación de la
área independiente del anterior y
misma en los ámbitos civil, mercantil
desde ahí, hasta nuestros días. Posee,
y penal, la cualificación necesaria para
a su vez, dos grandes áreas, como son
ser un perito o especialista forense en
la de electrónica y telefonía móvil y la
nuevas tecnologías, así como los
propia de informática forense. También
distintos apartados que se incluyen en
posee activada una tercera, la dedicada
el informe pericial que se remite a los
específicamente a la criptografía, si
diversos Juzgados de toda España.
Este departamento se creó en el año
nº 16 ESPECIAL AGE
El presente: competencias del
departamento de electrónica e
informática
Este departamento posee peritos
forenses en los campos del
213
Peritaciones y Arbitrajes
conocimiento que se detallan
seguidamente, si bien, se es
consciente de que se nombran y
describen someramente, en la idea de
que en futuros artículos se pueda
profundizar más en la divulgación
científica de éstos.
Área de electrónica:
En esta área se distinguen las
siguientes competencias:
• Análisis de dispositivos
electrónicos diversos:
Micrófonos y
transmisores/receptores ocultos.
Agendas electrónicas.
Consolas de videojuegos.
Circuitos relacionados con incendios
de origen eléctrico.
Otros circuitos electrónicos:
inhibidores de frecuencia, captadores
de códigos, temporizadores de
artefactos explosivos.
Ordenadores y llaves electrónicas
antirrobo de coches de lujo:
Mercedes, Audi, BMW y otras marcas.
Las pericias en este campo
consisten en determinar los distintos
componentes electrónicos que forman
el circuito y tras las pruebas
oportunas, determinar su no
manipulación, así como confirmar que
funciona de acuerdo a su uso
comercial. De todos los circuitos se
elabora un diagrama de bloques con
el esquema electrónico general del
mismo.
Imagen para el área de electrónica: Se visualiza a un perito en el proceso de lectura de los
datos almacenados en las memorias internas de distintos dispositivos electrónicos, usando
un ordenador MAC.
Las pericias en este campo
consisten en determinar los
distintos componentes
electrónicos que forman el
circuito y determinar su no
manipulación
• Telefonía móvil:
Este estudio permitiría, según el caso,
confirmar si un determinado
sospechoso ha estado o no en una
determinada zona a una hora
concreta. Esta competencia está muy
desarrollada en el laboratorio forense
de la Gendarmería francesa así como
en el Servicio Científico Forense (FSS)
británico.
Si el teléfono está en mal estado, se
somete a un proceso de reparación y
ensamblaje de componentes con la
En estas pericias se distinguen dos
finalidad de ponerlo en funcionamiento,
partes claramente diferenciadas: una,
operadoras de ese teléfono las
con vista a que vía software, se
la información que contiene el móvil
llamadas entrantes, salientes,
puedan obtener los datos que posee
(en su memoria interna y en su SIM)
mensajes cortos y buzón de voz, todo
almacenados en sus memorias
y otra, la que aporta la operadora de
ello, según el tiempo que cada
internas.
telefonía móvil.
operadora lo almacene en sus bases
Si la tarjeta SIM del teléfono está
bloqueada, se solicita el número PUK
de datos.
En esta área quedaría por activar el
• Análisis de tarjetas con banda
magnética:
a la operadora correspondiente, vía
estudio de los mapas de localización
judicial. Al mismo tiempo, se solicita
de ese móvil durante su uso en
magnética consiste en la lectura de
El análisis de las tarjetas con banda
mediante Auto Judicial a las distintas
relación a un posible hecho delictivo.
los datos hexadecimales de esa
nº 16 ESPECIAL AGE
214
Peritaciones y Arbitrajes
El análisis de las tarjetas
con banda magnética
consiste en la lectura de los
datos hexadecimales de
esa banda
banda, generalmente estructurada en
tres pistas. Cuando la tarjeta posee
embosado, estas pericias se combinan
con el Departamento de Grafística de
este Servicio de Criminalística, el cual
asocia los datos personales de las
pistas con los que se especifican en el
reverso y en relieve de esa tarjeta.
La información obtenida de las
pistas leídas, caso de ser de temática
económica y bancaria, es remitida al
Juzgado respectivo, para que
posteriormente, un perito bancario
determine el número de transacciones
económicas hechas, a nombre de quién
y desde qué sucursal en concreto.
Cuando existen ordenadores
combinados con las tarjetas o meros
lectores de las mismas, también se
determina la impresora térmica que
tienen configurada en sus sistemas
operativos, para comprobar si, caso
de haberse remitido ésta como
evidencia/muestra al laboratorio,
poder determinar si se ha usado para
la elaboración física de las tarjetas
fraudulentas.
Imagen para el área de informática: Se visualiza un bloqueador hardware para análisis de los
datos almacenados en los discos duros.
Una de las formas de fraude más
corrientes en esta área es la de copiar
copia de la original, pudiendo realizar
para registrar esos datos en el lector,
los datos de una tarjeta auténtica con
compras en cualquier establecimiento.
es preciso efectuar ingeniería inversa
un lector de tarjetas oculto al usuario,
Un campo en continua investigación
con la finalidad de, primero,
cuando ésta se entrega en un
por este Departamento,
discriminar los datos propios de cada
establecimiento comercial para
conjuntamente con la Universidad
una de esas pistas, y luego,
efectuar un pago electrónico.
Politécnica de Madrid, consiste en
traducirlos a texto plano que sea
Posteriormente, a través de un
descifrar y poner en claro los datos
totalmente legible por los expertos
ordenador tipo PC, se extraen esos
leídos de las pistas reseñadas cuando
económicos bancarios. Otras veces, el
datos y se vuelven a grabar en una
se graban en la memoria interna de
problema consiste meramente en
tarjeta virgen, que una vez
un dispositivo lector de tarjetas
averiguar el pin o palabra de paso del
serigrafiada con el anagrama
portátil (“skimmer”). Al desconocerse
dispositivo, reto ante el cual,
correspondiente, se convierte en una
el sistema utilizado por el fabricante
actualmente se está utilizando
nº 16 ESPECIAL AGE
215
Peritaciones y Arbitrajes
ese proceso de volcado o clonado no
han sufrido ningún cambio en la
información en ellos contenida, se
realiza una firma digital o “hash”
antes y después de ese proceso, de
tal forma que esa firma debe resultar
la misma.
El volcado de datos y según los
casos, puede consistir en realizar una
imagen o bien, una copia íntegra disco
a disco. En ambos casos, los datos
obtenidos son copia fiel de los
contenidos en los discos originales. Si
bien, la diferencia estriba en que en la
fase posterior de análisis de los datos
copiados, la imagen se debe visualizar
con el mismo software con el que se
realizó y en cambio, el clonado disco a
Imagen para el área de informática: Se visualizan tres clonadoras de discos duros vacías.
disco permite el acceso de los datos
con distinto software.
ataques por fuerza bruta para obtener
ese número, el cual dará acceso, vía
software, a los datos almacenados en
sus memorias internas.
• Análisis de autómatas
relacionados con plantas
industriales:
Dentro de las competencias que
poseen los peritos electrónicos de este
Departamento, están las inspecciones
Todo laboratorio forense
relacionado con temas
informáticos debe realizar,
previamente al análisis de
los datos, copia de esos
datos
Área de informática:
La duración del volcado por ambas
vías suele ser la misma.
• Recuperación de ficheros
borrados:
La segunda etapa de todo
departamento forense, una vez
de archivos borrados y ocultos. Este
proceso se realiza con software
distintos dispositivos electrónicos que
En este marco se incluye el estudio
software profesional y de uso forense.
copia, es proceder a la recuperación
cuando así se requiere para elaborar
se remiten al DEI, si ha lugar.
las clonadoras oportunas o vía
realizado el volcado de datos a discos
“in situ” de instalaciones de todo tipo
un informe más objetivo de los
Los métodos de volcado de datos
se resumen en dos: vía hardware con
En esta área se distinguen las
siguientes competencias:
comercial y profesional.
En numerosas ocasiones, el análisis
de datos en estas áreas de memoria
de determinados autómatas asociados
• Copias de seguridad y
borradas permite obtener los indicios
se denuncia, vía penal, su
volcados del contenido de los
inculpatorios contra el individuo que
intervención en algún hecho delictivo,
discos duros:
usó esos ordenadores.
a máquinas industriales de las cuales
como puede ser una posible estafa o
Todo laboratorio forense relacionado
estudio de la existencia de virus
con temas informáticos debe realizar,
informáticos que hagan que éstas se
previamente al análisis de los datos
paralicen sin motivo aparente. En
contenidos en los distintos soportes
estos casos, a la par que se estudia el
informáticos, copia de esos datos. Este
informático es analizar los datos
software instalado en los PLCs
hecho supone, que se debe realizar
contenidos en los distintos soportes
correspondientes, también se debe
una copia de seguridad a discos
informáticos. La temática a la que se
efectuar un estudio de la instalación
propios de la información contenida en
debe enfrentar es diversa, y
eléctrica de esas máquinas, con vistas
los discos originales.
resumidamente, los peritos del DEI
a averiguar si el conexionado con los
distintos autómatas es el adecuado.
Para garantizar que los datos de los
discos originales, antes y después de
• Análisis forense del
contenido de los discos duros:
La tercera gran etapa de un perito
analizan los indicios penales
relacionados con:
nº 16 ESPECIAL AGE
216
Peritaciones y Arbitrajes
Todo perito informático
debe dominar
perfectamente el hardware
informático que utiliza
a analizar se determinará su estudio
por uno u otro especialista.
Genéricamente y a modo de resumen,
en esta área se tratan los siguientes
aspectos:
• Averiguar las claves de
acceso a teléfonos móviles y
Imagen para el área de informática: Se visualiza una pantalla del software forense de análisis
de datos y volcado forense ILOOK, bajo entorno Linux.
agendas electrónicas.
El acceso a los teléfonos móviles se
realiza, como ya se ha visto, previa
Falsificación de moneda y
consistido en la rotura de las cabezas
obtención del PUK que proporcionan
documentación.
lectoras, no ha dado resultado positivo.
las distintas operadoras de telefonía.
Pornografía infantil y corrupción de
Esto es debido a que la precisión de
Las agendas electrónicas son
menores.
ubicación de los platos de los discos
sometidas a programas comerciales
Acceso no autorizado a medios
duros tras su salida de fábrica,
que por fuerza bruta tratan de
informáticos: estudio de programas de
determina que su manipulación sin el
averiguar su palabra de acceso.
“hacking”, troyanos y rastreadores de
equipamiento adecuado, hace difícil su
También existen dispositivos
protocolos.
posterior engranaje, de tal forma que
hardware, que según el modelo de la
Utilización fraudulenta de programas
aunque se logre cambiar las cabezas y
agenda, permiten descifrar su
y sus códigos fuente: copias desleales.
volver a insertar los discos en su
“password”.
Estafas cibernéticas.
ubicación original, el cambio de
Extracción de ficheros de
medidas en ese ajuste no permite la
contabilidad.
correcta lectura de los datos.
En estos casos, estos peritos
• Reparaciones hardware de los
discos duros:
remiten los discos duros defectuosos u
otros soportes de almacenamiento
• Averiguar las palabras de
paso a la bios de los
ordenadores o programas en
ellos instalados.
Este proceso se realiza con
digital, a empresas de recuperación de
programas comerciales y por la
perfectamente el hardware informático
datos de carácter comercial, las cuales,
técnica de fuerza bruta.
que utiliza. Entre éste está la reparación
una vez obtenido estos datos con
de los discos duros defectuosos. Hasta
supervisión de nuestros especialistas,
la fecha, únicamente se han logrado
son analizados en el laboratorio.
Todo perito informático debe dominar
cifrado, así como detección de
resultados positivos cuando un disco
unidades virtuales de
estaba en mal estado por desperfecto
de su controladora, pues con su simple
• Convertir a un formato
legible un fichero encriptado o
Área de criptografía:
almacenamiento.
Este campo es realmente difícil
cambio se ha podido nuevamente
Esta área lo realizan por igual los
para el perito, pues si estos ficheros
Pruebas recientes en una sala
peritos informáticos y los electrónicos,
han sido cifrados u ocultados con un
blanca cuando el desperfecto ha
ya que según el dispositivo o software
software robusto, no es posible su
acceder a sus datos.
nº 16 ESPECIAL AGE
217
Peritaciones y Arbitrajes
puesta en claro o lectura de los datos
sin más. Así ocurre cuando se ha
utilizado el programa PGP u otros con
igual nivel de seguridad. Salvo que en
la intervención operativa se haya
encontrado la clave de cifrado o el
individuo en cuestión la diga, es
realmente difícil volver a obtener los
datos originales y en claro con los
medios comerciales conocidos por el
gran público.
• Buscar ficheros ocultos
mediante esteganografía.
Existen programas que permiten
Imagen para el área de informática: Se visualiza una pantalla del software forense de análisis
de datos y volcado forense ENCASE, bajo entorno DOS.
averiguar si en el contenido de un
fichero se ocultan otros con la
lectores de tarjetas bancarias, ya
nuevas tecnologías no resueltos en
información vital a buscar.
especificado, el DEI inició el año
la vía comercial y que serán
Normalmente, se suelen ocultar en
pasado esta vía a través de un
activados conjuntamente con otros
ficheros de imagen, de tal forma que
proyecto de desarrollo software en el
trabajos de investigación de las otras
bajo la apariencia de su visualización
análisis de webmails conjuntamente
ramas de la criminalística, para
normal, se guardan en un segundo
con una empresa internacional de
antes de final de año.
plano los datos de interés. Aquí es de
recuperación de datos en soportes
El desarrollo de herramientas
gran utilidad el uso de herramientas
hardware y software específicas y
desarrolladas por los laboratorios
adaptadas al mundo forense a través
forenses de Holanda y de la BKA
de estos foros de investigación, debe
alemana.
El futuro: proyectos de
investigación
Todo departamento forense de
nuevas tecnologías que quiera ser
Averiguar claves de paso
se realiza con programas
comerciales y por la
técnica de fuerza bruta
traducirse en la materialización en un
producto concreto, el cual, será
sometido a una posterior habilitación
dentro de la comunidad internacional,
para lo cual, el siguiente paso será
su presentación y testeo en el ámbito
de ENFSI, de tal forma que si pasa
los niveles de acreditación que se
puntero a nivel nacional en este
están estudiando dentro de los
campo y ser tenido en cuenta como
laboratorios que lo integran, ya se
tal en Europa, debe aportar
podrá comercializar sin problemas
investigaciones científicas propias en
digitales, estando el proyecto
para su uso por toda la comunidad
esta área, de tal forma que
financiado por el Instituto
forense relacionada con las nuevas
conjuntamente con el quehacer
Universitario de Investigación y
tecnologías.
cotidiano que supone la realización
Seguridad Interior (IUISI), del cual
de informes periciales, se debe
forman parte la Guardia Civil y la
por extensión, todo el Servicio de
deparar parte del tiempo y recursos
UNED.
Criminalística de la Guardia Civil,
humanos para colaborar,
Este año, este departamento,
Para concluir, este departamento y
quiere agradecer a la Revista
especialmente, con trabajos de
conjuntamente con el homólogo del
esta oportunidad de divulgar el
campo, en proyectos de investigación
Cuerpo Nacional de Policía y la
trabajo diario que efectúan los
sobre temas relacionados con este
Universidad de Alcalá de Henares,
especialistas de esta área del mundo
mundo del saber, los cuales son
dentro del Instituto Universitario de
forense, deseando que sea
actualmente un reto no resuelto por
Investigación en Ciencias Policiales
divulgativo y permita conocer al
la industria generalista.
(IUICP), también va a presentar
público general, la temática de las
distintas ponencias de investigación
evidencias/muestras que se analizan
relacionadas con temas forenses de
dentro de las nuevas tecnologías.
Aparte de investigaciones
puntuales con la UPM en el caso de
nº 16 ESPECIAL AGE