INFO SECURE

Investigación forense informática

División de Informática Forense

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

INFORMATICA FORENSE (Posgrado)

TRABAJO COLABORATIVO No. 1

PRESENTADO POR:

JORGE LEONARDO RODRIGUEZ 

Código: 1097035128
ANDRES ALBERTO ACEVEDO
Código: 1090393776
DIRLEY PIEDAD CASTILLO CAICEDO
Código: 51838941
JORGE ANDRES MORENO
Código: 1093757132

PRESENTADO A:
HAROLD EMILIO CABRERA MEZA
Tutor

PROGRAMA DE INGENIERIA DE SISTEMAS

ESPECIALIZACION SEGURIDAD INFORMATICA
ESCUELA DE CIENCIAS BÁSICAS TECNOLOGIA E INGENIERIA
Noviembre 2015
 INFO SECURE
Investigación forense informática
División de Informática Forense

Contenido

INTRODUCCIÓN.............................................................................................................................3
ANÁLISIS.........................................................................................................................................3
AUTOPSY (Windows).................................................................................................................3
CAINE 5.0 (Linux Live CD).........................................................................................................3
OSForensics (Windows y Live CD)...........................................................................................4
Xiao Stenography........................................................................................................................4
Resumen.........................................................................................................................................5
Sumario del incidente:.................................................................................................................6
Conclusiones:................................................................................................................................6
Solución:.........................................................................................................................................7
Recomendaciones Finales:.........................................................................................................7
 INFO SECURE
Investigación forense informática
División de Informática Forense

INTRODUCCIÓN

La señora Greiga Smith, ahora en adelante denominada LA DEMANDANTE, en

calidad de gerente de la empresa MI CASITA FELIZ, presento la solicitud de
investigación forense para determinar la fuga de información de la empresa MI
CASITA FELIZ que se presentó en los periodos comprendidos entre noviembre del
2014 y el 10 de diciembre del 2014. LA DEMANDANTE tiene indicios de que el
señor Paul Kemssi puede estar filtrando información a la competencia, esto
debido a que su enamorada labora en la empresa DISEÑAR MUEBLES, y en esta
última empresa es donde se ha evidenciado la fuga de información al encontrarse
los diseño de muebles antes de que la empresa MI CASITA FELIZ los saque al
mercado

ANÁLISIS

Para el desarrollo de la presente investigación se utilizaron las siguientes

herramientas:

AUTOPSY (Windows)

Ilustración 1. Autopsy.
Autopsy es una aplicación forense con interfaz de usuario que permite a los
investigadores analizar un disco duro o imagen de disco para realizar una
investigación respectiva utilizando la variedad de herramientas que posee.

CAINE 5.0 (Linux Live CD)

Esta herramienta diseñada en entorno Linux ofrece un completo entorno forense
de software y posee la capacidad de usarse como Live CD.
 INFO SECURE
Investigación forense informática
División de Informática Forense

Ilustración 2. Entorno de trabajo Live CD CAIN.

OSForensics (Windows y Live CD)

Esta herramienta permite extraer información forense de una imagen o crear un
Live CD para analizar una unidad física.

Ilustración 3. OSForensics.

Xiao Stenography
Es un programa de encriptación de documentos que permite ocultar información
en archivos, imágenes, etc. Utiliza el método de Se trata de la estenografía para
ocultar información confidencial en cualquier tipo de archivo.
 INFO SECURE
Investigación forense informática
División de Informática Forense

Ilustración 4. Menú principal.

Para el análisis de la información se utilizó un computador portátil Dell con las
siguientes
Características:
Referencia: Inspiron 3437
Memoria: 6144 MB
Sistema Operativo: Windows 7
Procesador: Intel Core i5-4200U 1.60 GHz (4CPUs)
Disco Duro: 1 TB
Software Forense: Autopzy 4.0.0, Xiao Stenography,OS Forensics.
Duración análisis: 6 horas

Resumen

Se hizo un análisis de la evidencia, abriendo cada uno de los archivos que posee
incluyendo archivos que se habían borrado. Sin embargo no se encontró evidencia
alguna hasta que encontramos un ejecutable correspondiente a un programa que
esconde archivos dentro de imágenes, para que así sean indetectables para el
común de las personas. Por lo cual se procedió a buscar archivos ocultos dentro
de imágenes, arrojando resultados que incriminan al sospechoso. Se encontraron
dos archivos Word escondidos en imágenes, que contienen fotos de muebles de la
empresa MI CASITA FELIZ. A simple vista, las imágenes analizadas corresponden
simplemente a imágenes de perros, por lo cual el acusado enviaba a su cómplice
de la otra empresa los adjuntos con los diseños escondidos, escribiendo mensajes
 INFO SECURE
Investigación forense informática
División de Informática Forense

que pretendían despistar a los posibles investigadores de fraude e inclusive a los

dueños de la empresa.

Sumario del incidente:

1. 01 de Noviembre de 2014 LA DEMANDANTE observa diseños aun no

lanzados en la competencia.
2. 10 de Noviembre de 2014, LA DEMANDANTE encarga al personal de sistemas
que analice algo dentro de los log del servidor de correo electrónico para ver si
encontraban algo anormal.
3. 15 de Noviembre de 2014, el departamento de sistemas indica que lo único
raro de la cuenta del Sr. Kemssi es el envío a una misma dirección unas 2
veces por semana durante el último mes la imagen de unos perros con el
asunto: me haces falta y te envío otro.
4. 10 de Diciembre de 2014, se observan más diseños nuevos en la competencia.
5. 12 Diciembre de 2014, levantamiento de la denuncia y aseguramiento de la
escena.
6. 13 de Diciembre de 2014, fase de validación y preservación de pruebas.
7. 14 de Diciembre de 2014, entrada de la cadena de custodia al equipo forense
informático por orden judicial.
8. 15 de Diciembre de 2014, análisis de la información en laboratorio informático
forense.
9. 16 de Diciembre de 2014, orden de revisión de la computadora del Sr. Paul
Kemssi y entrada de la segunda escena forense.
18 de Diciembre de 2014, se utiliza la herramienta Xiao Stenography, la misma
encontrada en programas instalados en la máquina del sospechoso, al
desencriptarlos se encuentra que efectivamente corresponde a diseños de la
empresa.

Conclusiones:

El Sr. Kemssi no posee estudios profesionales en sistemas, pero cuenta con

conocimientos avanzados en el área lo que le permitió usar la técnica de
esteganografía usando el software Xiao Stenography.
Se determinaron que las imágenes que fueron el canal para la transmisión de la
información oculta fueron “107-amor de perros.bmp” y “78-batman forever.bmp”,
esto debido a que dichas imágenes tenían un peso exagerado. Al analizar dichas
imágenes con el software Xiao Stenography se encontraró archivos de Word
ocultos entre las imágenes, dichos archivos contenían imágenes de los diseño que
fueron objeto de plagio
 INFO SECURE
Investigación forense informática
División de Informática Forense

Solución:
Al analizar la evidencia se determinó que la filtración de información empezó el
20/09/2010, esto debido a que en esa fecha se creó el archivo 107-amor de
perros.bmp. Se determinó que quien creo este archivo fue el Sr. Kemssi, pues
dicho archivo se creó en su equipo y se filtró usando su dirección de correo
electrónica corporativa

Recomendaciones Finales:

 Se recomienda a LA DEMANDANTE limitar los permisos de los usuarios de

los equipos y eliminar las cuentas con privilegios de administración.

 Se recomienda eliminar el privilegio de que los usuarios puedan instalar

software en sus equipos.

 Implementar una normatividad para el uso del correo corporativo, para que
este solamente pueda ser usado para cuestiones laborales y no personales.

 Limitar el acceso en los posibles a otros clientes de correo electrónico

(Gmail, Hotmail, etc) para que no se pueda filtrar información por medio de
otros medios.

 Cifrar y restringir el acceso a archivos que tengan información crucial para

el funcionamiento de la empresa