TELENOFÍA CELULAR FORENSE

Ronald PEÑA CARRASCO

INVESTIGACIONES DE TELEFONÍA CELULAR

Análisis Forense Oficio al proveedor de

del dispositivo servicios de telefonía móvil
móvil
2
CONSIDERACIONES DE TECNOLOGÍA

Teléfonos básicos
Solo telefonía y funciones de agenda

Teléfonos avanzados
Agregan multimedia

Smartphones / PDA
Funciones de oficina (palms , blackberry , iphone…)

4
 CONSIDERACIONES DE TECNOLOGÍA

Actualmente solo GSM con SIM Card

(Optativo MMC)

Que elementos se pueden recuperar depende

del modelo y de los servicios que disponga
la unidad LTE/4G/GPRS/EDGE/3G

5
PROBLEMÁTICA ASOCIADA AL DISPOSITIVO MOVIL

Información volátil de la conexión

Diversidad de Sistemas operativos

Diversidad de conexiones

Ciclo de obsolesencia

Confianza del usuario por la portabilidad

6
 LAS DESVENTAJAS O RIESGOS DE APAGAR EL
TELÉFONO MÓVIL:

• Posibilidad de acoplamiento de mecanismos de autenticación

(ejemplo, contraseñas, PINs, etc.) esto requiere que la recolección
de información sea inmediata, por lo que necesita estar encendido
pero aislado de cualquier red manteniendo al mismo tiempo la
carga del teléfono.

• Blindaje contra la Radio Frecuencia (RF), esta comunicación

podría alterar la información del teléfono móvil.

• Establecer el modo “avión” limitando el acceso a torres

telefónicas, pero debe considerar las llamadas al 911.

• Desactivar comunicaciones WiFi, Bluetooth, RFID (Radio

Frequency Identification) etc.
 EVIDENCIA EN EL DISPOSITIVO MÓVIL

Dispositivo Móvil: Memoria Interna, Tarjeta de Memoria Externa

y Tarjeta SIM

8
CONSIDERACIONES PREVIAS A LA ADQUISICIÓN

Dejarlo Encendido o Apagarlo ?

• Si está encendido aislarlo de la red (datos de celda /consumo)
• Posibilidad de ejecución de programas destructivos
• Si se apaga se corre el riesgo que el dispositivo y/o SIM card estén
protegidos por contraseña

Obtener el cargador

Obtener información del modelo

• Remover la batería para obtener los datos
• Obtener el IMEI (International Mobil Equipment Identifier )presionando
*#06#

9
PODEMOS OBTENER LA ÚLTIMA UBICACIÓN DEL DISPOSITIVO MÓVIL

1
10
QUE SE PUEDE OBTENER DEL ANÁLISIS FORENSE ?

Agenda de contáctos
Log de llamadas
Calendario / Tareas
SMS enviados , recibidos
Imágenes / Video
Email
Caché de Internet
Artefactos de aplicaciones Java
Chats

1
11
FASES DE ADQUISICIÓN DE DISPOSITIVOS MÓVILES

Preservar los de datos de conexión

Adquisición de la SIM card

Adquisición de la memoria interna (física ó Lógica)

Adquisición de otros medios digitales

12
SEGÚN EL PREVIO ANÁLISIS DEL CASO Y LAS HERRAMIENTAS
SELECCIONADAS EL INVESTIGADOR FORENSE DIGITAL PUEDE
PROCESAR LA EVIDENCIA Y SU ORDEN DE EJECUCIÓN:

1. Retirar la tarjeta SIM desde el teléfono

2. Extraer la información almacenada desde la tarjeta de SIM
3. Retirar alguna memoria extraíble desde el teléfono, por ejemplo una MicroSD u otro
tipo de memoria
4. Crear una imagen de la memoria extraíble, por ejemplo una MicroSD u otro tipo de
memoria
5. Insertar la tarjeta SIM y la tarjeta de memoria nuevamente en el teléfono
6. Emplear métodos de aislamientos al teléfono móvil, por ejemplo bolsas Faraday
7. Encender el teléfono celular
8. Extraer la información alojada desde el teléfono celular
La documentación sobre el análisis de un teléfono móvil debe incluir los
requisitos de las políticas del laboratorio forense digital y por lo menos
debe contener información sobre el manejo de pruebas, información de
análisis y un informe de resultados.
Documentación sobre el manejo de la evidencia debe incluir, pero no se limita a:

• Copia de la autoridad legal

• La cadena de custodia
• Descripción detallada y/o fotografías del teléfono (por ejemplo, número de teléfono,
marca y modelo)
• Las fotografías o documentación de cualquier daño visible
• Información del embalaje y el estado del teléfono

La documentación sobre el análisis debe ser de acuerdo con las políticas, e incluyen:

• El detalle suficiente para que otro examinador, competente en la misma área de

especialización pueda repetir los resultados de forma independiente.
• Herramientas y software utilizados en el examen
• Documentación de las posibles anomalías en la adquisición de datos (por ejemplo, la
interrupción en la adquisición, cables defectuosos, datos de entrada, etc.)
• Notas de comunicación sustantiva de acuerdo al caso
Informe de resultados:

• Tratar de abordar las peticiones específicas del caso

• Identificar el alcance y/o el propósito del examen

• Proveer una descripción detallada del teléfono móvil examinado (por ejemplo,

número de teléfono, el transportista, propietario, marca/modelo y sistema

operativo)

• Incluir nombre de examinador y fecha de examen

• Proporcionar la información pertinente de manera clara y concisa

• Debería ser revisado de acuerdo con las políticas del laboratorio forense digital
 PRESERVACIÓN DE LOS DATOS DE CONEXIÓN

Jaula de Faraday

Bolsa de Faraday
•Evitan la conectividad a las redes celulares, WiFi y Bluetooth, esto por si de forma remota el
sospechoso intenta borrar los datos.
•El blindaje eficaz a conexiones: 2G, 3G, 4G, LTE, Bluetooth (1, 2, 3 y 4), WiFi (2.4 GHz y 5 GHz),
SatNav/GPS, RFID (HF), RFID (ACTIVE), RFID (UHF), entre otras.
16
 PRESERVACIÓN DE LOS DATOS DE CONEXIÓN CLONADO DE SIM

Utilización de Forensic Card writers

17
 ADQUISICIÓN DE LA SIM CARD

Utilización de Forensic Card readers

18
 ADQUISICIÓN DE LA MEMORIA INTERNA

• Pasos a Seguir :

Alimentar el equipo (fuente o

herramienta)

Impedir la conexión al sistema celular

para obtener datos dinámicos

Seleccionar el cable de conexión

19
 HALLAZGO CON ADQUISICION FÍSICA

+54115174007·+541153866947·Flaca no me claves tus puñales...

te amo para siempre nadie va a remplazarte jamas xq sos unika
y no existe una persona mas buena q vos

20
 HALLAZGO CON ADQUISICIÓN LÓGICA

Herramientas : UFED de Cellebrite

Soporta 2000 modelos , incluyendo CDMA/TDMA
Adquisiciones lógicas/físicas
Conexión por cable
Mayormente de proveedores USA
Sistema Portable independiente con cables
propietarios
No incluye mecanismo de bloqueo de senales
4/6 actualizaciones anuales
Formato estándar de salida (XLS , RTF)

21
UNIDAD ESPECIAL EN GEOLOCALIZACIÓN
 DL. N° 1182 (Art. 4 y 5): Procedimiento y Convalidación Judicial
Hecho delictivo Convalidación Judicial
Plazo de 60
Procedencia de
la medida días para
Ministerio Poder continuar
Público Judicial investigación
2 Dentro de las policial
Se
24 horas emite Denegación de
Fiscal Solicita al
Denuncia el informe para
Juez la convalidación
Juez resuelve en la medida suspende
sustentar la un plazo no actividades
policial de la medida dentro
mayor de las 24
convalidación Eliminación
de las 24 horas
judicial horas y/o
posterior a la
Incineración
1 Verifica los
recepción del informe

Unidad PNP Comunica

tres
a cargo de la el hecho al Formula
supuestos requerimiento de geo vía correo
investigación Fiscal de de localización electrónico u
policial manera otro medio
Procedencia idóneo
inmediata
Unidad convenido
Especial en Verifica Concesionarias
1. Delito flagrante Formula
2. Sanción mayor a Geolocalización identidad de servicios de
requeri-
4 años de pena PNP de telecomunicaciones
miento
privativa solicitante
3. Sea necesario
para la
investigación

Provee de información de geolocalización Brinda datos de Geolocalización de manera

para las diligencias de la investigación inmediata
policial Las 24 horas y los 365 días del año
 JEFE DE LA UNIDAD DE ACREDITACION
INVESTIGACION POLICIAL
ACREDITACIÓN

CORREO INSTITUCIONAL
SE ACREDITAN ANTE LA UNIDAD ESPECIALIZADA PNP.
UNESGEO (a través del correo electrónico SOLICITA ACREDITA - UNIDADES ATRAVÉS
institucional), sin perjuicio de realizarlo
DE INVESTIGACION
formalmente dentro de las Cuarenta y Ocho (48)
horas de envió del correo.
ENVIA

 Acreditan a cada Jefe de Unidad de  Modelo de Oficio de

Investigación. Acreditación

 Solo el Jefe de Unidad de Investigación  Modelo de Oficio de

Requerimiento
acreditado puede solicitar información sobre
localización o geolocalización.
 Modelo de Informe de
Convalidación
 El Jefe de Unidad de Investigación en el pedido
de localización o geolocalización designa a un
responsable por cada caso para la recepción de
la información durante el tiempo que dure la
medida. De haber algún cambio, por
vacaciones, permiso, permuta, reasignación y
otros, debe comunicar de inmediato a la Unidad
Especializada, a fin que se proceda a los Correo UNESGEO: unesgeo.divindat @pnp.gob.pe
reajustes correspondientes. Tales cambios son
comunicados mediante correo institucional.
MODELO - LLENADO DE OFICIO DE ACREDITACIÓN
MODELO - LLENADO FICHA DE ACREDITACIÓN
MODELO - LLENADO OFICIO DE REQUERIMIENTO
UNESGEO
DIVINDAT UNESGEO
DIRINCRI
MODELO DE INFORME DE CONVALIDACIÓN
MODELO DE INFORME DE CONVALIDACIÓN
GESTIÓN DE DATOS
QUE BRINDAN LAS
OPERADORAS

(INTERCAMBIO
DE
INFORMACION)
INTERCAMBIO DE INFORMACIÓN
Protocolo de acceso a los datos de localización o
geolocalización de teléfonos móviles o dispositivos
electrónicos de naturaleza similar.
Aprobado con RM 631-2015-IN del 16OCT2015

Coordenadas, dirección
referencial y en algunas
operadoras el azimut.
ACCESO MEDIANTE PORTAL LBS:

COORDENADAS:

LATITUD
LONGITUD

TAMBIEN BRINDA:

DIRECCIÓN REFERENCIAL ANTENA

FECHA
ACCESO MEDIANTE CORREO
ELECTRONICO:

COORDENADAS:

LATITUD
LONGITUD

TAMBIEN BRINDA:

AZIMUT
DIRECCIÓN REFERENCIAL ANTENA
FECHA
ACCESO MEDIANTE CORREO
ELECTRONICO:

COORDENADAS:

LATITUD
LONGITUD

TAMBIEN BRINDA:
DIRECCIÓN REFERENCIAL ANTENA
FECHA
ACCESO MEDIANTE CORREO
ELECTRONICO:

COORDENADAS:

LATITUD
LONGITUD

TAMBIEN BRINDA:

DIRECCIÓN REFERENCIAL ANTENA

FECHA