Quien borra un rastro deja otro rastro. El peritaje muestra qué fue destruido, cuándo y cómo, recupera lo que todavía existe y dice con franqueza lo que se perdió.
El intruso borra los logs antes de salir. El colaborador formatea la notebook antes de devolverla. Quien forjó un documento ajusta las fechas para que parezcan antiguas. Son técnicas antiforenses: acciones para destruir, esconder o falsificar vestigios.
Rara vez funcionan por completo. El sistema registra el mismo hecho en varios lugares. Borrar uno de ellos deja los otros, y deja un vacío donde debería haber registro. La ley llama vestigio también al material latente, el que no está a la vista (CPP, art. 158-A, § 3º, del Código Procesal Penal brasileño). Buena parte de este trabajo es encontrar el vestigio latente.
El peritaje tiene dos objetivos. El primero es probar que hubo destrucción, cuándo y por qué medio. Es un hecho relevante por sí mismo: un disco borrado el día de la devolución cuenta una historia. El segundo es recuperar lo que todavía sea posible, y declarar lo que no lo es. Cuando el medio está dañado, el trabajo sigue en el laboratorio de Recuperación Forense de Datos.
Un archivo borrado sigue en el disco hasta ser sobrescrito. En un disco rígido, el formateo rápido también deja el contenido. La sobrescritura total y el TRIM de los SSD (la rutina que borra de hecho los bloques liberados) destruyen de verdad. Aun entonces, el patrón de la destrucción muestra si fue intencional, y cuándo.
Un log borrado suele sobrevivir en otro lugar: en el archivo de paginación (donde el sistema graba en disco partes de la memoria), en el colector central de registros y en los backups. También en el journal del sistema de archivos (el diario interno de modificaciones) y en los registros del otro extremo de la conexión. En servidores Linux, el historial de comandos y el journal borrados pueden volver por la estructura del sistema de archivos.
Es la alteración de las fechas de un archivo para que parezca más antiguo o más nuevo. El sistema de archivos guarda más de un conjunto de fechas, el journal registra los cambios y el documento tiene fechas internas. Cuando esas fuentes discrepan, la manipulación aparece.
El contenido cifrado sin la clave legítima sigue ilegible, y el dictamen lo dice. Pero el acto de cifrar deja rastro: cuándo, con qué programa, por qué cuenta. Copias anteriores, memoria y backups pueden guardar el contenido previo.
Quien usa un programa para borrar rastros necesita instalarlo y ejecutarlo. La ejecución queda registrada en artefactos del sistema, incluso después de que el programa es eliminado.
A veces la respuesta es que no hay vestigio. El dictamen muestra qué fue examinado, anclado en hash, para que la ausencia sea verificable, y no una opinión.
En evidencia destruida, el vestigio directo muchas veces ya no existe. Por eso el grado de cada conclusión debe quedar claro para el juzgado y para las partes.
El dictamen afirma como hecho solo lo que el examen confirmó. Eso es propio de todo dictamen pericial y no necesita rótulo. Las demás conclusiones reciben una de dos clases:
Las etapas del método y de la cadena de custodia están en la página Método y Cadena de Custodia.
Tres situaciones engañan al análisis apresurado. El dictamen nombra cada una, porque es así como el contradictorio consigue verificarlas.
El indicador apuntó a una conducta que, examinada, no ocurrió. Una coincidencia de horario, una alerta automática, un vínculo aparente entre personas que no se sostiene.
El vestigio existe, pero no significa lo que parece. Fechas de acceso cambiadas por el antivirus, por la indexación, por la sincronización con la nube o por TI que abrió la máquina antes del peritaje.
El vestigio fue creado o alterado a propósito, para esconder las acciones del atacante o para señalar a otra persona. Ocurre con atacante externo y con insider. El peritaje confronta cada registro con fuentes independientes que el manipulador no controlaba.
Un colaborador estaba bajo sospecha. Antes de su apartamiento, su equipo fue preservado en secreto, sin aviso.
Cuando devolvió la notebook, una segunda preservación encontró el disco puesto a cero por un comando enviado al propio controlador de la unidad: entropía nula, es decir, solo ceros de principio a fin. El patrón no era de falla ni de uso normal.
El peritaje demostró el borrado intencional el día de la devolución. La primera preservación garantizó el contenido que se intentó destruir.
En un equipo Windows involucrado en un incidente, los logs de eventos habían sido borrados.
El peritaje hizo la búsqueda de fragmentos (carving) en el archivo de paginación.
Registros borrados fueron recuperados de ese archivo y entraron en la línea de tiempo del dictamen.
Una empresa encuentra, en el sistema financiero, transferencias hechas con la cuenta de un analista. Todo parece apuntar a él.
En ese escenario, el peritaje confrontaría esos registros con fuentes que el defraudador no controlaba: directorio de cuentas, VPN, control de acceso físico y uso de la computadora del analista. Podría encontrar al analista de vacaciones, sin ninguna conexión en el período, y entradas del log con la secuencia rota.
El dictamen mostraría un vestigio forjado: la cuenta del analista sirvió para esconder quién operó de hecho. La investigación seguiría hacia quien tenía acceso para editar aquellos registros.
Consulte también
Recuperación Forense de Datos → Método y Cadena de Custodia → Informática Forense e Investigación Digital → Investigación Corporativa y Compliance → Peritaje en Nube, Identidad y DevOps → Autoría Digital y Levantamiento del Secreto Telemático →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso