T abajo Fin de G ado
Análisis Fo ense del Sis ema And oid
Au o
Jesús Da id Isaac Pí ez
Di ec o es
Di ec o académico: D a. Lac amioa a-Sinziana D anca D anca
Di ec o mili a : Cap. D. Yago Fáb egues Ba ambio
Cen o Uni e si a io de la De ensa-Academia Gene al Mili a
2016
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
Ag adecimien os
Si bien es e p oyec o de in de g ado ha eque ido un g an es ue zo y dedicación po
pa e del p esen e, no hubie a sido posible su inalización sin la ayuda y máximo in e és po
pa e de las pe sonas que a con inuación se ci a.
P ime o y an es de nada, da las g acias a mi amilia po el g an apoyo ecibido du an e
odos es os años de es ue zo. Especialmen e a mi he mana C is ina y a mi mad e F ancisca, que
as habe es ado i iendo momen os di íciles no han pa ado de apoya me.
De igual mane a mi más since o ag adecimien o a mis dos u o es de p oyec o, la D a.
Lic i D anca y el Cap. D. Yago Fáb egues Ba ambio, que me han es ado o ien ando en odo
momen o, así como al T e. D. Daniel Iglesias Plaza po habe me acili ado odo aquello que he
necesi ado pa a ealiza los aspec os más impo an es del p oyec o.
Po úl imo ag adece al pe sonal de la unidad de Gue a Elec ónica, en especial a
Cibe de ensa que me ha ayudado a ealiza la ase de in es igación. En especial al Cabo P ime o
To es y al Soldado Molón po sus g andes conocimien os y g an apo ación a es e abajo.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
I
Tabla de con enido
Tabla de ilus aciones ................................................................................................................... III
Tabla de ablas .............................................................................................................................. III
Lis a de ac ónimos ......................................................................................................................... V
Resumen ...................................................................................................................................... VII
Abs ac ....................................................................................................................................... VII
Capí ulo 1: Plan de abajo. ........................................................................................................... 1
1.1 P opósi o y jus i icación ...................................................................................................... 1
1.2 Obje i os ............................................................................................................................. 1
1.3 Resul ados espe ados .......................................................................................................... 2
1.4 Es uc u a del abajo .......................................................................................................... 2
Capí ulo 2: Si uación ac ual in o má ica o ense. .......................................................................... 3
2.1 Qué es la in o má ica o ense ............................................................................................. 3
2.2 Ma co legal y no ma i o...................................................................................................... 3
2.2.1 Ma co Legal.................................................................................................................. 3
Capí ulo 3: Me odología pa a el análisis o ense. .......................................................................... 4
3.1 Adquisición. ......................................................................................................................... 4
3.2 P ese ación ........................................................................................................................ 7
3.3 Análisis................................................................................................................................. 7
3.3.1 P epa a un en o no de abajo ................................................................................... 8
3.3.2 Recons ui una línea empo al con los hechos sucedidos .......................................... 8
3.3.3 E alua el impac o causado ......................................................................................... 8
3.4 P esen ación de los esul ados. ........................................................................................... 8
Capí ulo 4: Sis ema And oid .......................................................................................................... 9
4.1 ¿Qué es And oid? ................................................................................................................ 9
4.2 A qui ec u a sis ema And oid ............................................................................................. 9
4.3 Segu idad sis ema And oid ................................................................................................ 10
4.3.1 Pin de la a je a SIM ................................................................................................... 11
4.3.2 PIN, con aseña o pa ón de acceso al disposi i o mó il. .......................................... 11
4.4 Vulne abilidades sis ema And oid ..................................................................................... 11
Capí ulo 5: Análisis o ense Sis ema And oid .............................................................................. 13
5.1 UFED TOUCH ..................................................................................................................... 13
5.1.1 Ex acción de la in o mación UFED TOUCH. .............................................................. 15
5.1.2 In o me Análisis Fo ense UFED TOUCH...................................................................... 17
5.2 Au opsy 4.1.1 .................................................................................................................... 21
5.2.1 Ex acción de la in o mación Au opsy 4.1.1. .............................................................. 24

T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
II
5.2.2 In o me análisis o ense Au opsy 4.1.1. ..................................................................... 24
Compa ación de Resul ados ........................................................................................................ 27
Conclusiones ................................................................................................................................ 28
Bibliog a ía ................................................................................................................................... 29
ANEXOS ........................................................................................................................................ 31
ANEXO A Ma co Legal y no ma i o de la in o má ica o ense. ............................................... 31
ANEXO B A qui ec u a del sis ema ope a i o And oid. ........................................................... 35
ANEXO C En e is a a pe sonal expe o. ................................................................................. 39
ANEXO D Caso ic icio de es udio. ........................................................................................... 41
ANEXO E Tipos de ex acciones de UFED TOUCH. ................................................................... 43
ANEXO F C ea una imagen a a és de FTK Image Li e. ........................................................ 45
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
III
Tabla de ilus aciones
Ilus ación 1 Fases me odología Análisis Fo ense .......................................................................... 4
Ilus ación 2 P oceso in es igación o ense................................................................................... 5
Ilus ación 3 Esquema ase de adquisición. ................................................................................... 6
Ilus ación 4 A qui ec u a Sis ema Ope a i o And oid .................................................................. 9
Ilus ación 5 Pe misos Aplicación Wha sapp ............................................................................... 10
Ilus ación 6 Tipos de ulne abilidades de And oid ..................................................................... 11
Ilus ación 7 UFED TOUCH ........................................................................................................... 13
Ilus ación 8 Lla e UFED Celleb i e .............................................................................................. 14
Ilus ación 9 Algunos de los S.O. con los que puede abaja UFED TOUCH ................................ 14
Ilus ación 10 Conec o es UFED TOUCH ...................................................................................... 15
Ilus ación 11 Conec o es UFED TOUCH ...................................................................................... 15
Ilus ación 12 Tipos de análisis UFED TOUCH. ............................................................................. 16
Ilus ación 13 Telé ono mó il, UFED TOUCH, UFED Physical Analize (De izquie da a de echa). 16
Ilus ación 14 In o me ex acción UFED Physical Analize ........................................................... 17
Ilus ación 15 Ca ac e ís icas ex acción UFED Physical Analize ................................................ 17
Ilus ación 16 Regis o llamadas UFED Physical Analize ............................................................. 18
Ilus ación 17 Co eos elec ónicos UFED Physical Analize ........................................................ 18
Ilus ación 18 Con ac os UFED Physical Analize ......................................................................... 18
Ilus ación 19 Coo denadas UFED Physical Analize .................................................................... 19
Ilus ación 20 Imágenes UFED Physical Analize .......................................................................... 19
Ilus ación 21 Mensajes UFED Physical Analize .......................................................................... 19
Ilus ación 22 Con e saciones UFED Physical Analize ................................................................ 20
Ilus ación 23 Mo imien o de da os UFED Physical Analize ....................................................... 20
Ilus ación 24 Menú Fo ensía Kali Linux. ..................................................................................... 21
Ilus ación 25 Selección uen e de da os Au opsy 4.1.1. ............................................................. 22
Ilus ación 26 Módulos Au opsy 4.1.1 ......................................................................................... 22
Ilus ación 27 In o mes Au opsy 4.1.1. ........................................................................................ 23
Ilus ación 28 In o mación Análisis Au opsy 4.1.1. ...................................................................... 24
Ilus ación 29 Co eos elec ónicos Au opsy 4.1.1 ...................................................................... 25
Ilus ación 30 Con ac os análisis o ense Au opsy 4.1.1. ............................................................. 25
Ilus ación 31 Coo denadas Au opsy 4.1.1. ................................................................................. 25
Ilus ación 32 Imágenes Au opsy 4.1.1. ....................................................................................... 26
Ilus ación 33 Timeline Au opsy 4.1.1.......................................................................................... 26
Ilus ación 34 Lib e ías Sis ema Ope a i o And oid. .................................................................... 36
Ilus ación 35 C ea Imagen de Disco FTK Image ....................................................................... 45
Ilus ación 36 Selección de la uen e FTK Image ........................................................................ 45
Ilus ación 37 C eacción de la Imagen FTK Image ...................................................................... 46
Ilus ación 38 Ve i icación de esul ados FTK Image .................................................................. 46
Tabla de ablas
Tabla 1 Ca ac e ís icas Telé ono Mó il. ....................................................................................... 24
Tabla 2 Resul ados. ...................................................................................................................... 27
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
IV
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
V
Lis a de ac ónimos
AOT Ahead o ime (inglés), An es de Tiemo (español).
API Applica ion P og amming In e ace (inglés), In e az de P og amación de Aplicaciones
(español).
ART And oid Rou ine (inglés), Ru ina And oid (español).
CP Código Penal.
GPS Gene al Posi ion Sys em (Inglés), Sis ema de Posicionamien o Global (español).
HAL Ha dwa e Abs ac ion Laye (inglés), Capa de abs acción de ha dwa e (español).
HTTPS Hype ex T ans e P o ocol Secu e (inglés), P o ocolo Segu o de T ans e encia de
Hipe ex o (español)
LOPJ Ley O gánica del Pode Judicial.
PIN Pe sonal Iden i ica ion Numbe (inglés), Núme o de Iden i icación Pe sonal (español)
PUK Pe sonal Unlock Key (inglés), Cla e Pe sonal de Desbloqueo (español).
RFC Reques Fo Commen (inglés), Pe ición de comen a io (español).
SIM Susc ibe Iden i y Module (inglés), Módulo de Iden i icación de Abonado (español).
SMS Sho Message Se ice (inglés), Se icio de Mensajes Co os (español).
TSJ T ibunal Supe io de Jus icia.
UNE Una No ma Española
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
4
4. El ámbi o Pe sonal. (LOPD (Ley O gánica de P o ección de Da os Pe sonal), LSSI (Ley de
Se icios de la Sociedad de la In o mación), e c.).
Aplicando odo ello a la ac i idad o ense y en pa icula a la adquisición de da os de disposi i os
(apa ado 3.1), se puede deci que:
- Cualquie ac uación sob e disposi i os an o de almacenamien o como de p oceso de
da os que con en an in o mación de ca ác e pe sonal o sea suscep ible de ello (Discos
du os, Pend i es, Cuen as de co eo elec ónico, e c.), ya sea de empleados, como de
clien es, se ha de a a con las debidas au o izaciones y/o eque imien os Judiciales pa a
su in e ención.
- Además, en el momen o de la in e ención, se ha de con a SIEMPRE con la p esencia de
la pe sona p opie a ia del sis ema o ecu so in e enido o en su de ec o un es igo que
de e de que dicha in e ención se ha limi ado al obje o del eque imien o o de la
au o ización.
El ANEXO A amplia es a in o mación elacionada con el ma co legal y no ma i o.
Capí ulo 3: Me odología pa a el análisis o ense.
Respec o a la no ma i a igen e elacionada con la in o má ica o ense se ex aen a ios
pun os impo an es a los cuales hay que hace hincapié. Uno de los pun os más impo an es es
el no al e a la in o mación que se es á analizando ya que sino és a no se i á pa a p esen a la
an e un ibunal. O os de los pun os impo an es en cuan o a la no ma i a es el hecho de cómo
se gua dan las p uebas, como se conse an, su anspo e, e c. Pos e io men e ecalcan como se
analizan las p uebas pa a ob ene el máximo endimien o posible de al in o mación. Po úl imo,
es muy impo an e el edac a un in o me de los esul ados de mane a que cualquie pe sona
pueda en ende la conclusión que se ha ob enido.
Teniendo en cuen a lo an e io y la in o mación de expe o ecogida se explica án las
dis in as ases: adquisición, p ese ación, análisis y p esen ación de los esul ados, que hay que
lle a a cabo pa a un co ec o análisis o ense. [7]
3.1 Adquisición.
Du an e una in es igación o ense se ha de ene mucho cuidado con la adquisición de
las e idencias, ya que es imp escindible que el p oceso de adquisición se ealice de o ma
co ec a sin que pueda alega se que haya habido una posible manipulación de los da os. Además
ha de queda cons ancia del p oceso y se debe es ablece la cadena de cus odia pa a ga an iza
la p ese ación e in eg idad de las e idencias.
Adquisición P ese ación Análisis P esen ación
de los
esul ados
Ilus ación 1 Fases me odología Análisis Fo ense

T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
5
El p oceso de adquisición de e idencias digi ales es la ase más c í ica del p oceso
o ense. De ella depende el buen esul ado de una in es igación pues o que en es a ase es donde
se debe á ex ae oda aquella in o mación que después se á p ocesada en la ase de análisis.
Es e p ocedimien o po lo an o se desa olla bajo la no ma ISO/IEC 27037:2012 de obligado
cumplimien o pa a la adquisición de e idencias elec ónicas y que se alinea con la no ma ISO/IEC
27042:2015, que p opo ciona una o ien ación pa a iden i ica y e alua e idencias digi ales y
ayuda a in e p e a un inciden e ecnológico. Bajo es as p emisas, se e i ica án los siguien es 3
p incipios undamen ales:
- P incipio de ele ancia sob e aquellos elemen os que son pe inen es a la si uación que
se analiza o in es iga.
- P incipio de con iabilidad que busca alida la epe ibilidad y audi ibilidad de un p oceso
aplicado pa a ob ene una e idencia digi al.
- P incipio de su iciencia que es á elacionada con la comple i ud de p uebas in o má icas,
es deci que, con las e idencias ecolec adas y analizadas se ienen elemen os su icien es
pa a sus en a los hallazgos y e i ica las a i maciones e ec uadas sob e la si uación
in es igada.
Todas las a eas pa a ealiza una buena adquisición de e idencias digi ales han de se
debidamen e documen adas al y como se desc ibi á a con inuación en cada uno de los
documen os diseñados a al in. A e ec os p ác icos, a con inuación se mues a odo el p oceso
de la in es igación o ense con sus a eas asociadas:
Ilus ación 2 P oceso in es igación o ense.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
6
Según la RFC3227 se de ine una se ie de a eas a ealiza pa a la ecolección de e idencias
o enses as un inciden e ecnológico:
- La iden i icación del en o no donde se ha p oducido el inciden e.
- La iden i icación y selección de los obje os a p ocesa .
- El a amien o/Adquisición de cada uno de los obje os (Copia, ex acción, e c.).
- La cadena de cus odia.
- El almacenamien o de las e idencias.
Como no mal gene al, pa a ealiza la adquisición de e idencias o enses de un sis ema,
ya sea de un se ido , un o denado pe sonal o un Sma phone, se ha de ene en cuen a el
o den, es ableciéndose en la RFC3227 que dicha adquisición debe á hace se en o den DE MAYOR
A MENOR VOLATILIDAD.
De es a mane a, el o den de p ocesado se ía:
1. Memo ia RAM.
2. Disco Du o.
3. Sopo es de Almacenamien o ex e no (HDD USB, Pend i e’s, Ta je as SD, e c.).
En é minos gene ales, el esquema pa a la ac uación en la ase de adquisición se ía:
Ilus ación 3 Esquema ase de adquisición.
En es e caso al a a se de un elé ono mó il el o den de p ocesado co esponde a los
de menos ola ilidad.
Es a ase incluye la gene ación de imágenes pa a pode lle a a cabo el análisis de la
in o mación. Las imágenes son copias de la in o mación y a a és de es as copias es de donde
se ha á el análisis pos e io . Es as copias se ealizan u ilizando ecnología pun a pa a e i a
cualquie ipo de modi icación de la in o mación que pueda al e a la. En es e abajo se
abaja á con UFED TOUCH y Au opsy 4.1.1. Cuando se gene a la imagen se e ie e a hace una
copia bi a bi de odo el disco du o.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
7
Una ez ob enida la imagen es de i al impo ancia la conse ación de la misma. Pa a
asegu a se que la in o mación ob enida no su e al e ación alguna se p o ege median e el uso
del algo i mo hash, que es un algo i mo de comp obación de in eg idad y que gene a un
alo /cla e pa a algún da o/a chi o. De es a mane a, si la in o mación ha sido modi icada o
al e ada el alo hash ya no se á el mismo y po lo an o la in o mación no se á la misma.
Es muy común que se ealicen a ias copias de los disco a analiza , ya que si la du an e la
ase del análisis la copia esul a dañada o incluso es obada se asegu a el pode segui la
in es igación.
3.2 P ese ación
Es a ase se cen a en el cuidado a la ho a de maneja la in o mación. Una mala
p ese ación o un mal uso de la in o mación puede lle a a cabo a la al e ación de es a y po lo
an o pod ía queda in alidada oda la in es igación si u ie a que se p esen ada an e un
ibunal.
Pa a ello hay ene muy cla os cuáles son los ines que se pe siguen cuando se p ocede a
ex ae la in o mación de los disposi i os, en es e caso los elé onos mó iles. En el caso que se
p e ende u iliza esa in o mación pa a ob ene una o den de de ención y, po lo an o ene que
p esen a las p uebas an e un ibunal, ya pueda se ci il o mili a , es muy impo an e no al e a
la in o mación y conse a la escena al y como es aba al p incipio. Pa a ello se inicia la cadena
de cus odia pa a e i a esas al e aciones y ealiza es a ase de mane a con olada. El in es igado
iene que conoce plenamen e las no ma i as y los lími es de la ley has a los cuales puede llega
pa a ob ene la in o mación, de lo con a io la in o mación ex aída no se i ían como p ueba
an e un ibunal. Sin emba go, si los ines son a ni el in eligencia pa a sabe posibles u u as
ac uaciones de g upos e o is as, o el hecho de ob ene in o mación de u ilidad, se puede al e a
el mé odo de acceso a la in o mación. Al e a el mé odo de acceso a la in o mación signi ica que,
pa a pode accede a la in o mación de un e minal se ienen que ealiza algunas modi icaciones
del e minal. Es o conlle a la modi icación de la p ueba o iginal y po lo an o no se ía álida an e
un ibunal.
Al ealiza la imagen de la in o mación a ex ae hay que ealiza a ias copias. Se han de
ealiza al menos 3 copias de la in o mación. La p ime a ha de se la o iginal, que se á la que se
p esen e como p ueba an e el ibunal. La segunda es pa a el o ense, que se á a a és de la cual
abaja á y ealiza á odo ipo de análisis. Y la e ce a y úl ima copia de espaldo po si su ie a
daños la segunda copia.
Hay que ene en cuen a que los disposi i os que gua dan las copias que se an a analiza
son disposi i os elec ónicos. Es o signi ica que pueden su i daños y po lo an o la pé dida de
la copia. Pa a ello hay que oma medidas de segu idad an o en el anspo e como en el
almacenamien o de los disposi i os que con ienen la in o mación. Además es con enien e que
mien as que no se es á analizando la in o mación p ecin a los disposi i os que albe gan la
in o mación a analiza con e ique as. De es a mane a cada disposi i o es a á iden i icado con una
e ique a única pa a e i a posibles con usiones.
3.3 Análisis
En es a ase el in es igado se cen a en busca la in o mación más ele an e. Al gene a
una imagen se ob iene oda la in o mación que con iene el elé ono mó il.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
8
Sin emba go, no siemp e es p eciso u iliza oda esa in o mación, sino que el in es igado
se cen a en la in o mación que le sea más ú il dependiendo de lo que es é buscando.
Pa a lle a un co ec o análisis de la in o mación es impo an e segui unos pasos que
pe mi an en ende mejo la in o mación:
3.3.1 P epa a un en o no de abajo
An es de empeza el análisis se oma la decisión de si se quie e ealiza el análisis en
calien e o en ío.
Si se ealiza el análisis en calien e signi ica que se abaja di ec amen e sob e el disco
du o o el disposi i o a analiza . Es e p oceso iene más complicaciones ya que si se come e algún
e o puede desencadena en la in alidación de la in o mación. En cuan o a las medidas que se
ienen que ene en cuen a es en la de pone el disco du o en modo lec u a y no lec u a y esc i u a
ya que de es a mane a no se puede modi ica la in o mación
Si se ealiza el análisis en io se gene a una imagen del disco du o median e una máquina
i ual. De es a mane a se puede indaga más en la in o mación sin ene an a p ecaución como
en el análisis en calien e.
3.3.2 Recons ui una línea empo al con los hechos sucedidos
Cuando se analiza la in o mación el in es igado se iene que cen a en los cambios o
al e aciones más des acables que puedan ayuda a c ea una secuencia de hechos.
En p ime luga se debe analiza la in o mación que se e a simple is a, es deci la
in o mación al que un usua io pod ía accede si u ie a en posesión el disco du o, el disposi i o
mó il, e c. Se analiza ían las úl imas llamadas, iche os, ecuencia de ac i idad, e c.
En segundo luga se debe analiza la in o mación que no es á a simple is a, es deci ,
aquella in o mación que ha sido bo ada pe o que median e écnicas in o má icas se puede
ecupe a . P obablemen e es a acción es la que más in o mación dé ya que el a acan e hab ía
eliminado in o mación ele an e.
3.3.3 E alua el impac o causado
T as habe analizado la secuencia de los hechos es ho a de analiza el impac o causado y
saca las conclusiones. El in es igado debe e alua si la in o mación que ha ob enido oda ía
iene ele ancia o si ya se queda obsole a. También debe e alua si el impac o económico que ha
supues o dicha in es igación ha sido en able o si a a supone un gas o innecesa io de dine o.
Finalmen e debe e alua si el iempo in e ido en al in es igación ha sido en able. Es a
e aluación en emas de in eligencia es de i al impo ancia, ya que la apidez es undamen al
pa a e i a posibles a aques del a acan e analizado.
3.4 P esen ación de los esul ados.
En es a úl ima e apa se exponen las conclusiones ob enidas. Se ha de ob ia los de alles
muy écnicos y las écnicas u ilizadas pa a ob ene dichos esul ados. Es de i al impo ancia
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
9
expone unos esul ados cla os y concisos, de mane a que cualquie pe sona pueda en ende
cuáles son las conclusiones.
Capí ulo 4: Sis ema And oid
Pa a pode ealiza un análisis o ense sob e un disposi i o con el sis ema ope a i o
And oid, se ha is o la necesidad de es udia cómo unciona es e sis ema. El in e és se cen a
sob e odo como se puede accede a la in o mación de un disposi i o mó il. La mayo pa e de
la in o mación ha sido consul ada según los apa ados de la bibliog a ía [8] [9] [10].
4.1 ¿Qué es And oid?
And oid es un sis ema ope a i o que se c eó pa a disposi i os mó iles, especialmen e
elé onos mó iles y able s basado en el núcleo Linux.
Es e sis ema ope a i o es á cons uido sob e el ke nel de Linux y ejecu a una máquina
i ual especialmen e c eada pa a And oid pa a op imiza ecu sos de memo ia y de ha dwa e
en un en o no mó il. And oid es de código abie o, lo que signi ica que es e sis ema ope a i o es
dis ibuido y desa ollado lib emen e. Es a ca ac e ís ica es lo que hace a es e sis ema ope a i o
an a ac i o a los usua ios ya que cualquie a puede c ea una aplicación y ejecu a la en And oid.
Además, el hecho de se un código abie o acili a el inc emen o de aplicaciones y po lo an o la
compe encia, lo que hace que haya múl iples he amien as o aplicaciones de muy buena calidad.
4.2 A qui ec u a sis ema And oid
La a qui ec u a in e na de And oid es á o mada po cua o componen es: aplicaciones,
a mazón de aplicaciones, lib e ías y ke nel/Linux. Una de las ca ac e ís icas más impo an es es
que odas las capas es án basadas en so wa e lib e. La siguien e g á ica mues a la a qui ec u a
del sis ema ope a i o.
Ilus ación 4 A qui ec u a Sis ema Ope a i o And oid

T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
10
El ANEXO B de alla la unción de cada componen e de la a qui ec u a del sis ema
ope a i o And oid.
4.3 Segu idad sis ema And oid
Pa a ga an iza la segu idad en el sis ema And oid el usua io debe de ac ualiza siemp e
que pueda el sis ema ope a i o. Pa a ello una ez que el mó il iene conexión 3G o es é
conec ado a una ed Wi-Fi se e i ica au omá icamen e si exis e una nue a e sión o ac ualización
del sis ema ope a i o.
Pa a sabe si exis en nue as ac ualizaciones se es ablece una conexión ci ada con el
se ido “And oid.clien s.google.com” median e HTTPS (Hype ex T ans e P o ocol Secu e)
(TCP/443). Si exis e al ac ualización, And oid es ablece á una conexión no ci ada HTTP con el
se ido “And oid.clien s.google.com” pa a desca ga la ac ualización. En eo ía la in eg idad de
las ac ualizaciones se e i ican a a és de una i ma digi al asociada a un iche o de ac ualización
(.zip). Debido a que no hay ci ado en es a desca ga da la posibilidad a la manipulación de es e
in e cambio de in o mación.
Pa a aumen a la segu idad, And oid aplica el p incipio de mínimo p i ilegio, donde cada
aplicación solamen e puede accede a sus p opios componen es. De es a mane a las aplicaciones
no pueden ac ua sob e o as aplicaciones. Además, si las aplicaciones quie en accede a
in o mación compa ida del usua io o de o as aplicaciones, las aplicaciones deben solici a una
se ie de pe misos pa a accede a al in o mación. Es os pe misos son no i icados al usua io en el
momen o de la ins alación de la aplicación. Una ez au o izada po el usua io las aplicaciones
pod án dispone de la in o mación que han solici ado.
En el siguien e ejemplo se mues an los dis in os pe misos que la aplicación solici a pa a
su uncionamien o. Inicialmen e sólo despliega una se ie de pe misos pe o si se le dá al bo ón
“Ve odo” apa ece á la lis a comple a de los da os compa idos a lo que a a accede la
aplicación.
En cuan o a la segu idad p opo cionada po And oid pa a accede ísicamen e al
disposi i o mó il cuen a con a ias opciones. Pa a e i a que un a acan e acceda a la in o mación,
el usua io puede ija una con aseña o PIN (Pe sonal Iden i ica ion Numbe ) an o al disposi i o
mó il como a la a je a SIM (Susc ibe Iden i y Module).
Ilus ación 5 Pe misos Aplicación Wha sapp
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
11
4.3.1 Pin de la a je a SIM
El pin de la a je a SIM bloquea el acceso no au o izado an o a los se icios como a la
in o mación gua dada en la SIM. Solamen e el disposi i o mó il pod ía u iliza se pa a ealiza
llamadas de eme gencia.
El sis ema And oid posibili a el es ablece un PIN en e 4-8 dígi os. Po de ec o la
con aseña suele con a con 4 dígi os pe o se ecomienda cambia la con aseña y es ablece una
más la ga. Además incluye o o sis ema de segu idad, el cual as habe in oducido de mane a
inco ec a el PIN más de 3 eces au omá icamen e la a je a SIM se bloquea. En es e caso pa a
pode desbloquea la a je a SIM es necesa io in oduci o a con aseña denominada PUK
(Pe sonal Unlock Key).
4.3.2 PIN, con aseña o pa ón de acceso al disposi i o mó il.
El PIN bloquea el acceso no au o izado al e minal. De es a mane a no se puede accede
a los da os, capacidades de comunicación ni aplicaciones.
And oid pe mi e es ablece es ipos de es icción de acceso al e minal. El p ime o
se ía un PIN, compues o de al menos 4 dígi os. El segundo se ía una con aseña compues a po
al menos cua o ca ac e es al anumé icos. El e ce y úl imo modo de acceso al e minal se ía el
pa ón de desbloqueo de pan alla.
Debido a la debilidad de es e ipo de con aseñas, el sis ema And oid ha es ablecido un
mecanismo de segu idad el cual as habe in oducido más de 5 in en os de PIN, con aseñas o
pa ones el mó il se bloquea á du an e 30 segundos has a pode ol e a in oduci o a ez la
con aseña. Sin emba go, es o pe mi e el ealiza a aques de adi inación, posibili ando ealiza
600 in en os po ho a po pa e de un a acan e.
4.4 Vulne abilidades sis ema And oid
Desde que And oid salió publicado, nume osos allos del sis ema ope a i o han
p o ocado al a de segu idad en los disposi i os, lo que supone un g an núme o de
ulne abilidades. Se en iende po ulne abilidad una debilidad del sis ema ope a i o que puede
se u ilizada pa a causa daño. Una de las úl imas ulne abilidades de And oid ha a ec ado a ce ca
de 900 millones de elé ono mó iles, pe mi iendo el con ol o al del elé ono mó il po pa e de
los cibe delincuen es sin que el usua io se diese cuen a [11]. Sin emba go, al y como mues a el
siguien e g á ico que da a del año 2016, son múl iples las ulne abilidades de And oid [12]
Negación de
se icios
17%
Ope aciones de
By-pass
7%
Modo de ejecución
12%
Co upción de
memo ia
9%
Ob ene
in o mación
11%
Ob ene
p i ilegios
28%
Colpaso del S.O.
16%
Inyección SQL
0%
Tipos de ulne abilidades
Negación de se icios
Ope aciones de By-pass
Modo de ejecución
Co upción de memo ia
Ob ene in o mación
Ob ene p i ilegios
Colpaso del S.O.
Ilus ación 6 Tipos de ulne abilidades de And oid
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
12
Pa a pode e i a es as ulne abilidades el sis ema ope a i o se a ac ualizando. Es as
ac ualizaciones incluyen pa ches que soluciona án las ulne abilidades de la an igua
ac ualización. Sin emba go, mien as que el usua io no ac ualice el sis ema ope a i o queda á
expues o a las ulne abilidades ya esuel as po la nue a ac ualización.
And oid ha ido haciendo hincapié especialmen e en la segu idad a pa i de la e sión
4.0. Sin emba go, al mismo iempo que a e olucionando el sis ema ope a i o ambién lo hacen
los elemen os maliciosos como pueden se los i us o oyanos. Median e es os elemen os
maliciosos los hacke s p e enden ob ene una in o mación que esul e ú il pa a pode
manipula la de cualquie mane a. Es os obje i os pueden se conoce la ubicación median e
google maps del disposi i o, ealiza una o o median e la cáma a del mó il, o ma ea el
disposi i o mó il, e c.
Hay que ene en cuen a que al ins ala una aplicación, és a no dispone de ningún
pe miso po de ec o. Sin emba go, si du an e la ins alación una aplicación no solici a ningún
pe miso no quie e deci que (debido a ulne abilidades en And oid) no puede lle a a cabo
acciones que a ec en la p i acidad del usua io, po lo que el usua io debe e alua
minuciosamen e la ins alación de nue as aplicaciones incluso cuando es as no solici en ningún
pe miso.
O a de las ulne abilidades encon adas en una ecien e ac ualización de And oid es
ag upa los pe misos indi iduales en uno común que engan capacidades o unciones especí icas.
De es a mane a se conseguía educi el in e az g á ico de usua io (GUI) de mane a que los
usua ios pueden en ende más ácilmen e los pe misos que demanda la aplicación. Sin emba go,
a a és de es o se han in oducido nue as ulne abilidades. A modo de ejemplo, cuando an es
una aplicación pedía un pe miso pa a lee un SMS (Sho Message Se ice) solici aba el pe miso
“READ_SMS”, mien as en las úl imas e siones solici a el g upo de pe misos “SMS”. De es a
mane a la aplicación end á acceso ambién al en ío de SMS aunque el usua io no haya ap obado
es e pe miso.
Una de las o mas más áciles de hackea un disposi i o mó il con And oid es median e
la c eación de aplicaciones malignas. Inicialmen e cuando el a acan e decide subi la aplicación
al me cado de And oid (GOOGLE PLAY) la aplicación iene que pasa una se ie de con oles po
pa e de And oid y necesi a la ap obación po pa e del usua io de pe misos pa a accede a
in o mación compa ida. En ese momen o la aplicación es á sana y pasa an o los con oles de
And oid como la ap obación del usua io. Sin emba go, el a acan e pod ía in oduci un código
maligno o malwa e en la siguien e ac ualización de la aplicación que ya no necesi a la ap obación
del usua io y es cuando el usua io decide ac ualiza la aplicación cuando el malwa e en a en el
sis ema ope a i o. Al habe au o izado inicialmen e el acceso de in o mación compa ido, como
puede se ubicación, con ac os, e c. la aplicación iene acceso a esa in o mación y es cuando el
a acan e subs ae oda la in o mación.
O a o ma pa a hackea un disposi i o mó il es a a és de las edes Wi-Fi públicas. Al
conec a el disposi i o mó il con una de es as edes sald á un na egado ipo google pa a que el
usua io se dé de al a en alguna página y así ob ene el in e ne g a ui o. Sin emba go, es a página
puede se un i us pudiendo oba la in o mación ya que se ha dado pe miso al acep a las
condiciones. Siemp e que se pueda hay que e i a es e ipo de edes públicas ya que no se sabe
que ines iene.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
13
Capí ulo 5: Análisis o ense Sis ema And oid
En el me cado ac ual exis en múl iples mé odos pa a ealiza análisis o ense, desde
aplicaciones so wa e sencillas ú iles pa a ob ene in o mación gene al de un disposi i o, has a
aplicaciones so wa e muy so is icadas capaces de ob ene in o mación más de allada.
Pa a pode ob ene la mayo in o mación posible ace ca de las he amien as y mé odos
empleados po de ensa en los análisis o ense se han ealizado a ias en e is as (consul a Anexo
C) al pe sonal expe o en la ma e ia, en conc e o al pe sonal especializado en ealiza los análisis
o enses en la compañía de Ciebe de ensa del Ejé ci o de Tie a.
T as ealiza dichas en e is as se ha decidido cen a se en el disposi i o que u iliza el
Regimien o de Gue a Elec ónica 31. Se a a del UFED TOUCH, una he amien a pe enecien e
a Celleb i e Mobile Synch oniza ion, una compañía Is aelí cuya especialidad es el análisis o ense
de disposi i os. El mo i o de u iliza UFED TOUCH es que es la única he amien a que iene alo
judicial. Cuando se a a de emas de análisis o ense, an o en e i o io de ope aciones como
en e i o io nacional, es de i al impo ancia el pode p esen a las p uebas an e un ibunal si
ue a necesa io. Es po ello que la unidad de Gue a Elec ónica u iliza UFED TOUCH. Además es
una he amien a que pe mi e ex ae odo ipo de in o mación como se expond á más adelan e.
A pa i de las en e is as se ha iden i icado o a he amien a adecuada a compa a con
la he amien a UFED TOUCH. Se a a del p og ama Au opsy 4.1.1 pa a Windows, ya que es
conside ado como la mejo he amien a g a ui a pa a pode ealiza un análisis o ense de un
elé ono mó il. Pos e io men e se p esen a á un análisis o ense ealizado con cada una de las
he amien as pa a pode saca una se ie de conclusiones y así compa a las p es aciones de cada
una de las he amien as.
Los análisis o enses que se han ealizado esponden a un caso ic icio que ecoge a una
posible si uación que se mues a en el ANEXO D. Pa a la cons ucción del caso de es udio se ha
con ado con la opinión del pe sonal expe o en la ma e ia.
5.1 UFED TOUCH
UFED TOUCH es un p oduc o de o igen is aelí. Se puede analiza la in o mación
di ec amen e en el disposi i o mó il (UFED TOUCH) o ambién en el so wa e diseñado pa a
o denado denominado UFED PHYSICAL ANALIZER.
Ilus ación 7 UFED TOUCH
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
20
Con e saciones
Se han ex aído un o al de 440 con e saciones, de las cuales 315 es aban bo adas y se
han ecupe ado. Es as con e saciones se pueden consul a an o en la aplicación como en el
in o me de allado. Además la aplicación mues a in o mación de in e és como los pa icipan es
de las con e saciones.
Mo imien o de da os
El mo imien o de da os se concen a p incipalmen e en el año 2012 y a p incipios de
2013. Se obse a un pequeño mo imien o de da os en el año 2016. Es o úl imo es des acable
debido al pe íodo de inac i idad del elé ono mó il du an e 3 años y el nue o uncionamien o
de és e en es e año.
Ilus ación 22 Con e saciones UFED Physical Analize
Ilus ación 23 Mo imien o de da os UFED Physical Analize

T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
21
5.2 Au opsy 4.1.1
Au opsy 4.1.1 es una he amien a g a ui a que cualquie usua io puede ob ene
median e in e ne [11]. El núme o de ac ualizaciones po pa e del p og ama es bas an e al o, de
hecho 4.1.0 salió publicado en julio de 2016 y Au opsy 4.1.1 sólo dos meses después. Al igual que
UFED TOUCH, se enca ga de ealiza análisis o ense digi al. Es a he amien a es de open sou ce,
que inicialmen e ue desa ollada pa a pla a o mas UNIX y que ac ualmen e se encuen a
disponible an o pa a Windows como pa a OS X. Pe mi e analiza an o discos du os como
sis emas de a chi os de sma phones de una mane a e icien e. Es e ipo de he amien as se
pueden encon a en Kali Linux (ilus ación 24), que es un sis ema ope a i o diseñado pa a la
audi o ía de la Segu idad In o má ica y que iene p e-ins aladas Au opsy 4.1.1. Sin emba go, se
ealiza á la p ác ica en Windows.
Au opsy 4.1.1 es muy u ilizada en el mundo del análisis o ense in o má ico debido a que
es un so wa e que incluye múl iples he amien as de análisis o ense. Es o le o ece al
in es igado un análisis muy comple o del disposi i o que se es á analizando.
Una de las p incipales des en ajas de es a he amien a es que a la ho a de ex ae la
in o mación de elé onos mó iles es que solo puede ex ae la in o mación de la memo ia
ex e na. Au opsy no puede accede al es o de la in o mación a no se que el elé ono mó il es e
oo eado. Roo ea un elé ono mó il signi ica modi ica el sis ema ope a i o pa a consegui el
con ol o al de él [10]. Es o pe mi e aslada oda la in o mación de la memo ia in e na a la
memo ia ex e na. De es a mane a el o denado de ec a ía oda la in o mación de la memo ia
ex e na del elé ono mó il y Au opsy 4.1.1 pod ía accede a oda esa in o mación y así ealiza el
análisis o ense. El oo ea el mó il conlle a modi ica la p ueba que los o enses eciben, es deci ,
la p ueba o iginal. Es o supone que si se p e ende p esen a es a p ueba no end ía ningún alo
judicial. En es e aspec o Au opsy se queda muy co o pa a ealiza análisis o enses de elé onos
mó iles. Se pod ía ealiza un buen análisis si el elé ono mó il se encon a a oo eado en el
momen o de adqui i lo.
Pa a pode ealiza el análisis con Au opsy 4.1.1 se debe ene , apa e del disposi i o a
analiza , el cable compa ible pa a conec a el disposi i o a un o denado .
Ilus ación 24 Menú Fo ensía Kali Linux.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
22
Al ejecu a Au opsy 4.1.1, o ece la posibilidad de c ea un nue o caso, de ab i un caso
ecien e o de ab i un caso exis en e. En es e caso se ha c eado un nue o caso.
Una ez ma cada la opción de nue o caso se despliega una nue a pes aña donde se pide al
usua io que especi ique donde quie e gua da el caso. Pos e io men e el p og ama solici a el
nomb e del o ense. T as habe ellenado es os dos úl imos pasos Au opsy 4.1.1 c ea el nue o
caso y sal a una pes aña donde solici a que el analis a indique de donde quie e que se ex aiga la
in o mación a analiza . El p og ama o ece al usua io la posibilidad de analiza una imagen, un
disco o a chi os. En el caso de analiza elé onos mó iles hab á que c ea una imagen pa a pode
abaja con Au opsy 4.1.1 o bien abaja con la memo ia ex e na del elé ono. En el ámbi o de
De ensa se suele abaja con la imagen del elé ono mó il po emas legales. De es a mane a el
elé ono puede se de uel o y se abaja con la imagen del elé ono en el momen o de su
ob ención. En es e abajo se ha ex aído la in o mación de la memo ia ex e na ya que la
in o mación que se a a ex ae de la imagen y de la memo ia ex e na es la misma. Pa a pode
ealiza la imagen del mó il se ha u ilizado el p og ama FTK Image Li e (Consul a Anexo E).
Au opsy 4.1.1 o ece una se ie de módulos que se deben soluciona dependiendo del ipo de
ex acción que se quie a ealiza . En la e sión ac ual (4.1.1) Au opsy o ece 13 módulos
(ilus ación 25). Es o signi ica que es e so wa e con iene muchas he amien as pa a ealiza un
análisis o ense y sin duda es bas an e in e esan e desde el pun o de is a de un usua io que no
quie e paga licencia [12].
Ilus ación 26 Módulos Au opsy 4.1.1
Ilus ación 25 Selección uen e de da os Au opsy 4.1.1.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
23
Pa a el ámbi o de de ensa son bas an e in e esan es a ios módulos que Au opsy o ece
como puede se Recen Ac i i y (pa a sabe la ac i idad ecien e que ha enido el disposi i o
mó il), Email Pa se (pa a ob ene los emails del disposi i o mó il), e c
Una ez seleccionado los dis in os módulos que se p e enden analiza , que en es e caso
se selecciona an odos los módulos pa a ex ae la mayo in o mación posible, Au opsy 4.1.1
empieza a ealiza el análisis o ense. Es a he amien a inicialmen e desplega á una lis a en la
pa e izquie da mos ando odos los da os que ha de ec ado. Es in e esan e la ecupe ación de
los da os que habían sido bo ados an e io men e. Sin emba go, ealiza la ex acción del sis ema
de a chi os puede lle a bas an e iempo. Es o supone un hándicap ya que Au opsy 4.1.1 a da
mucho en ca ga los da os. Inicialmen e Au opsy 4.1.1 empieza ca gando los da os que
habi ualmen e son conside ados más impo an es. Sin emba go, es o puede no coincidi con las
p e e encias del in es igado . Po ello hay que habe muy bien qué da os son más in e esan es
pa a ealiza el análisis o ense ya que si el in es igado decide empeza ca gando o os da os,
es o le lle a á a la he amien a a ias ho as y si luego esa in o mación no es de in e és hab á que
empeza de nue o la ex acción de la in o mación.
Au opsy 4.1.1 o ece ambién una se ie de opciones de g an in e és pa a el in es igado .
En el ámbi o de de ensa se suele u iliza bas an e la opción de imeline ya que gene a un g á ico
bas an e ácil de en ende de odos los mo imien os de da os que ha su ido el disposi i o
analizado. Además se pueden e los mo imien os po años, meses, días e incluso ho as. Es o es
de g an in e és pa a las unidades de gue a elec ónica, ya que apa e de busca oda la
in o mación posible ambién es de g an in e és obse a los picos de ans e encia de
in o mación o llamadas ele ónicas.
Como úl ima ca ac e ís ica de in e és pa a ealiza los análisis o enses, Au opsy 4.1.1
o ece la posibilidad de gene a los in o mes. Puede hace 6 in o mes, de los cuales des acan el
de in o me de HTML (compa ible con cualquie na egado web), los esul ados mos ados en un
iche o Excel y un in o me incluyendo las coo denadas de donde se ha encon ado el elé ono
mó il que al ab i lo se ejecu a á GOOGLE EARTH y au omá icamen e se ca ga án las coo denadas,
mos ando al in es igado las ubicaciones del elé ono mó il.
Ilus ación 27 In o mes Au opsy 4.1.1.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
24
5.2.1 Ex acción de la in o mación Au opsy 4.1.1.
Pa a ealiza el análisis o ense se ha c eado una imagen del elé ono mó il y
pos e io men e se ha p ocedido al análisis ealizado po Au opsy 4.1.1. El iempo necesa io
pa a ealiza la ex acción ha sido de 1 ho a 40 minu os. La in o mación que se ha ex aído se
puede ap ecia en la ilus ación 28.
Una ez ex aído la in o mación se ha p ocedido a gene a los in o mes o enses de
HTML y de coo denadas GPS. De es a mane a Au opsy gene a una se ie de lis as donde incluye
los co eos elec ónicos, núme os de elé ono y coo denadas GPS. El in o me de coo denadas lo
incula con GOOGLE EARTH, donde GOOGLE EARTH ca ga la base de da os gene ada po
Au opsy y mues a las coo denadas.
5.2.2 In o me análisis o ense Au opsy 4.1.1.
En base al caso de es udio se ha ob enido la siguien e in o mación:
Las ca ac e ís icas del elé ono mó il son las siguien es:
Ma ca
Sony E icsson
Sis ema Ope a i o (S.O.)
And oid
Ve sión S.O.
2.3.4
IMEI
35-------------
Núme o modelo
MT11i
Núme o de elé ono
(+034) 626------
Tabla 1 Ca ac e ís icas Telé ono Mó il.
Ilus ación 28 In o mación Análisis Au opsy 4.1.1.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
25
A con inuación se de allan los apa ados que ienen in e és pa a el caso de es udio.
Llamadas
No se ha podido ex ae ningún egis o de llamadas.
Co eos elec ónicos
La cuen a de co eo elec ónico que u iliza el disposi i o es [email protected], Se
han encon ado un o al de 1195 cuen as de co eo. En es e caso Au ospy 4.1.1 ag upa odas
las cuen as de co eo, ya sean de Gmail, Ho mail, Wha sapp, e c. Además, el p og ama mues a
in o mación de allada del co eo: des ina a io, echa de emisión, e c.
Ilus ación 29 Co eos elec ónicos Au opsy 4.1.1
Con ac os
La base de da os que se ha analizado del elé ono mó il con enía los siguien es
con ac os
Coo denadas
Las coo denadas que ha mos ado el análisis sólo co esponden a una imagen. La
di ección co esponde con un ba io a las a ue as de Mad id con coo dendas: -- --- ----------
Ilus ación 31 Coo denadas Au opsy 4.1.1.
Ilus ación 30 Con ac os análisis o ense Au opsy 4.1.1.

T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
26
Imágenes
Las imágenes que se han encon ado que esul en de in e és son las asociadas a los
con ac os ele ónicos. Un o al de 113 con ac os ele ónicos lle an asociadas imágenes
(ilus ación 32).
Mensajes
No se han podido ex ae ningún mensaje.
Con e saciones
No se han podido ex ae ninguna con e sación.
Mo imien o de da os.
El mo imien o de los da os en el elé ono mó il se concen a p incipalmen e en los
años 2012,2013 y 1016. También hay mo imien o de da os en el año 2008, aunque
p obablemen e es o es debido a una mala con igu ación del elé ono mó il con la echa.
Ilus ación 33 Timeline Au opsy 4.1.1.
Ilus ación 32 Imágenes Au opsy 4.1.1.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
27
Compa ación de Resul ados
Respondiendo a las p uebas mos adas an e io men e, los esul ados de las
ex acciones con Au opsy 4.1.1 y UFED TOUCH son los siguien es:
UFED TOUCH
Au opsy 4.1.1
Tiempo en ealiza la ex acción
41 minu os
100 minu os
Llamadas
549
0
Co eos elec ónicos (emails)
74
0
Con ac os
1067
113
Coo denadas GPS
92
1
Imágenes
940
113
Mensajes
1225
0
Con e saciones
440
0
Mo imien o de da os
Incluye g á ica
Incluye g á ica
P ecio
10000
G a ui o
In o mación ex aída
Memo ia In e na y ex e na
Memo ia ex e na
Tipo de clonación
Clonación ha dwa e
Clonación so wa e
Tabla 2 Resul ados.
En cuan o a la acilidad de manejo pa a ope a , UFED TOUCH o ece una in e az bas an e
in ui i a. Solamen e bas a con segui los pasos que an saliendo en la pan alla y se pod á ealiza
la ex acción de mane a muy ácil, p opo cionado cables compa ibles con los disposi i os mó iles
a analiza . Sin emba go, Au opsy 4.1.1 puede da mayo es di icul ades si se quie en analiza
mó iles an iguos, ya que depende á de un conec o álido pa a el o denado ya que si el
o denado no iden i ica el mó il Au opsy 4.1.1 no pod á accede a la in o mación.
Los cos es asociados a cada he amien a son muy dispa es. UFED TOUCH iene un alo
ap oximado de 10000 eu os, mien as que Au opsy 4.1.1 iene un cos e g a ui o. Sin emba go,
las p es aciones que o ece UFED TOUCH son muy buenas y necesa ias si se quie e lle a a cabo
un análisis o ense comple o y sob e odo si el análisis quie e se p esen ado an e un ibunal.
Con es os esul ados se obse a que UFED TOUCH supe a en g an medida a la
he amien a g a ui a Au opsy 4.1.1. UFED TOUCH ha ealizado una ex acción ísica y ha podido
ex ae oda la in o mación que se pedía en el caso (ANEXO C), mien as que Au opsy 4.1.1 ha
ealizado una ex acción de sis ema de a chi os y la in o mación ex aída ha sido bas an e
educida. Además UFED TOUCH ha ex aído oda la in o mación 59 minu os más ápido que
Au opsy 4.1.1, algo esencial pa a lle a a cabo ope aciones de in eligencia, donde p ima la
apidez. Cabe des aca que UFED TOUCH ha ex aído oda la in o mación de la memo ia in e na
y ex e na del elé ono mó il, mien as que Au opsy 4.1.1 sólo ha ex aído la in o mación de la
memo ia ex e na. De ahí a la g an di e encia en muchos da os.
Aunque el caso solamen e pedía ex ae llamadas, emails, con ac os, coo denadas GPS,
imágenes, mensajes, con e saciones y una g á ica de mo imien o de da os, UFED TOUCH podía
habe dado mucha in o mación. De hecho en la ilus ación 15 apa ece oda la in o mación que
ha podido ex ae , como puede se la ob ención de con aseñas, cookies, cuen as de usua io, e c.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
28
Conclusiones
Los análisis o enses se lle an a cabo siguiendo unas pau as ya de inidas. No es necesa io
ene un g an conocimien o p e io pa a ealiza es os análisis ya que siguiendo la me odología
explicada se puede ealiza un análisis o ense sin ningún ipo de p oblema.
El p incipal p oblema es el dispone de las he amien as adecuadas pa a lle a a cabo
es os análisis ya que si se p e ende p esen a la p ueba an e un ibunal se debe de dispone de
UFED TOUCH. Las o as he amien as g a ui as, como el p og ama Au opsy 4.1.1, pueden se
u ilizadas pa a ines pe sonales como el ecupe a in o mación eliminada, como una o o, un
con ac o, e c.
Los p oduc os analizados en es e abajo mues an di e encias muy cla as. El p ime o,
UFED TOUCH, demues a que es una de las mejo es he amien as pa a ealiza análisis o ense.
Ha sido capaz de ex ae oda la in o mación que se pedía así como incluso mucha más
in o mación que no ha sido analizada. Además la ex acción se ha podido hace en el iempo
pedido po el in o me. El único p oblema es que la licencia es muy ca a. El segundo, Au opsy
4.1.1, es una he amien a bas an e ú il pa a el análisis o ense pe o la in o mación que ex ae no
es su icien e con espec o a lo que se pedía. Además el iempo pa a ex ae la in o mación es
muy ele ado. De es a mane a aunque la licencia de UFED TOUCH sea muy ca a es comple amen e
necesa io dispone de al licencia pa a pode lle a a cabo análisis o enses en De ensa.
Tan o el ma co legal como la no ma i a que se mues a en es e abajo sólo es álida si
el análisis o ense se lle a a cabo en España. Si la in es igación se ealiza en o os países el
in es igado debe á egi se las leyes igen es en esos países.
La emp esa enca gada de ende el sis ema ope a i o And oid es á con inuamen e
lanzando ac ualizaciones de es e sis ema ope a i o pa a pode co egi los e o es que iene. De
es a mane a los analis as o enses se en en an a cons an es desa íos ya que con cada
ac ualización es más di ícil accede a la ex acción de la in o mación.
Po úl imo, los análisis o enses es una a ea que ac ualmen e es á adqui iendo bas an e
impo ancia en el ámbi o de De ensa. P ueba de ello es la ecien e c eación del Mando Conjun o
de Cibe de ensa, dónde ac ualmen e uno de los aspec os en los que se es á cen ando la
ins ucción del pe sonal es a la ealización de análisis o enses. De hecho, se es á des inando
mucho dine o a la adquisición de UFED TOUCH ya que se es á con i iendo en una he amien a
indispensable en Te i o io de Ope aciones.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
29
Bibliog a ía
[1]2016. [Online]. A ailable: h ps://www.e icsson.com/ es/docs/2016/e icsson-mobili y-
epo -2016.pd . [Accessed: 09- Oc - 2016].
[2]Tendencias 2014: El desa ío de la p i acidad en In e ne , 1s ed. ESET, 2014.
[3]"Yahoo su e "uno de los mayo es a aques in o má icos de la his o ia" con el obo de
in o mación de unos 500 millones de cuen as de sus usua ios - BBC Mundo", BBC Mundo, 2016.
[Online]. A ailable: h p://www.bbc.com/mundo/no icias-in e nacional-37444591. [Accessed:
22- Oc - 2016].
[4]"Cómpu o o ense", Es.wikipedia.o g, 2016. [Online]. A ailable:
h ps://es.wikipedia.o g/wiki/C%C3%B3mpu o_ o ense. [Accessed: 13- Sep- 2016].
[5]"And oid", And oid, 2016. [Online]. A ailable: h ps://www.and oid.com/in l/es-419_mx/.
[Accessed: 22- Oc - 2016].
[6]"Celleb i e - UFED Physical Analyze ", Celleb i e.com, 2016. [Online]. A ailable:
h p://www.celleb i e.com/es/Mobile-Fo ensics/Applica ions/u ed-physical-analyze .
[Accessed: 22- Oc - 2016].
[7]"Me odología pa a un análisis o ense", 2014. [Online]. A ailable:
h p://openaccess.uoc.edu/webapps/o2/bi s eam/10609/39681/6/cge illa TFM1214memo ia
.pd . [Accessed: 12- Oc - 2016].
[8]"Los disposi i os mó iles", 2016. [Online]. A ailable:
h ps://www.incibe.es/ex on in eco/img/File/emp esas/ki _concienciacion/Pildo as_in o ma i
as/incibe_p esen acin_4__los_disposi i os_m iles__ ex o.pd . [Accessed: 22- Oc - 2016].
[9]GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-453) SEGURIDAD DE DISPOSITIVOS MÓVILES:
ANDROID, 1s ed. 2013.
[10]R. Tamma and D. Tindall, Lea ning And oid o ensics, 2015.
[11]"Descub en una nue a ulne abilidad que pone en iesgo a 900 millones de disposi i os
And oid", abc, 2016. [Online]. A ailable: h p://www.abc.es/ ecnologia/mo iles/ ele onia/abci-
descub en-nue a- ulne abilidad-pone- iesgo-900-millones-disposi i os-and oid-
201608081307_no icia.h ml. [Accessed: 22- Oc - 2016].
[12]"Google And oid : CVE secu i y ulne abili ies, e sions and de ailed epo s",
C ede ails.com, 2016. [Online]. A ailable: h p://www.c ede ails.com/p oduc /19997/Google-
And oid.h ml? endo _id=1224. [Accessed: 22- Oc - 2016].
[13]"Au opsy: Download", Sleu hki .o g, 2016. [Online]. A ailable:
h p://www.sleu hki .o g/au opsy/download.php. [Accessed: 15- Oc - 2016].
[14]"Au opsy Use Documen a ion: Au opsy Use 's Guide", Sleu hki .o g, 2016. [Online].
A ailable: h p://www.sleu hki .o g/au opsy/docs/use -docs/4.0/. [Accessed: 08- Oc - 2016].
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
36
Lib e ías
En es a capa se incluyen un conjun o de lib e ías en C/C++ que se usan en a ios
componen es de And oid. Es a capa se encuen a po encima del Ke nel pa a p o ee una in e az
de p og amación (API) uni icada pa a que pueda accede a las necesidades que el ke nel p o ee.
Muchas lib e ías u ilizan p oyec os de código abie o. En e las múl iples lib e ías que hay se
des acan:
A mazón de aplicaciones
En es a capa se encuen an los ecu sos necesa ios pa a que las aplicaciones puedan
unciona co ec amen e y sepan in e p e a comandos en And oid. Todas las aplicaciones que
se ayan a usa en el sis ema ope a i o And oid u ilizan el mismo conjun o de API y el mismo
amewo k, ep esen ado en es e ni el.
Los se icios más impo an es que p opo ciona es e ni el son:
 Views: es la pa e isual de los componen es.
 Resou ce Manage : cuando los ecu sos no son en códigos es e se icio
p opo ciona su acceso.
 Ac i i y Manage : ges iona el ciclo de ac i idades de las aplicaciones. Un
componen e ac i i y e leja una de e minada acción lle ada a cabo po una
aplicación. Debido a que una aplicación pe mi e la ejecución de a ias acciones,
es as acciones se lle an a cabo po una en ana independien e y a su ez cada
una de esas en anas es ep esen ada a a és de una componen e ac i i y. De
es a mane a se puede lanza una ac i idad o do mi o a.
Sys em C lib a y
Es una de i ación de la lib e ía
BSD de C es ánda (Libc). Es á
adap ada pa a disposi i os
basados en Linux.
Media F amewo k
Es á basada en OpenCo e de
Packe Video. Es a lib e ía sopo a
codecs de ep oducción y
g abación de mul i ud de o ma os
de audio y ídeo e imágenes.
Su ace Manage
Se enca ga de la
ep esen ación g á ica en 2D y
3D.
Webki
Es la lib e ía que sopo a un
mode no na egado de Web
u ilizado en el sis ema
And oid.
SGL
Es el mo o de g á icos 2D.
Lib e ías 3D
Se enca ga de maneja los
g á icos 3D y pe mi e u iliza ,
en el caso que es é disponible
F ee ype
Se enca ga del ende izado
ec o ial y uen es de mapas
de bi s.
SQLi e
Es un pode oso y lige o mo o
de bases de da os disponible
pa a odas las aplicaciones.
SSL
Se icios de enc ip ación
Secu e Socke Laye .
Ilus ación 34 Lib e ías Sis ema Ope a i o And oid.

T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
37
 No i ica ion Manage : median e un mismo o ma o comunica al usua io las
di e en es no i icaciones o e en os que ocu an du an e su ejecución: una
llamada en an e, conexión Wi-Fi disponible, e c.
 Con en P o ide s: median e es e componen e las aplicaciones pueden
almacena in o mación en un iche o o en cualquie o o o ma o que conside e
y compa i es a in o mación con o as aplicaciones.
Aplicaciones.
En es a capa se encuen an odas las aplicaciones que iene el disposi i o. Es as
aplicaciones pueden se bien las que ienen po de ec o en el sis ema ope a i o o las que el
usua io se haya desca gado. Todas es as aplicaciones se ienen que ejecu a a a és de la
máquina i ual ART pa a ga an iza la segu idad del sis ema.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
38
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
39
ANEXO C En e is a a pe sonal expe o.
Con es a en e is a se p e ende ob ene la mayo in o mación posible ace ca de los
p ocedimien os de análisis o enses lle ados a cabo po la unidad de Gue a Elec ónica. Se le ha
p egun ado al en e is ado po di e en es pun os que esul an de in e és pa a la in es igación.
La en e is a ha cons ado de las siguien es p egun as:
¿Qué he amien as suelen u iliza , además del UFED TOUCH, pa a ealiza análisis o enses
in o má icos de And oid cuando despliegan en e i o io de ope aciones?
¿Cuál es el p ocedimien o a segui pa a ealiza el análisis o ense?
¿Qué ipo de in o mación se busca cuando se ealizan análisis o ense en e i o io de
ope aciones?
¿Cuál es su opinión pe sonal ace ca de las he amien as empleadas po Cibe de ensa?,
¿P opond ía u iliza o o ipo de he amien as?
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
40
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
41
ANEXO D Caso ic icio de es udio.
El día 06 de Oc ub e del 2016 , as habe ealizado un econocimien o po el i ine a io
ma cado según O den de Ope aciones, un equipo de Cibe de ensa encuad ado en el Ba allón de
Gue a Elec ónica nº31 encon ó un elé ono mó il que pod ía se de algún sospechoso. Según
in eligencia en un adio de 200 m donde se encon ó el elé ono mó il se es án lle ando a cabo
nume osos a aques e o is as así como á ico ilegal de a mas.
Se a a de un elé ono mó il de la ma ca Sony E icsson neo , apa en emen e en buen
es ado.
La misión que se le encomienda al equipo de Gue a Elec ónica es ob ene oda la
in o mación posible que pudie a esul a de g an alo pa a e i a posibles a aques e o is as
an o a la base en la que se encuen a desplegada la unidad como los posibles a aques que
pudie an su i los con oyes. Además es a in o mación se ía c ucial dispone de ella en la mayo
b e edad posible ya que según In eligencia en las p óximas 8-10 ho as hay muchas posibilidades
de que g upos e o is as a aquen con a la base o pudie an explosiona algún ipo de mina.
La in o mación que se espe a ob ene del elé ono mó il es la siguien e:
- Llamadas.
- Co eos elec ónicos.
- Con ac os.
- Coo denadas GPS.
- Imágenes.
- Mensajes.
- Con e saciones.
- Mo imien o de da os.

T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
42
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
43
ANEXO E Tipos de ex acciones de UFED TOUCH.
De acue do a la in o mación consul ada en la página p incipal de UFED [8] la de inición de
ex acción lógica, de sis ema de a chi os y ísica es:
Ex acción lógica
La ex acción lógica de da os es la que menos in o mación puede ob ene . Es a ex acción
se lle a a cabo median e la API (In e az de p og amación de aplicaciones) que es especí ica del
disposi i o. Cuando UFED se conec a al disposi i o ca ga el API especí ico del disposi i o pa a
pode lle a a cabo la ex acción lógica. Una ez conec ada y ca gada el API, UFED hace llamadas
API de solo lec u a pa a solici a la in o mación del disposi i o. T as es o, el disposi i o esponde
a es as llamadas y de es a mane a se puede ex ae la in o mación demandada po UFED.
Median e es e p oceso se pe mi e la adquisición de la mayo pa e de los da os en i o del
disposi i o, en un o ma o legible y de o ma álida a ni el o ense.
Los ipos de da os incluyen con aseñas, egis os de llamadas, egis o de llamadas
eliminados de la SIM, in o mación del elé ono (IMEI/ESN), egis os de la lib e a de elé onos,
SMS, imágenes, ideos, a chi os de audio, da os de apps de disposi i os And oid, e c. En la
mayo ía de los casos, no es posible ealiza ex acción lógica de disposi i os bloqueados.
El mé odo de ex acción lógica es el más ácil de ealiza pa a la he amien a, ya que iene
limi aciones de la can idad de da os que puede ex ae , al con a io de los mé odos de ex acción
ísicos.
Ex acción de sis ema de a chi os
La ex acción de sis ema de a chi os es la adquisición de los a chi os inco po ados en la
memo ia de los disposi i os mó iles.
Ob iene acceso a odos los a chi os exis en es en la memo ia del disposi i o mó il,
incluyendo imágenes, ideos, a chi os de base de da os, a chi os del sis ema y egis os. La
mayo ía de las aplicaciones inco po adas y del usua io almacenan los da os en es os a chi os de
bases de da os. Al lle a a cabo una ex acción de sis ema de a chi os, se puede ene acceso a
da os ales como con aseñas, da os de apps, in o mación del di ec o io ele ónico, egis o de
llamadas, mensajes y espacio sin asigna .
El espacio sin asigna es de donde se pueden ecupe a los da os eliminados y ocul os,
incluyendo da os de apps, his o ial web, da os EXIF de las imágenes y da os del sis ema. El acceso
o al a la base de da os pe mi e ecupe a los egis os eliminados de es os a chi os.
Ex acción ísica
La ex acción ísica ob iene la in o mación del disposi i o mó il ealizando una copia bi
po bi de oda la memo ia lash. G acias a es e mé odo de ex acción pe mi e adqui i los da os
in ac os, así como los da os ocul os o que han sido eliminados.
Los da os eliminados pueden se ecupe ados en dos ni eles: El p ime ni el es el sis ema
de a chi os y el segundo ni el es la ecupe ación de in o mación eliminada de los a chi os de
bases de da os. En el p ime ni el du an e el p oceso de econs ucción del sis ema de a chi os,
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
44
en ocasiones es posible ecupe a los a chi os eliminados. En el segundo ni el se puede ecupe a
in o mación eliminada ya que en algunos a chi os de bases de da os que se pueden encon a en
los elé onos in eligen es, es posible ecupe a los egis os eliminados, ales como los egis os
de llamadas, con ac os, mensajes, e c.
No a: el segundo ni el de ecupe ación ambién se puede lle a a cabo en una ex acción
de sis ema de a chi os.
Los ipos de da os compa ibles que se ob ienen usando la ex acción ísica incluyen las
con aseñas in ac as y eliminadas, las aplicaciones ins aladas, geo e ique as, los a chi os de
medios ales como o og a ías y ideos omados po el usua io, las posiciones de GPS, los co eos
elec ónicos, los cha s y mucho más.
Los ges o es de a anque pe sonalizadas con ecuencia se desa ollan du an e es e
p oceso pa a ex ae la in o mación almacenada en el disposi i o, y con ecuencia omi i los
bloqueos de usua io o los códigos de acceso. Es os ges o es de a anque son desa ollados
exclusi amen e po Celleb i e y son los únicos que incluyen uncionalidad de solo lec u a,
asegu ando que los da os se ex aigan de los disposi i os mó iles de o ma álida a ni el o ense.
Es a in es igación se cen a en el sis ema And oid, po lo an o se puede accede a
cualquie ipo de in o mación.
T abajo Fin de G ado. Análisis Fo ense del Sis ema And oid.
45
ANEXO F C ea una imagen a a és de FTK Image Li e.
El modo de c ea una imagen a a és de es e p og ama es bas an e ácil e in ui i o. Con solo un
pa de pasos podemos c ea la imagen con la que pos e io men e se puede abaja pa a analiza
el con enido.
P ime amen e se selecciona la opción de C ea e Disk Image, que se encuen a a iba a la
izquie da, como mues a la ilus ación 34.
A con inuación se selecciona donde es á ubicada la uen e de da os donde se quie e ex ae la
in o mación (ilus ación 35). Se puede elegi en e unidad ísica (Physical D i e), unidad lógica
(Logical D i e), a chi o de imagen (Image File), con enido de una ca pe a (Con en s o a Folde )
o un CD/DVD (Fe nico De ice).
Ilus ación 35 C ea Imagen de Disco FTK Image
Ilus ación 36 Selección de la uen e FTK Image