Categoría: Actualidad de GlobátiKa

Cualquier sistema de control remoto nos hace la vida más fácil ya que nos permite conectarnos incluso desde el móvil. Pero usado sin supervisión, puede ser una vía de robo de información para cualquier persona o empresa.

Un caso muy habitual, es la peritación de los sistemas de control remoto, como Team Viewer que permite conectarnos y ver la pantalla o extraer ficheros del ordenador remoto o, hacia un equipo de afuera.

Por tanto, un trabajador o alguien cercano, podría estar mandándose información a su casa, o bien, desde su casa conectarse y copiarse los datos fundamentales de la empresa lo que muchas veces nos dicen los clientes «robo de información«.

En este artículo vamos a ver unos parámetros básicos para saber si esto ha ocurrido y proceder a realizar una peritación informática correcta.

El fichero que vamos a utilizar en este caso está en Windows, en el directorio c:\program files (x86)\teamviewer y iene como nombre TeamViewerXX_Logfile.log (siendo las XX la versión). Aquí debemos buscar una serie de palabras clave para identificar actos concretos:

Primero: El registro en el equipo que ha recibido la conexión:

• Ver el nombre del ordenador remoto (el que ha originado la conexión con el que estamos investigando) y el ID: Busca «VoIP: Receiver:» Saldrá que el canal participante «Participant channel» (es el nombre del equipo que ha originado la conexión y su ID). También hay otras opciones como buscar «punch received a=»
• Ver el nombre de nuestro equipo que estamos investigando: Buscar «Our participant id is» y nos salndrá el nombre de nuestro equipo y la ID que tenía en ese momento. Esto es útil cuando se ha hecho un cambio de nombre de equipo a propósito ya que quedará el que había en esa fecha.
• Ver la IP y puerto de la conexión entrante a Team Viewer: Buscar el texto «punch received a=»
• Comprobar si existe movimiento de ficheros, buscar «FileTransferProgress::OnFileAdded: «, pero no nos dará el nombre del fichero. Si nos ha salido este parámetro, ahora tenemos que ver si el fichero ha salido de nuestro ordenador o del remoto. Para esto, buscar «(StreamType_File, private), source=» Esto nos indica que hay tráfico de ficheros y «source» es el ID del ordenador de origen donde está el fichero en un primer lugar. Con esto ya sabemos si se ha podido robar información o enviar información.
• Para ver quién se ha intentado conectar aunque no haya iniciado sesión: 2019/10/02 15:36:18.952 2056 6088 S0 AuthenticationBlocker::Allocate: allocate ok for DyngateID 1415853395, attempt number 2. El número después de DyngateID es el equipo que se conecta al que estamos estudiando. Attempt es el número de veces que lo ha intentado sin iniciar sesión.

Como nota aclaratoria, aunque no ponga el nombre de los ficheros que han sido objeto de robo, se puede hacer un timeline del disco duro para ver la fecha de acceso a los mismos que serán los que han sido utilizados en esta comunicación.

Buscando por ese documento se pueden ver estos datos:

Start: 2019/00/00 08:10:58.908 (UTC+1:00)
Version: 14.5.5819
ID: 0
Loglevel: Info (100)
License: 0
Server: master14.teamviewer.com
IC: -1355221301
CPU: Intel64 Family
CPU extensions
OS: Win_10.0.17763_W (64-bit)
IP: 192.168.0.22
MID: 0x049226d3ce97_1d44cc67230d0d5_1280671056
MIDv: 0
Proxy-Settings: Type=1 IP= User=
IE: 11.117.17763.0
AppPath: C:\Program Files (x86)\TeamViewer\TeamViewer_Service.exe
UserAccount: SYSTEM

Segundo: El registro en el equipo que ha emitido la conexión:

Aquí si que podemos ver el nombre de los ficheros en función del idioma en este tipo de tramas:

Para traer ficheros desde el ordenador remoto a este:

DataTransceiver: TransferProtocol => TransferProtocol::ReceivedChunkCommand: unknown id: 33330502156
Grabar archivo C:\Users\Virtual1\Documents\.\FICHEROENORIGEN.txt
Descarga desde «»D:/TV\.\FICHEROENORIGEN.txt»» a «»C:\Users\Virtual1\Documents\.\FICHEROENORIGEN.txt»» (10 Bytes)

Esto «graba» en local (estamos en la máquina que emite la conexión remota) el fichero del disco duro D: remoto.

Para enviar de este ordenador al equipo remoto:

DataTransceiver: TransferProtocol => TransferProtocol::ReceivedChunkCommand: unknown id: 3433324315
Enviar desde «C:\Users\Virtual1\Documents\desde remoto.txt» a «D:/TV\desde remoto.txt» (10 Bytes)

Esto está grabando nuestro fichero local (estamos emitiendo la conexión) al disco duro D: del equipo al que hemos establecido conexión.

Recuerde que esto de por sí, no tiene validez legal y es necesario crear la cadena de custodia. Cualquier duda, consulte con peritosinformaticos.es.

El fichero Connections_incoming.txt da la información resumida de las conexiones entrantes. El formato es: [ID Equipo remoto que se conecta], [Nombre equipo remoto], [Fecha entrada en formato UTC], [Fecha de salida en formato UTC], usuario (generalmente estándar) y un identificador:

1415333595 LAPTOP-FV5UR0AK 02-10-2019 13:36:18 02-10-2019 14:09:10 usuario RemoteControl {4DA7B84B-CC5E-48D6-B901-635CDAD2DEBB}
1415333595 LAPTOP-FV5UR0AK 02-10-2019 14:24:38 02-10-2019 14:37:23 usuario RemoteControl {FFD4F68C-914C-4BA8-B1AC-0C15FDD59182}
14153353595 LAPTOP-FV5UR0AK 02-10-2019 14:31:29 02-10-2019 14:37:23 usuario RemoteControl {E0EA4EC5-96DC-4255-AA9A-87A3EC48B3F2}

La dactiloscopia es uno de los principales sistemas de identificación forense. Basado en el estudio de la impresión o reproducción física de los dibujos formados por las crestas papilares de los dedos de las manos. Este método se ha venido utilizando con distintos fines. Tanto en el ámbito civil como en el ámbito policial y penal, siendo de utilidad fundamental en la investigación forense. La dactiloscopia es una de las ciencias o técnicas principales que permiten identificar a sujetos que han participado en cualquier delito, situándose en la escena del mismo.

En la actualidad las huellas dactilares representan una de las tecnologías biométricas más seguras y se consideran, pruebas legítimas de evidencia criminal en cualquier lugar del mundo. El estudio comparativo de las impresiones dactilares y de las huellas dejadas involuntariamente en el lugar de un crimen. Llevan, en muchos casos, a la resolución concluyente de casos judiciales donde dichos rastros son evidencia innegable de la presencia de un sujeto determinado en la escena de un delito.

Asesoramiento técnico y elaboración de informes judiciales y de parte en todas las especialidades de pericia dactiloscópica.

Ratificación en sala de los informes periciales.

Fotografía y constancia documental de todas las huellas encontradas.

Realización de informes periciales y contrapericiales en dactiloscopia.

Cotejo de dactilogramas con fines de identificación personal.

Análisis en el laboratorio de los dactilogramas revelados.

Un cliente de Bilbao nos visita diciendo que ha comprado una centralita para un call center y que no lo he funcionado desde el principio. Ha hablado con su abogado y necesita demostrar el mal asesoramiento tecnológico. Algo tan simple y tan complejo como que la centralita no hace la función para la que ha sido comprada.

Necesita un informe pericial informático para demandar al vendedor.

Un call center necesita llamar y recibir llamadas, mantener unas estadísticas y tener un autollamador para que las operadoras estén todo el tiempo posible hablando por teléfono.

Para vender esta solución es imprescindible hacer una valoración técnica de los usuarios o agentes que van a estar en comunicación. El número de minutos mensuales que se van a consumir, el caudal de ancho de banda necesario para que las comunicaciones no sufran caídas o cortes de comunicación. La estabilidad del suministro eléctrico de la ubicación de la empresa. Y, por supuesto, el tipo de llamadas, contrato de confidencialidad. Seguros de responsabilidad civil y tratar con cuidado la grabación y monitorización de las llamadas.

Cuando algo, en esta cadena, no está bien pensado, surgen los problemas. Estos problemas cuando aparecen durante el ejercicio de la actividad y hace que la empresa pare, tiene consecuencias económicas. Ahí es donde entramos nosotros.

En este caso, hemos estado en el cliente y hemos observado cortes de llamadas. Que no funciona el CRM que está integrado con la centralita y que las operadoras están aburridas sin hablar por teléfono.

Tras hablar con el comercial, hemos visto que se niega a atender a su cliente porque dice que esta centralita funciona bien.

Así que hemos empezado a revisar todos los parámetros y ver todo lo que no funciona. Se ha ido grabando todo y se ha acudido con un notario que ha levantado acta de todo lo que allí ocurre y falla.

Así mismo, hemos conseguido una serie de estadísticas del operador en el que se ven los tiempos de llamadas de 10 a 19 segundos. Lo que significa que la llamada se corta en muy poco tiempo aunque se comprueba que si se establece comunicación.

Una vez elaborado el informe, junto con el acta notarial, se fue a presentar la demanda. A lo que, inmediatamente, al ver el informe, de repente el director de la empresa que le vendió la centralita se puso muy dispuesto a solucionar el problema. Que ha sido la devolución de los importes pagados por la máquina.

Un trabajador de una empresa es despedido por usar el PC de su trabajo para establecer conversaciones por páginas de contactos como meetic, badoo, edarling y otras. Y por chatear a través de facebook con algunas personas que ha conocido a través de este medio (infidelidades trabajo).

Pasamos con un notario a hacer el volcado del disco duro mediante una imagen forense. Extraer la información y la línea temporal de conversaciones, fotografías enviadas y recibidas que estaban almacenadas en el disco duro del ordenador que era propiedad de la empresa.

En las peritaciones informáticas sobre infidelidades, se certifican las líneas temporales de mensajes. Entradas según horario, seguimiento en tiempo y se realiza una media diaria de conexiones dentro del horario laboral. En este caso, la pericial informática ha servido para un tema personal y laboral.

Gracias al uso tan extendido de las nuevas tecnologías, Internet y los móviles se han convertido en grandes aliados de los amantes secretos. Pero también de quienes quieren desvelar sus aventuras. Lo primero que hace una persona que engaña a su pareja es alejar de ella su teléfono. No sólo porque contenga posibles mensajes ‘picantes’ del otro o la otra, sino porque nunca se sabe cuándo puede llamar un amante ardiente.

Algunas de las vías de comunicación más cómodas son el email y las redes sociales ya que, dado que las usamos principalmente en la oficina, es difícil que la persona que nos espera en casa tenga acceso a ellos. Pero el ordenador del salón siempre está ahí, y a cualquiera se le puede pasar cerrar su bandeja de entrada… Quizá un mensaje titulado “¿Cuándo nos vemos?” o “Me lo pasé genial anoche” haga saltar todas las alarmas (infidelidades trabajo).

Si este es su caso, no dude en contactar y llame a nuestros peritos informáticos.

La propia Microsoft ha asegurado que es urgente aplicar la última actualización lanzada para su sistema operativo Windows 10.
En esta actualización, con el parche KB4480966, se resuelve un importante fallo de seguridad que afecta a la versión 1803 de Windows 10; es decir, Windows 10 April 2018 Update, aunque también llega la solución para errores del resto de versiones y mejoras a nivel de rendimiento.

El fallo en cuestión, el específico de Windows 10 April 2018 Update, está catalogado como CVE-2019-0547; según esta vulnerabilidad, a través del cliente DHCP se puede llevar a cabo la ejecución de código remota en un sistema, lo que permite que un atacante pueda enviar respuestas DHCP diseñadas especial y específicamente para un cliente, y por tanto se podría ejecutar código de forma remota –malicioso, claro- en un sistema.

Si tienes Windows 10 NOVEMBER 2019 Update es urgente que apliques el parche KB4480966 en tu ordenador por un importante fallo de seguridad

Hay que tener en cuenta que el parche de seguridad llega con cuatro fallos reconocidos por Microsoft. Todos estos problemas están en conocimiento de Microsoft y se irán resolviendo en los próximos días, también con parches independientes o con una solución conjunta. Está previsto que sea a mediados de enero cuando se lance la actualización.