Peritatge Informàtic d’Emule i Pornografia Infantil
Un tipus de cas que pot causar certa controvèrsia pel que fa a l’ètica professional, és la realització d’un informe pericial informàtic sobre unes descàrregues d’Internet a través d’un programa de compartició de fitxers P2P, etc. Sobretot, si el contingut que s’ha baixat és depornografia infantil.
Internet ha facilitat molt l’accés a aquest tipus de continguts i la seva distribució. De manera que avui dia des de l’ordinador de casa es pot accedir a aquest tipus de continguts sense problema. Aquest material està allotjat generalment a servidors de fora de la unió europea amb unes normatives més permissives. Pel que fa a Espanya, tenim l’honor de ser el país que més consumeix a Europa i el segon al món.
El programari «Emule Quixot» és el sistema que fan servir les forces de seguretat per a la prevenció del trànsit de material pedòfil a través d’Internet a Espanya. Es basa en la identificació dels hashes prèviament tutoritzats i la localització dels orígens i destins a través de connexions P2P. Aquest sistema evita que puguin canviar de nom el fitxer i perdre’s. En existir el mitjà criptogràfic, es fa perfectament viable la traçabilitat.
Per tant, quan passa una entrada i registre per precintar els equips i discos d’un possible pedòfil, s’obre un sistema de recerca, per tinença i compartició de pornografia infantil. És a dir, el peritatge informàtic es fa necessari quan hi ha casos en què si hi ha tinença, però no compartició de pornografia infantil.
Defendre una descàrrega de pornografia infantil
Recentment hem resolt un cas de peritiatge sobre pornografia infantil a Barcelona, en què els nostres pèrits van realitzar una investigació i anàlisi forense sobre el marterial descarregat. Per entendre millor la situació d’un tema tan delicat com aquest, el primer que cal destacar és: la descàrrega de qualsevol contingut pedòfil és il·legal.
Es donen tres circumstàncies quan es produeix un rastreig de la Guàrdia Civil a Internet per saber qui s’estàdescarregant pornografia infantil:
- Curiositat: l’usuari ha cercat aquesta informació concreta, cadenes de cerques concretes de menors, s’han descarregat i s’han esborrat o tret d’aquest ordinador. Acostuma a ser, segons ens indiquen els clients, descàrregues d’Internet per curiositat.
- Nom fals: són persones que usen el sistema P2P per descarregar qualsevol tipus de contingut i quan es baixen una pel·lícula, resulta que el nom era un i el contingut és pedòfil. En aquest cas, l’usuari sol esborrar immediatament el contingut, ja que s’ha obtingut de manera accidental.
- Delicte: en el cas en què se sap el que s’està descarregant i es fomenta la compartició d’aquest tipus de contingut. Solen tenir diversos discos durs amb material i perfectament etiquetats els noms.
Les cadenes de cerca són el número i les lletres «jo» (years old), per exemple 10yo; Phdtc, etc. Quan els agents de les Forces de Seguretat de l’Estat troben tots els arguments en relació amb un ordinador, troben les descàrregues, les comparticions, els fitxers, els discos durs i es veuen totes aquestes cadenes de cerca i els arxius pedòfils en ús compartit, no hi ha defensa possible.
En els casos on el client ha descarregat i ha esborrat; i en el cas de la persona curiosa, la defensa consisteix en la realització d’un informe pericial sobre l’ús verídic que se li ha donat. En el cas de la baixada errònia, que no s’ha visualitzat ni compartit i que el fitxer és erroni. En el cas del curiós, el peritatge informàtic consistirà a discernir que només ha estatdescàrrega i no compartició.
Una vegada que s’ha realitzat l’extracció forense del disc dur, amb la seva còpia i el seu hash, en mode només lectura cal centrar-se en una sèrie de paràmetres, com per exemple:
Dins del directori: [root]\Users\[usuari]\AppData\Local\eMule\config\ veurem que hi ha una sèrie de fitxers que són interessants i que són:
PREFERENCES.INI
Emmagatzema els paràmetres de funcionament i configuració, ja sigui introduïts prèviament a les opcions de configuració del programa eMule, així com certa informació sobre els detalls visuals, etc., que poden ser modificades per l’Usuari. En aquest fitxer es pot comprovar si hi ha un mod d’Emule.
El pèrit informàtic comprovarà el mod. Un mod és una modificació del programa original i pot valer per, quan es fa el peritatge informàtic d’emule, comprovar si l’usuari ha bloquejat la pujada de dades i, per tant, podria ser una prova que s’ha intentat evitar la pujada de contingut.
S’indica també la Carpeta on s’emmagatzema els fitxers descarregats completament=>s> class=»fontstyle0″>Carpeta on s’emmagatzemen els fitxers en procés de descàrrega.
AC SEARCHSTRINGS
Emmagatzema totes les cadenes de cerca utilitzades, tot això, per tal d’oferir l’opció d’autocompletar, si una nova cerca coincideix amb altres anteriors, llevat que es desmarqui l’opció de recordar en la configuració de l’eMule automàticament, o s’elimina aquest fitxer eMule.
Es poden revisar les cerques que s’han realitzat i, d’aquí extreure’n si hi ha hagut una continuïtat. És bàsic per a qualsevol cas de pornografia infantil. El contingut d’aquest fitxer pot ser modificat tantes vegades com es vulgui, per part de l’usuari del programa, usant l’opció “netejar historial”, o dins de l’opció preferència class=»fontstyle0″>”.
KNOWN.NET
Aquest fitxer, desa tots aquells fitxers que l’eMule instal·lat ha descarregat completament, sempre que no s’hagi produït una interrupció voluntària o accidental de la descàrrega, a més de guardar més informació sobre aquests fitxers, com ara la seva mida i la seva mida compartits, etc…, encara que aquests hagin estat esborrats del disc dur.
En els casos de pedofília, cal comprovar que els fitxers descarregats coincideixen amb les cerques emmagatzemades a AC SEARCHSTRINGS.
STATISTICS.INI
Aquest fitxer es troba a la mateixa ruta, cal centrar-se en les columnes Request Total (total de peticions), Request Accepted (peticions acceptades) i TotalUploadedBytes (byts compartits).
Imaginem aquesta taula
| Requests Total | Requests Accepted | TotalUploadedBytes | TotalDownloadedBytes |
| 8660 | 3969 | 5442836910 | 74597841221 |
Aquesta taula indica que es pot afirmar, que aquests fitxers han estat peticionats 8660 acceptat3969 connexions, havent compartit un total de 5.442.836.910 bytes Gb), i s’han descarregat un total de 74.597.841.221 de bytes (69,47Gb).
DOWNLOADS.TXT
Aquest fitxer conté un llistat dels fitxers x.part i enllaços eD2K corresponents a cadascuna de les descàrregues actuals de l’eMule. S’actualitza cada vegada que s’inicia l’eMule. Són els fitxers que estan en procés de descàrrega, dins del directori elegit.
FITXERS ESBORRAT
Han pogut ser descarregats i esborrats certs fitxers que puguin resultar interessants per al peritatge informàtic. Cal fer una recuperació de dades.
La cerca de fitxers .part i .part.met són necessàries. Com que aquests són els temporals, és a dir, els que creeu emuleu quan descarrega un fitxer abans que es completi.
El pèrit informàtic també haurà de fer la cerca al directori destinació de les descàrregues.
Així mateix, cal mirar el directori \Users\[usuari]\AppData\Roaming\Microsoft\Windows\Recent\que és on s’emmagatzemen les entrades dels fitxers oberts recentment.
Fitxer d’índexs $I30
Poden existir entrades emmagatzemades al fitxer d’índexs $I30 del MFT del sistema de fitxers del sistema operatiu.
RESUM D’EMULE
|
o
|
Known.metThe Known.met saves all files eMule saber quines són les shared files, fils currently in the download list or downloaded in the past. Per a un arxiu d’informació més important com a file size, filename, hash sets, hash values and some statistics are saved. Per al delete aquest fitxer, eMule ha de rehaixar tots els fils on el restart. If you don’t want eMule to remember downloaded files, disable the «Remember downloaded files» option in the preferences. |
|
o
|
Known2_64.metStores AICH hashes all downloaded and / or shared files. Per al delete aquest fitxer, eMule ha de rehaixar tots els fils on el restart. If you don’t want eMule to remember downloaded files, disable the «Remember downloaded files» option in the preferences. |
|
o
|
Known2.metAquest fitxer no és utilitzat per eMule anymore. Per a no planificar la downgrade per a earlier version, heu de cantar aquest fitxer. |
|
o
|
Cancelled.metAll files which you started to download but then cancelled before completing are noted here, si eMule can mark those files to avoid redownloading them again. If you don’t want eMule to remembercancelled files, disable the «Remember cancelled files» option in the preferences. |
|
o
|
Clients.metThis file stores all users who have credits with your eMule |
|
o
|
Server.metContains all known servers. |
|
o
|
Emfriends.metPer als usuaris, added a la pàgina <friends. |
|
o
|
Preferences.iniSaves all options set in the Options dialog and information about visual details like column size etc. Some development related and advanced options can only be enabled by editing this file, see this topic for details. |
|
o
|
Fileinfo.iniComments or Ratings for your own shared files. |
|
o
|
Category.iniStores the settings of your categories like name, comment and colour coding. |
|
o
|
Ipfilter.datAquest fitxer conté IP ranges i accessos nivells per filtrar-los IP Filter. Als seeOptions -> Security |
|
o
|
Onlinesig.datTheOnline Signature és un petit fitxer que conté el server eMule està connectat a up- and download statis. Can be used by IRC scripts or signature images. |
|
o
|
Preferences.datSaves the user hash. Aquest valor està calculat a l’eMule’s first start i es fa servir per identificar aquest client a la xarxa. Used for credit system and friends. |
|
o
|
Sharedir.datHolds the paths to all shared directories. |
|
o
|
Staticservers.datStatic servers never change their IP and are theoretically always online in the network. Aquests servers s’admeten als staticservers.dat en context menu (right mouse button) del servidor de llista. Sigueu tambéOptions -> Server |
|
o
|
Addresses.dateMule updates its server list at startup if valid address to server.mets are provided in this file. Options ->Server offers a button per escriure aquest llistat i opció per a updating en startup. El fitxer és un contingut multiple entris (on each line) però una adreça adversa per deliver a valid server.met s’utilitza. |
|
o
|
AC_SearchStrings.datEach search string that has be used is recorded and an auto-completing is offered if a new search matches previous ones. |
|
o
|
AC_ServerMetURLs.datSame file as the the one above. Only difference that this one used to store entered URL a server.met files. Mind that many sites regularment change the addresses to their server.mets. |
|
o
|
Cryptkey.datContains the unique 384 bit private RSA key of your client to verify your userhash. If you delete this file, make sure to also delete preferences.dat which stores your userhash. |
o |
Collectioncryptkey.datAquest fitxer només existeix i quan heu creat i signat en una col·lecció en eMule. It contains a unique 1024 bit RSA key, which will be used for all collections you signing to verify that they are from the same author. |
|
o
|
eMule.tmplThe *.tmpl files es requereixen per aWebinterface. Aquest defineix layout and options of the displayed pages. |
|
o
|
xx.partPart files are unfinished downloads. eMule is able to download from more than one user at the same time, si the *.part files always have size of finished download. Missing parts simply filled with zero. In recent versions, i quan s’utilitza el NTFS filesystem, teniu en compte que s’ha optat per share incompleted files a ‘sparse’, which prevents aquest behaviour and in doing so saves filespace. |
|
o
|
xx.part.metEvery *.part file has a corresponding *.part.met file. La identificació de la descàrrega a la xarxa i la revisió d’errors cada descàrrega es divideix en 9 MB parts. Per a qualsevol part del carrer hash value is calculated. Les noves hash value són creades per completar set de les parts hashes. Aquesta informació s’ha trobat amb el nom de fitxer i l’estatus de les hashes que inclouen *.part.met files. |
|
o
|
xx.part.met.BAKA backup of the *.part.met files es crea as it és very bad if such a file gets corrupted by a crash. Sigui Troubleshooting for help, quan les downloads vanish due to corrupted *.part.met files. |
|
o
|
eMule.logSaveu l’output de la línia de l’usuari en el servidor de pani i la seva opció és inOptions -> Extended |
|
o
|
eMule_Debug.logSaveu l’output de debug window en el servidor de pani if l’opció d’appropriate in Options -> Extended |
|
o
|
src_index.dat, preferencesKad.dat, nodes.dat, key_index.dat, load_index.datTots els fils són utilitzats per Kad and contain infromations sobre nodes, paraules clau, preferències etc. |
Compartir o descarregar fitxers de contingut pedòfil
Com hem dit anteriorment la diferència està en la condemna. En descarregar fitxers, se suposa lús personal; però en compartir-lo, s’està fomentant el desplegament i la còpia del material. Per això és tan important la tasca del pèrit informàtic i l’anàlisi forense de les dades.
Contacti amb els nostres Pèrits Informàtics
Som experts en anàlisi forense d’equips informàtics. A Globátika Lab comptem amb perits informàtics qualificats a tot Espanya que han resolt més de 700 casos. Per a qualsevol consulta, no dubti en trucar-nos al telèfon 931 223 607, o posar-se contacte a través del formulari de contacte de atendre’l.
