Forense digital de vehículos

Abril 6, 2022 - 09:03

Tiempo de lectura estimado: 8 minutos

Esta conferencia magistral pertenece al Módulo 10 “Análisis forense. Malware y técnicas de ocultación” de C1b3rWall Academy 2021/2022. El objetivo de la misma es conocer algunas de las técnicas forenses existentes para extraer información de vehículos.

Análisis forense digital de vehículos

Actualmente, uno de los aspectos del análisis forense digital con mayor crecimiento es el relacionado con dispositivos IoT. En el mundo IoT son los vehículos conectados y en el medio plazo serán todos. Son los que más atención reciben debido a la gran cantidad y variedad de datos que generan.

Los coches nuevos ya incorporan una gran cantidad de sensores y electrónica, no solo para la navegación y estado del vehículo, sino para el entretenimiento de los ocupantes y la conducción autónoma.

En 2023 se prevé que un vehículo generará de media 8,33 GB de información. Un vehículo autónomo generará en 2023 4 TB de información.

Tanta información almacenada en el vehículo puede ser evidencia clave en muchas investigaciones penales (accidentes de tráfico, delitos contra las personas terrorismo, crimen organizado…).

Asimismo, estos datos están siendo enviados a los servidores del OEM (Original Equipment Manufacturer) que los gestiona. Existen dos tipos de sistemas telemáticos:

Embebidos: Modem conectado de forma permanente a la red móvil en comunicación con el OEM.
Tethered: Dispositivos USB/Bluetooth para conectar con el OEM.

Son utilizados por los propietarios para acceder y controlar el vehículo y para el envío de la información al OEM. Algunos vehículos tienen incluso dos módulos telemáticos.

Llaves inteligentes

El primer objeto que nos encontramos en un análisis forense digital de un vehículo son las llaves inteligentes (Key fobs). Almacenan mucha información del usuario además de la marca, fecha del último uso, nivel de combustible, kilometraje, temperatura del refrigerante, temperatura exterior, VIN, criptokeys… En el análisis forense utilizaremos la apertura manual del vehículo para no actualizar la última fecha de uso.

Sistemas de vídeo

Los coches nuevos graban 360º alrededor del vehículo constantemente, aunque no todos guardan todas las grabaciones constantemente, sino en momentos críticos.

Tipos de adquisición

Son muy parecidos a los tipos de adquisición en dispositivos móviles y también tiene validez la pirámide de extracción.

USB: accediendo por los puertos USB del vehículo, en ocasiones solo podemos recuperar la multimedia, pero en otras mucho más.
OBD2: puerto para recuperar los fallos mecánicos de los que informa el vehículo al usuario.
DIRECTA: se actúa directamente sobre la ECU (Electronic Control Unit) con técnicas como JTAG, ISP o Chip Off.

OBD-OBD2 es un sistema de diagnóstico a bordo estandarizado. Existen aparatos compatibles con marcas que rondan los 1000 euros aunque existen adaptadores por 7 euros que conectamos a una app.

El protocolo más utilizado, aunque ya es antiguo, es el CAN BUS (Controller Area Network) que conecta las diferentes unidades electrónicas del vehículo. Se creó en los 80 y presenta múltiples vulnerabilidades.

El objetivo del análisis forense es la recuperación de las ECUs, la más interesante es la dedicada al info timer pero depende de cada caso. Los tipos de evidencias que vamos a poder conseguir en una ECU tipo timer:

Dispositivos conectados: WiFi, Bluetooth (agenda, registro de llamadas…) y USB.
Datos de localización: Rutas, localizaciones habituales…
Eventos del vehículo: Encendido de luces, apertura de puertas, alertas, errores, aceleración/frenadas…

Proceso forense de vehículos

Es un sistema simplificado del análisis forense digital pero en esencia son las mismas fases:

Identificación: Se realiza a través de la marca, modelo y año de producción, y con este sabremos versión de software, centralita… Además se utiliza el VIN (17 dígitos)

Preservación: Se trabaja en conjunto con Policía científica. La apertura se realiza con la llave física, se desconectan los bornes de la batería y se esperan más de 15 minutos. Solo entonces se realiza la inspección ocular y se extrae la ECU.

Adquisición: Localizar dónde se encuentra la ECU y extraerla.

Análisis: Intentamos dar respuesta a las preguntas que requieren los investigadores.

¿Todavía no formas parte de C1b3rWall Academy? El contenido es gratuito, únete a otras 30.000 personas desde este enlace.