Detección de software espía 2 – el soporte físico
Hace poco comenzamos a ver las técnicas para detectar software espía, pues bien, existe un punto donde las técnicas utilizadas confluyen con otras disciplinas anexas: la recuperación de datos (intencional para borrar pruebas o accidental) es uno de los retos más difíciles de resolver en todo el campo digital y que probablemente es lo primero que debemos entender y comprender. Hablamos de como se dispone físicamente la información en los dispositivos y saber recuperarla aunque se haya presentado un intento de eliminación. Una vez un terminal del tipo que sea, es desconectado de su fuente de energía, todo lo que se aloje en RAM se habrá perdido, lo cual será el escenario en la mayoría de los casos. La evidencia quedará por tanto en la memoria no volátil.
Es aquí donde, sea cual sea la disciplina informática que tratemos nos vamos a encontrar con un problema común: la recuperación de datos en los discos duros SSD, pues en un plano práctico, hoy en día debemos entender cualquier forma de memoria de almacenamiento en un dispositivo como una variante de la concepción de un SSD (UFS, NVMe M.2, eMMc, NAND Flash Industrial, NOR Flash, EEPROM, etc.) cada tecnología tiene sus propias fuerzas y debilidades pero comenzar por entender los SSDs nos facilitará un acercamiento sencillo que podremos extrapolar añadiendo solo características adicionales.
El paso de los discos duros mecánicos (HDD) a los de estado sólido (SSD) está suponiendo un cambio de paradigma en la preservación de la evidencia digital. Así que comenzamos a analizar técnicamente el reto que supone resolver el complejo problema de revelar la información almacenada en una memoria dañada físicamente, ya que este cambio ha añadido un grado enorme de complejidad.
En informática forense podríamos decir que recuperar un HDD es como reconstruir un disco de vinilo roto, mientras que un SSD es más como intentar reconstruir un mensaje triturado donde los pedazos cambian de lugar constantemente. Efectivamente, un problema que puede aumentar en complejidad varios grados de magnitud hasta poder resultar casi imposible de resolver.
La paradoja de la Robustez Inversa
Esta es una de las paradojas más fascinantes de la ingeniería informática actual y resulta crucial para el ámbito forense. Frecuentemente se le ha llamado a esto la «Paradoja de la Robustez Inversa»: cuanto más aguanta un dispositivo el maltrato físico, más «vulnerable» es la información que contiene a la desaparición permanente.
¿Por qué un SSD es un «tanque» por fuera, pero un «castillo de naipes» digital por dentro?
Aunque paradójicamente los SSDs han supuesto enormes mejoras en la protección de la información dada su naturaleza físico-cuántica (efecto túnel) de composición y distribución de los componentes, en pocas palabras, es como si las memorias SSD dispusieran de un blindaje inmenso en el exterior capaz de resistir situaciones inconcebibles para un disco duro tradicional, pero sin embargo, si ese ‘blindaje’ por alguna razón es traspasado, aunque sea mínimamente, toda la ‘arquitectura protectora’ se derrumbará rápidamente.
La Robustez del SSD: El fin de la mecánica
Un HDD es, en esencia, un tocadiscos de precisión microscópica. Su fragilidad es mecánica y se plantea con las siguientes debilidades:
1. Inercia y g-force: Una simple caída de 10 cm mientras el disco gira puede provocar que el cabezal (que vuela a nanómetros del plato) choque contra la superficie, destruyendo físicamente los datos.
2. Desgaste de piezas: Tiene motores, rodamientos de alta precisión y brazos móviles que fallan por fatiga de materiales.
Por el contrario, el SSD, al no tener partes móviles, es casi inmune a las vibraciones y caídas. Puede soportar fuerzas de hasta varios cientos de Gs sin pestañear! Y sin embargo es más frágil! pero su debilidad no son los golpes, sino que depende de uno de los elementos más pequeños y dinámicos que existen en la física: los electrones.
¿Por qué es más difícil recuperar un SSD?
La dificultad radica en que el SSD, a diferencia de un disco duro mecánico, no es un almacén de datos pasivo, sino un sistema computacional activo que «gestiona» su propia destrucción. Desde la óptica de la criminalística, el paso del magnetismo a la electricidad cuántica ha creado algo que podríamos considerar la «evidencia efímera«.
Mientras que un delincuente que lanza un HDD al mar puede ver cómo un laboratorio recupera sus archivos años después (siempre que el agua no corroa el metal), un criminal que use un SSD cuenta con un aliado tecnológico: el propio disco está diseñado para «limpiar» y «mover» sus electrones constantemente. En un SSD, la información no es un objeto, es un estado energético que el dispositivo lucha por mantener ordenado. Para entender esto miremos el funcionamiento de los componentes en ambos sistemas para ver con distancia este castillo de naipes:
A. La barrera del Controlador (El Traductor Ciego)
En un HDD, si el motor falla, podemos sacar los platos y leerlos en otro dispositivo. En un SSD, los datos están esparcidos de forma caótica entre varios chips de memoria mediante un proceso llamado Wear Leveling (Nivelación de desgaste), el problema es que si el chip controlador (el cerebro) se quema físicamente, la clave para rearmar ese rompecabezas desaparece. Los datos están ahí, pero son ruido binario sin sentido.
B. El fenómeno TRIM y la «Autofagia»
Esta podría ser la peor pesadilla de un perito forense: En un HDD, cuando borramos un archivo, el sistema solo dice «este sitio está libre», pero el dato se queda ahí hasta que escribamos algo encima (a no ser que por seguridad hagamos una ‘sobre-escritura’ o ‘formateo profundo’). Por el contrario en un SSD, para mantener la velocidad (entendamos como velocidad, el régimen de acceso a la información, ya que no existen piezas móviles), el comando TRIM ordena al disco limpiar físicamente las celdas de los archivos borrados en los estados sin acceso, es decir en sus ratos libres (Garbage Collection).
Así que un HDD dañado físicamente conserva la prueba durante años pero un SSD en perfecto estado puede borrar la prueba por sí mismo en cuestión de minutos tras un borrado lógico y sin que un operador lo haya intentado deliberadamente.
C. Degradación de carga (Fugas eléctricas)
A diferencia de los platos magnéticos que pueden retener información por décadas, las celdas de un SSD guardan electrones. Es pura cuestión de física, en un disco duro mecánico cada bit de información (0 y 1) se almacena en un grupo de granos magnéticos llamado dominio. Imaginemos que cada dominio es una brújula diminuta. Si el «polo norte» apunta en una dirección, el sistema lo lee como un 1. Si apunta en la dirección opuesta, es un 0.
Antiguamente, estos imanes se ponían «acostados» (posición longitudinal), pero para meter más datos, la ingeniería moderna progresó hacia la Grabación Magnética Perpendicular (PMR). Los «imanes» están de pie, como cerillas en una caja. Esto permite una densidad de datos altísima, pero hace que los campos magnéticos sean tan pequeños que solo un cabezal con tecnología magnetorresistiva puede detectarlos.
Aquí es donde radica su capacidad de retención lo que llamamos La Huella Digital (Histéresis y Remanencia): Cuando el cabezal escribe un dato, aplica un campo magnético para orientar esos granos. Así, la Remanencia Magnética es la capacidad del material de mantener esa orientación sin energía, es lo que hace que un HDD conserve datos en muchas ocasiones por más de 20 años! y aún después, la pérdida de parte de esa información por la ‘desorientación’ gradual de los granos, seguirá permitiendo recuperar gran parte de la información o reconstruirla.
El mito del rastro del «borrado»
En muchos textos de teoría forense clásica, se decía que al escribir un 0 sobre un 1 quedaba una «sombra» del valor anterior en los bordes de la pista (debido a que el cabezal nunca pasa exactamente por el mismo sitio). Pero en la realidad forense, aunque con microscopios de fuerza magnética (MFM) en laboratorios con grandes recursos se ha intentado leer estas ‘sombras’, en los discos modernos la densidad es tan brutal que un solo pase de sobrescritura suele ser suficiente para que la recuperación sea imposible, incluso para los equipos de alto nivel. Si bien es cierto que resultaba más fácil recuperar información, se ha mitificado relativamente esa diferencia, es más sencillo recuperar esa información pero un bit borrado físicamente, finalmente, no deja huella.
D. Inexistencia del fenómeno de la Corrupción Física (Head Crash)
Desde la perspectiva forense, el daño físico a nivel magnético en una «escena del crimen» era devastadora: Cuando el cabezal toca el plato (que gira entre 5.000 y 10.000 RPM), se produce un arrancamiento de la capa magnética. Literalmente, el polvo que vemos tras un choque de cabezales son documentos de Word y fotos convertidos en ceniza metálica. Si eses daño es circular (un surco), la información en esa pista ha desaparecido físicamente del universo; no hay software ni imán que pueda leer lo que ya no existe.
Gracias a la Inteligencia Artificial y el brute force podemos intentar recuperar la coherencia en las áreas no dañadas de esa pista re-calculando con súper computación posibles valores del surco y buscando un posible matching lógico con los bits que mantienen su polarización correcta. Es un proceso costosísimo y experimental, que compara millones de posibles combinaciones intentando deducir las correctas buscando patrones con sentido respecto a la información remanente (algo que la IA hace muy bien) pero en todo caso, solo accesible para unos pocos estados o entidades capaces de afrontar el altísimo coste económico y eso sin contar la dificultad que puede suponer posteriormente otorgarle una validez probatoria.
Por el contrario si un SSD se daña y se deja sin energía durante mucho tiempo (años), los electrones pueden «escaparse», provocando una pérdida de datos por degradación natural, algo que no ocurre de esta manera en el soporte magnético. Por tanto si bien un disco mecánico puede dejar rastros físicos/magnéticos, los datos en un SSD se borran mediante «túnel de electrones» sin dejar rastro físico.
La prisión del electrón
Cuando nos acercamos a los SSD la «evidencia» deja de ser algo tangible y magnético para convertirse en un fenómeno de física cuántica. Si en el HDD hablábamos de «brújulas microscópicas», en el SSD hablamos de «prisiones de electrones«.
Ahora intentemos comprender estas prisiones que ya hemos mencionado varias veces: el SSD utiliza celdas de memoria NAND Flash. Aquí no hay nada que gire ni nada que se imante. Todo se basa en el Efecto Túnel (un fenómeno cuántico)
La Celda de Puerta Flotante (Floating Gate)
Imaginemos cada celda como una jaula eléctrica aislada. Para escribir un «0» el controlador aplica un voltaje alto que «empuja» electrones a través de una capa aislante hacia una «isla» de polisilicio (la puerta flotante). Los electrones se quedan atrapados allí. Para escribir un «1» se extraen los electrones de la jaula. Ahora la lectura, el sistema mide como si fuera un polímetro diminuto si hay carga eléctrica en esa celda. Si hay carga, el flujo de corriente se bloquea; si no hay, circula libremente.
La jerarquía eléctrica
A diferencia de las pistas y sectores del HDD, pues la naturaleza circular de un disco duro facilita este acercamiento práctico y sencillo pero en el SSD esto no tendría mucho sentido y se organiza de nuevo en relación a su estructura física mucho más semejante a un sistema de bloques más semejante a la naturaleza de construcción de un chip, estructurando estas unidades de información de manera creciente y con una lógica de grupos que sea sencilla para operar con ellos, quedando de esta manera:
1. Celda: El nivel atómico (guarda 1 o varios bits).
2. Página: El grupo mínimo que se puede leer/escribir (típicamente 8KB o 16KB).
3. Bloque: El grupo mínimo que se puede borrar (contiene cientos de páginas).
La Paradoja de la Escritura: El «Efecto Desgaste» (Wear Leveling)
Aquí posiblemente reside el gran reto para las ciencias forenses. En un HDD, puedes escribir sobre un sector millones de veces. En un SSD, no se puede escribir sobre una celda que ya tiene datos: Primero hay que borrar el bloque entero (vaciar las jaulas de electrones) y luego se escribe la nueva información. Como borrar es lento y desgasta la celda, el controlador del SSD decide mover el dato a una celda nueva que esté «fresca». Esto se llama Wear Leveling.
¿Puede el Análisis de Desgaste (Wear Analysis) ser una «Huella Digital» del Borrado Masivo?
Por suerte no todo está perdido, si en la criminología clásica, un rastro de limpieza (como el olor a lejía en una escena del crimen) delata el intento de ocultar una acción. En el ámbito de la informática forense sobre unidades SSD, este rastro de «limpieza» se manifiesta a través del Análisis de Desgaste de las Celdas.
1. El concepto de Ciclos P/E (Program/Erase)
A diferencia de los platos magnéticos, las celdas de memoria NAND Flash tienen una vida útil finita, medida en Ciclos de Programación y Borrado (P/E). Cada vez que un dato se escribe o se borra, la capa aislante de la celda sufre un micro-desgaste físico debido al alto voltaje necesario para mover los electrones.
2. El SMART como Testigo Silencioso
Los SSD modernos integran un sistema de monitorización llamado S.M.A.R.T. (Self-Monitoring, Analysis and Reporting Technology). Este registro interno guarda métricas críticas que un perito puede extraer, por un lado tenemos la Media de desgaste (Wear Leveling Count): Indica cuántas veces, de media, se ha borrado y escrito cada celda y por otro el Cómputo total de Host Writes (Total de GB escritos) que muestra el volumen histórico de datos que han pasado por el disco.
3. Detección de la Intencionalidad Criminal
El análisis forense de estos metadatos permite establecer una línea de tiempo del uso del dispositivo. Tenemos la Anomalía del «Pico de Escritura»: Si un sospechoso sabe que va a ser detenido y utiliza software de borrado seguro (como shredders o comandos de Secure Erase), provocará un aumento súbito y masivo en los ciclos de escritura y borrado en un lapso de tiempo muy corto. A esto podemos sumar la Comparativa Histórica ya que un perito puede demostrar que el disco tuvo un uso normal durante dos años (ej. 20 GB diarios) y que, dos horas antes del registro policial, el contador de escritura saltó 500 GB. Este «pico de estrés» es una prueba indiciaria de obstrucción a la justicia o destrucción de evidencias, incluso si el contenido original es ya irrecuperable.
4. El «Efecto Sombra» en el Wear Leveling
Volvemos a un concepto que en los discos duros mecánicos podía resultar finalmente un mito pero que sorpresivamente de manera contra-intuitiva podría ser útil en los SSD. Debido a que el controlador del SSD intenta distribuir el desgaste de forma uniforme, a veces quedan «páginas» de memoria que no fueron borradas inmediatamente por el comando TRIM. El Análisis de Desgaste permite identificar bloques que han sido marcados como «libres» pero que aún no han sido físicamente vaciados de electrones, permitiendo recuperaciones parciales de archivos que el sospechoso creía haber destruido.
Avanzando hacía el tratamiento de ‘organismos electrónicos’
Quizás el avance tecnológico deba entender el SSD no tanto como un objeto ‘muerto’ o ‘estático’ sino más bien como un organismo electrónico que «envejece» con el uso y completamente dinámico durante la vida útil. Para el investigador forense, el nivel de fatiga de los materiales de la unidad no es solo un dato técnico, sino una crónica de la actividad del usuario más allá de un mero soporte de datos probatorios, la propia actividad ejercida sobre este ‘organismo’ puede definir al sujeto investigado. En un tribunal, el Análisis de Desgaste puede ser la diferencia entre una falta de pruebas y una condena por manipulación malintencionada de la evidencia digital.
Recuperación física, abordaje básico:
Como ya hemos mencionado, a diferencia de los discos mecánicos donde hay platos y agujas, el SSD es pura electrónica sólida. El «cerebro» es el controlador, que decide dónde se guarda cada fragmento de información: Si el daño físico afecta al controlador, los datos en las memorias (NAND) se vuelven un rompecabezas ilegible y si el daño está en los chips de memoria, la información podría perderse para siempre.
Escenarios y métodos de recuperación
Daños leves
Dependiendo de qué tan leve sea el «accidente» o el daño deliberado, estas técnicas básicas pueden resolver el problema, pero ante la menor duda, NUNCA se debería tan siquiera intentar poner en marcha el ordenador o dispositivo que lo contiene fuera de un entorno de laboratorio seguro que prevenga de la pérdida de datos:
- Daño en el conector (SATA/M.2): Es el escenario más «amigable». Si solo se rompió la entrada de conexión, un experto puede soldar un conector nuevo o puentear las pistas para extraer los datos.
- Fallo de componentes eléctricos: A veces se quema un condensador o un fusible interno por una subida de tensión. También se pueden romper por manipulación pero se pueden reemplazar estos componentes en un laboratorio de microelectrónica sin el mayor problema, incluso, conjuntos de componentes, mientras no afecte a la integración del controlador o los propios chips. Es importante entender que toda la información relevante está ‘bunkerizada’ dentro de los chips y la destrucción de estos componentes no es un problema irresoluble.
- Técnica «Chip-off» (Extracción de chips): Es el último recurso. Los técnicos desoldarán cada chip de memoria NAND y los conectan a un lector especial que emulara toda la arquitectura de conexión. Luego, mediante software se intenta reconstruir el algoritmo del controlador para descifrar los datos de manera similar a como se intenta desencriptar cualquier disco.
Nunca debemos conectar un SSD que sospechemos ha sido dañado o alterado
Si el daño es físico y visible (el SSD no enciende, huele a quemado o parece sufrió un golpe fuerte), directamente no debemos intentar conectarlo. Son muy sensibles a la tensión eléctrica, cada vez que intentemos darle corriente a un circuito dañado, puede causar un cortocircuito que termine de «freír» los chips de memoria. Deberemos manipularlos con extremo cuidado hasta llegar al laboratorio (sin olvidar nunca la cadena de custodia en todo el proceso de aislamiento y transporte) pues la propia electricidad estática de las manos podría ser el golpe de gracia que acabara con la información remanente.
Sospecha de borrado deliberado o daños elevados
Cuando una conexión estándar falla, los laboratorios recurren a técnicas de «intrusión física» procurando en un primer momento identificar con absoluta precisión daños físicos y el modelo de disco, esencial para conectarlo adecuadamente y entender su lógica y arquitectura.
¡Protocolo JTAG (Joint Test Action Group)
Se utilizan puertos de prueba ocultos en la placa de circuito del SSD. Los investigadores sueldan cables microscópicos a puntos específicos para comunicarse directamente con la CPU del dispositivo, saltándose las restricciones del sistema operativo. Es «hablar con el procesador» sin que el disco sepa que lo están interrogando.
In-System Programming (ISP)
Similar al JTAG, pero permite volcar el contenido de los chips de memoria sin desoldarlos, conectándose a las pistas de comunicación de la placa base. Es menos invasivo que el «Chip-off» y mantiene la integridad física de la prueba, algo vital para la cadena de custodia.
Técnica de «Chip-off» (La autopsia del dato)
Es el método más extremo y costoso. Se retiran físicamente los chips de memoria NAND de la placa mediante estaciones de aire caliente o infrarrojos (a veces se confunde con el ‘reballing’ que realmente es un refuerzo de la soldadura al recalentar los componentes, si bien el proceso es muy similar.
- Extracción: Se desueldan los chips.
- Lectura bruta: Se leen en un dispositivo externo (Dump).
- Reconstrucción algorítmica: Aquí está la pericia ‘matemática’ Como el SSD reparte los datos para que el chip no se desgaste (Wear Leveling), el investigador debe usar software forense (como PC-3000 Flash) para emular el algoritmo del controlador original y «rearmar» los archivos.
El enemigo invisible: El Cifrado y el TRIM
Es importante analizar por último los dos «asesinos de evidencias»:
- TRIM: En los HDD, los datos borrados «viven» hasta que se sobrescriben. En los SSD, el comando TRIM le dice al disco que limpie las celdas vacías en segundo plano (Garbage Collection). En minutos, la evidencia desaparece para siempre.
- Cifrado por Hardware (SED): Muchos SSD modernos cifran los datos automáticamente. Si el controlador se quema, aunque extraigamos los chips de memoria, solo obtendremos «ruido» digital ilegible porque la llave reside en el controlador dañado.
Cuando entramos en el escenario de un comando TRIM ejecutado o un controlador cifrado (SED) físicamente destruido, pasamos de la recuperación de datos a la arqueología digital de alta complejidad.
A nivel de laboratorio, estas son algunas de las opciones de vanguardia para enfrentar lo que parece un callejón sin salida:
El desafío del TRIM: ¿Es el fin de la evidencia?
Si el comando TRIM ha vaciado físicamente las celdas (vaciado de electrones), la información ha dejado de existir en el universo físico. Sin embargo, a nivel forense podemos buscar la «latencia del borrado»:
Análisis del Área de Sobre-aprovisionamiento (Over-provisioning): Los SSD tienen un espacio oculto (un 7-10% extra) que el usuario no ve, usado para reemplazar celdas desgastadas. A veces, el comando TRIM limpia el mapa lógico, pero los datos originales «viven» unos minutos u horas más en esta zona antes de que el proceso de Garbage Collection los destruya.
Lectura de «Cargas Débiles» (Análisis de Umbral de Voltaje): En laboratorios de extrema especialización, se intenta leer las celdas NAND modificando los umbrales de voltaje del lector. Si una celda fue borrada recientemente, puede conservar una carga residual mínima que permita distinguir si antes era un 1 o un 0. Es una técnica experimental y costosa.
Controlador Quemado + Cifrado (SED): El muro criptográfico
Como dijimos, muchos SSD modernos son Self-Encrypting Drives (SED). El controlador cifra los datos antes de escribirlos en la memoria NAND usando una llave única generada por el propio hardware. Si el controlador se quema, la llave se pierde.
Opciones Avanzadas:
- Trasplante de Controlador (Controller Swapping): No es tan simple como en un HDD. Se requiere una placa donante idéntica. Si la llave de cifrado está en un chip separado (como un chip EEPROM), se trasplantan ambos. Si la llave está dentro del silicio del procesador principal (el controlador), el trasplante no funcionará para descifrar los datos, pero permitirá que el disco «viva» para intentar otros ataques.
- Acceso via «Techno-Mode» (Modo de Fábrica): Herramientas de élite (como PC-3000 Flash de Ace Laboratory o Rusolut) permiten entrar en el Firmware del disco a bajo nivel. Si el controlador está parcialmente dañado, se puede forzar al chip a revelar las tablas de traducción de direcciones (L2P) o incluso extraer la clave de cifrado de la memoria RAM del controlador si aún es accesible.
Emulación Virtual del Controlador
Cuando el chip físico es insalvable, el laboratorio realiza un volcado bit a bit de todos los chips NAND (Chip-off) con ello se obtienen gigabytes de datos cifrados y desordenados. Esto se hace con un software que emula matemáticamente el algoritmo del controlador quemado. Si el cifrado no es por hardware (o si se posee la llave), el software intenta reordenar los fragmentos (XOR patterns) para reconstruir el sistema de archivos.
Esperamos que la conclusión sea clara: la preservación es reactiva. En el momento en que un SSD sospechoso se conecta a la energía, el controlador puede iniciar el «autoborrado» (TRIM/Garbage Collection). La única opción forense real es la intervención en caliente o el uso de bloqueadores de escritura de hardware que impidan que el comando TRIM se propague desde el sistema operativo. A partir de ese momento un cuidado análisis de los modelos y los componentes por parte de un equipo con alto conocimiento en hardware decidirá el mejor camino para la ‘intrusión física’ y ‘lógica’.
Para saber más:
Reliably Erasing Data From Flash-Based Solid State Drives
Michael Wei,, Laura M. Grupp,, Frederick E. Spada, , Steven Swanson
https://www.usenix.org/legacy/event/fast11/tech/full_papers/Wei.pdf
Forensic Potentials of Solid State Drives
Zubair Shah, Abdun Mahmood, Jill Slay
NIST Special Publication 800 -NIST SP 800-88r2
Guidelines for Media Sanitization
Ramaswamy Chandramouli, Eric A. Hibbard
https://doi.org/10.6028/NIST.SP.800-88r2
Digital Forensics with Open Source Tools» (Cory Altheide & Harlan Carvey)
ACE Lab (PC-3000 White Papers)*
The Art of Memory Forensics» (Ligh, Case, Levy & Walters)
«Solid State Drives: Forensics and Extraction» (Varias guías técnicas de Belkasoft)
*Sus investigaciones sobre la reconstrucción de traductores de SSD y emulación de controladores son el manual de facto para los técnicos que hacen Chip-off.
Manuel Castelló
Deja una respuesta