Anti-Forense

¿Qué son las técnicas anti-forense?

Las técnicas anti-forense comprenden el conjunto de métodos, herramientas y procedimientos diseñados para impedir, dificultar o invalidar el análisis forense digital. El objetivo puede ser:

1. Destruir evidencia: Eliminar permanentemente datos incriminatorios
2. Ocultar información: Esconder datos para que no sean encontrados
3. Manipular evidencia: Alterar datos para desviar la investigación
4. Invalidar la cadena de custodia: Cuestionar la integridad de la evidencia
5. Saturar al investigador: Generar ruido que dificulte el análisis

El conocimiento de técnicas anti-forense es esencial para el perito informático por dos razones: detectar cuándo han sido utilizadas, y comprender las limitaciones del análisis cuando se enfrentan a ellas.

Clasificación de técnicas anti-forense

1. Destrucción de datos

Técnicas para eliminar permanentemente información:

Borrado seguro (Secure Wipe)

Sobrescribe los datos múltiples veces con patrones aleatorios o específicos:

Herramientas comunes:

• DBAN (Darik’s Boot and Nuke)
• Eraser (Windows)
• Secure-delete (Linux)
• CCleaner (módulo de borrado)

Destrucción física

Inutilizar el medio de almacenamiento:

• Desmagnetización: Degausser para HDDs
• Destrucción mecánica: Trituradoras de discos
• Incineración: Destrucción térmica
• Disolución química: Ácidos para platters

2. Ocultación de datos

Técnicas para esconder información sin destruirla:

Esteganografía

Ocultar datos dentro de archivos aparentemente normales:

Imagen original (foto.jpg) + Datos secretos
              ↓
Imagen modificada (foto_stego.jpg)
   - Visualmente idéntica
   - Contiene datos ocultos en bits menos significativos

Tipos:

• LSB (Least Significant Bit): Modifica bits menos importantes de imágenes
• Esteganografía de texto: Espacios, formato invisible
• Esteganografía de audio: Oculta datos en pistas de audio
• Esteganografía de red: Datos en protocolos de red

Herramientas:

• OpenStego
• Steghide
• OutGuess
• Snow (texto)

Alternate Data Streams (ADS)

En NTFS, los archivos pueden tener flujos de datos alternativos ocultos:

# Crear ADS
echo "datos secretos" > archivo.txt:oculto

# El archivo parece normal
dir archivo.txt  # Muestra tamaño del stream principal

# Ver ADS
dir /r archivo.txt  # Muestra streams alternativos

Detección: Herramientas como Streams de Sysinternals o análisis con Autopsy.

Espacios de disco no convencionales

• Slack space: Espacio entre fin de archivo y fin de cluster
• Bad sectors falsos: Marcar sectores como defectuosos
• Host Protected Area (HPA): Área oculta del disco
• Device Configuration Overlay (DCO): Reduce capacidad reportada
• Particiones ocultas: Sin entrada en tabla de particiones

3. Manipulación de artefactos

Modificar datos para engañar al investigador:

Timestomping

Alterar fechas de archivos (creación, modificación, acceso):

# Windows: Cambiar timestamps
(Get-Item file.txt).CreationTime = "01/01/2020 00:00:00"
(Get-Item file.txt).LastWriteTime = "01/01/2020 00:00:00"

# Linux: Modificar mtime y atime
touch -d "2020-01-01 00:00:00" file.txt

Detección:

• $MFT contiene timestamps propios que son más difíciles de modificar
• Inconsistencias lógicas (archivo creado antes que el programa que lo genera)
• Análisis de $UsnJrnl que registra cambios

Modificación de logs

Alterar o eliminar registros de actividad:

• Eventos de Windows
• Logs de aplicaciones
• Historial de navegación
• Registros de comandos (.bash_history)

Detección: Gaps en secuencia de eventos, inconsistencias temporales.

4. Cifrado y ofuscación

Cifrado de disco completo

BitLocker, VeraCrypt, FileVault:

• Sin la clave, el contenido es completamente inaccesible
• No es anti-forense per se, pero dificulta el análisis
• Uso legítimo: protección de datos sensibles

Contenedores ocultos

VeraCrypt permite crear volúmenes con “plausible deniability”:

Volumen externo (contraseña 1)
    └── Volumen oculto (contraseña 2)
         └── Datos verdaderamente sensibles

Al proporcionar contraseña 1: Se ve contenido "señuelo"
Al proporcionar contraseña 2: Se ve contenido real

No se puede demostrar que existe un volumen oculto.

5. Técnicas contra análisis de memoria

• Cifrado de RAM: Extensiones de seguridad de CPU
• Limpieza de memoria: Zeroing de datos sensibles
• Código polimórfico: Malware que cambia en memoria
• Inyección de procesos: Ocultar en procesos legítimos

6. Uso de medios volátiles

Ejecutar operaciones solo en RAM sin tocar disco:

• Live CDs/USBs: Sistemas que no escriben en disco
• RAM disks: Almacenamiento que desaparece al apagar
• Tails OS: Sistema operativo diseñado para anonimato

Detección de técnicas anti-forense

Indicadores de borrado seguro

# Análisis de entropía del espacio no asignado
# Datos normales: entropía variable
# Borrado aleatorio: entropía muy alta y uniforme
# Borrado con ceros: entropía muy baja

# Herramienta: ent
ent unallocated_space.dd
# Entropy > 7.9 en todo el espacio = sospechoso

Detección de timestomping

Detección de esteganografía

• Análisis visual: Comparar con imagen original si está disponible
• Análisis estadístico: Chi-cuadrado, RS analysis
• Herramientas: StegExpose, Stegdetect

Detección de ADS

# PowerShell: Buscar ADS en directorio
Get-ChildItem -Recurse | ForEach-Object {
    Get-Item $_.FullName -Stream * | Where-Object Stream -ne ':$DATA'
}

Indicadores generales de actividad anti-forense

Caso práctico: Detección de anti-forense

Situación: Se investiga el ordenador de un empleado que presuntamente vendió información a la competencia. El sospechoso tuvo 3 días entre conocer la investigación y entregar el equipo.

Análisis forense:

Conclusiones del informe pericial:

“El análisis revela evidencia significativa de actividad anti-forense:

1. Uso intensivo de herramientas de borrado seguro (CCleaner, Eraser) en fechas posteriores al conocimiento de la investigación
2. Espacio no asignado con patrón de borrado aleatorio, no natural
3. Inconsistencias en timestamps indicativas de timestomping
4. Presencia de contenedor cifrado VeraCrypt

La recuperación de datos eliminados no fue posible debido al borrado seguro y TRIM del SSD. Sin embargo, la propia evidencia de actividad anti-forense, combinada con registros de servidor, sugiere destrucción deliberada de evidencia.”

Implicaciones legales en España

Destrucción de evidencia

El Código Penal español contempla:

• Art. 465 CP: Destrucción de documentos en procedimiento penal (prisión de 6 meses a 3 años)
• Art. 264 CP: Daños informáticos (si se destruyen datos de terceros)
• Art. 456 CP: Obstrucción a la justicia

Uso legítimo vs malicioso

Valor probatorio

La detección de técnicas anti-forense puede:

• Reforzar indicios de culpabilidad
• Demostrar conciencia de ilicitud
• Constituir delito adicional (obstrucción)

Relación con otros conceptos

• File Carving: Técnica afectada por destrucción de datos
• TRIM SSD: Actúa como anti-forense involuntario
• BitLocker: Puede usarse para ocultación
• Cadena de custodia: Objetivo de algunas técnicas anti-forense
• Imagen forense: Preserva estado incluso con técnicas anti-forense aplicadas

Conclusión

Las técnicas anti-forense representan el mayor desafío para el análisis de evidencia digital. El perito informático debe conocerlas para detectar su uso y comunicar honestamente las limitaciones que imponen.

La presencia de actividad anti-forense, aunque dificulte la recuperación de datos, puede ser en sí misma evidencia relevante que demuestre conciencia de culpabilidad e intención de obstruir la investigación.

Última actualización: Enero 2026 Categoría: Técnico Código: ANA-015