To justify an analysis of a GPS device is needed to know that we can extract information from him. In the case of TomTom can extract:
Device Information: Serial number of the device, model number, the program version and the version of the maps with their serial numbers.
Locations: Location marked as a house, a list of recent and ancient travel destinations.
Lists of calls and text messages: When installed in a mobile phone can contain information on calls, received calls and text messages sent and received.
Contacts: Although not installed on a mobile phone allows you to add contact information. In the case of being installed on a mobile phone added to your phone contacts.
Bluetooth connection information: Name, MAC ID and list of devices connected to their corresponding MAC ID.
User information.
We must also take into account the possible philosophies of work can have different TomTom GPS devices, which are:
TomTom models with SD card slot: The information we extract is stored on SD memory cards. The application and maps are stored on the SD card and who have no other means of storage. Within this group we can include the PDA and mobile phones with GPS.
TomTom models with internal hard drive: All information is stored in an internal hard drive and the only way to access the device is connecting to a PC.
To begin the analysis we must take into account, based on data on the working philosophy of the device, two specific methodologies:
When a TomTom with SD card slot:
You should not turn on the device because it will overwrite data on its position and will corrupt the stage. In case of PDA or mobile phone with no load application is sufficient.
Remove the SD card and write-protect it, to avoid that scenario may be corrupt.
Making an image of it.
When a TomTom with internal hard drive:
To extract the necessary information is power up the device. As a result the danger of activating the application and receive the signal from satellites to corrupt the stage. Then we have to inhibit the signal from the satellites with a Faraday cage can be used for this purpose, aluminum foil, completely enclosing the device.
Perform a hard drive image.
After taking into account these recommendations, the information is extracted from the following files:
*. cfg: Names of the files depends on the version and is in the folder of the map. Generally called 'Mapsettings.cfg' and (name of the map). Cfg. There may be more than one map installed, the current map can be found in the file 'currentmap.dat'. Estés cfg files contain location marked as a house, bookmarks, addresses manually entered, recent trips, details of ancient travel, last position before turning it off (only on older models).
CurrentLocation.dat: Last position before turning it off.
ttgo.bif or ttnavigator.bif: Overview of the device, model number, serial number, user password.
Settings.dat: Connections Bluetooth name, and MAC identifier list of devices connected to their corresponding MAC ID. User-entered information such as name, phone number, address ...
Called.txt: Calls made in the particular case of a cell phone GPS. Made via the TomTom application.
Callers.txt: Received calls, if it is a mobile GPS. Received through the TomTom application.
Contacts.txt: Info about contacts.
Inbox.txt: Text messages that you have received via the TomTom application.
Outbox.txt: Text messages sent via the TomTom application, if it is a mobile GPS.
Most data are easy to interpret, but the last trip is based on a special operation of the application. When you trace a journey, there is an origin and a destination point, if you follow the route were recorded and these data are easy to interpret. But when you travel in the wrong and the application recalculates the route, the source varies and the place would have recalculated the route. This situation can be misleading when it comes to forensic analysis, because the source would not be the original recording. To avoid this, we need to recover all the deleted files on the disc or card. It will know exactly the final route and other routes previously achieved.
There is a free tool for forensic analysis TomTology is TomTom and it can decode: home location marked, favorites, recent destinations, recent travel, telephone contacts, received calls and received calls.
TomTology also analyzes the deleted files for a correct report. It also presents reports in HTML format and includes the ability to export data to Google Earth.
More info and download: TomTology
.................................................................................
Para justificar un análisis de un dispositivo GPS es necesario saber que información podemos extraer de él. En el caso de TomTom podemos extraer:
Información del dispositivo: Número de serie del dispositivo, el número de modelo, la versión del programa y la versión del los mapas con sus números de serie.
Localizaciones: Lugar marcado como casa, una lista de destinos recientes y antiguos viajes.
Listas de llamadas y mensajes de texto: Cuando está instalado en un teléfono móvil puede contener información sobre: llamadas realizadas, llamadas recibidas y mensajes de texto enviados y recibidos.
Contactos: Aunque no esté instalado en un teléfono móvil permite agregar datos de contactos. En el caso de estar instalado en un teléfono móvil añadirá la agenda del teléfono como contactos.
Información conexiones Bluetooth: Nombre, identificador MAC y lista de dispositivos conectados con su correspondiente identificador MAC.
Información del usuario.
También hay que tener en cuenta las posibles filosofías de trabajo distintas que puede tener los dispositivos GPS TomTom, que son:
Modelos TomTom con ranura de tarjeta SD: La información que queremos extraer se guarda en tarjetas de memoria SD. La aplicación y los mapas se almacenan en la tarjeta SD ya que no poseen otro medio de almacenamiento. Dentro de este grupo podemos incluir las PDA y los teléfonos móviles con GPS.
Modelos de TomTom con disco duro interno: Toda la información se guarda en un disco duro interno y la única forma de acceder es conectando el dispositivo a un PC.
Para empezar el análisis tenemos que tener en cuenta, basándonos en los datos relativos a la filosofía de trabajo del dispositivo, dos metodologías concretas:
Cuando se trata de un TomTom con ranura de tarjeta SD:
No se debe encender el dispositivo debido a que sobrescribirá datos sobre su posición y se corromperá el escenario. En caso de PDA o teléfonos móviles con no cargar la aplicación es suficiente.
Retirar la tarjeta SD y protegerla contra escritura, para evitar así que se pueda corromper el escenario.
Realizar una imagen de la misma.
Cuando se trata de un TomTom con disco duro interno:
Para extraer la información es necesario encender el dispositivo. Como consecuencia corre el peligro de activar la aplicación y al recibir la señal de los satélites corromper el escenario. Entonces hay que inhibir la señal de los satélites con una jaula de Faraday, se puede emplear para tal efecto, papel de aluminio, envolviendo completamente el dispositivo.
Realizar una imagen del disco duro.
Después de tener en cuenta estas recomendaciones, la información se extrae de los siguientes archivos:
*.cfg: Los nombres de los ficheros dependen de la versión y se encuentra en la carpeta del mapa. Suele llamarse ' Mapsettings.cfg' o (nombre del mapa).cfg. Puede haber más de un mapa instalado, el mapa actual se puede encontrar en el archivo ' currentmap.dat'. Estés archivos cfg contienen: localización marcada como casa, favoritos, direcciones manualmente incorporadas, viajes recientes, detalles de antiguos viajes, última posición antes de apagarlo (solo en modelos antiguos).
CurrentLocation.dat: Última posición antes de apagarlo.
ttgo.bif o ttnavigator.bif: Información general del dispositivo, número de modelo, número de serie, contraseña de usuario.
Settings.dat: Conexiones Bluetooth: nombre, identificador MAC y lista de dispositivos conectados con su correspondiente identificador MAC. Información introducida por el usuario como: nombre, número de teléfono, dirección…
Called.txt: Llamadas realizadas, en el caso de que se trate de un teléfono móvil GPS. Hechas a través de la aplicación TomTom.
Callers.txt: Llamadas recibidas, en el caso de que se trate de un teléfono móvil GPS. Recibidas a través de la aplicación TomTom.
Contacts.txt: Información acerca de los contactos.
Inbox.txt: Mensajes de texto que ha recibido a través de la aplicación TomTom.
Outbox.txt: Mensajes de texto enviados a través de la aplicación TomTom, en el caso de que se trate de un teléfono móvil GPS.
La mayoría de los datos son fáciles de interpretar, pero el último viaje realizado tiene una peculiaridad basada en el funcionamiento de la aplicación. Cuando se traza un viaje, existe un punto origen y un punto destino, si se sigue la ruta marcada eses datos quedaran grabados y son fáciles de interpretar. Pero cuando en el viaje el usuario se equivoca y la aplicación recalcula la ruta, el punto origen varia y seria el lugar donde se ha recalculado la ruta. Esta situación puede ser engañosa, a la hora de realizar el análisis forense, porque el punto origen grabado no sería el original. Para evitar esto, hay que recuperar todos los archivos borrados del disco o tarjeta. Gracias a ellos podremos saber la última ruta exactamente y también otras rutas anteriormente realizadas.
Existe una herramienta gratuita para análisis forense de TomTom se trata de TomTology y con ella podemos descifrar: localización marcada como casa, los favoritos, destinos recientes, últimos viajes, guía telefónica, contactos, llamadas recibidas y llamadas enviadas.
TomTology también analiza los archivos borrados para realizar un correcto informe. Además presenta los informes en formato HTML e incluye la posibilidad de exportar los datos a Google Earth.
Más información y descarga de:TomTology
No hay comentarios:
Publicar un comentario