Lo que la mentira esconde. El caso de María

Hoy vamos a ver como la tabla maestra de archivos en un sistema NTFS nos ha ayudado a identificar y obtener evidencias en un posible fraude cometido por una persona.

El caso es el siguiente, María afronta una pena de dos años y medio por un delito de falsificación en documento mercantil, falsificación de informes a diversas empresas, en la elaboración de estudios sobre la contaminación del suelo y también por la eliminación masiva de pruebas (ficheros financieros), todo ello tras una demanda por colaboración junto a un grupo de empresas en fraude continuado, por un importe defraudado en torno a 1.330.000 euros.


En la prueba pericial y posterior análisis forense encontramos las siguientes conclusiones, al parecer María había falsificado y eliminado de forma continuada informes y cambiado la fecha de estos, pero ¿como hemos llegado a estas conclusiones?, ¿como averiguamos los cambios que hizo María?,¿que falsifico?, ¿porque lo hizo?. Bueno esta última pregunta no creo que sea capaz de obtener respuesta, aunque lo obvio es que sea   por dinero.
Para remontarnos a las pruebas y evidencias hemos de hablar del modo de funcionamiento del sistema de archivos NTFS y mas correctamente de la tabla de sistema de archivos (MFT) y del sistema de registros  de cambios o mas conocido en el mundo *nix como 'Journal'

MASTER FILE TABLE -MFT

La Master File Table viene a ser una especie de base de datos o tabla que gestiona y almacena los ficheros de una unidad o disco y este contiene información relativa a su tamaño, propiedades, atributos, localización, etc. Dispone de una entrada de índice y cuando buscamos un fichero lo consulta a la MFT para obtener información del mismo.







En resumen, la tabla maestra contiene la estructura y toda la información acerca de un archivo, incluyendo su tamaño, fecha, hora y permisos y contenido de los datos.

Posted in: seguridad