Analisis Forense a skype "Primera Parte"

Logo de Skype

skype sea convertido en una herramienta crucial a la hora de establecer comunicaciones a largas distancias,realizar reuniones virtuales con asociados de diferentes partes del mundo, conectarnos con un familiar lejano, o simplemente enviar  un mensaje de texto. aunque son grandes los beneficios que trae el skype para nosotros,puede llegar a convertirse un arma de doble filo, al crear una serie de archivos de base de datos,donde aloja todo lo que has realizado en el programa, desde la hora de tu conexión con quien  hablaste, la hora en que te desconectas, y finalmente permite observar todos los mensajes tanto los enviados como los recibidos, todo esto se puede conseguir con una serie de técnicas de computo forense ya muy reconocidas para las personas especialistas en el tema pero, para el publico en general desconocidas pues se tiene la idea errónea de que cuando se borra una conversación de skype esta simplemente deja de existir sin dejar rastro alguno. en este articulo te darás cuenta  que  skype guarda todo  lo que haces.

Para lograr adentrarnos en esto solo hace falta conocer la localización exacta de la carpeta de skype que se crea con cada usuario que tenga windows, a continuación mostrare un ejemplo.

C:\Users\"nombre de  usuario"\AppData\Roaming\Skype

En donde dice "nombre  de usuario" debes colocar el nombre de usuario que tengas en tu ordenador, dentro de esta carpeta te aparecerán una serie de carpetas las cuales contiene la información jugosa que deseamos conocer, es necesario  recortar y tener en cuenta que por cada usuario que habrá su cuenta de skype en el ordenador, skype crea una carpeta solo para guardar la información de este nuevo usuario, lo cual nos  permite  diferenciar las cuentas .

Dentro de esta carpeta nos encontraremos con algo  parecido a esto:

Figura 2 localización carpeta de skype

En nuestro caso nos centraremos directamente en la carpeta del usuario oma a la cual,al ingresar encontraremos una serie de carpetas y lo mas importante de todo esto,los archivos con extensión .db los cuales son archivos correspondientes a bases de datos.

Figura 3 Carpeta  creada por  Skype  para el  usuario oma 

Como podemos  observar en la Figura 3, dentro de la carpeta del  usuario oma se encuentran 8 archivos visibles a primera vista,con la extencion .db, en los cuales encontraremos toda la información creada por este usuario. estando en este punto necesitaremos un programa especializado para poder visualizar la información contenida en este tipo de archivos, para lo cual recomiendo descargar SQLite Administrator  el cual se descarga en forma de archivo comprimido"rar,zip", es portable, lo cual quiere decir que no necesita ser instalado en tu ordenador, y nos regala una interfaz gráfica sencilla y de fácil uso para cualquier  usuario.

Figura 4 Interfaz grafica SQLite Administrator

Conociendo con anterioridad la ubicación de los archivos a  examinar, nos iremos en SQLite a Base de Datos y damos en Abrir o  daremos  Ctrl + O

Figura 5  Ctrl + O

Esta nos solicitara la localización exacta de los archivos que deseamos  abrir  en este caso seria

C:\Users\"nombre de  usuario"\AppData\Roaming\Skype\oma

dentro de esta carpeta como observamos en la  Figura 3  se encuentran los archivos de bases de datos que deseamos visualizar. derepente  surge una pregunta.

¿cual de estos archivos es el que más  información me puede brinda?

La repuesta es sencilla si sabes algo de ingles te darás cuenta que nuestro archivo más jugoso es main.db que traducido seria principal.db, esto quiere decir, que en este se encuentra todo lo relacionado en  el  usuario.

Figura 6 archivo main.db

Al abrir nuestro archivo  principal nos aparecerán una serie de carpetas, como las siguientes:

Figura 7 Carpetas localizadas dentro de main.db

Centraremos nuestra atencion en la carpeta llamada Tablas, pues es en esta carpeta,que se localiza toda la información  que deseamos conocer. desde cuentas  asociadas, llamadas realizadas, contactos, mensajes, vídeo llamadas realizadas,grupos de contacto entre muchas otras cosas.

Figura 8 algunas tablas  de la carpeta

Para no dar más vueltas sobre el tema  escogeremos la tabla de mensajes "messages" realizando la selección de la tabla escogeremos en la parte derecha la vista que dice resultado dentro de SQLite administrator, en esta tabla podremos observar los mensajes realizados desde la cuenta de oma tanto al  emisor como al receptor.

Figura 9 Tabla de  conversaciones  realizadas en la cuenta oma

En esta misma tabla más adelante podremos encontrar lo dicho en cada conversación establecida, observaremos lo escrito por  el  emisor "Omar"  y el  receptor que en este caso es Ckristian.

Figura 10 conversacion de omar  y ckristian 

Como se puede observar hay una gran cantidad de información en estas tablas, incluso podremos observar unos una columna llamada "timestamp"  que nos regala una serie de números los cuales son la fecha y hora de creación de el mensaje, pero esto es tema para más adelante en donde observaremos software especializado en computo forense y en donde enseñare como recuperar todos tus archivos borrados, asi  como conseguir contraseñas de la cache de Google Chrome , como conseguir la dirección ip del servidor  de Skype que permitió la conexión, entre muchas otras cosas.


Hasta Pronto...