¿Podrían ser falsos los SMS de Barcenas y Mariano Rajoy?

Decir si los mensajes SMS publicados por el periódico El Mundo es algo difícil sin un análisis completo. Aún así es posible explicar algunas cosas para que esto sea un poco más fácil de entender por alguien menos experimentado en estas lides con el fin de que tenga un poco más de información sobre este caso. Todo esto, teniendo presente que nadie aún ha dicho que sean falsos, pero con la vista puesta en ver si tendrían validez en caso de querer usarlos como prueba.

Figura 1: Doña Dolores de Cospedal le enseña algo en el iPhone a Don Mariano Rajoy 

Los SMS y los iMessage

A pesar de que ha salido por todas partes que los mensajes son SMS, hay que tener presente que podrían haber sido iMessages. Esto es curioso porque en las capturas aparece el botón de enviar en color azul, lo que indica que el destinatario de la conversación tiene un iPhone con iMessage - como se explica en el artículo de "Todos los iPhone del presidente", pero sin embargo los bocadillos no son azules, lo que podría significar que se ha configurado la opción de enviar SMS, o que el emisor además de iPhone tuviera otro móvil con la SIM duplicada y enviara mensajes SMS.

Figura 2: Primeras capturas. Los bocadillos de color verde hacen ver que han sido SMS

Los fakes de mensajes de iPhone

Hemos de suponer que las capturas que se publican en el periódico han sido tomadas directamente de los terminales, y que no habrán sido entregadas como ficheros gráficos, ya que falsificar una conversación de mensajes en iPhone es tan fácil como tirar de Photoshop o algo más simple como iFakeText, que se usa para hacer bromas a la gente. Es de entender que han sido tomadas directamente del terminal.

Figura 3: Fake SMS en iPhone con iFakeText

La manipulación de la base de datos de mensajes

Si el terminal estuviera en posesión de alguien que quisiera manipular esos mensajes, podría hacerlo. La base de datos es un fichero que se encuentra dentro del terminal y que puede ser manipulada. Como se explica en el libro de Hacking iOS: iPhone & iPad, la base de datos es un fichero de SQLite - analizables los mensajes borrados con Recover Messages - que se encuentra en la ruta /var/mobile/Library/SMS con el nombre sms.db.

Figura 3: Acceso a sms.db de un iPhone con SQLite Data Browser explicado en LifeHacker

Alguien podría, teniendo acceso al terminal, meter en esa base de datos cualquier información de mensajes entrantes y salientes sin que estos hubieran sido enviados y/o recibidos. No es trivial, pero tampoco algo extremadamente difícil.

La manipulación del remitente de los mensajes

Al ser SMS, y un terminal iPhone, es conocido desde hace tiempo que es posible enviar mensajes abusando del protocolo con la dirección del remitente spoofeado. Esto es algo que denunció hace tiempo Pod2g y es conocido por todos los profesionales de la seguridad. En la NoCONname se dio la siguiente charla que explica los fundamentos del SMS Spoofing.

  Figura 4: SMSspoofing: fundamentos, vectores de ataque y salvaguardas.

Investigación de los mensajes

En todas las imágenes - exceptuando en la imagen sexta que no tiene el PIN introducido - se puede ver que la red es Movistar, pero eso no quiere decir que se enviaran por esa red. Habría que ver qué operadores se utilizaron en las fechas de envío y recepción de esos mensajes, por lo que si el juez quiere investigar la veracidad o no de esos SMS debería después comprobar si los registros de envío y recepción de esos mensajes coinciden con los datos de las operadoras utilizadas.

Figura 5: Segunda remesa de capturas publicada

La captura con el PIN sin introducir

Lo de que todas las capturas tengan la red, exceptuando la última que pide el PIN deja una duda curiosa. ¿Se hicieron las capturas en momentos distintos? ¿Se hicieron las capturas en terminales distintos? ¿Se entregaron capturas al periodista?

Dicho esto, si hubiera que hacer un análisis forense de este terminal habría que tener en cuenta toda esta información, porque al no existir un informe pericial publicado es difícil confirmar que lo que aparece son datos auténticos. Aunque nadie lo haya negado aún.

Saludos Malignos!