Introductie

Het komt steeds vaker voor dat de hulp wordt ingeroepen van digitaal forensisch onderzoekers. Onderzoek van pc's, netwerken, mobiele telefoons en aanverwante media vragen diepgaande kennis. Naast deze kennis zijn de tools voor het achterhalen van bepaalde gegevens en de interpretatie van gegevens zeer belangrijk. Deze blog zal proberen oplossingen aan te dragen voor hulp bij digitaal onderzoek. Verschillende tools passeren de revue, interessante artikelen worden verder uitgediept, links naar andere forensische sites en handleidingen ter ondersteuning komen aan bod.
ip information

zondag 6 juli 2008

Forensic Report on FARC computers

Voor wie geinteresseerd is in computerforensics, maar OOK in wereldpolitiek, is het onderstaande wellicht aardig om te lezen.

Afgelopen week was de bevrijding op bijzondere wijze van Betancourt en 14 andere gijzelaars uit handen van de FARC wereldnieuws. Een grote nederlaag voor de FARC.

Waarschijnlijk heeft het onderstaande verhaal meegespeeld in de aanzet van de bevrijdingsactie van afgelopen week...

In maart van dit jaar is Raul Reyes, of Luis Edgar Devia zoals zijn ware naam luidde, omgekomen bij een luchtaanval op het Ecuadoraanse dorpje Santa Rosa. Reyes was de woordvoerder van de Farc en de chef van de internationale afdeling, die contacten had met gelijkgestemde organisaties zoals het IRA.

Hij was de man met wie de Franse regering onderhandelde om Ingrid Betancourt vrij te krijgen. Hij was de nummer twee van de FARC en genoot binnen deze groep een zeer groot aanzien. Reyes gold als de eerste kandidaat om FARC-leider Manuel Marulanda op te volgen. Zijn dood was een zware slag voor de rebellenbeweging, die de laatste tijd vooral in het nieuws is vanwege prominente gijzelaars die ze al jaren vasthoudt. In feite was Raúl Reyes de hoogste leider. Van de officiële nummer één, de 78-jarige Manuel Marulanda, is al een paar jaar niets vernomen en tal van waarnemers beweren dat hij al dood is. Reyes wordt beschouwd als het brein achter de strategie om mensen te gijzelen en hen als pasmunt te gebruiken. Zo kon de Farc losgeld verzamelen of eisen dat de regering gevangenen vrijliet in ruil voor high profile gijzelaars zoals Ingrid Betancourt.



Ecuador en Venezuela hebben na zijn dood alle diplomatieke banden met buurland Colombia verbroken. Beide landen hebben hun ambassadeur uit Bogotá teruggehaald. Ook hebben ze Colombiaanse diplomaten het land uitgezet. De spanningen in het gebied liepen op na de actie van het Colombiaanse leger tegen de rebellenbeweging FARC op Ecuadoraans grondgebied waarbij Raúl Reyes werd gedood.
Colombia beschuldigt Ecuador en Venezuela van hulp aan de FARC.

Uit documenten uit de computer van Reyes zou blijken dat er banden zijn tussen de FARC en de linkse president van Ecuador, Rafael Correa. De computer van Reyes zou ook een document bevatten dat laat zien dat Chavez en de FARC in 1992 al banden hadden.

De luchtaanval zou volgens een analyse van De Volkskrant heel wel kunnen uitmonden in een verharding van de opstelling van de overige guerrilla-leiders en de kans op vrede in Colombia nog verder verminderen. ‘De dood van Raúl Reyes verkleint de mogelijkheden van een politieke oplossing van het conflict’, aldus ex-president Samper.
De FARC heeft na de dood van Reyes laten weten dat een humanitair akkoord de eerste prioriteit blijft. Maar het was onwaarschijnlijk dat de beweging op korte termijn opnieuw gijzelaars zou vrijlaten. De familieleden van de bekendste gijzelaar, ex-presidentskandidate Ingrid Betancourt, vreesden dat de radicale vleugel de Revolutionaire Strijdkrachten van Colombia zullen gaan domineren, hetgeen een directe levensbedreiging voor de meer dan 700 gijzelaars kan betekenen.

Colombiaanse militairen vonden drie laptops, twee externe harde schijven en drie USB-sticks in het kamp van de FARC-guerrilla in Ecuador, dat was gebombardeerd door de Colombiaanse luchtmacht.




Op 3 maart werden de computerbestanden overgemaakt aan de Colombiaanse gerechtelijke politie. Omdat het Colombiaanse ministerie van Defensie informatie begon te lekken over de inhoud van de bestanden, besloot de Colombiaanse president Alvaro Uribe op 10 maart om de bestanden op hun authenticiteit te laten onderzoeken door Interpol.

"Using sophisticated forensic tools, INTERPOL's experts determined that the eight seized computer exhibits contained more than 600 gigabytes of data, including 37,872 written documents, 452 spreadsheets, 210,888 images, 22,481 web pages, 7,989 email addresses, 10,537 multimedia files (sound and video), and 983 encrypted files."

De onderzoekscommissie van de internationale politieorganisatie bestond uit Australische en Singaporese deskundigen die geen Spaanse spreken. Dat gebeurde “om de mogelijkheid uit te sluiten dat ze zouden worden beïnvloed door de inhoud van de documenten die ze moesten onderzoeken”, schrijft Interpol in zijn rapport.

“Er zijn geen data gecreëerd, toegevoegd, veranderd of verwijderd tussen 3 maart 2008 om 11.45h en 10 maart 2008, toen de bestanden werden overgemaakt aan Interpol”, zegt het rapport, dat wel vragen heeft bij wat er gebeurde tussen de inbeslagname op 1 maart en de overdracht aan de Colombiaanse gerechtelijke politie op 3 maart.

“De deskundigen vonden 48.055 systeemfiles die waren gecreëerd, geconsulteerd, veranderd of verwijderd omdat een officier van de antiterrorisme-eenheid van de Colombiaanse politie ze had bekeken.” Volgens Interpol had de agent de bestanden niet mogen consulteren zonder eerst fysieke kopieën te maken van de data. Het rapport benadrukt wel dat tussen 1 en 3 maart geen enkel user file werd gecreëerd, gewijzigd of verwijderd.

De onvoorzichtige behandeling van het bewijsmateriaal in de eerste 48 uur na de inbeslagname kan gevolgen hebben voor de juridische bruikbaarheid van de gegevens. “De manier waarop de data werden behandeld strookt niet met de internationaal erkende principes”, zegt Interpol, “De directe toegang tot de bestanden kan de geldigheid van de data als bewijsmateriaal in het gedrang brengen. De politie moet nu kunnen bewijzen dat de consultaties die ze heeft uitgevoerd geen materiële impact hebben gehad op het doel waarvoor ze het bewijs wil gebruiken.”

Uit wat er over de inhoud van de bestanden al is uitgelekt blijkt dat het FARC zich sinds halfweg de jaren negentig op de zwarte markt bewapende, met de hulp van corrupte Venezolaanse militairen en ambtenaren. Uit de documenten, meestal interne communicatie tussen commandanten van de guerrilla, blijkt ook dat er intensieve diplomatieke contacten zijn geweest, hoewel zowel Interpol, de EU als de VS het FARC als een terroristische organisatie beschouwen.

Uit de mails blijkt verder dat de guerrilla en de Venezolaanse president Hugo Chávez de stilte hebben bewaard over een aanval die de FARC op 23 september 2004 uitvoerde 20 kilometer binnen Venezolaans grondgebied. Bij die operatie kwamen vijf soldaten en een 23-jarige vrouwelijke ingenieur van het Venezolaanse staatsoliebedrijf om het leven.

Volgens de Colombiaanse regering blijkt uit de documenten dat Chávez het FARC logistiek en financieel heef gesteund. “Er is niet alleen sprake van nauwe banden, maar de teksten impliceren een nauwe alliantie tussen het FARC en de Venezolaanse regering”, verklaarde de chef van de Nationale Politie, Oscar Naranjo, op 2 maart. Uit de documenten blijkt volgens Bogota ook dat het FARC banden heeft met de regering van Ecuador.

Relevante links:
http://en.wikipedia.org/wiki/Ra%C3%BAl_Reyes
http://www.interpol.int/public/icpo/pressreleases/pr2008/pr200817.asp

Real Time Visitors !