Es una carta en formato Microsoft Word del sospechoso Joe Jacob dirigida a Jimmy en la que habla de lo buena que es la marihuana de Jimmy y de sus negocios en los institutos. Menciona un fichero que al parecer está protegido con contraseña, este fichero debe contener los horarios de distribución de marihuana de Joe Jacobs.
cover page.jpgcFichero JPG que según unas palabras de Joe en el documento anterior es la portada de la High Times Magazine. En esta portada se hace referencia a Jimmy Jungle como el mejor cultivador, vendedor y fumador de marihuana del mes.
Schedule Visits.exeEste fichero tiene truco, no es un ejecutable. Si observamos su cabecera veremos que empieza por "PK...", así que es un archivo comprimido con ZIP. Si lo abrimos veremos que contiene una hoja de cálculo Microsoft Excel protegida mediante contraseña. ¿Cuál es la contraseña? Según el primer documento, en palabras de Joe: "Para abrirlo, usa la misma contraseña que me enviaste antes con aquel archivo". El único archivo del que tenemos constancia que Jimmy envió a Joe es el "cover page.jpgc", y si recordamos, al final de este tenemos un hueco que podría formar parte del archivo. En algunos formatos, el exceso de datos no afecta a la visualización del archivo, y este tipo de ficheros suelen usarse para ocultar datos y realizar una especie de esteganografía. De echo, si miramos el contenido del supuesto "hueco" veremos una cadena como la siguiente: "pw=goodtimes". Utilizando esta contraseña podremos descomprimir la hoja de cálculo con éxito ("Scheduled Visits.xls") y comprobar los horarios y sitios de venta de Joe Jacob.
El proveedor se llama Jimmy Jungle. Su dirección completa, tal y como figura en el encabezado de la carta que escibió Joe es:
Jimmy Jungle 626 Jungle Ave Apt 2 Jungle, NY 111112.-¿Qué datos cruciales están disponibles dentro del fichero coverpage.jpg y porqué estos datos son cruciales?
Dentro del fichero JPG se encuentra la contraseña válida para descomprimir el fichero "Schedule Visits.exe/zip". Es importante ya que nos permite informar a la polocía de fechas y lugares donde actuaba Joe Jacobs.
3.-¿Qué otros institutos además del Smith Hill frecuenta Joe Jacob?A partir del fichero "Scheduled Visits.xls" podemos afirmar que frecuenta 5 institutos más:
Key High School (B) Leetch High School (C) Birard High School (D) Richter High School (E) Hull High School (F)4.-Para cada fichero, ¿que medidas fueron tomadas por el sospechoso para ocultarlos?
Jimmy Jungle.doc: Este fichero había sido borrado, aunque pudo ser recuperado
debido a que sus datos no habían sido sobreescritos.
cover page.jpgc: No parece que se intentara ocultar este archivo de ninguna
forma.
Schedule Visits.exe: Se tomaron dos medidas, comprimir el contenido
protegiéndolo con contraseña y después cambiarle la extensión para que no
pareciera un fichero comprimido (.zip) sino un ejecutable (.exe).
Todos los ficheros fueron extraidos, como hemos comentado anteriormente, a
partir de la estructura de directorio FAT12, concretamente mediante un editor
hexadecimal.
Jimmy Jungle.doc: Visualizado con el Microsoft Word.
cover page.jpgc: Puede examinarse con cualquier programa de edición o
visualización de gráficos. Para extraer la contraseña almacenada en texto llano
se utilizó un editor hexadecimal.
Schedule Visits.exe: Se examinó la cabecera mediante un editor hexadecimal, se
descomprimió con el Winzip y se visualizó con el xlsview (plug-in para
visualizar documentos Office).
La forma de averiguarlo es editando el fichero jpg y buscando las marcas de la
aplicación. En el formato JPEG/JFIF, las marcas introducidas por la aplicación deben
ir detrás de la cabecera APP0 ("JFIF" en nuestro caso) o precedidas de los bytes "FF FE"
(bloque de comentarios). En el fichero jpg recuperado de la imagen del disquete no hay
ninguna marca de este tipo (no iba a ser tan fácil). Según nos dice la pregunta, el fichero
ha sido creado mediante una aplicación de Microsoft, pero de las que vienen por defecto en
una instalación de Windows no pueden ser (Imaging sólo visualiza y el Paint no trabaja con
jpeg). Podemos descartar cualquier aplicación de retoque fotográfico como Photoshop o el
Paint Shop Pro, ya que estas aplicaciones dejan marcas/comentarios. Sólo quedan dos tipos
de software en el que parece no guardarse este tipo de bloques: los conversores de
formatos gráficos y las aplicaciones de escaneo de imágenes. Podeis hacer la prueba,
convertid un fichero BMP,GIF,PNG... a JPG mediante cualquiera de estos programas y
podreis ver que no se generan bloques de comentarios. Del mismo modo, las imágenes
escaneadas que he revisado (unas 80) tampoco poseen bloques de comentario.
Así pues, sólo nos quedaría revisar qué software de este tipo genera ficheros JPG/JFIF
marcados con la versión 1.1 (sacado de la cabecera APP0). Lamentablemente, no poseo la
suficiente información como para elegir un programa en concreto.
Recopilación de los enlaces aparecidos en este texto:
Estructura de directorios FAT
Jimmy Jungle.doc
cover page.jpg
Scheduled Visits.exe
informe de la policía.
imagen del disquete.
UltraEdit-32.
ACDSee.
Microsoft Word.
Winzip.
