Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

bergfreund schrieb:Ich konnte das jetzt auch für das iphone 5 verifizieren - anstelle des Bildschirms zum Eingeben der Tastatursperre wird sofort in den Bildschirm mit den Apps gesprungen.

sehr gut. Kannst du noch mal checken, was darüber alles machbar ist mit dem Handy, ohne Eingabe der PIN? Kommt man auch ins Systemmenü?

Streusel schrieb:Bei IP ist auch am 11.4 kein Balken eingezeichnet, obwohl das Handy über eine Stunde an war. Ist das ein Fehler von IP oder wird doch nicht immer ein Balken angezeigt?

Das ist tatsächlich etwas, an dem ich zu knabbern habe. Denn ausgerechnet von diesem 11. April liegt dem NFI-Report kein Logfile bei. Dabei wären hier alle Informationen über den einstündigen Betrieb äußerst aufschlussreich. Signal, Akkukapazität, Ladegerätanschluss usw. Aber es fehlt komplett.

Doctective schrieb:Kannst du noch mal checken, was darüber alles machbar ist mit dem Handy, ohne Eingabe der PIN? Kommt man auch ins Systemmenü?

Ja, alles ist gestattet - so als hätte man das iphone über die Tastatureingabe entsperrt.
SIM-PIN ändern geht natürlich nur mit SIM-PIN.

bergfreund schrieb:Ja, alles ist gestattet - so als hätte man das iphone über die Tastatureingabe entsperrt.
SIM-PIN ändern geht natürlich nur mit SIM-PIN.

Vielen Dank. Es geht mir vor allem um die theoretische Möglichkeit, dass Kris eine Nachricht auf ihrem Handy hätte hinterlassen können. Demnach hätte sie das in divesen Apps tun können. Könntest du - wo du schon gerade dabei bist ;-) - bei Gelegenheit auch mal checken, was passiert, wenn jemand eine SMS schreibt, also ohne Netz. Kann er sie speichern? Wird sie automatisch gespeichert als Entwurf? Ich bin mir relativ sicher, dass Whatsapp 2014 die Möglichkeit, Nachrichten offline zu schreiben und zu speichern, noch nicht angeboten hat.

Doctective schrieb:dass Kris eine Nachricht auf ihrem Handy hätte hinterlassen können.

Ja, es gibt diverse Möglichkeiten einen Editor zu benutzen und das Geschriebene zu speichern - habe das getestet:

Mindestens:

- Erinnerungen
- Notizen

SMS: kann man nach dem Schreiben "senden" , wird angezeigt und gespeichert als " Nicht zugestellt" , von mir getestet ohne SIM-Karte eingelegt, mobile Daten und WLAN "AUS"

bergfreund schrieb:Mindestens:

- Erinnerungen
- Notizen

Good work. Vielen Dank. Das ist eine wichtige Info, die bislang nicht ganz klar geworden ist und festgehalten werden sollte. Ich habe selbst kein altes Iphone zum Testen und kann nicht immer einen Experten beauftragen.

bergfreund schrieb:SMS: kann man nach dem Schreiben "senden" , wird angezeigt und gespeichert als " Nicht zugestellt" , von mir getestet ohne SIM-Karte eingelegt, mobile Daten und WLAN "AUS"

Wird auch gespeichert wenn das Handy aus - und wieder angemacht wurde?

ringelnatz schrieb:Wird auch gespeichert wenn das Handy aus - und wieder angemacht wurde?

Ja, habe ich natürlich mit getestet.

Doctective schrieb:Wie gesagt, am 2. April wurde dieser Unlock Code fur die Bedienung des Kontrollmenüs faktisch deaktiviert.

Also gibt es Aufzeichnungen die das Deaktivieren des Unlock Codes (was ja imo nur geht wenn man ihn eingibt) protokollieren? (nicht SIM PIN)
Oder hat den Unlock Code jemand deaktivieren können ohne ihn einzugeben?

Doctective schrieb:Das ist tatsächlich etwas, an dem ich zu knabbern habe. Denn ausgerechnet von diesem 11. April liegt dem NFI-Report kein Logfile bei. Dabei wären hier alle Informationen über den einstündigen Betrieb äußerst aufschlussreich. Signal, Akkukapazität, Ladegerätanschluss usw. Aber es fehlt komplett

Na irgendein Log muss ja geben für diesen Tag, sonst wüsste man nicht das es eingeschalten wurde.

Was ich noch nicht ganz verstehe, an einigen Stellen liest man das die Logs manipuliert sein können.
Ich glaube es gibt auf der ganzen Welt nur ne Handvoll Leute die verstehen wie man iPhone 4 logs extrahiert, manipuliert und (das wohl schwierigste) sie wieder implementiert ohne das es forensische Spuren dafür gibt. Falls jemand also Daten hätte wollen verschwinden lassen wollen braucht man solch einen hochspezialisierten Insider ODER jeder Normalo hätte die Handys einfach verschwinden lassen können.
Falls man Davon ausgeht das die Daten manipuliert wurden, muss man auch automatisch davon ausgehen das alle Daten in den Logs manipuliert sind, nichts davon wäre mehr vertrauenswürdig.

Ich glaube eher das einige extrahierte Logdaten nachträglich, also nach dem Herunterladen, manipuliert sein können, zum Beispiel ganze Stunden löschen kann jedes ScriptKiddi.
Man sollte die noch auf dem Handy verfügbaren Logs nochmal abgleichen mit denen die den Forensikern vorliegen.

behind_eyes schrieb:Ich glaube es gibt auf der ganzen Welt nur ne Handvoll Leute die verstehen wie man iPhone 4 logs extrahiert, manipuliert und (das wohl schwierigste) sie wieder implementiert ohne das es forensische Spuren dafür gibt.

Das stimmt sicher. Ich habe tatsächlich in den letzten Tagen versucht mich in solche IT-Foren einzulesen bzw. anzumelden um dann Fragen zu fragen - habe es dann aufgegeben, gefühlt >95% behandeln die sogenannten (dann relativ einfachen) crash-Logs, was aber in unserem Fall nicht weiterhilft.

Es wurde bei
https://imperfectplan.com/2021/03/10/kris-kremers-lisanne-froon-forensic-analysis-of-phone-data/

durch den Datenanalysten Matt ja auch keine Anzeichen für diese Manipulationen gefunden gleichwohl im Artikel hingewiesen wird nicht danach gesucht zu haben:

There is no indication in the forensic analysis that there are signs of manipulation, however it was not specifically looked for.

Quelle: s.o.

@bergfreund
@Doctective
Gibt es eigentlich die Logos auf die sich Matt bezieht irgendwo zum dl bzw selber einsehen?

behind_eyes schrieb:Oder hat den Unlock Code jemand deaktivieren können ohne ihn einzugeben?

Mittwoch morgens, 2. April:

Anschließend wird die Systemsteuerung geöffnet und eine Funktion aktiviert, die es fortan ermöglicht, über ein Bedienfeld durch Wischen auf das Kontrollzentrum und damit auf System und Apps zuzugreifen, ohne dass der Entsperrcode eingegeben werden muss. Das Betriebssystem erstellt von dieser Aktion einen automatischen Screenshot, auf dem die Konfigurationsanzeige des Bedienfeldes zu sehen ist.

Quelle: Hardinghaus/Nenner: Verschollen in Panama, 2024, S. 132.

behind_eyes schrieb:Na irgendein Log muss ja geben für diesen Tag, sonst wüsste man nicht das es eingeschalten wurde.

da bin ich mir sicher. Der Log befindet sich nur nicht im Bericht.

behind_eyes schrieb:an einigen Stellen liest man das die Logs manipuliert sein können

Tatsächlich habe ich noch nichts von manipulierten Logs gelesen. Es geht in der Regel um Fotomanipulationen und EXIF-Data.

bergfreund schrieb:durch den Datenanalysten Matt ja auch keine Anzeichen

Matt konnte selbst keine Daten analysieren. Er fasst nur den forensischen Bericht zusammen. Dieser führt Unregelmäigkeiten und Auffälligkeiten auf, interpretiert jedoch an keiner Stelle. Auch bei anderen Themen nicht. Aufgabe des NFI war es Daten zu liefern, ein eigener Ermittlungsauftrag lag nicht vor.

behind_eyes schrieb:Gibt es eigentlich die Logos auf die sich Matt bezieht irgendwo zum dl bzw selber einsehen?

Nein. Matt zitiert den NFI-Bericht. Er selbst hatte keinen Zugang zu den Rohdaten.

cyclic schrieb:Da ich auch die "Aura" bisher nur mit dem Handy repliziert bekomme, denke ich momentan eher in die Richtung, dass zumindest dieses Foto überhaupt nicht mit der Canon gemacht wurde. Ist aber nur eine Arbeitshypothese.

Ich bin gespannt, was da raus kommt. Die Haare auf dem Finger, so es einer ist, machen mich ein wenig nervös. Und es stellt sich die Frage, warum der Finger so oft zu sehen ist. Damit sollte klar sein, dass es nicht daraum gehen konnte, etwas zu fotografieren oder festzuhalten. Sonst hätte man die Kamera wohl vernünftig gehalten. Was meines Erachtens noch sehr heraussticht, ist die Tatsache, dass die Fotos, auf denen wir etwas erkennen, nicht vom Fingerumriss betroffen sind, im Gegenteil, sogar scharf gestellt erscheinen und von ganz anderer Qualität sind als der Rest. Ich meine Hinterkopf, SOS-Reflektor und Zweig mit Tüten. Sie passen auch von der Nummerierung her meines Erachtens überhaupt nicht in die Reihenfolge.

Doctective schrieb:Anschließend wird die Systemsteuerung geöffnet und eine Funktion aktiviert, die es fortan ermöglicht, über ein Bedienfeld durch Wischen auf das Kontrollzentrum und damit auf System und Apps zuzugreifen, ohne dass der Entsperrcode eingegeben werden muss. Das Betriebssystem erstellt von dieser Aktion einen automatischen Screenshot, auf dem die Konfigurationsanzeige des Bedienfeldes zu sehen ist.

Diese Sicherheitslücke ist übrigens hier beschrieben:

iPhone (iOS 4.1) Code Sperre umgehen

Externer Inhalt
Durch das Abspielen werden Daten an Youtube übermittelt und ggf. Cookies gesetzt.

behind_eyes schrieb:Diese Sicherheitslücke ist übrigens hier beschrieben:

Ja. Auch das ist sehr interessant. Ich habe auch schon überlegt, ob eine dritte Person die Notrufe nicht getätigt hat, um tatsächlich einen abzusetzen, sondern Zugriff auf das Handy zu bekommen. Kriege ich aber noch nicht so ganz in den Zusammenhang. Aber es erscheint mir so, als habe ab dem 2. April jemand das Handy ganz gezielt und geschult bedient. Ich glaube nicht, dass Kris und Lisanne das waren. Die Aktionen passen einfach vorne und hinten nicht zu zwei Mädchen, die sich in Gefahr befinden.

behind_eyes schrieb:man das die Logs manipuliert sein können.
Ich glaube es gibt auf der ganzen Welt nur ne Handvoll Leute die verstehen wie man iPhone 4 logs extrahiert, manipuliert und (das wohl schwierigste) sie wieder implementiert ohne das es forensische Spuren dafür gibt.

Da gibt es mit Sicherheit sehr viel mehr Leute, die das können.

Man braucht einfach Admin-Rechte auf dem Gerät, dann kann man alles machen. Der Vorgang nennt sich Rooten bei Android bzw. Jail-Break bei Apple-Geräten (root ist der User der alles darf unter Unix/Linux und Android basiert auf Linux, iOS ist auch recht ähnlich aufgebaut).

Logs sind einfach Dateien die man dann runterladen, mit den richtigen Tools manipulieren und dann wieder aufs Gerät zurückspielen kann.

Zum Abschluss muss man das Rooten/Jail-Breaken wieder rückgängig machen. Auch das findet man leicht wenn man nach "unroot" bzw "unjailbreak" sucht (s. unrooten und unjailbreaken).

Es gibt allein Tausende professionelle App-Entwickler und von denen und nicht nur denen dürfte ein ordentlicher Teil dazu in der Lage sein. Dass z.B. Drogenkartelle und andere organisierte Verbrecherbanden entspr. Experten an der Hand haben würde ich mal stark vermuten. Leute die auch wissen wie sichere Verschlüsselung funktioniert und man sowas wie Staatstrojaner vermeidet bzw. entdeckt, schaffen auch das.

Also ob da manipuliert wurde weiß ich nicht, aber ausschließen, weil Laien sich das nicht vorstellen können ganz sicher auch nicht

cyclic schrieb:Logs sind einfach Dateien die man dann runterladen, mit den richtigen Tools manipulieren und dann wieder aufs Gerät zurückspielen kann.

Und das stelle ich mir prinzipiell einfach vor, aber eben unter den Vorzeichen einer forensichen Belastbarkeit sehr sehr schwer.
Man muss das so machen das es über diese Aktion keine Logs oder andere Nachwrisbarkeiten gibt.
Dann muss das neue eingefügte Log selber sich so darstellen als das es sich nahtlos einfügt ohne Widersprüche die sich durch Zeitstempel von Bearbeitungen ergeben. Auf Dateisystemebene müssen alle Hinweise gelöscht werden die diese Änderung ebenfalls darstellen usw.
Also ich stimme dir insofern zu als das das Prinzip nicht sehr schwer ist aber forensisch wasserdicht ist dann nochmal ne ganz ganz andere Hausnummer.
Hab früher auch gerootet und einige Ziegelsteine wiederbelebt sowie mit root in conf rumgeschrieben um die Notificationbar zu manipulieren usw.... Das aber zu tun ohne das diese Tätigkeiten nicht nachweisbar sind halte ich für ganz ganz anderes Level und es gibt auch sehr sehr wenige Quellen im Internet die an dieser Stelle ins Detail gehen, wenn überhaupt.

Ganz ehrlich? Verrennt ihr euch da nicht? Es ist ein Wanderpfad und relativ einfache Leute, die da oben wohnen. Wo ist der Mehrwert? Ich kann mir die Kombi: Wanderung + Übergriff + Zurücklassen im Dschungel, wo sie den Weg nicht mehr fanden gut vorstellen. Zudem: Wenn der Täter gesehen hat, dass sie Handys dabei hatten, ging er sicher davon aus, dass sie sich mit Google Maps oder so wieder orientieren können würden. Wer geht schon davon aus, dass die Handys fürs Netz in Panama gar nicht "scharf sind".

behind_eyes schrieb:Diese Sicherheitslücke ist übrigens hier beschrieben:

Ganz so einfach ist es nicht:

Die Lücke wurde für das Betriebssystem ios 4.1 beschrieben aber
- wir befinden uns quasi fiktiv im Jahr 2014, der Monat ist dabei egal, weil das iphone 4 bereits

- im Januar 2013 ein update mit ios 6.1 erhielt.

Bis zum Abflug nach Panama war da noch über ein Jahr Zeit für das iphone update von Kris.

Interessanterweise enthielt ios 6.1 ebenfalls eine Sicherheitslücke für das Entsperren, ähnlich ios 4.1, diese wurde aber im April 2013 behoben:

March 19, 2013
Fixes a bug that allowed a passcode lock screen bypass to access the Phone app.

Quelle: Wikipedia: IOS 6
(dort unter Version history)

Ich habe diese Informationen in den letzten 30 Minuten zusammengetragen - steinigt mich nicht wenn es irgendwo einen Blog im Internet gibt bei dem im Februar 2014 eine Sicherheitslücke bei iios 6.1 zum Umgehen der Tastensperre diskutiert wurde.


Das bedeutet dass man im April 2014 wirklich nur nach Eingabe des Entsperrcodes des iphone an die permanente Entriegelung dieser Telefonsperre kam, da tippe ich auf Kris die das vorgenommen hat.

Doctective schrieb:Die Haare auf dem Finger, so es einer ist, machen mich ein wenig nervös

Wäre wohl ein ganz geeignetes Unterscheidungskriterium. So viele mit solchen Haaren wird es nicht geben (ich starre seit Tagen allen Kollegen auf die Pfoten und konnte bislang nichts Vergleichbares finden).

Doctective schrieb:Und es stellt sich die Frage, warum der Finger so oft zu sehen ist.

Bei den anderen erkennt man natürlich gar nichts. Ich gehe aber auch da von Fingern aus. In verschiedenen Positionen gerät immer wieder ein Finger vor die Linse. Halte ich für schwierig bei der Canon, umso mehr je häufiger das passiert. Beim Handy wie gesagt easy, wenn es eh nicht auf die Bilder ankommt.

Doctective schrieb:Was meines Erachtens noch sehr heraussticht, ist die Tatsache, dass die Fotos, auf denen wir etwas erkennen, nicht vom Fingerumriss betroffen sind, im Gegenteil, sogar scharf gestellt erscheinen und von ganz anderer Qualität sind als der Rest.

Sehr guter Punkt. SOS und Tüten haben zwar Überlappungen mit anderen Fotos, aber auffallend wenige. Das Haarfoto lässt sich in keinerlei räumlichen Bezug zu den anderen Bildern setzen. Ich finde das auch auffällig, insbesondere in Kombination mit den anderen Merkwürdigkeiten rund um die Nachtfotos (saubere, eher trocken wirkende Haare, exakt 100 Fotos, einziges fehlendes Bild genau vor dem ersten Nachtfoto). Wie sonst auch, kein einzelnes dieser Dinge beweist irgendwas, aber in der Häufung wirkt es für mich immer noch wie ein (zu) penibel ausgeführter Auftrag, 100 Fotos zu machen, mit A, B und C.