Análisis Forense de WhatsApp en Android: uso de la llave de 64 bits, adquisición con Andriller y procesamiento con Autopsy y SQLite Browser

Introducción

En el ámbito de la informática forense móvil, una de las aplicaciones de mayor interés probatorio es WhatsApp, debido al volumen de comunicaciones, archivos compartidos y metadatos que genera. En investigaciones autorizadas, auditorías internas o prácticas académicas controladas, es posible realizar un análisis técnico de la información almacenada en dispositivos Android utilizando herramientas especializadas como Andriller, Autopsy y DB Browser for SQLite.

Uno de los elementos clave en este proceso es la llave de cifrado de 64 bits (comúnmente referida dentro del contexto de cifrado local de bases de datos antiguas o claves derivadas del dispositivo), utilizada para descifrar ciertos archivos de respaldo locales de WhatsApp.

Importante:

Todo procedimiento debe realizarse únicamente con autorización legal expresa, cadena de custodia adecuada y fines legítimos.

Arquitectura de datos de WhatsApp en Android

WhatsApp almacena diversos artefactos digitales en el dispositivo:

Bases de datos SQLite
Respaldos cifrados (msgstore.db.cryptXX)
Archivos multimedia
Registros temporales
Información de contactos
Timestamps y metadatos

Las ubicaciones comunes incluyen:

			
/WhatsApp/Databases/
/WhatsApp/Media/
/data/data/com.whatsapp/

Las bases de datos principales suelen ser:

msgstore.db → mensajes
wa.db → contactos
respaldos cifrados crypt12, crypt14, etc.

La llave de 64 bits y su relevancia forense

En versiones y esquemas antiguos, WhatsApp utilizaba claves locales asociadas al dispositivo para proteger respaldos. Estas claves permiten:

Descifrar bases de datos exportadas
Recuperar historiales de chat
Validar integridad de evidencia
Correlacionar datos con otros artefactos del sistema

Desde una perspectiva forense, la llave representa un componente crítico para transformar archivos cifrados en evidencia legible.

Adquisición con Andriller

Andriller es una suite de análisis forense enfocada en dispositivos Android. Permite extraer información lógica de dispositivos compatibles y automatizar tareas de procesamiento.

Capacidades relevantes:

Extracción de bases de datos
Obtención de claves cuando el entorno lo permite
Decodificación de respaldos
Parsing automático de artefactos
Exportación para otras plataformas forenses

Flujo general de trabajo

Conectar el dispositivo autorizado.
Ejecutar adquisición lógica.
Identificar artefactos de WhatsApp.
Recuperar bases de datos y archivos de clave.
Exportar resultados.

El valor de Andriller radica en reducir tiempos manuales y preservar estructura de evidencia.

Procesamiento posterior en Autopsy

Una vez obtenidos los archivos, pueden cargarse en Autopsy, plataforma de análisis forense ampliamente utilizada.

Beneficios de Autopsy:

Línea de tiempo de eventos
Indexación de archivos
Búsqueda por palabras clave
Correlación de evidencia
Reportes periciales
Hashing e integridad

Casos prácticos:

Determinar fecha de conversaciones
Identificar archivos enviados
Relacionar imágenes con mensajes
Detectar eliminación de evidencia
Construir cronologías

Análisis avanzado con DB Browser for SQLite

WhatsApp utiliza SQLite para almacenar información estructurada. Aquí entra DB Browser for SQLite, ideal para consultas manuales.

Bases de interés:

Archivo	Contenido
msgstore.db	Chats y mensajes
wa.db	Contactos
stickers.db	Stickers y referencias

Ejemplo de consulta SQL

SQL

SELECT key_remote_jid, data, timestamp
FROM messages
ORDER BY timestamp DESC
LIMIT 20;

Esto permite visualizar mensajes recientes.

Consultas útiles

Mensajes por contacto

SQL

SELECT key_remote_jid, COUNT(*) total
FROM messages
GROUP BY key_remote_jid;

Archivos multimedia enviados

SQL

SELECT key_remote_jid, media_name, media_url
FROM messages
WHERE media_url IS NOT NULL;

Mensajes eliminados o vacíos

SQL

SELECT *
FROM messages
WHERE data IS NULL OR data = '';

Correlación entre herramientas

La fortaleza real del análisis aparece al combinar herramientas:

Herramienta	Función
Andriller	Adquisición y extracción
Autopsy	Contexto forense y timeline
SQLite Browser	Consulta profunda de datos

Ejemplo de flujo profesional:

Extraer evidencia con Andriller
Validar hashes
Cargar imagen en Autopsy
Detectar archivos relevantes
Abrir bases SQLite
Ejecutar SQL para responder hipótesis investigativas
Emitir reporte técnico

Consideraciones legales y técnicas

Todo análisis debe contemplar:

Consentimiento o mandato legal
Integridad de evidencia
Cadena de custodia
Documentación de herramientas y versiones
Repetibilidad técnica
Minimización de datos personales no relevantes

Conclusión

El análisis forense de WhatsApp en Android requiere una combinación de adquisición técnica, conocimiento estructural de bases de datos y capacidades analíticas. La utilización de llaves de descifrado, junto con herramientas como Andriller, Autopsy y SQLite Browser, permite convertir datos dispersos en evidencia interpretable.

Para un analista con conocimientos de SQL, las posibilidades aumentan considerablemente: desde búsquedas simples hasta reconstrucción cronológica compleja, detección de patrones y validación de hipótesis.

En síntesis, la diferencia entre “tener datos” y “tener evidencia útil” suele estar en la capacidad de extraer, consultar, correlacionar y explicar técnicamente la información.