Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Noch 2 abschließende Test-Ergebnisse, bevor ich auf der schönen Insel NonPublic Urlaub mache. :-)

Ich gehe sicher davon aus, dass der NAND-Speicher nicht im Chip-Off-Verfahren ausgelesen wurde, sondern dass die DVD-Images im lfd. Betrieb zB mit dem simplen Befehl "dd" erstellt wurden. D.h. das iPhone wurde im Juni gebootet.

Die letzte Nutzung am 11. April, selbst wenn 1 Std. im Standby, hätte über 100 neu erstellte und geänderte Dateien zurückgelassen. Diese Anzahl reduziert sich durch ein späteres Booten auf etwa 10 (oder je nach Nutzung mehr), weil der Rest der über 100 Dateien vom 11. April einen Timestamp von Juni erhält, zB dadurch, dass eine Log-Datei weitergeschrieben wird. Das korreliert mit den bekannten 18 vom NFI gefundenen Dateien für den 11. April.

Außerdem sind vom NFI ausgewertete Dateien kryptografisch an das Originalgerät gebunden, weil der neben Passcode und weiteren Keys zur Entschlüsselung nötige UID-Key in den A4-Chip des iPhones eingebrannt und nicht extrahierbar ist (nicht mal von Apple selbst). Würde man die Speicherchips per Chip-Off auslesen (NAND-Dump) oder in ein anderes iPhone 4 einbauen, wären diese Dateien nicht dekodierbar. Auch das spricht eindeutig dafür, dass die Forensik-Tools von zB Cellebrite auf das in Betrieb befindliches iPhone zugegriffen haben.

Der Betrieb am Computer im DFU-Mode per SSH-Ramdisk ist spurenlos möglich. Jedoch startet das iPhone automatisch, sobald man das Kabel anschließt. Auch das Versetzen in den DFU-Mode ist eine Timing-Sache, wo 1-2 Sekunden darüber entscheiden, ob das iPhone bootet oder erfolgreich in den DFU-Mode versetzt wird. Da am 11. April ein Startup-Log existiert (Fakt) wurde das Gerät absichtlich oder unabsichtlich zumindest kurz bis zum Lockscreen gebootet. Dadurch hätten wir bzgl. der 18 Dateien (leider) dieselbe Ausgangslage wie oben beschrieben und können keines der beiden Szenarios festnageln.

Die Verbindung mit einem Computer wird zwar geloggt, aber das lässt sich durch geschicktes Verkabeln verhindern oder ggfs. im Log löschen. Interessanter: 4 der ermittelten 18 Dateien sind lt. meinen Tests in jedem Fall versteckte FSEvents-Dateien.

Die einzige Möglichkeit festzustellen, was am 11. April und auch zB vom 4. bis 6. April mit dem iPhone gemacht wurde, ist eine Analyse der FSEvents (File System Events), einer 2014 forensisch kaum erforschten System-Komponente, die zB auch gelöschte Dateien registriert. Heute gibt es Forensik-Tools, womit so eine Analyse kein Problem ist (selbst getestet).

Wie schon in meinem Blog stand: Forensik-Expertin Nicole Ibrahim (Associates in Digital Forensics and Cyber Crime from Richland College, Bachelors of Technology in Information Assurance and Digital Forensics from Oklahoma State University’s Institute of Technology) berichtete erstmals 2017 über die forensische Bedeutung der FSEvents auf ihrer Website HeX-OR Forensics.

Mac Forensics: Looking into the Past with FSEvents - SANS DFIR Summit 2017

Externer Inhalt
Durch das Abspielen werden Daten an Youtube übermittelt und ggf. Cookies gesetzt.

Das RAM/NAND-Problem aufgrund in iOS 7 neu eingeführter Data Protection Maßnahmen scheint 2014 ebenfalls undokumentiert und dem NFI in allen Auswirkungen unbekannt gewesen zu sein. Nehmen wir die FSEvents dazu und im Kamera-Bereich Dinge wie Slack Space + File Carving Methoden sowie die Aussage des FvdG-Teams, dass sie am 11. April eine Fremdnutzung des iPhones nicht ausschließen konnten, dann sind das mMn. genug offensichtliche und technologische Fakten, die aufgrund des NFI-Reports und ungeklärter Sachverhalte Nachermittlungen in Form einer Hinzuziehung von Spezial-Experten erforder(te)n.

Denn aus kriminalistischer Sicht hat das NFI offengelassen, warum das iPhone nach dem letzten Notruf über mehr als 1 Woche lang neunmal gebootet wurde und dabei Notrufe, Not-SMS, Signalstärken, Akkustände und Aktivitäts-Logs fehlen, warum das Handy trotz 40% Akku unsinnig schnell ausgeschaltet wurde sowie was bei dem einstündigen Betrieb am 11. April damit gemacht wurde, um eine "unmögliche" Datenlage zu produzieren.

Und das ist nur der digital-forensische Teil, ungeklärte Sachverhalte und offizielle Forderungen zu Nachermittlungen gab es ja auch in anderen Bereichen. Der Fall wurde mE zum Cold Case, weil die StA eine zu frühe und unfundierte Abschlussbewertung durchgesetzt hat, ohne neue Fakten zu berücksichtigen und auszuermitteln.

Wie u.a. auch eine neue Timeline oder auffallend unterschiedliche Verwesungszustände, trotz extrem schneller Skelettierung bei beiden. Was bei anzunehmenden unterschiedlichen Bedingungen (Wasser=langsamere Verwesung, Luft) und im Vergleich zB zu Cody Dial (zum selben Zeitpunkt wie K+L im Regenwald verstorben, nur auf der anderen Seite der Grenze in Costa Rica), dessen Skelett nach 2 Jahren noch fast vollständig intakt war, eher unplausibel ist.

---

Eine weitere kleine Sache konnte ich nun auch klären. Notrufe über die Notruffunktion werden definitiv geloggt, auch wenn das Handy nicht initial entsperrt wurde. Die Notruffunktion nimmt nur Notrufnummern an, wie 112 oder 911. Bisher hatte ich nur Fantasienummern getestet und die wurden nicht geloggt bzw. nur, wenn man über den Taschenrechner-Bug den SIM-Pin eingegeben hat (was ein weiterer Bug ist, dass dann alle Nummern gehen).

Jetzt hab ich den Bruchteil einer Sekunde :-) die 911 getestet und das wurde sofort geloggt. Somit ist die bisher geschlussfolgerte Annahme bewiesen, dass der RAM/NAND-"Bug" bei Notrufen keine Rolle spielt und nach dem letzten Notruf am 3. April bis zum 11. April trotz neunmaligem Booten kein Notruf-Versuch mehr erfolgte. Für Not-SMS gilt das sowieso, weil es keine Quick Reply Funktion auf dem Lockscreen gab.

Anthurium schrieb:Es gibt Fotos und Berichte vom Fund:

Danke! Aber ist dort auch der Femur und der merkwürdige Manila-Umschlag zu sehen? Den zitierten Text kann ich mit dem Zeitungsartikel kaum in Einklang bringen...
Wie gesagt, es geht hier um einen fast 50 cm langen Knochen...

cyclic schrieb:Also zusammengefasst: die Rechnung ist zu 99.947% Käse.

Ich nehme an Du hast meine Kommentare zuvor nicht gelesen und setzt das Ganze in einen komplett anderen Kontext als ich zuvor beschrieben habe

Ich beziehe mich ausschliesslich auf die Versuche ab dem 4.04. vormittags (=4) wie hier beschrieben in der Plausibilitätstabelle:

Beitrag von Offshore7 (Seite 1.272)

Warum?
Weil ich davon ausgehe K+L spätestens ab dem 04.04. immobil waren - im wahrsten Sinne des Wortes saßen sie fest. Und immer im
gleichen 0.5 h - Zeitintervall von der Sonne "aktiviert" wurden. Deshalb habe ich das nur auf die Zeitintervalle von 7 bis 12 Uhr ( = 10 insgesamt) eingegrenzt - weil ich davon ausgehe dass man nach der Nacht irgendwann am Vormittag wach werden muss.

Wenn Adam Ries hier mitdiskutieren könnte - leider unmöglich da verstorben - würde er mir beipflichten daß am 04.04. die Chance 1:10 war, das Telefon in einem - sagen wir dem achten - 0.5h- Zeitintervall am Morgen hochzufahren.

Die Wahrscheinlichkeit, das gleiche Zeitintervall am nächsten Tag (für den 04.04. unmöglich) wieder zu treffen liegt für den 05.04. allein wieder bei 1:10, für beide Tage (zwei Versuche hintereinander) zusammengenommen dann 1:100, usw.

Für die vier Tage 04.04 und 05.04. und 06.04. und 11.04 ergibt sich daher eine Wahrscheinlichkeit von 1:10000 dieses achte Zeitintervall bei aufeinanderfolgenden Versuchen (an jeweils anderen Tagen) zu treffen.

Es geht da dann zwangsläufig nur um die Versuche am Morgen - nämlich genau dann wenn das angenommene Camp aus dem Schatten hervortrat (nachmittags dann umgekehrt. )


Also: bei der Berechung ging es ausschliesslich darum zu zeigen daß die Regelmäßigkeit der Bedienung an den Vormittagen ab dem 04.04. eine Ursache haben muß und wenig wahrscheinlich purer Zufall sein kann.
Diese Regelmässigkeit muss einen ziemlich genauen Trigger haben und kann meiner Meinung nach nur bei Immobilität - warum auch immer - auftreten.

Welcher andere einfache Trigger als der Sonnenstand käme dann denn infrage um bei dieser Wahrscheinlichkeit Zufall auszuschliessen ?

@bergfreund

Ich kann deine Rechnung schon nachvollziehen, allerdings müsste man an Tag 1 100% ansetzen, weil irgendein Zeitraum getroffen wird, also 1 zu 1000. Die Wahrscheinlichkeit 4 unterschiedliche Zeiträume zu treffen, liegt bei 0,9*0,8*0,7 = 50%, was deine Sonnen-Theorie umgekehrt bestätigt. Wobei die Sonne nachmittags wohl ungenauer ging. :-)

Mein Problem ist nur: Wozu das Handy zu diesen Sonnen-Zeitpunkten ein- und ausschalten? Hilft in einer Notlage ja nun nicht weiter.

Also wenn K+L das Handy selbst bedient haben, dann macht die Sonnen-Theorie gemäß deiner Wahrscheinlichkeitsrechnung Sinn. Wenn es ein Täter war, gibt es unzählige Möglichkeiten, wieso gerade diese Zeiträume.

megavolt schrieb:Aber ist dort auch der Femur und der merkwürdige Manila-Umschlag zu sehen?

Das weissen nur diejenigen die die Akten haben ..... vielleicht kann @Doctective eine Erklärung geben.

LitJ beschreibt Folgendes:
Seite 267; Op 29 augustus wordt de vondst in Norteño opgehaald. Het gaat om drie botresten en een massa weefsel, die, wederom gestoken in twee gele enveloppen naar IMELCF in David worden gebracht.
Seite 328; BetzaIda Pittí had deze resten, die aan haar overhandigd waren door een indiaan* die ze verpakt in een plastic zak te voet van Alto Romero naar Norteño had vervoerd, onder toezicht van een specialist die aanwezig was bij deze overdracht in gele enveloppen verpakt.
*das musste Basilio sein (laut VIP)

Wenn LitJ es richtig hat, sind die Funden in einer Plastiktüte von AR zu Norteño (zu Fuss) transportiert. In Norteño verpackten Frau P. und ihre "Special Agent" die Funden in gelben (Manila) Umschlägen.

Anthurium schrieb:Das weissen nur diejenigen die die Akten haben ..... vielleicht kann @Doctective eine Erklärung geben.

Ich habe noch nie etwas von einem Manila Umschlag gehört oder gelesen, und weiß auch nicht was das sein soll. Auf dem Foto befinden sich die beiden Beinknochen und ein kleiner Knochensplitter meines Erachtens auf einer Plastikunterlage, die groß genug ist, um die Knochen darin zu transportieren.

Doctective schrieb:Ich habe noch nie etwas von einem Manila Umschlag gehört oder gelesen, und weiß auch nicht was das sein soll.

Den gibt es schon, verstehe hier den Zusammenhang aber auch nicht – wo ist das mit dem "Manila"-Umschlag aufgetaucht? Das Zitat oben spricht nur von "gelben Umschlägen"?

@Anthurium

sooma schrieb:Den gibt es schon, verstehe hier den Zusammenhang aber auch nicht –

Danke. Habe es gerade gegoogelt. Wenn es dir nur in DinA4 gibt steckte da sicher kein Knochen drin. Vielleicht werden die für die Übergabe Berichte benutzt. Zu jedem Fund trägt jeder, der damit zu tun hatte, seinen Namen ein und das wird dann mit weiter gereicht.

Oder Ist amarillo gemeint. Das wäre gelb.

Doctective schrieb:Ich habe noch nie etwas von einem Manila Umschlag gehört oder gelesen, und weiß auch nicht was das sein soll.

Jetzt irritierst Du mich aber sehr? Es steht doch in dem Link, den Du gestern hier gepostet hast. Davon schreibt Adelita Coriat in ihrem Bericht über die Untersuchung dieser Überreste.
https://www.laestrella.com.pa/panama/nacional/220429-piel-trozo-chicas-forense-analiza-NDLE282294

El forense a cargo del laboratorio se prepara para revisar el contenido del paquete, tomando precauciones para no contaminar la muestra: se coloca los guantes, gorro de tela, bata, cubrezapatos, mascarilla y lentes. Ya listo, abre con cuidado el sobre de manila.

"Mit Vorsicht öffnet er den Manila Umschlag". Sobre de manila gibt es nur eine Übersetzung. Manila Umschlag eben. Manila Umschlag Der Begriff wird zwar m.W. auch weiter gefasst, bezieht sich aber auf Umschlag und die Herstellung (früher) aus Manilahanf, aber es ist immer ein Papierumschlag.

Ein paar Zeilen weiter wird beschrieben, wie diesem Manila Umschlag das runde aufgerollte Gewebestück UND der Femur UND die anderen Knochen entnommen werden.
Das kann doch nicht sein? Das müsste ein Umschlag sein, in dem ein 50 cm Röhrenknochen und der ganze andere Rest Platz finden. Und das ganze auch noch verrottend (was das Gewebe angeht). Wer verpackt verrottendes feuchtes Zeug in so einen Papierumschlag? Das suppt doch durch und wenn man ihn hochnimmt, fällt alles durchs Papier. Das weiß doch jeder, der seinen Biomüll in so dünnen kompostierbaren Papierbeuteln zu lange liegen lässt.

Da muss sich Madame Coriat vertan oder was ausgedacht haben. Wenn die Indigenen das in Plastikbeutel verpackt haben, dann ist das jedenfalls sehr viel schlauer.

Edit: sehe ihr wart wieder schneller als ich mit meinem Tippen. Ich lass es trotzdem stehen. "Sobre de manila" spricht nicht primär von Gelb. Ich schaue auf die spanische Variante, weil Frau Coriat Spanisch sprechend ist.

megavolt schrieb:Mit Vorsicht öffnet er den Manila Umschlag

Steht da auch, was er da raus holt? Wenn nicht, wird er sich wohl das Protokoll rausnehmen, wo dann auch er seinen Namen und die Zeit eintrāgt, zu der er anfängt.

Doctective schrieb:Steht da auch, was er da raus holt? Wenn nicht, wird er sich wohl das Protokoll rausnehmen, wo dann auch er seinen Namen und die Zeit eintrāgt, zu der er anfängt.

Deine Interpretation hätte ich auch für logisch gehalten. Aber es steht etwas weiter explizit:

El científico saca del sobre una masa terrosa en forma de bola. Después, retira un hueso largo —posteriormente determinará que se trata de un fémur— y otro más corto, similar a una tibia o un radio.

... der Wissenschaftler entnimmt dem Umschlag einen "Erdklumpen in Form einer Kugel, eines Balls". Darüberhinaus aus dem Umschlag den Femur, die Tibia oder den Radius.

Also wie gesagt, ich behaupte mal, sie war da nicht dabei. Sie hat sich anhand der Stichworte der Ergebnisse etwas ausgedacht. Dann fragt man sich natürlich auch, was sonst noch falsch verstanden oder ausgedacht ist.

Bei der Deutschen Post (Ich weiß die nennt sich anders, kann mir die modernen Namen schlecht merken), ist beim Briefformat Länge 35,3 cm und Breite 25 cm .....und vor allen Dingen 5 cm Höhe das Ende der Fahnenstange beim Brieftransport.

Alles darüber, muss eh als Päckchen oder Paket geschickt werden.

Also gibt es auch keine Manila-Umschläge in 50 cm Länge. Vielleicht arbeitet die Post in Panama auf einer anderen Basis. Kann mir aber nicht vorstellen, dass die Briefe von einem halben Meter Länge transportieren. Also wird es auch dort keine Umschläge geben, die 50 cm lang sind. @megavolt verortete ja die Länge des Knochens bei ca. 50 cm.

Aber

Wenn der Knochen im Paket kam...könnte man aus 2 großformatigen 35er Manila Umschlägen, einen behelfsmäßigen zusätzlichen Schutz für den Knochentransport basteln.

megavolt schrieb:Deine Interpretation hätte ich auch für logisch gehalten. Aber es steht etwas weiter explizit:

Tja dann wird es die wohl auch in größer geben müssen.

megavolt schrieb:Also wie gesagt, ich behaupte mal, sie war da nicht dabei. Sie hat sich anhand der Stichworte der Ergebnisse etwas ausgedacht. Dann fragt man sich natürlich auch, was sonst noch falsch verstanden oder ausgedacht ist.

Ich habe diesen Diskussionspunkt, nicht konzentriert mitverfolgt.

Behauptet Coriat, live dabei gewesen zu sein....

oder

...erweckt die Formulierung des Berichts diesen Eindruck, ohne das sie es behauptet ?

EDGARallanPOE schrieb:erweckt die Formulierung des Berichts diesen Eindruck, ohne das sie es behauptet ?

Das. Ich glaube nicht dass sie dabei war. Ich glaube auch nicht dass sie eine Erlaubnis bekommen hätte. Und Ich glaube dass der Pathologe mit ihr gesprochen hat, ohne dass er sich dafür Erlaubnis eingeholt hat. Daher dann der ganze Ärger.

megavolt schrieb:Jetzt irritierst Du mich aber sehr?

Ich wusste auch nicht was 'manila' bedeutete ... Habe gegoogelt und hatte gelbe Enveloppen gefunden... z.B.: https://www.umschlaege.com/collections/manila-briefumschlaege

megavolt schrieb:der Wissenschaftler entnimmt dem Umschlag einen "Erdklumpen in Form einer Kugel, eines Balls". Darüberhinaus aus dem Umschlag den Femur, die Tibia oder den Radius.

Hier gibt es z.B. eine Manila von 50 cm: https://www.umschlaege.com/products/kapazitat-versandtasche-aus-wellpappe-500x340-mm

megavolt schrieb:der Wissenschaftler entnimmt dem Umschlag einen "Erdklumpen in Form einer Kugel, eines Balls". Darüberhinaus aus dem Umschlag den Femur, die Tibia oder den Radius.

Wenn man sich den ganzen Artikel durchliest, fällt die starke Kritik am unsachgemäßen Umgang mit den gefundenen Überresten auf.

Vermutlich wird das der Hauptgrund gewesen sein, warum dieser Umschlag, wie auch immer er ausgesehen haben mag, so explizit beschrieben wird.

Offshore7 schrieb:Ich kann deine Rechnung schon nachvollziehen, allerdings müsste man an Tag 1 100% ansetzen, weil irgendein Zeitraum getroffen wird,

Ich habe vor meiner Rechnung natürlich auch darüber nachgedacht ob es irgendein Zeitraum ist der initial getroffen wird und deshalb Versuch 1 100% bekommen müsste. Ist er aber nicht.
Denn dieser initiale Zeitraum ist ja vorgegeben - durch das "Sonnenfenster" das getroffen werden muss wenn der Vorgabe gefolgt werden soll - Auslösung durch den Sonnenstand. Es sind also vier Mal Wahrscheinlichkeiten von 10 % in Betracht zu ziehen wenn es zufällig zum Ereignis kommen soll unabhängig vom "Sonnenfenster"- weil dann eben schon das erste Ereignis nicht wahlfrei wäre.

Offshore7 schrieb:Mein Problem ist nur: Wozu das Handy zu diesen Sonnen-Zeitpunkten ein- und ausschalten? Hilft in einer Notlage ja nun nicht weiter.

Naja, naheliegend wäre ja - man wird "munter" und macht - wie Du selbst geschrieben hast - einen sehr kurzen Signalcheck ( oder warten auf eingehende Nachrichten) ,und/ oder Akkucheck oder vielleicht die Uhrzeit/Datum.
Notruf - wie schon von mir beschrieben - denke ich ist auch möglich gar nicht erst zu probieren wenn dort bei der Signalstärke "Kein Netz" angezeigt wird - was ja möglich war für ganz kurze Zeit.

Offshore7 schrieb:Wenn es ein Täter war, gibt es unzählige Möglichkeiten, wieso gerade diese Zeiträume.

Das würde mich eben interessieren wie gerade dieses knappe Zeitfenster dann viermal hintereinander zustandekommen soll - welche Annahmen und Bedingungen sind dafür notwendig?