Quan investiguem què ha passat en un equip, el navegador web sol ser el gran testimoni silenciós. Firefox, amb el seu sistema de perfils i el seu ús intensiu de bases de dades SQLite , és especialment interessant en informàtica forense: permet reconstruir sessions, rastrejar activitat web, recuperar historials aparentment perduts i fins i tot rescatar perfils que el propi navegador “ha oblidat” després d'un reset o una fallada.
Lluny de limitar-se a mirar l'historial, l'anàlisi forense del Firefox exigeix entendre com emmagatzema, esborra i reconstrueix informació , com organitza els perfils d'usuari i quins artefactes es poden extreure després d'un incident. En aquest article veurem, amb força detall, les tècniques i les bones pràctiques per recuperar sessions i perfils, tant des del punt de vista forense com des de la perspectiva d'un usuari avançat que vol rescatar les seves dades.
Per què el navegador (i Firefox en particular) és clau en forense
En gairebé qualsevol cas d'anàlisi digital, gran part de l'activitat de l'usuari passa pel navegador : cerques, xarxes socials, banca en línia, correu web, compres, descàrregues, accessos a panells d'administració, etc. Cadascuna d'aquestes accions deixa rastre en forma d'artefactes: historial, memòria cau, galetes, bases de dades locals, fitxers temporals o registres de descàrregues.
A Firefox, aquests artefactes ajuden a respondre no només al “què es va fer”, sinó també al “quan”, “des de quin perfil” i “amb quin compte o sessió activa” . Hi entren en joc les marques de temps (timestamps) i la correlació entre diferents fonts d'evidència: fitxers de perfil, bases SQLite, registres de descàrregues o fins i tot còpies de seguretat de perfils.
Un punt que sol sorprendre molts usuaris és que, tot i utilitzar navegació privada, durant la sessió se segueixen generant dades en memòria cau, cookies temporals i arxius en disc . Tot i que en tancar la finestra privada Firefox esborra aquesta informació de forma lògica, el contingut pot quedar en sectors no sobrescrits del disc o en memòria/paginació, recuperable amb tècniques forenses avançades.
Per tot això, a la pràctica professional de la informàtica forense, la correcta preservació de la carpeta de perfil del Firefox és prioritària : cal treballar sempre amb còpies forenses (imatges o duplicats) i evitar obrir el navegador de forma normal sobre l'evidència original, per no alterar els artefactes.
Estructura forense del perfil de Firefox i artefactes clau
El Firefox organitza totes les dades d'usuari dins d'un o més perfils. Un perfil no és més que una carpeta de sistema on s'emmagatzemen configuracions, historial, contrasenyes, sessions i extensions . Des del punt de vista forense, aquesta carpeta és or pur perquè permet reconstruir l'activitat de l'usuari amb molta precisió.
En sistemes Windows, la ruta típica de perfils és %APPDATA%\Mozilla\Firefox\Profiles\ , mentre que a Linux es troba a Home/<usuari>/.config/mozilla/firefox . Dins d'aquestes rutes veurem diverses carpetes amb noms de tipus abcd1234.default o xyz7890.default-release , que representen diferents perfils associats a aquest usuari.
A cada carpeta de perfil trobarem, entre d'altres, una sèrie d'arxius i bases de dades que interessen especialment en anàlisis forenses:
- llocs. sqlite: recull l'historial de navegació i els marcadors. És una de les peces centrals, ja que combina URLs, títols, timestamps i relacions entre visites.
- cookies.sqlite: emmagatzema les galetes, claus per rastrejar sessions actives, autenticacions web i preferències d'usuari.
- formhistory.sqlite: conté entrades d'autocompletat i formularis, útils per recuperar termes cercats o dades escrites en camps web.
- permissions.sqlite: registra permisos concedits a llocs (per exemple, accés a càmera o notificacions), cosa que ajuda a contextualitzar l'ús de certs serveis.
- webappsstore.sqlite: desa dades d'emmagatzematge local d'aplicacions web (localStorage), que pot incloure identificadors de sessió o configuracions de serveis en línia.
A més de les bases SQLite, la carpeta de perfil inclou fitxers com prefs.js (preferències de l'usuari i paràmetres interns) , extensions instal·lades, temes, fitxers de sessió i diferents subdirectoris ( storage , cache , bookmarkbackups , etc.) que poden complementar la línia temporal d'activitat.
Des de l'òptica forense, dominar l'ús d'eines per llegir i consultar bases SQLite sense corrompre-les (per exemple, SQLiteStudio o altres visors) esdevé imprescindible: permeten llançar consultes avançades sobre historials, galetes i formularis per reconstruir la navegació amb gran detall.
Tècniques de recuperació forense de sessions i pestanyes a navegadors
Molts navegadors implementen mecanismes de “recuperació de pestanyes” quan es tanquen de forma brusca, ja sigui per un penjoll, un tall de llum o un reinici del sistema. Aquests sistemes solen guardar temporalment informació sobre les pestanyes obertes, finestres i sessions actives , cosa que per a l'analista forense és una font excel·lent de context.
Tot i que l'exemple clàssic històric és Internet Explorer, amb els seus arxius index.dat i directoris específics per a recuperació de pestanyes, Firefox també manté estructures de sessió a la carpeta de perfil. Aquests fitxers poden revelar quines pestanyes estaven obertes just abans d'un error , quins llocs estaven en ús i quins comptes podien estar autenticats.
En analitzar aquestes estructures de sessió juntament amb l'historial de navegació i la memòria cau , es poden demostrar fets com que una pàgina es va visualitzar realment al dispositiu, que existia una sessió activa en determinat servei o que l'usuari va intentar recuperar un compte o fer una operació concreta just abans de l'incident.
En termes de metodologia, les sessions recuperables no s'han de veure de manera aïllada: és important correlacionar-les amb marques de temps de descàrregues, logs de sistema, correus i qualsevol altre artefacte . Només així es construeix una narrativa sòlida i defensable davant d'un judici o una auditoria.
Gestió, còpia de seguretat i restauració de perfils del Firefox
Més enllà de l'anàlisi forense pura, és molt habitual haver de recolzar i restaurar perfils de Firefox per evitar pèrdues de dades després d'una fallada, una reinstal·lació o un reset del navegador. Aquesta operativa, que qualsevol usuari avançat pot fer, també serveix com a tècnica de preservació d'evidència en entorns de peritatge.
Una manera senzilla de localitzar la carpeta de perfil des de la pròpia interfície és obrir Firefox, anar al menú principal, entrar a “Ajuda” i després a “Més informació per solucionar problemes” (equivalent a la pàgina interna about:support ). En aquesta pàgina apareix una línia anomenada “Carpeta del perfil” amb un botó “Obrir carpeta” que porta directament al directori del perfil.
Un cop a la carpeta adequada, crear una còpia de seguretat manual és tan simple com seleccionar tot el contingut i copiar-lo a una altra ubicació : un disc extern, una memòria USB o una carpeta de seguretat interna. Això sí, convé tancar completament Firefox abans de copiar per evitar fitxers bloquejats o incoherències.
Per restaurar aquesta còpia al mateix equip, només cal tancar Firefox, anar de nou a la ruta de la carpeta del perfil original i enganxar els elements recolzats sobreescrivint els existents . El sistema mostrarà un avís de reemplaçament de fitxers que cal acceptar. En tornar a obrir Firefox, el navegador carregarà el perfil restaurat, amb historial, sessions (en la mesura del possible), contrasenyes, extensions i preferències tal com estaven.
Quan volem moure un perfil a una altra màquina oa una instal·lació nova del Firefox, la cosa canvia lleugerament: si el nom de la carpeta de perfil ja no coincideix , convé recolzar-se al gestor de perfils. Des del Firefox obert podeu accedir-hi escrivint about:profiles a la barra d'adreces; si el Firefox està tancat, també es pot llançar amb l'ordre firefox.exe -p a Windows.
En aquest gestor de perfils es crea un perfil nou i, una vegada generat, es copia la còpia de seguretat dins la carpeta del perfil nou . En iniciar Firefox usant aquest perfil, l'usuari recuperarà tota la seva informació com si mai no hagués canviat de màquina. Per a un ús encara més fi, podeu editar el perfil perquè apunti directament a una carpeta amb un nom concret, adaptant-lo a una estructura d'evidències oa una política interna de l'organització.
Recuperació forense de perfils “perduts” després d'un reseteig del Firefox
Ocasionalment, després d'un bloqueig, una actualització problemàtica, o per un segrestador de navegador , o d'alternar entre versions (per exemple, estable i beta), Firefox pot arrencar amb un perfil nou i fer la impressió que tot s'ha perdut : marcadors desapareguts, historial buit, extensions absents de… En realitat, en la navegador ha deixat de referenciar-los.
L'estratègia bàsica per recuperar-los combina dues accions: identificar els perfils que Firefox està usant actualment i localitzar les carpetes de perfil antigues al sistema de fitxers . El primer pas se sol fer des de about:profiles , on es llisten els perfils actius i les seves rutes. Convé anotar els noms dels perfils actuals, per exemple, 4jwpkg44.default-release o bjk4rx6v.default.
A continuació, al sistema operatiu es navega a la ruta general de perfils (com ara \AppData\Roaming\Mozilla\Firefox\Profils al Windows) i es revisen totes les carpetes existents. Entre elles estaran tant els perfils nous com els antics . Per distingir quins són els vells i quin usàvem abans del reseteig, es pot mirar la mida de cada carpeta (les més grans solen ser les més usades) o inspeccionar subcarpetes com a storage\default per reconèixer llocs familiars de l'historial.
També és important fixar-se en la “segona part” del nom de la carpeta: les terminacions solen ser “.default” o “.default-release” . Per evitar embolics, cal aparellar un perfil antic “.default” amb un actual “.default”, i el mateix amb “.default-release”. Un cop identificat quina carpeta correspon al perfil antic desitjat, es copien tots els fitxers i s'enganxen a la carpeta del perfil actual anotat, substituint el contingut.
Si la persona tenia diversos perfils antics, el procés es pot repetir per a cadascú. Un dels efectes secundaris d'aquest mètode és que el selector de perfils de la interfície (el botó al costat de la barra d'adreces) pot quedar desajustat , mostrant un nom buit o deixant de respondre, perquè internament Firefox segueix apuntant a rutes anteriors.
Fins i tot en aquest escenari poc estètic, les dades s'hauran recuperat: el Firefox tornarà a carregar historial, sessions, marcadors i configuració com abans del reset. Per canviar de perfil de manera manual sempre queda l'opció de tornar a utilitzar la pàgina about:profiles , que permet iniciar qualsevol perfil llistat encara que el selector visual no funcioni correctament.
Ajustament avançat de perfils mitjançant SQLite i fitxers de configuració
Quan es necessita una reparació més “fina” del sistema de perfils, o el selector intern ha de quedar plenament operatiu, pot ser necessari editar la base de dades SQLite que emmagatzema la relació entre perfils i rutes . Aquesta informació es desa en fitxers .sqlite dins de la carpeta Profile Groups.
Al Windows, la ruta típica és \AppData\Roaming\Mozilla\Firefox\Profile Groups , mentre que a Linux se situa a Home/<usuari>/.config/mozilla/firefox/Profile Groups . En aquest directori hi sol haver un o diversos fitxers .sqlite, sovint amb noms com ca96babb.sqlite o similars. Aquests fitxers contenen una taula anomenada “profils” amb una columna “path” que indica la carpeta associada a cada perfil.
Per identificar quin fitxer de grups de perfils és el rellevant, es pot pujar a un visor online de SQLite o obrir-lo amb un editor com SQLiteStudio i revisar el contingut de la taula “profils”. Cercant rutes que coincideixin amb les carpetes de perfil antigues o actuals es pot detectar quina base de dades cal modificar.
Després de fer una còpia de seguretat del .sqlite (imprescindible abans de tocar res), s'edita la columna “path” dels registres necessaris, canviant referències del tipus Profiles\ a Profiles\ . Es desa el fitxer i després es reemplaça l'original per aquesta versió modificada a la carpeta Profile Groups . D'aquesta manera, Firefox torna a associar correctament els perfils a les vostres noves rutes i el selector de perfils recupera la seva funcionalitat normal.
Hi ha mètodes alternatius proposats per usuaris avançats per evitar editar directament la base de dades. Un d'ells consisteix a utilitzar l'opció de sincronització del Firefox després d'intercanviar els fitxers de perfil , de manera que el mateix mecanisme de Sync “reajusta” la informació i el selector torni a funcionar, sense entrar a modificar SQLite a mà.
Un altre enfocament és editar el fitxer prefs.js dins de cada carpeta de perfil. Obrint-lo amb un editor de text i cercant l'entrada «toolkit.profiles.storeID» , es pot ajustar el valor perquè coincideixi amb el nom del fitxer .sqlite de grups de perfils (per exemple, passar a alguna cosa com («toolkit.profiles.storeID», «7d97d1ff») ). Aquesta maniobra alinea el perfil amb el magatzem corresponent i ajuda que el Firefox reconegui correctament l'estructura.
Finalment, també s'han descrit mètodes alternatius a la comunitat per a casos on els anteriors no funcionen, combinant edició de rutes, creació de perfils nous des de about:profils i reassignació manual de carpetes. Des del punt de vista forense, l'essencial és treballar sempre sobre còpies , documentar cada canvi i conservar intacta l'evidència original.
Còpia de seguretat automatitzada de perfils de Firefox amb eines externes
Recolzar a mà la carpeta de perfil està bé per a una emergència, però en molts entorns convé tenir còpies de seguretat periòdiques i automatitzades . Aquí entren en joc eines de tercers dissenyades específicament per manejar perfils de navegadors o per fer sincronitzacions programades.
Una de les utilitats clàssiques és MozBackup , una aplicació independent pensada originalment per fer còpies de seguretat i restaurar perfils de productes Mozilla, inclòs Firefox. El seu gran avantatge és que ofereix un assistent força senzill: se selecciona el perfil, es tria quins components donar suport (marcadors, historial, contrasenyes, extensions, etc.) i es genera un fitxer de còpia de seguretat que després es pot restaurar a la mateixa màquina o en una altra.
No obstant això, cal tenir present que MozBackup ja no es troba activament desenvolupat . Hi ha problemes coneguts i el seu equip tècnic va declarar al seu moment que no disposava de recursos per seguir corregint-los i afegint-hi funcions. Per tant, el seu ús s'ha de fer sota responsabilitat de l'usuari o de l'analista, verificant sempre que la còpia s'ha generat i restaurat correctament.
Una altra opció popular va ser l' extensió Firefox Environment Backup Extension (FEBE) , un complement del propi navegador pensat per crear còpies de seguretat completes de l'entorn: contrasenyes guardades, preferències, cookies, historial, temes, extensions instal·lades i fins i tot fitxers aliens a Firefox si l'usuari ho desitja.
FEBE permet programar còpies de seguretat automatitzades (diàries, setmanals o mensuals) i, a les seves versions més avançades, pujar els fitxers de suport a serveis com Box.net. Com en qualsevol extensió, hi ha el risc de manca de compatibilitat amb futures versions de Firefox o que el manteniment de l'addon decaigui, per la qual cosa convé revisar sempre quina versió s'està usant i si continua activa.
Més enllà d'eines específiques de Mozilla, també es poden fer servir programes de sincronització genèrics com SyncBackFree . Aquesta solució permet definir perfils de còpia i restauració per a directoris concrets, com ara la carpeta de perfil de Firefox, i automatitzar la tasca. No porta publicitat ni codi maliciós (malware), i la seva versió gratuïta és suficient en molts escenaris d'usuari domèstic o petites organitzacions.
Això sí, SyncBackFree no és compatible amb versions de Windows Server; en aquests entorns caldria recórrer a edicions superiors com ara SyncBackSE o SyncBackPro. Per a un ús forense, el seu avantatge és que facilita la creació de còpies freqüents sense que l'usuari s'hagi d'acordar de fer-ho a mà , minimitzant el risc de perdre informació crítica entre un incident i la còpia següent.
El paper dels navegadors i el correu electrònic en investigacions digitals
Tot i que el focus aquí és al Firefox, és útil entendre'l com a part d'un ecosistema més ampli d'evidències. Altres navegadors com Chrome o els basats en Chromium també usen bases SQLite i artefactes similars per a historial i cookies, cosa que permet aplicar metodologies anàlogues en la seva anàlisi.
Chrome, per exemple, desa l'historial i les galetes en bases de dades compatibles amb visors SQLite, i la seva anàlisi de memòria cau pot demostrar que un contingut es va carregar efectivament al dispositiu. Interpretar les galetes i l'historial en conjunt permet vincular accions amb un usuari i un moment concret , igual que al Firefox, ampliant el context de la investigació més enllà d'un únic navegador.
En paral·lel, els correus electrònics solen estar estretament vinculats amb incidents de seguretat : phishing, suplantació d'identitat, frau, fugides internes d'informació, etc. La metadata (encapçalaments complets, rutes de trànsit, servidors intermedis, dates i zones horàries) permet verificar l'origen aproximat d'un missatge, l'autenticitat del remitent i la tecnologia del client de correu.
Correlacionant aquestes dades amb l'activitat del navegador (per exemple, un enllaç de phishing premut des d'un compte concret, o una sessió de banca en línia iniciada després de rebre un correu sospitós), es poden reconstruir cadenes d'esdeveniments molt precises . La clau és abordar l'anàlisi amb una visió de conjunt, integrant artefactes de navegació, correus, registres del sistema operatiu i qualsevol altra font disponible.
En definitiva, l'anàlisi forense de navegadors com el Firefox no és simplement revisar una llista d'URLs . Implica conèixer a fons com s'emmagatzemen, modifiquen i esborren les dades; com es gestionen els perfils, les sessions, les bases SQLite i les còpies de seguretat; i com s'integren aquestes peces en una rigorosa metodologia de preservació, extracció, anàlisi, correlació i presentació de resultats.
Tot el que fem a la web deixa empremta, i el Firefox concentra una part molt important d'aquesta informació. Saber localitzar, protegir i, arribat el cas, recuperar forensement les sessions i perfils del navegador marca la diferència entre una investigació coixa i una anàlisi sòlida, replicable i defensable, tant per a professionals de la ciberseguretat com per a usuaris avançats que volen tenir les seves dades sempre fora de perill.
