Lena Wesström anmäld försvunnen (2018-05-15) hittad död (2018-05-19)

Lite går att hitta. Finns en del att kika på vad som i SD:s tidslinje kallas ”pdf dokument öppnas” 2018-05-15 00:00:00.

Typ av källa är en s k .LNK fil.
Dessa filer är hårdvaluta inom IT-forensiken.

Slarvigt kan man säga att det är en genväg till en fil/dokument. Skapas första gången man öppnar en fil eller om man skapar en genväg själv till t.ex en pdf på skrivbordet. Som man sen då klickar på för att öppna dokumentet via genvägen.

SD:s fil verkar ligga på hårddisken D. D och E brukar vara externa hårddiskar eller avdelade hårddiskar. C heter normalt den vanliga.

LNK filer innehåller en massa metadata, alltså tidsstämplar och sådant. Denna metadata är det intressanta för forensikerna. Finns speciell programvara bara för att analysera såna här filer.

LNK filer går också att redigera (alltså manipulera om man vill) men då ska man ha bra jäkla koll på vad man gör.

Jag har tillgång till huvudprotokollet Akt bil 145 nu äntligen så jag har lite bättre koll på t.ex tidslinjen och IT-relaterat där men skulle vara intressant om det framgår något mer kring händelsen 00:00:00 i SD:s IT-protokoll.

Metadata för en LNK fil kan se ut så här om nån vill hålla utkik i protokollet efter nåt liknande:


Om någon hittar i IT-protokollet någon analys av detta så skicka gärna till mig tack! Men helst hela IT-protokollet såklart.

Kan även tillföra att det är möjligt att göra följande manövrar för att öppna ett sånt här dokument.

Man kan sätta en inställning att datorn ska starta en viss tid från avstängd. I samband med det kan man sätta en inställning att ett visst dokument ska öppnas i datorn när den startar. Detta använder man t.ex om man alltid jobbar i ett och samma Office-dokument om dagarna.

Alltså kan öppnandet av pdf vara pga en sån manöver.

Annars kan datorn ställas in att starta om en viss dag och tid. Det kan också skapa en aktivitet enligt ovan.

Det går också att schemalägga aktiviteter, alltså på förhand göra inställningar, så att t.ex dokument öppnas.

Vore intressant att veta hur djupt de analyserat händelserna i hans tidslinje.

Allt som heter ”Okänd typ av kommunikation med Google Drive” är rent nonsens. Framgår det av it-protokollet vad filerna heter i cachen så går det att identifiera vad det är. Den infon bör finnas i IT-protokollet och vore intressant att kika på.


Sen så vill jag förtydliga vad jag menade igår att jag kunde skicka en position från Varbergagatan där SD hojade till Gustavsvik trots att jag inte ens befinner mig i Örebro.

Den position SD skickade kan ha varit där han befann sig eller så kan man enligt med Telegram skicka vilken position man vill i världen på samma sätt som han gjorde. Nu tror ju jag att han skickade den plats han var på men man ska ha i bakhuvudet att jag kunde skicka samma position trots att jag inte var där. Jag skickade även en position i Telegram från hans hemmaadress. Och även där var jag garanterat inte på plats.

Sen är det ju intressant att han inte kopplar upp på hemmanätverket där på kvällen. Hans mobil pratar med mobilmaster men vore intressant att veta hur datorn kopplar upp mit internet. Kan ju vara delning från mobil men det ska inte vara alternstiv ett normalt ju då hemmanätverket/wifi kopplar upp automatiskt på både dator och mobil.
Skulle man kika historiskt så skulle man nog se att SD:s dator och mobil kopplar upp de flesta gångerna han kommer hem. Nu sker det först mellan 02-03 på natten.

Min tolkning är att han inte är så mycket hemma denna tiden. Han rör sig ute/inne med avstängt wifi och endast mobilt internet hemma. Kanske med en burnermobil/simkort delat internet till datorn.

Verkar finnas mycket material i rapporterna men inte många vettiga analyser. Verkar som det är åklagarna som ska göra de analyserna och då ställa rätt frågor i rätten. Det gick ju så där i tingsrätten...

Tack för påminnelsen.

Det torkade blodet på benen känns otäckt, det eftersom att blod som ligger mellan två ytor som ben inte torkar på bara några minuter.

Mobilen flyttades från fickan i direkta anslutning till mordet.

Kanske gick gm tillbaka till mordplatsen för att ta ringen? Det i samband med att 05.23 inloggningen skedde?

Jag var otydlig med hur blodet på skorna syntes. Det var blodstänk (ej rinnande blod) och blodet är på yttersidan av skon, men på den mediala sidan. Det är alltså inte inne i själva skon som blodet topsades.

Så min tanke är att stänken kommit till när Lena legat med benen utfällda.

Otäckt allt, känns väldigt obehagligt att det finns möjligheter att Lena kan ha levt ända upp till en timme efter mordet, även om skadorna tyder på att hon förmodligen inte var vid medvetande då (förhoppningsvis). Kan det ha varit någon slags ofrivillig spasm/ryckning?

Svårt att spekulera när man inte har obduktionsprotokollet.

En liten reflektion om avsaknaden av "vettiga analyser" är att dessa nog ofta inte publiceras i offentliga förundersökningsprotokoll. Dels vill man kanske inte att den fullständiga arbetsmetodiken kommer ut och ger blivande brottslingar några uppslag, dels vill man inte sprida detaljer som efter kontroll visade sig vara ovidkommande eller rentav vilseledande för läsaren (eller parterna i målet). Däremot är det givetvis åklagarens roll att presentera utredningen på ett rättvisande sätt.

En annan reflektion med tanke på användningen av Telegram är att någon eller några av de inblandade personerna också kan ha länkat Telegram till andra tjänster som Gmail, Instagram, Twitter, Facebook, Google Drive, Google Home eller andra IoT objekt med hjälp av IFTTT (If This Than That, se ifttt.com för mer beskrivningar). För en person med ett antal Gmail konton att bevaka och ett antal speciella händelser som kan behöva hanteras (nya cacher, GeoTouren mm) så kan det ha varit ett lämpligt verktyg att använda, både för att ta in information och för att göra schemalagda eller automatiska åtgärder.

Nu är det tyvärr svårt att få en överblick över den här typen av möjliga kopplingar genom att läsa FUP, utredarna är också av naturliga skäl mer intresserade av att hitta och presentera enskilda meddelanden av betydelse än att kartlägga alla möjliga kommunikationsvägar.

Tyvärr är det ”flashiga” amerikanska program polisen använder och det är stor konkurrens mellan utvecklarna.

De har bloggar och publicerar hela tiden senaste rönen och hur deras produkter, både hårdvara och mjukvara, uppdateras. Nu fick man lite problem med senaste Samsungmobilen men det kommer en uppdatering osv.

Alla gangsters kan köpa en egen leksak. Varför inte testa polisens egen utrustning.
Här presenteras den av utvecklaren.

https://www.cellebrite.com/en/ufed/

Programmet som använts för SD:s mobil:

https://www.cellebrite.com/en/physical-analyzer/

Men men klart de ska behålla mite trix för sig själva men presenteras allt med att åklagaren ska dra ur dem hur Google Drive funkar osv så vete tusan om vissa domare och nämndemän hänger med alltid.

I rapporterna är de inte så fantasifulla:


Sen ska ju materialet presenteras på lika villkor för både tilltalad och målsäganden.
Men det är lite rörigt i tingsrätten när IT kommer på tal i detta fallet. Ingen skugga över forensikerna men teorierna kom nog fram mer i kafferummet än i tingsrättsalen.

De har bättre koll i protokollen än att retoriskt kunna lägga fram vad som kan ha hänt. Och som jag skrev tidigare. Ett test angående 23:34 gjordes helgen innan förhör i förhandlingen hemma hos en av forensikerna. Behöver inte vara nåt fel på det men det är ju några år senare.

Sen är ju vissa rapporter just gällande data och mobiler gjorda typ ett år efter mordet. Finns såkart både vettiga och ovettiga anledningar till det.

Kan skriva en avhandling här varför det inte är så bra att det tog lite för lång tid.

Ja ifttt (.com) kanske flyger över huvudet på SD men lite avsaknaden hur alla apparater kommunicerat saknar jag öndp i rapporterna. Men inte läst allt än. Snart ikapp.

Har polisen haft tillgång till SD:s Google Docs så hade de kunnat installera detta och sen suttit i timmar och kikat i gamla versioner av hans Googe Docs dokument för att se om han raderat något i hans flera hundra dokument.

En Chrome extension som spelar upp hur texten är skriven i ett Google Docs dokument:

http://draftback.com/

Testa. Rätt coolt.

Nu kan polisen inte vara hur kreativa så jag fattar att de får släppa ibland. Med risk för att gärningsmannen varit desto kreativare.

Programmet som använts för till exempel 23.34-händelsen är AXIOM, det är ett kanadensiskt företag som utvecklat den. Först använde jag mig av ett gratisverktyg, senare AXIOM via en utvärderingslicens. Ingen skillnad i analysen av testerna även om resultaten presenteras på lite olika sätt.

Runt 23.34-händelsen finns det nog inga tekniska oklarheter, frågan är bara var datorn befann sig när den (locket) öppnades. Tingsrätten tror att den var hemma åtminstone 00.00, på grund av att det här dokumentet öppnades då.

D:\Relationshandlingar 2017-032\4 Kontrollhandlingar, CE intyg\Kontr.intyg SS-EN 1090-2, 2017-2.pdf

23.34-händelsen tycks de inte riktigt ha förstått vad det var för något.

Jag vet inte om dokumentet har en direkt koppling till ett ärende som avhandlats i mejlväxlingen tidigare men skulle absolut kunna vara en anledning för SD att öppna datorn, till exempel på grund av det inkommande mejlet 23.32.

AB 146

Tack, så rätt: F: "Okej. Vad har mamma på sig då när du lyfter huvet och tittar på mamma?
A: Eh nej då äre väl inte att jag tittar utan då äre mer att jag lyssnar, så. "

Just den 13:e har vi inte exakt tidslinje för. Det finns samtal med JJ, men jag är osäker på om man får klarhet där när hon var ute. Ett samtal är mellan 19:27:50 och 14 minuter framåt (A 158/248), kanske man kan luska ut där hur hon gjorde, för att få fram ett slags "mönster" hur hon kunde göra. Lena kan ju ha varit ute en sen vända för att göra något med cacherna. Hon var ju t ex aktiv med sina cacher ända i det sista, just de opublicerade. Hon hämtade ju loggremsan också den 13:e maj.

Det var ju väldigt varma dagar där i maj- 18. Jag läste någonstans att Lena klagade till någon (JJ?) att det var så varmt inne, typ 1000 grader. Men på kvällarna kan det blivit något kyligare förstås.

Nu blir det dig jag citerar, trots att det varken handlar om fleecen eller det är till mig du svarar.

Jag fastnade lite i As vittnesmål där, och tänkte återigen på låset och dess ljud.

A 146/51

"F: Förklara det, vad det är du hör
A: Nä jag hörde det låsas. För det va ett ljud när man låser upp det inifrån, ett ljud när man
låser det eh från båda hållen, sen äre va heter ett ... Eh men jag hörde aldrig när det öppnas
eller stängas så jag antog att eftersom jag hörde henne innan då hon eh rörde ( ohörbart) så
antog jag att det måste va inifrån eftersom ja då skulle jag ha hört hon när hon stängde. "


Här visar Lena att hon låser trots att hon själv är hemma. A är inte ensam, ändå låser hon.

Jag funderar över att eftersom hon nu låser, kan det vara något hon alltid gör på kvällen, oavsett om hon ska ut eller träffa SD. Eller är det en ritual hon har när hon kvällar sig, borstar tänderna och låser inför läggning, även om det blir senare?

Det skulle kunna vara en grej hon gör för att A ska känna sig trygg. Han hör att hon låser och det är tryggt och lugnt hemma.

Snälla postare:
Har inte varit inne här på ett halvår, vet inte om något nytt har hänt. Omöjligt att kunna läsa ikapp.

Vill veta om fallet är överklagat till HR.

Svårt veta, för samtidigt säger han inget om låsljud när hon lämnar bostaden kl 21:32. Ej heller när hon kommer tillbaka en halvtimme senare. Kan vara så enkelt som att han borstar sina tänder med eltandborsten däruppe vid utgång och kollar i mobilen vid hemkomst.
Han säger å andra sidan att "det va ett ljud när man låser upp det inifrån" så det är något oklart vad han menar. "...jag antog att eftersom jag hörde henne innan då hon eh rörde ( ohörbart)..." Han hörde låsljudet innan hon kom upp och rörde vid honom.

Tänker tvärtom här; hon har för avsikt att vara hemifrån en kortare stund och lägger igen dörren för att slippa störa A som har somnat däruppe. Hör han ljudet av att hon lämnar bostaden, kan han däremot bli orolig. Att hon skulle ha lämnat den på glänt håller jag för osannolikt, troligare är att dörren har glidit upp allteftersom under natten.

Tack för påminnelsen.

Det torkade blodet på benen känns otäckt, det eftersom att blod som ligger mellan två ytor som ben inte torkar på bara några minuter.