Lena Wesström anmäld försvunnen (2018-05-15) hittad död (2018-05-19)

Så återföreningen började med att älskarinnan försvann, två polisförhör, sova i bilen vid Arlanda, avslöja otroheten, ej bli insläppta i USA, husrannsakan och beslag.

Så bra det gick då med hans planer. Och sen båda häktade och hela privatlivet utfläkt. Nån stor strateg är han inte denne man...

Jag misstänker att SD är hal som en ål, både mot HD och förhörsledarna. Han ljuger till HD; vill framstå som att han knappt bryr sig om när han hade kontakt med Lena, det för att han raderar fortlöpande. Naturligtvis vet han när han hade kontakt med Lena.

Jag tänker att SD inte vill att varken HD eller utredningen ska veta om hans kärleksrelation till Lena. Det han vill är att det ska verka som att de har ett avspänt kompisförhållande. Inget motiv där alltså. Det verkar ju som att han raderar redan under första förhöret, strax efter att han har visat sin mobil till YE. I det här läget tror jag att han tänker att han ska hinna till USA, och att han ska komma undan. Att han hoppas att inget kommer att komma fram, varken relation eller mord.

Att SD kommer till fel ställe på polisstationen, kan vara taktik, att få tillfälle att radera. Han samarbetar som vilken oskyldig som helst, kan komma på minuten och att han blir sen är deras fel.

A145/297
PM YE (polis)om 15 maj kl 14:56, vittnesför SD
"Stefan visade självmant upp sin mobiltelefon för mig, och visade kontakterna han hade haft
med Lena den 14 maj. De hade mycket sms kontakt på morgonen, men inte så mycket under
dagen, utan jag tror att sms:en började vid 20-tiden igen. Den sista SMS-kontakten mellan
dem var kl. 23.01."
A145/148
2018-05-15 17:20:27 Polisen - YE ringer till SD (förhör)
2018-05-15 17:22:50 Davidsson, Stefan, AA 0 H*anna ICE Facetime
A 149/128 Förhör H*anna
"F I : Va är nästa kontakt med Stefan då?
H: Det är när han ringer till mig och säger att han ... att ni hade hört av er och att han skulle
åka hit. "
A145/298 Förhör YE
"Jag fick beslut om hämtning till förhör av kå. MB kl.16.54. Direktiv var bland annat att
ta telefon och dator i beslag."
//
"Jag ringde upp honom på det telefonnummer som han angivet tidigare."
//
"Stefan sa att han kunde komma kl. 17.37. Jag tror inte att jag bad honom att ta med sin
mobiltelefon. AG och jag väntade i receptionen. Receptionen var fortfarande
öppen, och det korn och gick mycket folk. När han inte dök upp på angiven tid så började jag
tänka till. Jag tittade ut, och såg då honom stå utanför den ingång/utgång som jag tidigare
släppte ut honom i, alltså i hörnet av Polishuset vid Järnvägsgatan. A och jag gick och
mötte honom och jag bad om ursäkt om jag angett fel plats. Klockan var då någonstans runt
17.45.
//
Han fick lämna ifrån sig sin mobiltelefon direkt vi kom in i förhörsrummet.
Telefonen togs i beslag kl. 17.49. Jag upplevde att hans telefon såg ut som den han visade
sms:en mellan honom och Lena på tidigare. Jag kan naturligtvis inte garantera att det var
samma telefon."
A145/151
2018--05-15 17:41:13 Bilder fotograferade utanför Polishuset
2018--05-15 17:45:21 HD till SD "Messa när du är klar"
2018--05-15 17:45:41 HD till SD "När pratade du med henne sist"
2018--05-15 17:46:20 SD till HD "Kort igår eller förrgår. Raderar löpande,
Skriver alltid vid Ftf "
A149/130
Förhör HD
"Fl: Varför raderar han löpande?
H: Ingen aning"
A147/3
Förhör 2 med SD
2018-05-15 17:50 till 18:20
A147/153
Förhör SD 29 maj
"PS: Och hur, ja vadå, det skrivs över, utveckla det, vad menar du då att om man skriver nån
nytt, då, då raderar man något gammalt? Är det så du menar?
MT: Ja så var det ju förr i tiden ...
PS: Ja.
MT: Tid, och ofta behövde man då på hårddisken man skriver över, kanske tio gånger för det
skulle döljas helt...
//
JR: Maj här mellan 17:41, 13 17 46 ...
PS: Ja.
JR: 57, så har du raderat bort eller tryckt bilder 937 stycken ...
//
MT: Jag hade inget uppsåt, inget syfte, jag vet inte om jag har stått och pillat på telefonen och
bara hållit den intryckt eller, ingen som helst aning, skulle jag försöka och vara lite effektiv
och skriva över nånting av nån anledning, då skulle jag nog filma istället, för det tror jag
fyller mycket fortare, ehh så, nej.
PS: Men det där är ju udda och så ovanligt så det där måste man ju, det där måste du ju
komma ihåg.
MT: Två, två gånger har jag lyckats äh, äh på sista, året lyckats radera alla bilder ur telefonen
av misstag ehh, jag kanske är slarvig, du får kalla mej vad du vill, jag har ingen aning varför
jag har, tryckt, jag har definitivt inte, det kan jag svära på, stått och tryckt 900 äh antal gånger.
PS: Nej det kanske är rent praktiskt, det behöver man inte ha nån ordexercise om, men det är
ju taget 93 7 bilder. Och det verkar ju inte vara som som att det är att det ligger nånstans och
trycker i nån väska eller nånting utan, det, det är ju ute, du måste ju stå, du står ju med
mobilen i .. .
MT: Ja det .. .
//
PS: Inte vara något misstag allesom, du står där och bara, och du inte märker att det bara, tas
937 bilder, eller?
MT: Jag hade ingen aning om det före (låter full i skratt) jag korn hit, och det är jättelätt och
ta många bilder med en telefon. "
s 641
"FL 1: Näe .. för Hanna skriver sen då direkt efter det och frågade när prata du med henne sist?
17:45:41 då svarar du kort igår eller i förrgår. Raderar löpande, skriver alltid ettftf
17:46:20 skickar du det.
MT: Mm.
FLl: Sen skrev du ... tas trettio bilder, trettio bilder, trettio bilder, trettio bilder.. sen får du
från FH igen "jo det såklart tänkte mest att jag kunde avlasta honom dom
dummaste frågorna utifall du redan ställt dom och hade koll på läget" och så trycker du på
knappen igen, trettio bilder, trettio bilder och sen en film .. på fyrtioen sekunder sen skriver
F till dig igen "är det inte lite ovanligt att hon inte varit på facebook på morgonen?"
17:47:50. Men Stefan hur gick det till vid det här tillfället?
MT: Det enda jag vet.. jag stod där utanför och var frustrerad för att jag inte fick komma in ..
hade ju sagt att jag hade ett kmttidsfönster kom överens med nån i telefon. Kan det varit ni?
Nej?
FLI: Nej.
MT: Nej .. var en kvinna i alla fall. Eh .. och hon sa att jag skulle komma vi sa en väldigt
exakt tid för jag vet hur lång tid det tar och cykla ner .. eh ... och så blir jag inte insläppt så jag
ve .. det enda jag vet är att jag står där och är frustrerad .. för någon lymmel där inne inte
släpper in mig .."

Inlägg Letsdoit:

"Redan under det första förhöret 15 maj kl. 14:56 - 15:28 (A147, s. 1) raderade MGM div. bilder:

15:10:13 t.o.m. 15:10:24: Av följande 11 Telegram-bilder (mottagna 13 resp. 14 maj) har (vid en
snabb överblick) 8 kunnat visas vara kopplade till en 11-12 sek lång aktivitet i MGM:s telefon (markerade r).- Det ser alltså ut som att bilderna har raderats under pågående förhör och sedan (delar av?) MGM:s Telegramchatt kunnat återskapas. (A164, s. 1215ff): https://www.flashback.org/p73677264#p73677264

De två proverna GS fick blodreagens på från handfatet och dess avlopp (5702/2338-18 S001-2) kanske är värt att undersöka igen och då anlita Maja Sidst*edt https://www.dagensarena.se/innehall/...sa-fler-brott/
Under förutsättning att proverna sparats förstås.

Om man tar fler bitar från Lenas gröna tröja och undersöker kanske man får fler träffar på SD ifall han spillt blod från rivsåret på benet och/eller sperma.

Undersökningar på de stolpskor som finns under SD:s utbyggnaden till SPA-badet som färdigställdes under hösten -18. I i FUP Aktbilaga 157 Del B pdf sidor 29-31 ses att utbyggnaden inte fanns vid tiden för mordet.

Har SD lagt plattor just där han sådde/gödslade gräset nära kaninburarna? Var det där han eventuellt sköljde av sig och sin cykel? Det finns ett vattenuttag på den del av huset som vetter mot grannen Karolin* adress 14 A. Har väder och tid tagit bort alla spår eller kan det vara idé att låta forskaren Johann*s H*dman undersöka jorden? https://www.lum.lu.se/ny-metod-sparar-dna-i-jord/

När köpte SD Telia kontantkortet för samtal och surf? Använde han en mobil som förstördes direkt efter mordet? Kan Telia ta fram det mobilnummer som är kopplat till numret på dokumentet som fanns i hans sopor? www.bildtagg.se/bild/bnkmoiziipnx9u0brke25hu6

Hur många fler mobiler hade SD och finns det mobilgömmor man missat?
En plats han lagt mobil på är bl a under sängen där man fann en Samsung 6 den 28/8 -19.
www.bildtagg.se/bild/84sg2am1nkd2tujn19nnbmf

"Fångade" man information från alla de 5 st beslagtagna datorer som hämtades hos SD den 15 maj?
I FUP ses att ett USB dockas i den synkade enheten EFTER första förhöret OCH EFTER han släpptes från anhållandet. Det innebär att det finns en enhet som inte beslagtogs. Var fanns den? I skogen?

SD hade flera Googlekonton till olika syften. Han är känd för att vara uppkopplad 24/7 och har med sig minst en laptop (med inplastad skärm) överallt. Tidslinjer kan regisseras och konstrueras efter behag. Passar bra när man vill visa att man varit hemma (eller besökt en cache) när man i praktiken befunnit sig på en helt annan plats.

SD handlade ett Telenor kontantkort i Marieberg kl 15.55 den eftermiddag som Lena hittades. Köpte han det till HD som fick lämna sin mobil till polisen i samband med sitt förhör?
Varför sa SD att han var i Folketorp den dagen och utan mobil när han fick låna en av svärmor BA redan på tisdagskvällen? Hur chattade han då med en mängd människor och berättade bl a att han var den misstänkte?

När nyheten kom ut att en kropp hade hittats, är det naturligt att anta det var Lena, men hur kunde SD i förhör veta att Lena låg precis vid hålet på mordplatsen? En information som endast utredarna eller mördaren kunnat känna till. SD påstår sig ha sett flygfoton, men inga foton visade exakt var kroppen hittades.

Varför har SD, HD och SOA så svårt att redogöra för hur och när de fick veta att Lena hittats.

Misstänkt att HD hade raderat chatter för just datumen 14-16 maj i sin mobil. Visste hon exakt vad som hänt även fast SD säger att bara han kan veta om han är mördaren?

Varför raderade JG i sin mobil när han gick på toaletten hos polisen?
Av vem fick han senare under dagen veta att Lena hittats vid planket? Hur tänkte han när han lade ut ett allmänt Facebook R I P-inlägg med bild på sig och Lena redan kl 19.02? Han kan inte ha vetat om alla Lenas anhöriga var underrättade då och ett väldigt skenheligt beteende eftersom han hade valt bort Lena som vän när otroheten med SD uppdagades av HD.

Varför smög JG i mörker i SD:s hus kvällen innan storstädningen skedde? Undanhåller han något om uppdraget han hade? Varför hade JG ångest i augusti -19? Är det för att han undanhåller information som borde berättats? Kommer han komma på saker i efterhand precis som HD:s manliga vän JS gjorde?

-------------

Husrannsakan Protokoll Aktbilaga 155
https://www.docdroid.net/f7Tqxid/b27...ag-pdf#page=19

Teknisk undersökning Fyndplatsen, Lena, kläder m m ses Aktbilaga 157 Del A
https://www.docdroid.net/dod3t2f/b27...223-pdf#page=8

Teknisk Undersökning Aktbilaga 157 Del B
https://www.docdroid.net/AkRnRN8/b27...3-pdf#page=275

En del IT med tidslinjer finns i Huvudprotokollet Aktbilaga 145 https://docdro.id/I3wHrGp

Övrigt om IT återfinns i
Aktbilaga 163 Del A (saknar denna bilaga)

Aktbilaga 163 SD Del B
https://docdro.id/WBKRyQI

Aktbilaga 164 LW Del A
https://docdro.id/HHZ1YB2

Aktbilaga 164 LW Del B
https://docdro.id/WnzyS8h

Aktbilaga 164 LW Del C
https://docdro.id/2NKdwTH

Aktbilaga 167 Förhör SD samt diverse IT bl a
https://docdro.id/QCL4Kjs



----

Länk till ett tidigare inlägg fyllt med länkar om fallet
www.flashback.org/sp73572601

Som jag minns det är det så de berättar själva i förhör.
Nog tror jag att SD märkte när han blev kallas andra gången hur illa det var ställt. Han misstänkt för människorov, anhållen, men släppt. Lämna ifrån sig sina enheter. Så visst fattade han att HD skulle förhöras och allt halas fram.
Men jag misstänker att han trodde länge att han skulle kunna dölja sin affär.

På något sätt är han smart, men på ett annat väldigt oskäligt optimistisk och risktagande.
Jag tror att han kört med dubbla kort så länge, lyckats slira på sanningen så många gånger och blivit trodd(kommit undan, att det är sådan han blivit.

Själv skulle man darra i skräck över att bli påkommen med allt från mordet till ja, jag vet inte vad. Antagligen skulle man se ut som ett spöke, blek, kallsvettig, darrig, sömnlös, inte kunna äta, inte kunna verka normal, stirrig blick...Man skulle väl erkänna allt för allt annat skulle vara otänkbart. Fast först av allt, så hade man ju inte valt mord som lösning på det hela.

Hon är mindre begåvad och benådad, inte i tillstånd att åklaga för något ?

Det är dags för nedräkning nu. Dec-jan-febr-mars. Det ser ser ut som fyra månader, men det är nog mindre än så. Nån som plockat upp vilket datum som HR startar upp målet?

Det du tidigare framfört gällande citat: "Svara, svara, svara ... slut citat / ... det sättet jag ingen vikt vid alls.

Vad jag tidigare ville framföra var, att en brottsling ( mördare ) kan lämna språkliga spår efter sig i samtal, per brev, från en dator samt via SMS och MMS.

Vad jag då i första hand tänkte på var det som sagts den 22/6 2017 enligt citat: "Jag vet inte vem jag skall ta först, dig eller barnen. Det kommer att göra ont att se blodet på AW, det slipper du om jag tar dig först.

Sedan vidare, reagerar jag på orden enligt citat: "Tänker igen nu, att det bästa vore om du dog i natt" ... slut citat / ... detta blev sagt den 13/8 2017.

Vad jag reagerar på enligt den 13/8 2017 är citat: "TÄNKER IGEN NU" ... slut citat / ... det vill säga, att önskan, om att det vore ! ... bäst om du [ LW ] dog i natt, var inte en förstagångstanke.

När man tar till sig ord och meningar som riktats mot LW från SD:s sida, hans tankar och känslor enligt den 22/6 2017 så som den 13/8 2017 och jämför detta med annat som tidigare kommit från SD mot LW, kan man mycket väl tyda att, det ligger, i hans ord.

Vad som är väldigt intressant i detta fallet är det telegrammet från SD till LW den 15 Maj 2018 klockan 00:03:14 enligt citat: "Avslutar strax" ... slut citat /

Hjalm*r Bergm*ns väg 54 klockan 00:07:47.
Tisdagen den 15 Maj 2018.

Klockan 00:23:07 SD svarar på några mail i sin mobila enhet. 15 Maj 2018.

Klockan 00:29:36 Från SD till LW enligt citat: "Hepp, du kom inte in mer. Sov gott hörs i morrn" ... slut citat / 15 Maj 2018.

Klockan 01:13:12 SD:s mobila enhet registreras på en märklig plats.
15 Maj 2018.

Enligt klockan 01:41:37 då LW:s mobila enhet antingen stängdes av med hjälp av en person, eller, att LW:s mobila enhet förlorat hela sin batterikapacitet. 15 Maj 2018.

Enligt klockan 05:23:46 då någon loggade in på LW:s dator. 15 Maj 2018.

Enligt klockan 05:51:04 SD skickade ett telegram till LW enligt citat: "Morrn, vad händer, somnade ifrån igår. 15 Maj 2018.

Klockan 00:29:36 samt klockan 05:51:04 villospår eller inte ?

Tack för utdragen!
Att LW skickar vid FTF och nåt kompismeddelande då och då måste han ju ha vetat att de skulle genomskåda. Hon hade kunnat fota av skärmen osv, vilket hon också gjorde. Men klart har han kommit på den idiotiska idén att mörda någon så kan ju annat runt om varit rätt så idiotiskt och ologiskt också. Nog att vara hal mot andra men sen när saker dubbelkollas så blir det lite knepigare. Nu hade han ju blivit arresterad av polis i USA på hotellet så tro att han skulle kunna ligga lågt där några dar/veckor är ju också vansinnigt.

Finns en logisk konflikt mellan dådet och livet som han förväntade att det skulle bli efter.

Vissa av de här delarna får en ju att tänka att någon annan var lite mer arg på LW än SD med ett helt annat motiv och helt andra förutsättningar inför brottets upptäckt och utredning. Det är lättare att komma undan när man inte riskerar att bli huvudmisstänkt nr 1 menar jag.

Polisen borde ha kollat i datorernas event loggar. Kanske särskilt i den s k Security log. Jag har kikat en hel del senaste dagarna på hur såna kan analyseras med olika program för att veta vad som pågått i maskinerna. Saknar helt sånt i utredningen. SD kan ha tömt dessa loggar alt att de raderas enligt schema men där känner jag de missat.

Finns också möjlighet att kika i tidigare backup av datorerna. Alltså återskapa en tidigare version av datorn från s k restore points som då kan vara hur datorn såg ut säg dagen för mordet jämfört med den version som blivit beslagtagen.

Likaså med mobiltelefoner. Ser ingenstans att man återskapat äldre versioner från backup. Detta kräver åtkomst och det kan ha hindrats av främst SD:s lösenord eller radering då. Backupen på LW:s försvunna mobil är ju högintressant när den gjordes senast t.ex även om de kunnat hämta mkt från molnet i utredningen men inte allt.

Håller på med ett litet projekt för att kika närmare på vad som är kopplat till deras Gmail-adresser. Får återkomma så snart jag vet mer. Inget som levererar nåt större bevis såklart men bara för att se om polisen missat nåt mer.

Tillägg: Går även att göra en ”data export” från Telegram. Likt Google Takeout där man exporterar all känd data som är kvar och kopplat till Telegram. Ser inte om detta gjorts i utredningen men kan tänkas att Cellebrite och dessa program gör nåt liknande men syns inte i protokollen spår av sånt tycker jag.
Det görs från Telegram Desktop i datorn. Mer om detta här:

https://telegram.org/blog/export-and-more

Ger inte massor men kunde ha gett nåt kanske.

Om du söker på "svara, svara, svara" i den här tråden, så får du ganska många träffar. Jag förstår att du tycker dom är ovidkommande.

Tänkte jag skulle reda ut ett litet missförstånd som verkar ha levt kvar i tråden länge.

Bakgrund: diskussionen om händelsen 23:34 i SD:s dator. Forensikerna pratar om ”Okänd aktivitet med Google Drive” och det blir rätt så otydligt eller rent av felaktigt i tingsrättsförhören.

MrBarnaby är väl främst den som försökt förklara vad dessa händelser är och jag kom in i elfte timmen och gjorde lite tester.

Några av MrBarnabys inlägg:

(FB) Lena Wesström anmäld försvunnen (2018-05-15) hittad död (2018-05-19)

(FB) Lena Wesström anmäld försvunnen (2018-05-15) hittad död (2018-05-19)

(FB) Lena Wesström anmäld försvunnen (2018-05-15) hittad död (2018-05-19)

Det vad i princip alla missar i kommunikationen i tråden kring dessa händelser är vad termen ”Rebuilt Webpages” är.
Uttrycket har i tråden främst använts för att beskriva att det är SD:s dator som uppdaterar en hemsida, laddar om hemsida/flik eller gör en ”refresh” på en hemsida/flik.

Det är mycket riktigt det som händer i SD:s dator.
”Chrome Cache Records” har med aktiviteten 23:34 att göra då det är cache-minnet som kommunicerar med webbläsaren.

MEN ”Rebuilt Webpages” har INGET med aktiviteterna i SD:s dator att göra.

”Rebuilt Webpages” är ett verktyg i polisens IT-forensiska arsenal.
Verktyget är, skarvigt beskrivet, till för att, från cache i den misstänktes eller annans dator, bygga upp hemsidor av de filer man hittat i webbläsarens cache-minne. Enkelt uttryckt alltså. Det är en del av ett annat program polisen använder.

Läser man lite noga i IT-protokollen så ser man att det står IEF där. Det är polisens verktyg Internet Evidence Finder.



”Rebuilding web pages in IEF is a unique feature which allows investigators to get a better understanding of what the suspect might have viewed when looking at the given website. As with any investigation, the examiner must use caution when analyzing any results, but with the right knowledge and understanding of how these features work, they can use these options to their advantage to complement their investigation and how it is reported to their stakeholders.”


Källa: http://francois.janssens.free.fr/Elexo/Magnet_Forensics/Page4b.htm

Ovan visar lite hur det funkar och mer på sidan 13 här i dokumentet länkat nedan visar hur Rebuilt Webpages arbetar. Ni kan ju fundera på om det hade blivit tydligare i tidslinjen om de visualiserat lite bättre vad som hände 23:34 med Google Cache Records då Chrome webbläsaren är igång osv.

https://www.ncjrs.gov/pdffiles1/nij/nlectc/240180.pdf

För den som vill läsa mer om verktygen polisen använder:


https://www.magnetforensics.com/for-forensic-examiners/

Lite kommentar på allt ovan då. 23:34 är alltså en hemsida. Hemskärmen för Google Docs i webbläsaren Chrome.

Vi ser inte mycket av en tydlig presentation vare sig i IT-protokollen eller i rätten av vad denna aktivitet är 23:34 ändå hade den kunnaat presenterats snyggt och tydligt enligt funktionerna och verktygen beskrivna här.

Det talas heller inte om det i förhör utan endast om att det sker nåt lite konstigt där som kan ha med Google Drive att göra. Sen kan jag förstå att en bild på en hemsida skulle förstärka intrycket av att någon öppnat den ”manuellt” så det skulle skada åklagarens sak men att försvaret inte efterlyst en tydlighet här om det kan ge någon form av alibi.

Kan tilläggas att det inte alltid går att återskapa hemsidan men som ni ser ovan så hade mycket kunnat göras för att presentera 23:34 mycket tydligare, inte minst för rätten.
Påminner om det faktum att IT-forensikern testade att försöka återskapa aktiviteten i SD:s dator. Det gjordes i IT-forensikerns hem helgen innan hans förhör i tingsrätten.

Jag orkar knappt nämna här att det finns verktyg och bättre sätt att visa på exakt vad som hände 00:00:00 i SD:s dator också...

Som komplement till inlägget ovan så kan den som orkar med lite engelska (eller kör en Google Translate) läsa en introduktion till händelseloggar och IT-forensisk analys för att få en uppfattning om de hade kunnat användas bättre forensiskt i den här utredningen:

https://medium.com/@lucideus/introduction-to-event-log-analysis-part-1-windows-forensics-manual-2018-b936a1a35d8a

Tillägg. Del två:

https://medium.com/@lucideus/event-log-analysis-part-2-windows-forensics-manual-2018-75710851e323