Vid tvåfaktorsautentisering med säkerhetskod via sms behövs mobiltelefonen (troligtvis den som "försvann" i LW:s fall).
Säkerhetskod via mail kan skötas på valfri enhet.
I båda fallen krävs dock kännedom om lösenord.
LW hade ett E-post-konto vilket vid det aktuella tillfället var knutet till leverantören One.
LW:s dator, var placerad i hennes kök.
Det är inte fastställt eller, har kunnat fastställas, att själva inloggningen klockan 05:23:46 den 15 Maj 2018 hade ägt rum på den dator [LW:s] där informationen om inloggningen återfanns.
Jag vet att LW hade en så kallad två-stegs-inloggning och jag vet också att detta innebär att man först transmitterar ett SMS till användarens mobila enhet och det resterande förstår du själv.
LW hade ett E-post-konto vilket vid det aktuella tillfället var knutet till leverantören One.
LW:s dator, var placerad i hennes kök.
Det är inte fastställt eller, har kunnat fastställas, att själva inloggningen klockan 05:23:46 den 15 Maj 2018 hade ägt rum på den dator [LW:s] där informationen om inloggningen återfanns.
Jag vet att LW hade en så kallad två-stegs-inloggning och jag vet också att detta innebär att man först transmitterar ett SMS till användarens mobila enhet och det resterande förstår du själv.
Jag skriver det igen. Det finns reservkoder som vem som helst som har lösen kan logga in med tvåstegsverifiering i Gmail.
Som synes under ”Hitta en förlorad säkerhetskod” så tar det bara nån minut för en ”inkräktare” att ta reda på dina koder om du har datorn öppen. Låt säga att den personen är en älskare som ser din dator igång när du är på toa...
Den hör möjligheten har man helt missat i utredningen och i många inlägg på Flashback.
”Skapa och visa en uppsättning reservkoder
Öppna Google-kontot.
Klicka på Säkerhet på navigeringspanelen till vänster.
Klicka på Tvåstegsverifiering under Logga in på Google.
Klicka på Konfiguration eller Visa koder under Reservkoder. Du kan skriva ut eller ladda ned koderna.”
Hitta en förlorad säkerhetskod
Sök i datorn efter Backup-codes-username.txt med ditt användarnamn. Om ditt användarnamn är google123 söker du till exempel efter Backup-codes-google123.txt. Om det här ska fungera måste du hämta koderna till datorn.
”Logga in med en reservkod
Titta efter reservkoderna.
Logga in på Gmail eller en annan tjänst från Google.
Ange ditt användarnamn och lösenord.
Klicka på Fler alternativ när du uppmanas att skriva verifieringskoden.
Välj Ange en av dina reservkoder (åtta siffror).
Ange reservkoden.”
Det finns en möjlighet för IT-forensikerna att bättre förstå vad som hänt bl.a runt 23:34 i SD:s dator och 05:23 vid inloggning i LW:s One-mejl.
Frågan som jag ska försöka besvara här är: Går det att se om någon surfat aktivt 05:23 i LW:s dator eller vid olika tidpunkter, t.ex 23:34, i SD:s dator?
Svaret är ja.
Se 164 Del C Sidan1233 som referens i fupen.
I protokollet återfinns en lista på webbhistorik för LW:s webbläsare från 14-15/5. I den listan tagen från Google Takeout (ett sätt en Googlekonto-ägare kan exportera all info från sitt Google-konto typ) syns att LW kollar diverse i sin dator runt 22-23 tiden, b.la:
Facebook.com
docs.google.com
Mail.one.com
När man surfar på nätet så kan man göra det på lite olika sätt i webbläsaren, t.ex öppna en ny flik för att skriva in en adress eller söka i den.
All sån här "action" i webbläsaren genererar något som kallas "transition types".
IT-forensikerna i det aktuella fallet har alltså tagit ut listan i fup-hänvisningen ovan m h a Google Takeout. Men Google Takeout har också möjlighet att ta ut dessa transition types (via Takeout/Chrome/Browser History).
Vad betyder då detta för vårt fall?
Joo Chrome lagrar hur du öppnar flikar och skriver in länkar till t.ex mail.one.com eller docs.google.com.
Det intressanta i det här fallet är om någon smög in och klickade i LW:s dator 05:23 och läste One-mejl osv.
Alltså ska det gå att utläsa från Chrome om någon satt framför datorn eller ej. Eller iaf få en bild av hur detta kan gått till via dessa sparade transition types.
Så här ser det ut om man surfar runt och in på one.mail.com t.ex. Observera de fetmarkerade "typerna" ( i b.la femte exemplet uppifrån verkar det som en ny flik öppnas för att skriva i):
Lite närmare förklaring till ovan. Orkar inte översätta:
LINK = User got to this page by clicking a link on another page.
TYPED = User got to this page by typing the URL in the URL bar.
RELOAD = The user "reloaded" the page, either by hitting the reload button or by hitting enter in the address bar. NOTE that this is distinct from the concept of whether a particular load uses "reload semantics" (i.e. bypasses cached data).
SessionRestore and undo tab close also use this transition type.
Also used for other "explicit" navigation actions.
Vidare så kan man utläsa detta. Enkelt förklarat så är det hur man navigerar till den aktuella webbsidan. I vårt fall mail.one.com kl 05:23 för LW och t.ex docs.google.com kl 23:34 för SD. Alltså klickade de runt så här i webbläsaren:
FORWARD_BACK User used the Forward or Back button to navigate among browsing history.
FROM_ADDRESS_BAR User used the address bar to trigger this navigation.
HOME_PAGE User is navigating to the home page.
CHAIN_START The beginning of a navigation chain.
CHAIN_END The last transition in a redirect chain.
CLIENT_REDIRECT Redirects caused by JavaScript or a meta refresh tag on the page.
SERVER_REDIRECT Redirects sent from the server by HTTP headers.
IS_REDIRECT_MASK Used to test whether a transition involves a redirect.
Enkelt och slarvigt förklarat: Chrome sparar hur du "klickar" i webbläsarens navigering när du surfar.
Hur forensiker jobbar med detta kan läsas i denna länk. Här framgår även vad de olika transition types innebär vid användning av webbläsaren. Även från denna sida jag hämtat infon ovan:
Hade IT-forensikerna använt den här informationen från LW och SD:s webbläsare hade de och rätten kunnat bli klokare på om vad som hände då t.ex 23:34 och 05:23 baserat på om då de olika transition types visar om någon suttit vid datorn och surfat eller ej.
Ser vi inte någon form av IT-forensik enligt ovan i hovrätten så tar ingen detta på särskilt stort allvar.
För den som vill doktorera vidare i transition types:
Enl min mening väger det tungt att SD själv sagt att han inte haft någon skärmtid under den kritiska tidpunkten. Det är nog inget man först hävdar och sedan "oj då, jag hade skärmtid". Så knappast var han aktiv själv. Återstår då passivt locköppnande och, betydligt mindre troligt, någon annan som befann sig vid hans dator. Denna "någon" gjorde då alltför liten rörelse för att skapa alibi.
Hoppas verkligen på att mer material blir undersökt i jakten på besudlingar från SDs benskada eller liknande. Vänder man på stenarna i skogsområdet (bokstavligt) kanske man hittar något intressant också?
Stående fråga sedan brottet begicks: hur f-n kan den jäkeln leva med det här?
Enl min mening väger det tungt att SD själv sagt att han inte haft någon skärmtid under den kritiska tidpunkten. Det är nog inget man först hävdar och sedan "oj då, jag hade skärmtid". Så knappast var han aktiv själv. Återstår då passivt locköppnande och, betydligt mindre troligt, någon annan som befann sig vid hans dator. Denna "någon" gjorde då alltför liten rörelse för att skapa alibi.
Ja man få utgå från att han pysslade med allt annat än datorn då.
Typ cyklade. Såg just det här från rekonstruktionen av cykeltestet på gatan. 166/58. Han är rätt skum som skämtar där i bilen med polis och en sån allvarlig omständighet:
"MT: Ah höger sidan, orangea .. nummer sju. Så jag har inget skäl och tro att jag har varit
längre bort. Mer än att då nån har frågat om jag inte kommer ihåg att jag mött nån när jag
varit ute och cyklat längre bort.
GS: Mmm .. kan vända tillbaka då och ..
MT:Mmm.
GS: .. också så har ju du sagt att du åkte även åt andra hållet.
MT: Du kan använda deras uppfart..
GS: Det kan man göra? MT: Ah. Dom vet att vi är här idag. Kan vi även få inspelat att dom har den enda julstjärnan
kvar i kvarteret.
(tystnad)
MT: Ja .. och sen är det ju precis lagom och cyklade förbi huset lite granna bort mot eh ..
skylten vid cykelbanan börjar rakt fram. Längre än så är det sällan jag rör mig när jag håller
på med ..
GS: Du säger ..
MT: .. och justerar in cyklarna."
Datorn vidare då. Teorin med locköppnandet är lite tunn av många skäl. För det första är han rätt så unik som mördare att ta med både internet och laptop till platsen. Detta är osmart av många anledningar. Men är man lite iskall så funkar det väl. Men som alibi skulle det ha sett bättre ut om han hade "jobbat" lite mer i den datorn den här tiden ja.
Spårning: LW:s mobil kopplar upp mot datorn och lämnar spår i både hennes och hans enhet.
Klumpighet: Han kan tappa enheterna. Enheterna kan skadas i tumultet och sen får man förklara en trasig laptop/mobil som funkade enligt loggar bara minuter innan dådet...
Osv osv.
Går inte in på nu hur en webbsida aktiveras på fler sätt även om obemannat men det går.
S betalade bara 1 biljett till Norweigan Air i början av feb. Nånting på 3000 tusen kostade den och samma summa förde svärmor över den dan.
H fick sin ESTA beviljad före S. Han önskade henne lycka till på resan på fredagen, tror jag det var.
S höll på med sin ansökan i sista stund och inte H som tråden trodde.
Kanske de inte fick sitta tillsammans på flygresan, men de fick tid o prata hela natten i bilen då de valde den som logi när de inte kom ihåg slutsiffrorna på S mobilnr för att komma in på hotellet.
Varför pratar HD och JG om detta överhuvudtaget?
Vem har använt TD:s dator (laptop?) och vad har denne då sparat i hårddisken?
Varför är de så lättade över att TD tog med datorn?
Vilket "stora beslut" pratar de om egentligen?
Framförallt: Vad i denna dator är så ljusskyggt att det inte får nås av utredande polis?
Jag tror att avlyssningen skedde när SD var häktad. Tror även att de menade att TD är viljestark och vet vad hon vill, typ.
Egentligen var inlägget mest menat att visa på att det fanns en dator som inte verkade bli beslagtagen. Inte att dottern är inblandad.
Jag hade redigerat mitt inägg lite: Det finns väl versioner av dessa kartor och appar som inte kräver en internetuppkoppling? Installerade hon en sådan för att ta med på Norgeresan?
Jag är osäker på om de lämnat tillbaka datorerna. Har en sån här liten anteckning gällande en dator:
Jag minns ej vilken a-bilaga och jag minns inte om det var hennes egen dator som hon använde till skolarbeten.
Vad jag minns är att han har tjatat rätt friskt om att få tillbaka prylarna.
Inledningsvis så försökte väl SD få det att se ut som att han och LW avvecklat sin relation under vintervåren? Kanske en av anledningarna till att han kan ha raderat de meddelandena som tyder på annat än vänskap?
Jag hoppas att du kan nå FUP nu? @Kusinvitamin la upp allt på filer som även (!) jag kan gå in på! Tackar h*enom för det!
Datumet för det samtalet som du refererar till är mycket intressant!
2019-08-27 20:36:30
När jag läser samtalet, så kommer fler intressanta saker fram.
Först det där med datorn. Och lite orolig blir, man. Tog de inte hennes dator? Inte för att jag misstänker T, utan för att jag misstänker SD. :
A 154/71
"HD: Mm ja .. hon är ext. .. alltså hon är ju extrem så .. du vet hon eh .. hon eh .. lyckades få med
sig sin dator ut, som hon inte skulle få ta med.
GG: Mm-hmm ..
HD: !morse ..
GG: Mm-hmm ...
HD: Mm .. Nejdu, den kan ni glömma att ni ska ha, sa hon (skrattar)
GG: (skrattar)
HD: Eh ah men jo vi ska ha alla .. alla andra datorer ska vara kvar. Det här är min
skoldator sa T***a. Jag går i nian, jag satsar på mina betyg, jag ska ha min dator. (skrattar) "
Annat intressant:
Här läcker en polis i misstag:
s 60
"GG: Eh .. och Marko är polis och ..
HD: Ja,jag vet ju det.
GG: Han .. han har ingen .. ingen mer information om fallet men ..
HD: Nej.
GG: Det han .. han sa till mig att han försa sig och det ska jag inte säga till nån, så att säga
men ..
HD: Nej .. nej.
GG: Som han har förstått eh ... Åsa har lämnat över och eh .... han .. han vet inte men han sa det
kan mycket väl vara varför det tas om och att den nya åklagaren har lagt fram nånting på ett
annat sätt eller jag har ingen aning men han sa att .. man har sett med nya ögon kanske
och .. eh ... men det.. "
Jag får lov att säga att jag tycker att både HD och JG verkar måna om barnens väl och ve. I samtalet verkar JG oroa sig för vilken effekt stormningen och gripandet av deras far har på barnen.
"HD: Ja .. det är klart att dom .. dom vill ju inte vara elaka även om dom har betett sig som svin
tycker jag just nu ..
GG: Mm ..
HD: Eh oavsett.. om han är skyldig eller inte så .. "
Och hur JG tänker runt utredningen med anledningen av alla beslag som gjordes i samband av stormningen:
s 63
"GG: Hade det här bara gjorts för ett år sen ... det..ah liksom .. om dom skulle göra om ..
HD: Ja men dom har ju gjort det?
GG: Ja men om dom ska göra om saker..
HO: Ja om det ska .. precis ..
GG: Det ska göras .. med ... betydligt närmare i tid så att säga ..
HD: Då skulle det ha gjorts då. Ja ....
GG: För att ja ... skull..skulle ... om man tänker rent tekniskt skulle Stefan liksom .. blivit av
med nått då har han gjort det för ett år sen liksom det..
HD: Ja ... ja ...
GG: Det har .. det har han inte gjort förrgår"
Och JG fortsätter att våndas:
s 64
"GG: Men om .. om jag underlåter att berätta nånting och .. och så .. så att.. den har gjort mig
orolig för att det finns nått.. nått som jag inte tänkt på och .. och det har jag tagit med Stefan i
förra veckan och eh .. om min oro och sådär . .. och han verkade .. alltså det är första gången
under den här tiden att jag ställde honom mot väggen och jag tyckte han undviker och svara
på min fråga (skrattar till) liksom och .. då skrev han i stor bokstäver att han har ingenting
med .. med det här mordet och gö ... Lenas mord att göra ..
HD: Mm.
GG: Och jag har aldrig ställt den frågan,jag har aldrig ställt den frågan till dig och ... inte
ställt den frågan till Sven-Olof liksom ..
HD: Näe.
GG: Eh . .. och ... det kanske är en .. det betyder ingenting det är inte den här med underlåtenhet
jag pratar om men . .. men det finns nånting annat och .. jag vet inte .. men Marko sa att jag får
sova på saken men han .. han tyckte alltså är det nånting som du tycker du .. du har kännedom
om nånting eh ... . eh ... det bästa är att du berättar för polisen sa han. "
Som katten runt het gröt:
s.66
"GG: Det.. det är nånting som Stefan har sagt om dig .. som är graverande .. kan vara
graverande för honom .. det kan vara besvärande för honom. Eh ... jag tänker på .. eh ... det som
har hänt så att säga ..
HO: Mm .. mm .. är det nånting som var lång .. tillbaka i tiden?
GG: Ja.
HO: Ah då kan jag säga att det mesta har kommit fram av det, för jag har berättat allting om.
GG: När du var sjuk och ..
HO: Ja ja ja ja .. oja .. det.. det är framtaget allting, precis .. eh .... Vad som är sagt av mig då
också det har jag fått läst..eh ... det har .. dom diskuterat sinsemellan så det.. det..
GG: Men .. men eh ... tror du att.. Du tror att du vet vad jag pratar om?
HO: Nej det vet jag inte?
GG: Ah ..
HO: Eh .. det.. .. jag vet bara att eh mycket då som kom fram var.. vad som sades ... vad Stefan
sa och tänkte och .. grejade om mig så .. då.
GG: Mm .. ja .. ja.
HO: Ja. det vet jag .. eh .. och det.. det är framtaget..eh .. det fanns dokumenterat och det fanns
skriftligt på ..
GG: Mm.
HO: Det var liksom .. inte nått.ah .. . så ... mmm.
GG: För att.. för att .. saken är att jag skrev den här till honom i Messenger, alltså i .. i..i ... i
Telegram och .. eh .. . och ... det klatt.jag gör kopplingar, jag gör.. jag liksom .. men det behöver
inte alls vara nån koppling men .. men det..det..det.. bara kändes så jävla otäckt för att den
sista sak jag prata med Stefan om var igår kväll och .. ehm ... "
s 74
"GG: Mm .. nej jag .. jag ska försöka jobba imorgon jag .. jag sjukskrev mig idag alltså för
efter .. efter .. efter Sven-Olof ringde då börja jag tänka och jag börja må i ... eh .. dålig i magen
och .. så att jag .. "
Nedan kommentar i chat med JG kan eventuellt betyda att han har koll på sådant där. De portabla modemen/routrarna sätter man i ett simkort i. Typ kontantkort med surf.
Bakgrund: SD och JG diskuterar Telegram och radering på olika enheter osv.
154/19 avlyssning SD-JG från 2018-10-19.
"Telefonsignaler
JG: Aah det hörde inget svar alls. Det blev scrambled.
SD: Aah, aah det (skrattar) det lät faktiskt scramble (skrattar) aah.
JG : (skrattar)
SD: Aah. Nej, eeh jag har inte fullständig koll på hur det blir när man börjar använda det på
olika enheter. Men, men kan du använda det alltså på både telefon, padda och dator samtidigt?
JG: Eeh, ja. Eeh, jag tror att p å chatten som vi hade eeh den var liksom inte vi .. det var
ingenting med att den ska tas bort eller nånting sådär. Eeh men .. men jag har loggat in, men ..
men jag har trott hela tiden att det liksom delar där och dela där och delar där, det.. det trodde
jag det var så men, men jag tycker det ser rätt så komplett ut i, i paddan just nu. Eeh, det står
inte, inte i paddan . . . Nej det.. mås . . . jag tror att det är så, att när man chattar med en enhet,
den chatten sparas där. Och den chatten på den andra enheten, den sparas där, för det står
ingenting här, jag raderar nu.
SD: Mmh. Eeh däremot de .. det.. det jag vet är .. jag kör ju liksom på två enheter. Jag kör ju, eeh pi-fi och telefon."
JG: Mmh.
SD: Eeh och det, det funkar .. då .. då liksom syns allting i båda. Så skriver jag från telefonen
då dyker det upp i datorn också.
JG: Mmh.
SD: Gör det. Eeh, men försöker jag sen logga in på en till dator, då säger den ifrån och säger
att det.. nej det är för många enheter.
JG: Mhm . . .
SD: Eeh säger dan.
Se fetade begreppet pi-fi. Det kan innebära lite olika saker beroende på hur man tolkar kontexten.
Antingen är det ett portabelt, alltså bärbart, batteridrivet modem.
Exempel, observera namnet:
Det kan även vara en förstärkare till modem som kan skicka signal bortåt 800 meter med rätt tillval av antenn. Se exempel, observera namnet på produkten:
Vad är troligast SD menar i chatten ovan då? Han uttrycker sig rätt kryptiskt här så svårt att bekräfta. Eller har den som skriver av avlyssningen tolkat/hört fel?
Kan alltså nån form av bärbart batteridrivet internet. De enklaste modellerna tillåter bara att några enheter kopplar upp sig på dess internet.
Se exempel här från "lågpris-sajt":
SD: (...)men försöker jag sen logga in på en till dator, då säger den ifrån och säger
att det.. nej det är för många enheter
Nej här tror jag han menar att en app bara kan köras på ett begränsat antal enheter. Kanske Telegram då säger ifrån om du försöker ansluta från en till dator med Telegram Web eller Telegram Desktop.
Well well, frågan är vad SD menar med pi-fi då och vad han skulle svara om polisen frågar. Jag har inte sett något om detta i förhör eller i tråden tidigare om SD:s "hemliga" (???) internet.
__________________
Senast redigerad av Avel 2020-12-07 kl. 17:14.
Nedan kommentar i chat med JG kan eventuellt betyda att han har koll på sådant där. De portabla modemen/routrarna sätter man i ett simkort i. Typ kontantkort med surf.
Bakgrund: SD och JG diskuterar Telegram och radering på olika enheter osv.
154/19 avlyssning SD-JG från 2018-10-19.
"Telefonsignaler
JG: Aah det hörde inget svar alls. Det blev scrambled.
SD: Aah, aah det (skrattar) det lät faktiskt scramble (skrattar) aah.
JG : (skrattar)
SD: Aah. Nej, eeh jag har inte fullständig koll på hur det blir när man börjar använda det på
olika enheter. Men, men kan du använda det alltså på både telefon, padda och dator samtidigt?
JG: Eeh, ja. Eeh, jag tror att p å chatten som vi hade eeh den var liksom inte vi .. det var
ingenting med att den ska tas bort eller nånting sådär. Eeh men .. men jag har loggat in, men ..
men jag har trott hela tiden att det liksom delar där och dela där och delar där, det.. det trodde
jag det var så men, men jag tycker det ser rätt så komplett ut i, i paddan just nu. Eeh, det står
inte, inte i paddan . . . Nej det.. mås . . . jag tror att det är så, att när man chattar med en enhet,
den chatten sparas där. Och den chatten på den andra enheten, den sparas där, för det står
ingenting här, jag raderar nu.
SD: Mmh. Eeh däremot de .. det.. det jag vet är .. jag kör ju liksom på två enheter. Jag kör ju, eeh pi-fi och telefon."
JG: Mmh.
SD: Eeh och det, det funkar .. då .. då liksom syns allting i båda. Så skriver jag från telefonen
då dyker det upp i datorn också.
JG: Mmh.
SD: Gör det. Eeh, men försöker jag sen logga in på en till dator, då säger den ifrån och säger
att det.. nej det är för många enheter.
JG: Mhm . . .
SD: Eeh säger dan.
Se fetade begreppet pi-fi. Det kan innebära lite olika saker beroende på hur man tolkar kontexten.
Antingen är det ett portabelt, alltså bärbart, batteridrivet modem.
Exempel, observera namnet:
Det kan även vara en förstärkare till modem som kan skicka signal bortåt 800 meter med rätt tillval av antenn. Se exempel, observera namnet på produkten:
Vad är troligast SD menar i chatten ovan då? Han uttrycker sig rätt kryptiskt här så svårt att bekräfta. Eller har den som skriver av avlyssningen tolkat/hört fel?
Kan alltså nån form av bärbart batteridrivet internet. De enklaste modellerna tillåter bara att några enheter kopplar upp sig på dess internet.
Se exempel här från "lågpris-sajt":
SD: (...)men försöker jag sen logga in på en till dator, då säger den ifrån och säger
att det.. nej det är för många enheter
Nej här tror jag han menar att en app bara kan köras på ett begränsat antal enheter. Kanske Telegram då säger ifrån om du försöker ansluta från en till dator med Telegram Web eller Telegram Desktop.
Well well, frågan är vad SD menar med pi-fi då och vad han skulle svara om polisen frågar. Jag har inte sett något om detta i förhör eller i tråden tidigare om SD:s "hemliga" (???) internet.
Hur går det om ifall de inom polisens internetkunnande inte vet om alla de här varianterna ?
Kan det då bli så att de missar saker som kanske behövs för att förstå vem GM är ?
"För ett par veckor sedan, den 7/10, samlades det gamla sim-gänget för att åka på konsert på
fryshuset i Stockholm. A var medbjuden, men var tvungen att tacka nej p.g.a. tidsbrist. SD åkte dock med. Med var även en av SD:s närmare vän som han fortfarande umgås med, AM, boende i Örebro i närheten av SD. Med var också en AF, Stockholm, och PK boende i Västerås, samtliga vänner till S och A sedan sim-tiden."
Akt 148/10. Förhör med SD:s bror A. Förhörsdatum:
2018-10-25
Tänker på datumet där. Inloggningen via LW:s google görs ju det datumet med sökningar på mejladresser tillhörande SD och HD osv. Man kan inte spåra ip pga ComHem.
Finns det förhör med SD där han pratar om den här resan till konsert med tanke på datumet 7/10 2018 och inloggningen?
__________________
Senast redigerad av Avel 2020-12-07 kl. 17:42.