PCAP (Packet Capture)

Sentencia Valencia SKY ECC: sin PCAP original, prueba nula

En enero de 2026, la Audiencia Provincial de Valencia dicto una sentencia que sacudio la practica forense en toda Europa. En el marco de la operacion contra la red de comunicaciones cifradas SKY ECC, el tribunal declaro nulas las pruebas digitales presentadas por la acusacion. La razon: los archivos PCAP originales —las capturas de trafico de red en bruto interceptadas en los servidores de OVH en Roubaix, Francia— nunca fueron proporcionados a la defensa. Lo que se entrego fueron archivos JSON derivados, datos ya filtrados, convertidos y procesados. Sin acceso al PCAP original, resulto imposible verificar la integridad de la evidencia, y el tribunal determino que se habia vulnerado el derecho de defensa.

Este caso ilustra una verdad fundamental del analisis forense de red: el archivo PCAP es la evidencia primaria. Todo lo demas —logs, exportaciones, resumenes, JSON— son derivados. Si no existe el PCAP original con su hash de integridad, la cadena probatoria se rompe.

Que es PCAP: definicion tecnica

PCAP (Packet Capture) es un formato de archivo binario que almacena una copia exacta, paquete por paquete, del trafico de red capturado en un punto de la infraestructura. Cada paquete se guarda con su cabecera completa (direccion IP origen y destino, puertos, protocolo, flags TCP, longitud) y su carga util (payload), junto con un timestamp de alta precision que registra el momento exacto de captura.

El formato fue definido originalmente por la biblioteca libpcap (Unix/Linux) y su equivalente en Windows WinPcap/Npcap, utilizada por herramientas como tcpdump y Wireshark. Es el estandar de facto en la industria para el intercambio de capturas de red entre herramientas forenses.

PCAP vs PCAPNG

Existen dos versiones principales del formato:

PCAP clasico (formato libpcap):

• Extension: .pcap o .cap
• Definido por la especificacion libpcap
• Soporta una unica interfaz de captura por archivo
• Sin soporte para metadatos adicionales (comentarios, informacion del sistema)
• Maxima compatibilidad con todas las herramientas de analisis

PCAPNG (PCAP Next Generation):

• Extension: .pcapng
• Definido por el IETF (draft-tuexen-opsawg-pcapng)
• Soporta multiples interfaces de captura en un unico archivo
• Permite comentarios en paquetes individuales y en el archivo global
• Almacena metadatos del sistema de captura (SO, aplicacion, version)
• Soporta estadisticas de interfaz y resolucion de nombres
• Formato nativo de Wireshark desde la version 1.8

Estructura interna de un archivo PCAP

Un archivo PCAP tiene una estructura binaria bien definida que todo perito forense debe conocer:

Estructura binaria de un archivo PCAP:

+----------------------------------------------------------+
| Global Header (24 bytes)                                  |
| Magic: 0xa1b2c3d4 | Version: 2.4 | SnapLen | LinkType   |
+----------------------------------------------------------+
| Packet Header 1 (16 bytes)                                |
| Timestamp: 1707840000.123456 | CapLen: 1514 | OrigLen: 1514 |
+----------------------------------------------------------+
| Packet Data 1 (CapLen bytes)                              |
| [Ethernet Header][IP Header][TCP Header][HTTP Payload]    |
+----------------------------------------------------------+
| Packet Header 2 (16 bytes)                                |
| Timestamp: 1707840000.123789 | CapLen: 66 | OrigLen: 66  |
+----------------------------------------------------------+
| Packet Data 2 (CapLen bytes)                              |
| [Ethernet Header][IP Header][TCP Header (ACK)]            |
+----------------------------------------------------------+
| ... (mas paquetes)                                        |
+----------------------------------------------------------+

El magic number 0xa1b2c3d4 es la firma del formato PCAP. Si los primeros 4 bytes del archivo no coinciden con este valor (o con 0xd4c3b2a1 en byte order inverso), el archivo no es un PCAP valido o ha sido corrompido. Este es uno de los primeros controles de integridad que realiza un perito al recibir evidencia de red.

Como se captura trafico en formato PCAP

La captura de trafico de red puede realizarse mediante diferentes metodos, cada uno con sus ventajas y limitaciones forenses:

tcpdump (linea de comandos)

La herramienta mas utilizada para captura en servidores Linux. Es ligera, no requiere interfaz grafica y puede ejecutarse de forma remota via SSH:

# Captura basica en interfaz eth0, guardar en PCAP
tcpdump -i eth0 -w captura_forense.pcap

# Captura con filtro: solo trafico HTTP y HTTPS
tcpdump -i eth0 -w web_traffic.pcap 'tcp port 80 or tcp port 443'

# Captura con rotacion de archivos (100 MB cada uno, 10 archivos max)
tcpdump -i eth0 -w captura_%Y%m%d_%H%M%S.pcap -C 100 -W 10

# Captura sin resolucion DNS (mas rapido, sin trazas adicionales)
tcpdump -i eth0 -n -w captura.pcap

Wireshark / dumpcap (interfaz grafica y CLI)

Wireshark ofrece captura con interfaz grafica completa, mientras que dumpcap (su componente de captura) puede usarse desde la linea de comandos:

# Captura con dumpcap (componente CLI de Wireshark)
dumpcap -i eth0 -w captura.pcapng

# Captura con ring buffer (archivos rotativos)
dumpcap -i eth0 -b filesize:102400 -b files:50 -w captura.pcapng

Network TAPs (hardware)

Los TAPs (Test Access Points) son dispositivos fisicos que se instalan en el cable de red y crean una copia exacta del trafico sin afectar la comunicacion original. Son el metodo de captura mas fiable para evidencia forense porque:

• No introducen latencia ni perdida de paquetes
• No pueden ser detectados por atacantes (son pasivos)
• Capturan todo el trafico incluyendo errores de capa fisica
• No dependen de configuracion de software

SPAN ports (port mirroring)

Los puertos SPAN (Switched Port Analyzer) se configuran en switches gestionados para duplicar el trafico de un puerto (o VLAN) hacia un puerto de monitorizacion:

Switch(config)# monitor session 1 source interface Gi0/1
Switch(config)# monitor session 1 destination interface Gi0/24

Analisis forense de archivos PCAP: flujo de trabajo

El analisis forense de un archivo PCAP sigue un protocolo estructurado para garantizar la admisibilidad de los hallazgos:

Caso Valencia SKY ECC: la conversion PCAP a JSON que destruyo la prueba

Antecedentes

SKY ECC era una plataforma de comunicaciones cifradas utilizada por redes criminales internacionales. En marzo de 2021, las fuerzas de seguridad europeas (Europol, policia belga y francesa) desmantelaron la infraestructura de SKY ECC, interceptando las comunicaciones alojadas en servidores de OVH en Roubaix, Francia. El operativo resulto en cientos de detenciones en toda Europa.

El problema forense

La cadena de evidencia digital en el caso SKY ECC fue la siguiente:

[Servidores OVH]     [Autoridades francesas]     [Paises receptores]
  Trafico de red  -->  Captura en PCAP  -->  Conversion a JSON  -->  Entrega
  (datos en bruto)     (evidencia primaria)  (datos derivados)      (a defensas)

El problema critico: las autoridades francesas capturaron el trafico de red original en archivos PCAP, pero lo que distribuyeron a las autoridades espanolas (y a las defensas) fueron archivos JSON ya procesados. Los archivos JSON contenian los mensajes descifrados y organizados, pero habian pasado por un proceso de conversion que:

1. Elimino los metadatos de red: IPs, puertos, timestamps de paquete, cabeceras TCP/IP
2. Filtro el contenido: Solo se incluyeron mensajes descifrados, no todo el trafico capturado
3. Transformo el formato: De binario (PCAP) a texto estructurado (JSON)
4. No se documento el proceso: No hubo metodologia publicada de la conversion

La sentencia

La Audiencia Provincial de Valencia, en su Sentencia 24/2026, determino:

• La defensa no tuvo acceso a los archivos PCAP originales para verificar la integridad de los datos
• Sin el PCAP original, era imposible confirmar que los JSON reflejaban fielmente el trafico interceptado
• La conversion PCAP a JSON constituia un procesamiento de evidencia que debia haber sido documentado y reproducible
• Se vulnero el derecho de defensa al no poder practicar un contrainforme pericial sobre la evidencia primaria

Lecciones para la practica forense

Que se puede extraer de un archivo PCAP

Un archivo PCAP contiene una riqueza de informacion forense que va mucho mas alla de las simples comunicaciones:

Sesiones de comunicacion completas

Reconstruccion de conversaciones TCP/UDP entre endpoints. Cada sesion puede ser exportada como texto o binario para documentacion.

Archivos transmitidos

Imagenes, documentos, ejecutables, archivos comprimidos: cualquier fichero transferido por HTTP, FTP, SMB u otros protocolos puede ser extraido del PCAP con File - Export Objects en Wireshark.

Credenciales y autenticaciones

Protocolos sin cifrar (HTTP Basic Auth, FTP, Telnet, SMTP sin TLS) transmiten credenciales en texto claro. Incluso con TLS, los metadatos de autenticacion (timestamps, IPs, certificados) son visibles.

Consultas DNS

Cada consulta DNS realizada por un equipo queda registrada en el PCAP, revelando todos los dominios a los que intento conectarse. Es fundamental para detectar comunicaciones con servidores C2 o DNS tunneling.

Handshakes TLS

Los handshakes TLS exponen informacion valiosa incluso sin descifrar el contenido:

Patrones de comportamiento

Analisis temporal del trafico para detectar beaconing (comunicaciones periodicas tipicas de malware C2), horarios anomalos de actividad, y volumenes de transferencia inusuales que sugieren exfiltracion de datos.

Herramientas forenses para analisis de PCAP

Cadena de custodia para archivos PCAP

La preservacion de archivos PCAP requiere controles estrictos de cadena de custodia para garantizar su admisibilidad judicial:

Hashing inmediato

Inmediatamente despues de la captura, calcular el hash SHA-256 del archivo PCAP:

# Calcular hash SHA-256
sha256sum captura_original.pcap > captura_original.pcap.sha256

# Verificar integridad posteriormente
sha256sum -c captura_original.pcap.sha256

El hash debe registrarse en el acta de captura junto con: fecha y hora, identidad del operador, herramienta y version utilizada, interfaz de captura, y ubicacion de almacenamiento.

Proteccion contra escritura

El PCAP original debe almacenarse en un medio protegido contra escritura. Las opciones incluyen:

• Medio WORM (Write Once Read Many): Ideal para evidencia judicial
• Write-blocker hardware: Para medios USB o discos externos
• Permisos de sistema: chmod 444 (solo lectura) como minimo
• Sellado criptografico: Firma digital del perito sobre el hash

Registro de accesos

Documentar cada acceso al archivo PCAP: quien accedio, cuando, con que proposito, y que operaciones realizo (solo lectura, copia, analisis). Si se generan archivos derivados (filtrados, exportaciones), documentar su relacion con el PCAP original.

PCAP vs otros formatos de captura de red

Marco legal: admisibilidad de capturas de red como evidencia en Espana

Fundamento legal de la captura de trafico

La interceptacion y captura de trafico de red en Espana esta regulada por multiples normas:

Codigo Penal (Art. 197): La interceptacion de comunicaciones ajenas sin autorizacion constituye delito, con penas de 1 a 4 anos de prision. Sin embargo, existen excepciones:

• Infraestructura corporativa propia: La empresa puede capturar trafico en su propia red si existe politica de uso notificada a empleados (Art. 20.3 Estatuto de los Trabajadores)
• Autorizacion judicial: En procedimientos penales, bajo orden del juez instructor (LECrim Art. 588 ter a-i)
• Respuesta a incidentes: Captura durante un ciberataque activo como medida de legitima defensa y preservacion de evidencia

RGPD y LOPDGDD: La captura de trafico debe respetar los principios de minimizacion de datos, limitacion de finalidad y proporcionalidad. El perito debe limitar su analisis al trafico relevante para la investigacion.

Requisitos para admisibilidad judicial del PCAP

Jurisprudencia relevante

STS 1066/2009: Acepto como prueba valida capturas de trafico de red realizadas por administradores de sistemas de la empresa victima durante un ciberataque, siempre que se documentara adecuadamente la cadena de custodia y la captura se limitara a la infraestructura corporativa.

Sentencia AP Valencia 24/2026 (SKY ECC): Declaro nulas las pruebas digitales derivadas de capturas de red porque: (a) no se proporciono acceso al PCAP original, (b) la conversion a JSON no estaba documentada ni era reproducible, y (c) se vulnero el derecho de la defensa a examinar la evidencia primaria.

Preguntas frecuentes

Que es un archivo PCAP y que contiene?

Un archivo PCAP (Packet Capture) almacena una copia exacta, bit a bit, del trafico de red capturado en un punto especifico de la infraestructura. Cada paquete se registra con su cabecera completa (direccion IP de origen y destino, puertos, protocolo, flags TCP, longitud del paquete) y la carga util (payload) que contiene los datos reales de la comunicacion. Ademas, cada paquete incluye un timestamp de alta precision (microsegundos o nanosegundos) que registra el momento exacto de captura. Es el equivalente digital de una grabacion completa de todas las conversaciones que pasan por un cable de red. Los archivos PCAP pueden analizarse con herramientas como Wireshark para reconstruir sesiones de comunicacion, extraer archivos transferidos, identificar credenciales en protocolos no cifrados, analizar consultas DNS, examinar handshakes TLS, y detectar patrones de trafico malicioso como beaconing hacia servidores C2.

Por que fue clave la ausencia de archivos PCAP en la sentencia de Valencia sobre SKY ECC?

En la Sentencia 24/2026 de la Audiencia Provincial de Valencia, los archivos PCAP originales capturados durante la operacion contra SKY ECC —el trafico de red en bruto interceptado en los servidores de OVH en Roubaix, Francia— nunca fueron proporcionados a la defensa. Lo que se entrego fueron archivos JSON derivados: datos ya filtrados, convertidos y procesados por las autoridades francesas. El tribunal determino que sin acceso a los PCAP originales era imposible: (a) verificar que los JSON reflejaban fielmente el trafico interceptado, (b) comprobar si se habia omitido o alterado informacion durante la conversion, (c) realizar un contrainforme pericial independiente sobre la evidencia digital primaria. La sentencia declaro nulas las pruebas y establecio un precedente sobre la obligacion de conservar y proporcionar acceso a la evidencia primaria de red.

Como usa un perito forense los archivos PCAP en una investigacion?

El perito forense utiliza archivos PCAP como evidencia primaria de actividad de red. El proceso comienza con la verificacion de integridad (comparar hash SHA-256 con el registrado en la cadena de custodia), seguido de la creacion de una copia de trabajo sobre la que se realiza el analisis. Usando herramientas como Wireshark o tshark, el perito reconstruye sesiones completas de comunicacion (Follow TCP Stream), extrae archivos transmitidos por la red (Export Objects), identifica patrones de malware por comportamiento de trafico (beaconing, conexiones a IPs maliciosas), verifica conexiones a servidores C2 (Command and Control), analiza consultas DNS para detectar dominios maliciosos o tunneling, examina handshakes TLS para identificar certificados fraudulentos, y documenta toda la actividad con timestamps precisos de milisegundos. Los hallazgos se recogen en un informe pericial con capturas de pantalla, hashes de artefactos extraidos, y referencias a la metodologia aplicada (ISO 27037).

Necesitas analisis forense de capturas de trafico de red? Si tu caso requiere examinar archivos PCAP, verificar la integridad de evidencia de red, o elaborar un informe pericial sobre comunicaciones interceptadas, en Digital Perito realizamos analisis forense especializado con Wireshark y herramientas complementarias, siguiendo la metodologia ISO 27037 y garantizando la cadena de custodia de la evidencia.

Consulta gratuita inicial de 30 minutos para evaluar tu caso.

Contacta ahora - Respuesta en menos de 24 horas

Ultima actualizacion: Febrero 2026 Categoria: Analisis Forense Codigo: ANA-018