Sistemas de archivos y recuperación de datos borrados

Con el entorno y el procedimiento de adquisición ya resueltos, este módulo entra en el primer terreno de análisis real: qué pasa exactamente dentro de un sistema de archivos cuando algo se "borra", y por qué —salvo que se sobrescriba— casi nunca desaparece de verdad. Es el fundamento técnico sobre el que se apoyan la mayoría de los módulos siguientes.

1. Qué pasa realmente cuando "borras" un archivo

En casi ningún sistema de archivos de uso común borrar un fichero significa sobrescribir sus datos. Lo que ocurre es mucho más barato computacionalmente: el sistema operativo desvincula la entrada que apunta a ese fichero (la marca como libre en la papelera de reciclaje, o directamente en el sistema de archivos) y marca el espacio que ocupaba como disponible para reutilizar. El contenido real —los bloques de datos en el disco— sigue ahí, intacto, hasta que un fichero nuevo necesita exactamente ese espacio y lo sobrescribe.

2. NTFS por dentro: la Master File Table

NTFS (el sistema de archivos de Windows) organiza todo —ficheros, carpetas, metadatos, e incluso sus propios ficheros de sistema— en una estructura central: la Master File Table (MFT), el fichero $MFT. Cada entrada de la MFT ocupa típicamente 1024 bytes y describe un único fichero o carpeta mediante una serie de atributos:

Cuando se borra un fichero en NTFS, su entrada en la MFT se marca como libre (un flag cambia de "en uso" a "libre"), pero el resto de la entrada —nombre, marcas de tiempo, puntero a los datos— normalmente permanece intacto hasta que esa entrada concreta se reutiliza para otro fichero nuevo. Esto es lo que permite que una herramienta como Sleuth Kit liste ficheros "borrados" por su nombre original, con sus marcas de tiempo originales, mucho después del borrado.

3. ext4 por dentro: inodos, superbloque y journal

ext4 (habitual en Linux) separa los metadatos del contenido de forma distinta a NTFS: cada fichero tiene un inodo (una estructura con permisos, propietario, marcas de tiempo y punteros a los bloques de datos), y los directorios son, en esencia, listas que asocian nombres de fichero a números de inodo.

Una diferencia práctica importante: en ext4, al borrar un fichero, el kernel suele poner a cero los punteros a bloques del inodo (a diferencia de ext2/ext3, donde sobrevivían). Esto hace que recuperar un fichero borrado por metadatos sea más difícil en ext4 que en NTFS o en ext2/ext3 — y es precisamente la razón por la que el file carving (punto 5) es la técnica que más se usa en sistemas Linux modernos.

4. Espacio no asignado vs slack space

El slack space es especialmente útil cuando un atacante sobrescribe un fichero sensible con uno más pequeño para "limpiar" su rastro: el final del clúster puede seguir conteniendo fragmentos del fichero original.

5. File carving: recuperar sin metadatos

Cuando ni la MFT ni la tabla de inodos conservan ya una referencia útil al fichero borrado —porque la entrada se reutilizó, o porque el sistema de archivos está tan dañado que no se puede interpretar su estructura—, la única vía que queda es el file carving: recorrer el espacio no asignado byte a byte, buscando las firmas binarias (magic bytes) que marcan el principio y, a veces, el final de un tipo de fichero conocido.

Una herramienta de carving busca estos patrones en bruto sobre toda la imagen y extrae lo que encuentra entre una cabecera y (si el formato lo define) un pie de fichero correspondiente, sin necesidad de que el sistema de archivos sepa que ese fichero existe.

6. Herramientas: Sleuth Kit/Autopsy, PhotoRec y Scalpel

Listar ficheros borrados todavía presentes en la MFT con Sleuth Kit:

$ fls -r -d evidencia_caso03.dd
r/r 45123-128-1:  informe_ventas_q3.xlsx (deleted)
r/r 45201-128-1:  credenciales_backup.txt (deleted)
d/d 44980-144-2:  Documentos

Recuperar un fichero borrado concreto por su número de inodo MFT:

$ icat evidencia_caso03.dd 45201 > credenciales_backup_recuperado.txt

Carving puro con PhotoRec cuando la MFT ya no sirve de referencia:

$ photorec /d salida_carving/ /cmd evidencia_caso03.dd fileopt,everything,enable
PhotoRec 7.2, Data Recovery Utility
Pass 1 - Reading sector    1234567/2000000
jpg: 42 files recovered
pdf: 7 files recovered
docx: 3 files recovered

7. Límites del carving

• Fragmentación: si un fichero no está almacenado en bloques contiguos, el carving puro puede extraer solo el primer fragmento (y producir un fichero corrupto o incompleto).
• Falsos positivos: una firma de cabecera puede aparecer por casualidad dentro de datos que no son ese tipo de fichero, o un carving sin pie de fichero definido puede extraer de más.
• Sobrescritura parcial: si solo una parte del fichero se sobrescribió, el resultado es un fichero recuperado pero corrupto —a veces aún parcialmente legible, especialmente en formatos de texto plano.
• Sin nombre ni ruta original: el carving puro recupera contenido, no metadatos; no sabrás el nombre original del fichero ni dónde vivía, solo lo que dice su contenido.

Autoevaluación

1. ¿Por qué borrar un fichero no lo elimina realmente del disco en la mayoría de los casos?
2. ¿Qué diferencia práctica hay entre recuperar un fichero borrado en NTFS y en ext4, y por qué?
3. Define con tus palabras slack space y pon un ejemplo de cuándo sería la única fuente de evidencia disponible.
4. ¿Por qué un fichero recuperado por carving puro nunca lleva su nombre de fichero original?
5. Tienes una imagen de un disco muy fragmentado. ¿Qué limitación del carving es más probable que te afecte, y qué harías primero antes de recurrir a él?