DFIR
Recupera archivos borrados
¿Y si no hay sistema de archivos, o el atacante formateó?
El file carving recupera archivos buscando sus firmas, esas cabeceras que identifican un JPG, un PDF o un ZIP, directamente en los bytes crudos del disco. foremost y scalpel escanean toda la imagen y reconstruyen lo que encuentran, sin importar el sistema de archivos.
Formatear no borra de verdad: los datos siguen ahí hasta que se sobrescriben.
# los comandos
analyst@dfir:~# foremost -t jpg,pdf,doc -i imagen.dd -o recuperados/copiarProcessing: imagen.dd
jpg:= 14 pdf:= 3 doc:= 2
analyst@dfir:~# ls recuperados/pdf/copiar00013021.pdf 00048112.pdf