Imagens de Disco e Perícia em Sistemas de Arquivos

A criação de imagens forenses produz uma cópia bit a bit da mídia de armazenamento, preservando a integridade da evidência. A evidência original nunca deve ser modificada — trabalhe a partir de uma cópia protegida contra gravação. Calcule o hash do original e da cópia para verificar a reprodução exata.

Os bloqueadores de gravação de hardware impedem fisicamente que comandos de gravação cheguem às unidades que contêm evidências. Os bloqueadores de gravação de software (dc3dd, FTK Imager) impedem gravações no nível do OS. Sempre use um bloqueador de gravação antes de conectar unidades com evidências, para evitar modificá-las acidentalmente.

O dd cria imagens brutas de disco. O dc3dd adiciona relatórios de progresso, cálculo de hashes e divisão da saída — recursos essenciais para unidades grandes. Use bs=4096 para obter melhor desempenho. Verifique se o hash da imagem corresponde ao hash da evidência para demonstrar a integridade.

O FTK Imager oferece uma GUI para criação de imagens de discos no Windows. Ele oferece suporte ao E01 (Expert Witness Format), que compacta a imagem e armazena o hash, os detalhes da aquisição e as observações do examinador no cabeçalho do arquivo — o padrão forense para evidências.

O FAT32 armazena os metadados dos arquivos nas entradas de diretório e a cadeia de alocação na File Allocation Table. Os arquivos excluídos deixam entradas de diretório com o marcador 0xE5; a cadeia FAT é zerada, mas os agrupamentos de dados podem permanecer. As ferramentas de recuperação usam esses vestígios.

O NTFS armazena todos os metadados na Master File Table (MFT). Cada registro da MFT descreve um arquivo. O $LogFile registra alterações para recuperação após falhas. O $UsnJrnl (diário de alterações) registra todas as operações de arquivos — uma fonte valiosa para reconstruir a linha do tempo, mesmo após a exclusão.

O Autopsy e o Sleuth Kit recuperam arquivos excluídos procurando entradas intactas da MFT com agrupamentos de dados desalocados e realizando recuperação por escultura de arquivos — identificando os bytes mágicos (assinaturas) dos arquivos nos dados brutos dos agrupamentos, independentemente dos metadados do sistema de arquivos.

A escultura de arquivos recupera arquivos com base em cabeçalhos e rodapés (bytes mágicos) no espaço não alocado. JPEG começa com FF D8 FF. PDF com 25 50 44 46. ZIP com 50 4B 03 04. Scalpel e PhotoRec são as principais ferramentas de escultura.

O Autopsy gera uma linha do tempo a partir dos horários MAC (Modified, Accessed, Changed) e das entradas do $UsnJrnl. Filtre o período em torno do horário suspeito do comprometimento para ver quais arquivos foram criados, modificados ou excluídos — reconstruindo cronologicamente as ações do invasor.

O Registro do Windows registra os softwares instalados, os dispositivos USB (USBSTOR), os documentos recentes, o último usuário conectado e a persistência por chaves de execução. O Registry Explorer e o RegRipper extraem e analisam seções do registro a partir de imagens de disco para análise de artefatos.

O histórico do navegador, os cookies, os arquivos armazenados em cache e os dados de formulários são armazenados em bancos de dados SQLite. O Chrome usa LevelDB. A extração desses artefatos revela atividades de reconhecimento do invasor, preparação da exfiltração e canais de comando baseados na web.

A perícia de disco começa com a criação de imagens tecnicamente válidas usando bloqueadores de escrita e a verificação de resumos criptográficos. NTFS MFT, $UsnJrnl, colmeias do registro, bancos de dados do navegador e a recuperação de arquivos do espaço não alocado permitem, em conjunto, reconstruir a atividade do invasor em sistemas comprometidos.