Recuperare file cancellati con Rocket

Vediamo come recuperare file cancellati con Challenger Rocket utilizzando la Virtual Allocation Map, uno speciale algoritmo in grado di salvare sulla mappa tutti i settori impegnati da file residenti, isolando i soli file cancellati in maniera quasi "chirurgica"; andremo a creare un'immagine virtuale copiando i file nel disco virtuale.

Sintomatologia

L'utente ha cancellato accidentalmente file fotografici organizzati per lo più in cartelle.

Non ha utilizzato alcun software di recupero dati precedente per tentarne il ripristino.

Diagnosi

In fase di diagnosi abbiamo provveduto ad accertare lo stato di operatività del nostro hard disk, evidenziando il solo stato di cancellazione dei file.

Attività  tecnica per il recupero delle fotografie cancellate

Analizziamo nel dettaglio la procedura con cui Rocket va a recuperare file fotografici, cancellati mediante tecnica file carving con Virtual Allocation Map.

Creiamo un'immagine virtuale di 5 GB sul disco fisico chiamandola "deleted .img" e riempiamo il file di zeri, creando così un'allocazione completa di 5 GB.

Con il tool Losetup montiamo l'immagine in modalità disco virtuale che diverrà  a tutti gli effetti un hard disk del nostro computer. Una volta formattata in NTFS la periferica, copiamo all'interno dell'immagine virtuale un file di esempio (abbiamo scelto un un film nel caso specifico di oggi) così da riempire tanti settori del drive; inseriamo poi delle fotografie nello stesso disco virtuale, organizzandole in cartelle.

Apriamo l'immagine con Challenger Rocket per verificare la consistenza di filesystem. Le foto risultano perfettamente copiate e residenti nel nostro filesystem. Cancelliamo ora le cartelle foto create, smontiamo il volume e consolidiamo il Journal del filesystem, per poi rimontarlo: vedremo la sola cartella contenente il nostro file film nell'immagine virtuale.

A questo punto procediamo con il file carving secondo il parametro di ricerca per soli file fotografici.

Dal filesystem costruiamo la Virtual Allocation Map che consente di mappare tutti i settori impegnati da file nel file system residente, isolando così per la lettura il solo spazio non allocato.

Dopo aver creato un task di data carving andiamo a cercare i nostri file mediante il parametro di ricerca slack space (per il solo spazio non allocato). Il progresso di ricerca è praticamente istantaneo essendo la ricerca mirata ai solo file non appartenenti al filesystem, dunque mirata ai file cancellati.

La qualità del risultato è ottima.

Valutazioni e conclusioni finali

Con la tecnica utilizzata di file carving (vedi qui gli approndimenti https://www.recoveryitalia.it/blog/recupero-dati-con-tecnica-data-carving/) e la Virtual Allocation Map abbiamo potuto ottenere un risultato ottimo, nello spazio di pochi minuti.

Questo perchè tali procedure permettono di eseguire ricerche secondo parametri specifici, come nel caso specifico di oggi con i file fotografici. Sul filesystem Rocket è andato a cercare esclusivamente file non residenti, dunque cancellati.