16 oct 2012

Herramientas forense para ser un buen CSI. Parte X: File Carving

Buenas a todos, hoy volvemos en nuestra cadena sobre Análisis Forense para hablar de las técnicas de File Carving. Se tratan de procesos de recuperación de datos alojados en un conjunto mayor de datos, valga la redundancia. Son útiles en los procesos forenses para extraer archivos de porciones de datos del Sistema de Archivos.

Hay muchas técnicas de File Carving, pero hoy introduciremos el concepto aplicando las técnicas de extración de archivos a través de los Magic Numbers (Header/Footer Carving), una de las técnicas más antiguas y más utilizadas.

Los Magic Numbers no son más que secuencias de bytes que se alojan en los ficheros en un offset determinado y que nos servirán para recuperar archivos sabiendo su cabecera, que identificará el inicio del archivo y la posición final del archivo. Por ejemplo, los archivos jpg comienzan con la secuencia hexadecimal FFD8 y finalizan con FFD9 (ver imágen siguiente).

Por tanto, si "recuperamos" los bytes situados entre ambas secuencias tendremos el contenido de la imagen, que podremos copiar en un archivo nuevo, guardarlo con extensión jpeg y abrirlo con cualquier visor de imágenes.

Pero existe un problema, la fragmentación. Según algunos estudios un 16% de los archivos Jpeg padecen fragmentación. En estos casos el proceso de extración no es tan sencillo y se requieren técnicas más avanzadas que analizaremos en posteriores artículos. Lo mismo ocurre con otros archivos como los Pst, cuya fragmentación asciende al 58%, lo que supone un problema mayor.

Para ilustrar la teoría he recuperado parte de un disco duro en formato RAW y he buscado las secuencias FFD8 y FFD9 con un editor hexadecimal. Cómo podéis ver a continuación, es realmente sencillo recuperar información de imagenes (y otros archivos) gracias a los Magic Numbers.

Ahora solo tendremos que exportar el contenido y listo:

En el próximo post de la cadena sobre Forense seguiremos tratando este tema y veremos más ejemplos.

Saludos!

1 comentario:

  1. Juan Antonio muchas gracias por esa dedicación en estos cursos prácticos la verdad son muy buenos y los estoy leyendo en orden magníficos y a ver cuando os puedo colaborar Saludos desde Colombia

    ResponderEliminar