Recuperación de archivos desde una imagen de disco
Una imagen de disco es una copia byte a byte de una tarjeta o memoria, y los archivos borrados siguen dentro: un borrado en FAT sobrescribe un carácter del nombre y libera la cadena, dejando en su sitio el clúster inicial y el tamaño. Esta herramienta los vuelve a leer y, donde ya no queda sistema de archivos, talla los archivos por sus firmas, comprobando cada resultado antes de entregarlo.
Una copia byte a byte: dd en Linux y macOS, Win32 Disk Imager o USB Image Tool en Windows. Trabaja con la copia, no con el original.
La herramienta averigua qué hay dentro: el sistema de archivos, los archivos vivos, las entradas borradas y cuáles siguen siendo recuperables.
Por el directorio, y vuelven los nombres y las carpetas. Por firmas, y los archivos aparecen incluso donde ya no hay directorio.
Los navegadores Chromium guardan directamente en la carpeta elegida; los demás reciben un archivo comprimido. Lo que no pasó la comprobación queda aparte.
Saca los archivos borrados del volcado de una tarjeta o memoria
Qué saber antes de empezar
- Se trabaja con la IMAGEN, no con el soporte. Haz primero la imagen —dd en Linux y macOS, Win32 Disk Imager o USB Image Tool en Windows— y trabaja con la copia. Leer una y otra vez un soporte que falla es justo lo que acaba con él.
- Un archivo borrado se recupera suponiendo que sus trozos estaban seguidos. Para casi todo lo que escribe una cámara es cierto; en un soporte llenado y vaciado durante años, a menudo no. Por eso aquí se comprueba cada resultado, y lo que no pasa la comprobación queda aparte.
- Si los clústeres de un archivo borrado pertenecen ya a uno existente, los datos se han ido. Esas entradas van a la lista de sobrescritas en vez de entregarse como un archivo que no abrirá.
- Las imágenes exFAT y NTFS se reconocen, pero sus directorios aún no se leen. El tallado saca igualmente los archivos: lo que se pierde son los nombres y las carpetas originales.
