Recuperação de arquivos de uma imagem de disco
Uma imagem de disco é uma cópia byte a byte de um cartão ou pendrive, e os arquivos apagados continuam dentro dela: apagar em FAT sobrescreve um caractere do nome e libera a cadeia, deixando no lugar o cluster inicial e o tamanho. Esta ferramenta os lê de volta e, onde não sobrou sistema de arquivos algum, esculpe os arquivos pelas assinaturas — conferindo cada resultado antes de entregar.
Uma cópia byte a byte: dd no Linux e macOS, Win32 Disk Imager ou USB Image Tool no Windows. Trabalhe com a cópia, não com o original.
A ferramenta descobre o que há dentro: o sistema de arquivos, os arquivos vivos, as entradas apagadas e quais delas ainda são recuperáveis.
Pelo diretório — voltam nomes e pastas. Por assinaturas — os arquivos aparecem até onde já não há diretório.
Navegadores Chromium salvam direto na pasta escolhida; os demais recebem um arquivo compactado. O que não passou na conferência fica à parte.
Tire os arquivos apagados do despejo de um cartão ou pendrive
O que saber antes de começar
- O trabalho é com a IMAGEM, não com a mídia. Faça primeiro a imagem — dd no Linux e macOS, Win32 Disk Imager ou USB Image Tool no Windows — e trabalhe com a cópia. Ler repetidamente uma mídia com defeito é justamente o que a liquida.
- Um arquivo apagado é recuperado supondo que seus pedaços estavam seguidos. Para quase tudo o que uma câmera escreve isso é verdade; numa mídia enchida e esvaziada por anos, muitas vezes não. Por isso cada resultado aqui é conferido, e o que não passa fica à parte.
- Se os clusters de um arquivo apagado já pertencem a um existente, os dados se foram. Essas entradas vão para a lista de sobrescritas em vez de serem entregues como um arquivo que não vai abrir.
- Imagens exFAT e NTFS são reconhecidas, mas seus diretórios ainda não são lidos. A escultura tira os arquivos assim mesmo — o que se perde são os nomes e as pastas originais.
