File Carving

¿Qué es File Carving?

File carving es una técnica de análisis forense digital que permite recuperar archivos eliminados, fragmentados o corruptos buscando directamente en el contenido raw del disco, sin depender del sistema de archivos. El nombre proviene de “esculpir” (carve) los archivos del flujo de datos del disco, identificándolos por sus firmas características.

A diferencia de la recuperación tradicional que depende de los metadatos del sistema de archivos (tabla de asignación FAT, MFT de NTFS, inodos de ext4), el file carving funciona incluso cuando estas estructuras han sido dañadas, formateadas o deliberadamente eliminadas como parte de técnicas anti-forense.

Esta técnica es fundamental en investigaciones forenses cuando se sospecha que se han eliminado archivos incriminatorios, ya que permite recuperar documentos, imágenes, vídeos y otros ficheros que el usuario creía permanentemente destruidos.

Fundamentos técnicos del file carving

Firmas de archivo (Magic Numbers)

Cada tipo de archivo tiene una firma única al inicio (header) y, a menudo, al final (footer):

Algoritmos de carving

Existen diferentes enfoques para realizar file carving:

Header-Footer Carving: El método más básico. Busca el header, luego el footer correspondiente, y extrae todo lo que hay entre ambos. Funciona bien para archivos contiguos.

Header-Maximum Size: Cuando no existe footer definido, se extrae desde el header hasta un tamaño máximo predefinido. Útil para formatos sin delimitador final claro.

Carving basado en estructura: Analiza la estructura interna del archivo (chunks, tablas, metadatos) para determinar dónde termina. Más preciso pero más lento.

Carving semántico: Utiliza conocimiento del formato para validar que el contenido extraído es coherente, descartando falsos positivos.

El problema de la fragmentación

El mayor desafío del file carving es la fragmentación. Cuando un archivo está almacenado en bloques no contiguos del disco:

Archivo original: [Bloque A][Bloque B][Bloque C]
En disco fragmentado: [Bloque A]...[Bloque C]...[Bloque B]

El carving simple header-footer fallaría, extrayendo solo el Bloque A o mezclando datos incorrectos. Las herramientas avanzadas intentan reensamblar fragmentos, pero con éxito variable.

Proceso de file carving paso a paso

Herramientas de file carving

Scalpel

Herramienta open source derivada de Foremost, optimizada para velocidad:

# Instalación
sudo apt install scalpel

# Editar firmas en /etc/scalpel/scalpel.conf
# Descomentar tipos de archivo deseados

# Ejecutar carving
scalpel -c /etc/scalpel/scalpel.conf -o output/ evidence.dd

Scalpel destaca por su velocidad y bajo consumo de memoria, ideal para discos grandes.

Foremost

Desarrollado originalmente por la Oficina de Investigaciones Especiales de la Fuerza Aérea de EEUU:

# Carving con configuración por defecto
foremost -t all -i evidence.dd -o output/

# Solo imágenes
foremost -t jpg,png,gif -i evidence.dd -o output/

PhotoRec

A pesar del nombre, recupera más de 480 formatos de archivo:

# Modo interactivo
photorec evidence.dd

# Modo línea de comandos
photorec /d output/ /cmd evidence.dd partition_none,options,mode_ext2,fileopt,everything,enable,search

PhotoRec tiene excelente soporte para formatos multimedia y documentos Office.

Autopsy

Autopsy integra file carving en su pipeline de análisis:

1. Add Data Source → seleccionar imagen
2. En Ingest Modules, activar “PhotoRec Carver”
3. Configurar tipos de archivo objetivo
4. Los archivos recuperados aparecen en “Carved Files”

La ventaja de Autopsy es la integración con el resto del análisis forense: los archivos carved se indexan, se les calcula hash, y se pueden analizar con otros módulos.

Bulk Extractor

Especializado en extraer datos estructurados (emails, URLs, números de tarjeta, etc.) además de archivos:

bulk_extractor -o output/ -E all evidence.dd

Caso práctico: Recuperación de evidencia en caso de fraude

Situación: Se investiga a un empleado sospechoso de filtrar información confidencial a la competencia. El ordenador corporativo fue “reseteado a fábrica” antes de devolverlo.

Análisis forense:

Resultado: El file carving recuperó evidencia que el empleado creía destruida con el reseteo de fábrica. El informe pericial documentó la metodología y los archivos fueron admitidos como prueba.

Limitaciones técnicas del file carving

SSDs y TRIM

Los discos SSD modernos con TRIM activado representan el mayor obstáculo para file carving:

• TRIM: Cuando se borra un archivo, el sistema operativo notifica al SSD qué bloques ya no se usan
• Garbage Collection: El SSD borra físicamente esos bloques para optimizar escrituras futuras
• Resultado: El espacio “no asignado” está realmente vacío (ceros), sin datos que recuperar

Archivos cifrados

El file carving no puede recuperar el contenido útil de archivos cifrados:

• Cifrado de disco completo (BitLocker, FileVault): Todo el espacio no asignado está cifrado
• Archivos cifrados individualmente: Se recuperan pero son ilegibles sin la clave
• Contenedores cifrados (VeraCrypt): Aparecen como datos aleatorios

Sobrescritura

Si el espacio donde estaba un archivo ha sido reutilizado para otros datos, la recuperación es imposible:

Estado 1: [Archivo A][Archivo B][Espacio libre]
Estado 2: [Archivo A][Archivo C sobrescribe B][Espacio libre]
→ Archivo B irrecuperable

Falsos positivos

Las firmas de archivo pueden aparecer accidentalmente dentro de otros archivos o en datos aleatorios:

• Un JPEG incrustado en un documento Word tiene firma JPEG
• Datos comprimidos pueden contener secuencias que parecen firmas
• La validación posterior es esencial para filtrar falsos positivos

File carving en el marco legal español

Admisibilidad de archivos recuperados

Los archivos recuperados mediante file carving son admisibles como prueba en tribunales españoles siempre que:

1. Cadena de custodia: La cadena de custodia de la imagen forense original esté documentada
2. Metodología reproducible: El proceso de carving pueda ser replicado por otro perito
3. Integridad verificable: Se documente el hash del archivo recuperado y su offset de origen
4. Interpretación experta: Un perito informático explique el proceso y valide los hallazgos

Jurisprudencia relevante

La STS 300/2015 establece que “la evidencia digital obtenida mediante técnicas forenses reconocidas, incluyendo la recuperación de archivos eliminados, tiene pleno valor probatorio cuando se garantiza su autenticidad e integridad”.

El file carving, como técnica forense estándar reconocida internacionalmente, cumple estos requisitos cuando se ejecuta correctamente.

Relación con otros conceptos

• Imagen forense: Prerequisito obligatorio antes de cualquier carving
• Autopsy: Herramienta que integra file carving en su análisis
• Sleuth Kit: Framework que proporciona herramientas base para carving
• TRIM SSD: Tecnología que limita drásticamente la efectividad del carving
• Anti-forense: Técnicas que intentan evitar la recuperación mediante carving

Conclusión

El file carving es una técnica fundamental en el arsenal del perito informático forense, permitiendo recuperar archivos que se creían permanentemente eliminados. Su efectividad depende del tipo de almacenamiento (mucho mejor en HDDs que SSDs), el tiempo transcurrido desde la eliminación, y el nivel de fragmentación de los archivos.

Para investigaciones donde se sospecha eliminación deliberada de evidencia, el file carving del espacio no asignado es un paso obligatorio del análisis forense. Sin embargo, sus limitaciones técnicas deben comunicarse claramente: no es magia, y hay escenarios donde la recuperación es técnicamente imposible.

Última actualización: Enero 2026 Categoría: Técnico Código: ANA-012