Guymager

¿Qué es Guymager?

Guymager es una herramienta de adquisición forense de código abierto para Linux que permite crear copias bit a bit de discos duros, SSDs, memorias USB y otros dispositivos de almacenamiento. Desarrollada específicamente para el ámbito forense, destaca por su interfaz gráfica intuitiva, velocidad de adquisición y capacidad de generar documentación completa del proceso.

A diferencia de herramientas de línea de comandos como dd, Guymager proporciona una experiencia visual que muestra el progreso en tiempo real, estadísticas de velocidad, y permite configurar todos los parámetros de la adquisición de forma clara. Esto reduce errores y facilita la documentación necesaria para la cadena de custodia.

Guymager viene preinstalado en CAINE Linux, la distribución forense italiana utilizada por peritos de todo el mundo, y está disponible en los repositorios oficiales de Debian y Ubuntu.

Características principales

Formatos de imagen soportados

Guymager puede crear imágenes en los formatos forenses más utilizados:

El formato E01 es el más utilizado en investigaciones judiciales por incluir metadatos del caso y verificación de integridad.

Capacidades de hash

Guymager calcula hashes durante la adquisición sin impacto significativo en velocidad:

• MD5: Estándar histórico, rápido
• SHA-1: Mayor seguridad que MD5
• SHA-256: Recomendado actualmente para máxima seguridad

Los hashes se calculan simultáneamente durante la copia y se verifican automáticamente al finalizar.

Velocidad y eficiencia

Guymager está optimizado para rendimiento:

• Multithreading: Aprovecha múltiples núcleos de CPU
• Lectura eficiente: Buffering optimizado para discos
• Compresión paralela: Comprime mientras lee
• Velocidad típica: 100-200 MB/s en hardware moderno

Documentación integrada

Cada adquisición genera información completa:

• Número de caso y evidencia
• Nombre del examinador
• Fecha y hora de inicio/fin
• Hashes calculados
• Resultado de verificación
• Notas del examinador

Interfaz de usuario

Ventana principal

Al iniciar Guymager, la ventana principal muestra todos los dispositivos de almacenamiento detectados:

┌─────────────────────────────────────────────────────────────────┐
│ Device              │ Linux device │ Model           │ Size    │
├─────────────────────┼──────────────┼─────────────────┼─────────┤
│ ■ Local Device      │ /dev/sda     │ Samsung SSD 870 │ 500 GB  │
│ ■ Local Device      │ /dev/sdb     │ WD Blue 1TB     │ 1000 GB │
│ ■ USB Device        │ /dev/sdc     │ Kingston DT100  │ 32 GB   │
└─────────────────────────────────────────────────────────────────┘

Los iconos de color indican el estado:

• Verde: Dispositivo disponible, no montado
• Amarillo: Dispositivo montado (desmontar antes de adquirir)
• Rojo: Dispositivo en uso o con errores

Diálogo de adquisición

Al hacer clic derecho en un dispositivo y seleccionar “Acquire image”:

┌─────────────────────────────────────────────────────────────────┐
│                    Acquire image                                │
├─────────────────────────────────────────────────────────────────┤
│ File format:       [Expert Witness Format ▼]                    │
│                                                                 │
│ Split size:        [2 GiB              ▼]                       │
│ Compression:       [Fast/Moderate      ▼]                       │
│                                                                 │
│ ─── Image destination ───────────────────────────────────────── │
│ Directory:         [/casos/2026/JLAB-142/                    ]  │
│ Image filename:    [PC-EMPLEADO-001                          ]  │
│                                                                 │
│ ─── Image meta data ─────────────────────────────────────────── │
│ Case number:       [JLAB-2026-0142                           ]  │
│ Evidence number:   [PC-001                                   ]  │
│ Examiner:          [Jonathan Izquierdo                       ]  │
│ Description:       [HP ProBook 450 G8, S/N: 5CD123456X       ]  │
│ Notes:             [Disco SATA 500GB - Caso competencia      ]  │
│                                                                 │
│ ─── Hash calculation / verification ─────────────────────────── │
│ [✓] Calculate MD5     [✓] Calculate SHA-256                     │
│ [✓] Verify image after acquisition (takes additional time)      │
│                                                                 │
│                    [Cancel]            [Start]                  │
└─────────────────────────────────────────────────────────────────┘

Progreso de adquisición

Durante la copia, Guymager muestra estadísticas en tiempo real:

┌─────────────────────────────────────────────────────────────────┐
│ Acquiring: /dev/sdb → /casos/2026/JLAB-142/PC-EMPLEADO-001.E01  │
├─────────────────────────────────────────────────────────────────┤
│ Progress:  [████████████████████░░░░░░░░░░░░░░░] 64.2%          │
│                                                                 │
│ Acquired:           321.0 GiB of 500.0 GiB                      │
│ Speed:              156.3 MiB/s                                 │
│ Remaining time:     ~19 min                                     │
│ Elapsed time:       34 min 12 sec                               │
│                                                                 │
│ Current source position: 344,612,495,360                        │
│ MD5 (so far):      a1b2c3d4e5f6789...                           │
│ SHA-256 (so far):  9f8e7d6c5b4a321...                           │
│                                                                 │
│ State: Acquiring...                                             │
└─────────────────────────────────────────────────────────────────┘

Tutorial: Adquisición forense con Guymager

Caso práctico: Adquisición para caso laboral

Situación: Se requiere adquirir el portátil corporativo de un empleado despedido por presunto uso indebido de recursos. El ordenador será analizado para determinar si existió competencia desleal.

Proceso con Guymager:

Resultado: La imagen E01 se analiza posteriormente con Autopsy, encontrando evidencia de envío de documentos confidenciales a correo personal.

Comparativa con otras herramientas

¿Cuándo usar Guymager?

• Entorno Linux/CAINE: Herramienta nativa, integrada
• Necesidad de E01: Soporte completo del formato
• Documentación integrada: Metadatos del caso embebidos
• Verificación automática: Garantía de integridad

¿Cuándo usar alternativas?

• Windows obligatorio: FTK Imager
• Automatización/scripting: dc3dd o dd
• Adquisición remota: Herramientas especializadas

Instalación de Guymager

En CAINE Linux

Viene preinstalado. Solo ejecutar:

sudo guymager

En Debian/Ubuntu

sudo apt update
sudo apt install guymager

En otras distribuciones

Compilar desde código fuente:

git clone https://github.com/guymager/guymager.git
cd guymager
# Seguir instrucciones de BUILD.txt

Solución de problemas comunes

El disco no aparece en la lista

• Verificar conexión física del disco
• Ejecutar lsblk para confirmar detección
• Asegurar permisos de root: sudo guymager

Error “Device busy”

• El disco está montado. Desmontar primero:

  sudo umount /dev/sdb1

Velocidad muy lenta

• Cable USB defectuoso: probar otro puerto/cable
• Disco dañado: revisar dmesg para errores
• Destino en disco lento: usar SSD para almacenar imagen

Verificación fallida

• Posible error de lectura durante adquisición
• Corrupción en disco destino
• Repetir adquisición y comparar resultados

Relación con otros conceptos

• CAINE Linux: Distribución forense donde Guymager viene preinstalado
• Formato E01: Formato de imagen principal generado por Guymager
• Formato DD: Formato alternativo soportado
• Write Blocker: Dispositivo que complementa a Guymager para proteger la evidencia
• Cadena de custodia: Documentación que Guymager ayuda a generar

Conclusión

Guymager es la herramienta de adquisición forense de referencia en entornos Linux, combinando la potencia de herramientas profesionales comerciales con la transparencia del código abierto. Su interfaz gráfica reduce errores, su integración con CAINE Linux facilita flujos de trabajo forenses, y su capacidad de generar metadatos y verificación automática cumple con los requisitos de la cadena de custodia.

Para el perito informático que trabaja en entorno Linux, dominar Guymager es competencia fundamental para la fase de adquisición de cualquier investigación forense digital.

Última actualización: Enero 2026 Categoría: Herramientas Código: HER-012