Guymager

¿Qué es Guymager?

Guymager es una herramienta de adquisición forense de código abierto para Linux que permite crear copias bit a bit de discos duros, SSDs, memorias USB y otros dispositivos de almacenamiento. Desarrollada específicamente para el ámbito forense, destaca por su interfaz gráfica intuitiva, velocidad de adquisición y capacidad de generar documentación completa del proceso.

A diferencia de herramientas de línea de comandos como dd, Guymager proporciona una experiencia visual que muestra el progreso en tiempo real, estadísticas de velocidad, y permite configurar todos los parámetros de la adquisición de forma clara. Esto reduce errores y facilita la documentación necesaria para la cadena de custodia.

Guymager viene preinstalado en CAINE Linux, la distribución forense italiana utilizada por peritos de todo el mundo, y está disponible en los repositorios oficiales de Debían y Ubuntu.

Características principales

Formatos de imagen soportados

Guymager puede crear imágenes en los formatos forenses más utilizados:

El formato E01 es el más utilizado en investigaciones judiciales por incluir metadatos del caso y verificación de integridad.

Capacidades de hash

Guymager calcula varios hashes durante la adquisición, sin impacto significativo en velocidad, pero no todos valen lo mismo ante un tribunal:

Guymager permite marcar MD5 y SHA-256 a la vez, y conviene hacerlo: el MD5 viaja como valor secundario por si la contraparte trabaja con herramientas que solo lo leen. Lo que no puede ocurrir es lo contrario — que el MD5 sea el único hash del acta, porque entonces la integridad se apoya en una función que cualquiera puede colisionar. Es el mismo criterio que se detalla en hash criptográfico y SHA-256.

Los hashes se calculan simultáneamente durante la copia y se verifican automáticamente al finalizar.

Clonado disco a disco

Además de crear ficheros de imagen, Guymager clona un disco sobre otro desde un diálogo distinto del de adquisición —así lo recoge su web oficial—. Es la operación que se necesita cuando hay que devolver un equipo operativo y trabajar sobre una réplica física, o cuando el destino no admite ficheros de 500 GB.

Con una advertencia que no está de más: en el clonado el disco de destino se sobrescribe entero, así que la confusión entre origen y destino destruye evidencia en lugar de copiarla. El clonado no sustituye a la imagen E01 en un procedimiento judicial, porque un disco clonado no lleva metadatos del caso ni hash embebido: si se hace, se hace además de la imagen, no en su lugar.

Velocidad y eficiencia

Guymager está optimizado para rendimiento:

• Multithreading: Aprovecha múltiples núcleos de CPU
• Lectura eficiente: Buffering optimizado para discos
• Compresión paralela: Comprime mientras lee
• Velocidad típica: 100-200 MB/s en hardware moderno

Documentación integrada

Cada adquisición genera información completa:

• Número de caso y evidencia
• Nombre del examinador
• Fecha y hora de inicio/fin
• Hashes calculados
• Resultado de verificación
• Notas del examinador

Interfaz de usuario

Ventana principal

Al iniciar Guymager, la ventana principal muestra todos los dispositivos de almacenamiento detectados:

┌─────────────────────────────────────────────────────────────────┐
│ Device              │ Linux device │ Model           │ Size     │
├─────────────────────┼──────────────┼─────────────────┼──────────┤
│ ■ Local Device      │ /dev/sda     │ Samsung SSD 870 │ 500 GB   │
│ ■ Local Device      │ /dev/sdb     │ WD Blue 1TB     │ 1000 GB  │
│ ■ USB Device        │ /dev/sdc     │ Kingston DT100  │ 32 GB    │
└─────────────────────────────────────────────────────────────────┘

El color de cada fila no es un semáforo de errores, y confundirlo es el malentendido más extendido sobre esta herramienta:

El resto del estado del dispositivo se lee en las columnas de detalle y en el panel inferior, no en el color de la fila. Antes de adquirir hay que comprobar aparte que el disco de origen no está montado, cosa que se verifica fuera de Guymager con lsblk o mount, y protegerlo con un write blocker.

Diálogo de adquisición

Al hacer clic derecho en un dispositivo y seleccionar “Acquire image”:

┌─────────────────────────────────────────────────────────────────┐
│                    Acquire image                                │
├─────────────────────────────────────────────────────────────────┤
│ File format:       [Expert Witness Format ▼]                    │
│                                                                 │
│ Split size:        [2 GiB              ▼]                       │
│ Compression:       [Fast/Moderate      ▼]                       │
│                                                                 │
│ ─── Image destination ───────────────────────────────────────── │
│ Directory:         [/casos/2026/EXP-0000/                    ]  │
│ Image filename:    [PC-EMPLEADO-001                          ]  │
│                                                                 │
│ ─── Image meta data ─────────────────────────────────────────── │
│ Case number:       [EXP-2026-0000                            ]  │
│ Evidence number:   [PC-001                                   ]  │
│ Examiner:          [Perito que realiza la adquisición        ]  │
│ Description:       [Modelo y número de serie del equipo      ]  │
│ Notes:             [Disco SATA 500 GB, desmontado            ]  │
│                                                                 │
│ ─── Hash calculation / verification ─────────────────────────── │
│ [✓] Calculate MD5     [✓] Calculate SHA-256                     │
│ [✓] Verify image after acquisition (takes additional time)      │
│                                                                 │
│                    [Cancel]            [Start]                  │
└─────────────────────────────────────────────────────────────────┘

Progreso de adquisición

Durante la copia, Guymager muestra estadísticas en tiempo real:

┌─────────────────────────────────────────────────────────────────┐
│ Acquiring: /dev/sdb → /casos/2026/EXP-0000/PC-EMPLEADO-001.E01  │
├─────────────────────────────────────────────────────────────────┤
│ Progress:  [████████████████████░░░░░░░░░░░░░░░] 64.2%          │
│                                                                 │
│ Acquired:           321.0 GiB of 500.0 GiB                      │
│ Speed:              156.3 MiB/s                                 │
│ Remaining time:     ~19 min                                     │
│ Elapsed time:       34 min 12 sec                               │
│                                                                 │
│ Current source position: 344,612,495,360                        │
│ MD5 (so far):      a1b2c3d4e5f6789...                           │
│ SHA-256 (so far):  9f8e7d6c5b4a321...                           │
│                                                                 │
│ State: Acquiring...                                             │
└─────────────────────────────────────────────────────────────────┘

Tutorial: Adquisición forense con Guymager

Recorrido completo: adquisición de un portátil corporativo

Situación: se requiere adquirir el portátil corporativo de un empleado despedido por presunto uso indebido de recursos, para analizarlo después en busca de indicios de competencia desleal.

Proceso con Guymager:

Con la imagen ya verificada, el análisis se hace sobre la copia y nunca sobre el original —con Autopsy o con The Sleuth Kit—, y el disco de origen vuelve a su embalaje precintado con su registro de custodia.

Comparativa con otras herramientas

¿Cuándo usar Guymager?

• Entorno Linux/CAINE: Herramienta nativa, integrada
• Necesidad de E01: Soporte completo del formato
• Documentación integrada: Metadatos del caso embebidos
• Verificación automática: Garantía de integridad

¿Cuándo usar alternativas?

• Windows obligatorio: FTK Imager
• Automatización/scripting: dc3dd o dd
• Adquisición remota: Herramientas especializadas

Instalación de Guymager

En CAINE Linux

Viene preinstalado. Solo ejecutar:

sudo guymager

En Debían/Ubuntu

sudo apt update
sudo apt install guymager

Funciona, pero la versión de los repositorios de la distribución suele ir por detrás. La web oficial recomienda para uso habitual el repositorio APT propio del proyecto (deb.pinguin.lu), donde el paquete se llama guymager-beta pese a ser, en palabras del autor, «absolutely stable software»: el nombre solo indica que esa versión aún no ha entrado en ninguna distribución.

En otras distribuciones

Hay paquetes RPM en pkgs.org. Para compilar desde el código fuente, la web oficial detalla el procedimiento y conviene seguirlo desde allí en lugar de reconstruirlo de memoria, porque las dependencias son tres y ninguna es evidente:

• El código de Guymager está en un repositorio Subversion alojado en SourceForge, no en Git ni en GitHub. La orden exacta de svn checkout se copia de la página de código del proyecto, enlazada desde la web oficial.
• libguytools se obtiene igual, del mismo repositorio.
• libewf es la biblioteca que produce el E01. El autor recomienda expresamente la versión 20140608, «which has been thoroughly tested with Guymager» — compilar contra una más reciente es la causa habitual de que la compilación termine y el binario no genere E01.

En Debían y Ubuntu hacen falta además los paquetes build-essential, qtbase5-dev y libparted-dev.

Solución de problemas comunes

El disco no aparece en la lista

• Verificar conexión física del disco
• Ejecutar lsblk para confirmar detección
• Asegurar permisos de root: sudo guymager

Error “Device busy”

• El disco está montado. Desmontar primero:

  sudo umount /dev/sdb1

Velocidad muy lenta

• Cable USB defectuoso: probar otro puerto/cable
• Disco dañado: revisar dmesg para errores
• Destino en disco lento: usar SSD para almacenar imagen

Verificación fallida

• Posible error de lectura durante adquisición
• Corrupción en disco destino
• Repetir adquisición y comparar resultados

Relación con otros conceptos

• CAINE Linux: Distribución forense donde Guymager viene preinstalado
• Formato E01: Formato de imagen principal generado por Guymager
• Formato DD: Formato alternativo soportado
• Write Blocker: Dispositivo que complementa a Guymager para proteger la evidencia
• Cadena de custodia: Documentación que Guymager ayuda a generar

Conclusión

Guymager es la herramienta de adquisición de referencia en entornos Linux: rápida por su diseño multihilo, gráfica —lo que reduce errores frente a dd— e integrada de fábrica en CAINE Linux. Genera E01, DD y AFF, embebe los metadatos del caso y verifica la imagen al terminar.

Dicho eso, conviene no confundir la herramienta con el procedimiento: la cadena de custodia no la cumple Guymager, la cumple el perito. La herramienta aporta el hash, los metadatos y el registro de /var/log/guymager.log; el acta, la trazabilidad de la evidencia y su conservación son actuación documentada de quien la firma. Y dos de sus salvaguardas —el rojo que impide adquirir los discos locales, y qué algoritmos de hash se marcan— dependen de que alguien las haya configurado antes, no vienen puestas.

Para el perito informático forense que trabaja sobre Linux, dominar Guymager es competencia básica de la fase de adquisición, que es la única del análisis que no admite repetición: cualquier error posterior se corrige volviendo a la imagen, pero un original alterado no se recupera.

Última actualización: Enero 2026 Categoría: Herramientas Código: HER-012