Sleuth Kit

¿Qué es The Sleuth Kit?

The Sleuth Kit (TSK) es una colección de herramientas forenses de línea de comandos para analizar volúmenes de disco y sistemas de archivos. Creado por Brian Carrier, es el framework sobre el que se construye Autopsy, la interfaz gráfica forense más utilizada del mundo.

TSK permite a peritos informáticos y analistas forenses examinar imágenes forenses a bajo nivel, accediendo directamente a estructuras del sistema de archivos, metadatos y datos borrados sin depender de una interfaz gráfica.

Arquitectura de Sleuth Kit

Capas de análisis

TSK organiza el análisis forense en capas, cada una con herramientas específicas:

Herramientas principales

Sistemas de archivos soportados

TSK soporta los sistemas de archivos más comunes:

Windows

• NTFS: Sistema estándar Windows moderno
• FAT12/16/32: Sistemas legacy y USB
• exFAT: USB y tarjetas SD grandes

macOS

• HFS+: Mac OS X hasta High Sierra
• APFS: macOS High Sierra en adelante

Linux/Unix

• Ext2/3/4: Sistemas Linux estándar
• UFS1/2: FreeBSD, Solaris

Otros

• ISO 9660: CDs y DVDs
• YAFFS2: Dispositivos Android

Caso práctico: Recuperación de archivos borrados con TSK

Situación: Se necesita recuperar documentos eliminados de una imagen forense de un disco NTFS.

Proceso con Sleuth Kit:

# 1. Identificar particiones
mmls evidence.dd
# Output: DOS Partition Table
# 000: -----  0000000000  0000002047  Meta
# 001: 00:00  0000002048  0976773119  NTFS (0x07)

# 2. Listar archivos borrados (asterisco = borrado)
fls -r -d -o 2048 evidence.dd | grep "^\*"
# * r/r 12345: Documents/contrato_confidencial.docx
# * r/r 12346: Documents/precios_competencia.xlsx

# 3. Ver metadatos del archivo borrado
istat -o 2048 evidence.dd 12345
# Muestra fechas, tamaño, clusters asignados

# 4. Recuperar el archivo
icat -o 2048 evidence.dd 12345 > contrato_recuperado.docx

Resultado: Los archivos eliminados se recuperaron exitosamente porque sus clusters no habían sido sobrescritos.

Timeline con Sleuth Kit

TSK incluye herramientas para crear líneas temporales de actividad:

# Crear bodyfile con todos los metadatos temporales
fls -r -m "/" -o 2048 evidence.dd > bodyfile.txt

# Convertir a timeline ordenado
mactime -b bodyfile.txt -d > timeline.csv

El formato bodyfile es compatible con muchas herramientas de análisis, permitiendo correlacionar actividad con fechas específicas de una investigación.

Integración con otras herramientas

Autopsy

Autopsy utiliza TSK internamente para todas las operaciones de sistema de archivos. Cuando Autopsy lista archivos o extrae contenido, ejecuta comandos TSK en segundo plano.

Scripting y automatización

La naturaleza de línea de comandos de TSK permite:

#!/bin/bash
# Script para extraer todos los documentos Office borrados
fls -r -d -o 2048 $1 | grep -E "\.(doc|xls|ppt)" | while read line; do
    inode=$(echo $line | awk '{print $2}' | tr -d ':')
    name=$(echo $line | awk '{print $3}')
    icat -o 2048 $1 $inode > "recovered_$name"
done

Instalación de Sleuth Kit

Linux (Debian/Ubuntu)

sudo apt install sleuthkit

macOS (Homebrew)

brew install sleuthkit

Windows

Incluido con la instalación de Autopsy, o disponible como binarios independientes.

Relación con otros conceptos

• Autopsy: Interfaz gráfica que utiliza TSK
• Imagen forense: Formato de entrada para análisis con TSK
• NTFS forense: Uno de los sistemas de archivos analizables
• Timeline forense: Funcionalidad proporcionada por mactime

Conclusión

The Sleuth Kit es el motor que impulsa gran parte del análisis forense digital moderno. Aunque Autopsy ofrece una interfaz más accesible, conocer las herramientas TSK permite a los peritos realizar análisis más precisos, automatizar tareas repetitivas y comprender exactamente qué operaciones se realizan sobre la evidencia.

Para análisis forense profesional, dominar tanto Autopsy como las herramientas de línea de comandos de TSK proporciona la flexibilidad necesaria para abordar cualquier investigación digital.

Última actualización: Enero 2026 Categoría: Herramientas Código: HER-011