Seguro que en mas de una ocasión te ha sucedido que has borrado algún archivo por error. Para esos casos, está especialmente pensado este artículo, en el que escribo sobre el uso de Foremost. Una herramienta de Linux para realizar exámenes forenses. Y es que Foremost, es una herramienta diseñada originalmente por el AFOSI. AFOSI es el acrónimo de Air Force Office of Special Investigations and the Center for Information Systems Security Studies and Research). Y que, aunque inicialmente era propietario, mas tarde se liberó para su uso público. Una herramienta ideal para recuperar archivos borrados.

No me lo había planteado hasta ahora. Pero ciertamente, no existe ninguna aplicación instalada por defecto para recuperar archivos borrados. Sin embargo, es muy corriente que por despiste borremos archivos que realmente queremos mantener.

Para solucionar este problema, está Foremost, que es una herramienta que te permite recuperar muchos tipos de archivo. Sobre todo si lo haces inmediatamente después de haber cometido el error de borrarlo.

Como funciona Foremost

Lo que hace Foremost, es escanear la unidad tratando de reconocer los archivos. Los trata de reconocer, básicamente, por la estructura de determinados tipos de ficheros. Así, por ejemplo, la estructura de una determinado archivo puede comenzar con:

47 49 46 38 39 61

Si utilizas un editor hexadecimal, verás que esto se corresponde con «GIF89a«.

La mayoría de las imágenes con formato GIF comienzan de esta manera. Foremost busca en tu disco este conjunto de valores hexadecimales, y al localizarlos determina que es un archivo de tipo GIF. Una vez que sabe que se encuentra ante un archivo GIF, extrae toda la información y la escribe en el lugar que le indiquemos.

¿Qué tipo de archivos podemos recuperar?

Ahora que conoces el mecanismo, tienes claro que, Foremost no recupera todo de manera indiscriminada. A Foremost le tienes que decir exactamente el tipo de archivos que tiene que recuperar, y además no los recupera todos para desgracia nuestra. Aunque eso si, recupera un buen conjunto de archivos, con lo que con toda probabilidad el nuestro esté incluido.

Los tipos de archivo que se pueden recuperar son los siguientes:

avi, bmp, dll, doc, exe, gif, htm, jar, jpg, mbd, mov, mpg, pdf, png, ppt, rar, rif, sdw, sx, sxc, sxi, sxw, vis, wav, wmv, xls, zip

también podemos indicar que los recupere todos, para lo que indicaremos ‘all’

Para indicar los tipos de archivo que queremos recuperar, pondremos la opción «-t» seguida de las tipos de archivo que queramos recuperar separados por comas, o «all» si queremos recuperarlos todos.

Otras opciones

Otras opciones disponibles para Foremost, son:

• -h, muestra la ayuda y sale
• -v, muestra la versión y sale
• -T, añade la fecha al directorio donde quieres guardar los archivos recuperados
• -v, muestra la salida de datos
• -q, modo rápido
• -Q, modo silencioso
• -w, escribe solo la el fichero donde informa de lo que se puede recuperar pero sin recuperar nada
• -i, la partición que queremos escanear
• -o, el directorio de salida

Existen más opciones, pero para comenzar a trabajar y hacer lo básico con estas tenemos suficientes.

Consejos

Foremost no debe ser ejecutado en la misma partición en la que se intentan recuperar archivos borrados. Si, sigues la práctica habitual, habrás instalado el directorio raíz, en una partición distinta del directorio /home. Si lo has hecho así este problema lo tienes resuelto. Porque habitualmente lo que quieres hacer es recuperar documentación de tu directorio /home. Pientras que la aplicación la estás corriendo desde el directorio raíz.

Si no lo has hecho así, te recomiendo que lo hagas, que separes tu directorio /home del directorio raíz. Ahora, puede ser que pienses que estás perdiendo el tiempo. Sin embargo, te puedo asegurar, que es una de las mejores decisiones que puedes tomar. Porque te ahorrará muchos disgustos y calentamientos de cabeza.

Un ejemplo claro en el que seguro te habrás encontrado es el borrado de una memoria USB. Allí tenías guardada las fotografías de la última boda a la que fuiste. Para copiar un archivo que no cabía lo has borrado todo. Con Foremost puedes recuperar las fotografías de forma relativamente sencilla.

Otro consejo, es que no debes guardar los archivos recuperados en la misma partición en la que estás intentando recuperar archivos. Una solución sería intentar recuperarlos a una memoria USB o a un disco duro externo. Una vez recuperados, ya los copias a tu partición, y liquidado.

Instalación

Dado que Foremost, se encuentra en los repositorios de Ubuntu, la instalación es bien sencilla. O bien haces clic en Foremost, o bien desde el terminal:

sudo apt install foremost

A lo práctico

Para poner un ejemplo práctico, en una memoria USB, he creado un par de carpetas. Una con imágenes y otra con archivos PDF. Como anécdota contaré que como me parecía que había puesto muchas imágenes. Así que he borrado algunas para que no hacer el proceso de recupearr archivos borrados tan largo. Hay muchas veces que me sorprendo a mi mismo.

Para poner un ejemplo práctico, en una memoria USB, he creado un par de directorios. Uno con imágenes y otro con archivos PDF.

Los documentos PDF

Las imágenes

Lo siguiente borrar (si no tiene poco sentido). Pongo la imagen, en plan mago, como esto de nada por aquí nada por allá. Pero desde luego tienes que confiar en que lo he borrado, claro.

Ahora toca la operación de recuperar archivos borrados,

La instrucción a emplear para recuperar archivos borrados:

sudo foremost -v -T -t pdf,jpg  -i /dev/sdc1 -o /home/atareao/temporal/sample/

donde:

• «-v» para que nos muestre la salida
• «-T» para que añada fecha y hora al directorio de salida donde guardamos los archivos recuperados
• «-t pdf,jpg» para los tipos de archivos a recuperar
• «-i /dev/sdc1» la partición donde se encuentran los archivos a recuperar
• «-o /home/atareao/temporal/sample/» el directorio donde se guardaran los archivos recuperados.

Date cuenta, que se guardaran no en «sample». Se garda en «sample» seguido de la fecha en la que haces el proceso de recuperar archivos borrados. Y además al crear este directorio con derechos de administrador no tienes acceso al mismo. Tienes que cambiar el propietario del directorio para poder acceder al mismo. Para esto,

sudo chown atareao:atareao /home/atareao/temporal/sample/

Finalmente tendrás algo como esto:

No exactamente, porque yo añadí el comando «time», previo a la instrucción. Así se puede ver el tiempo que tardaba en recuperar archivos borrados. Como puedes ver en la captura de pantalla, resulta ser de algo menos de cuatro minutos.

En la siguiente captura de pantalla, puedes ver todos los documentos recuperados,

Y las imágenes, que claro son las que se veían en la imagen original antes de borrar. Pero además, otras, dado que están las que borré al principio, mas las que encontró originales de la memoria USB.

Así que ¡ojo! con lo que borras, lo que crees que has borrado y lo que recuperas… . Pero recuerda que éste es un buen método para recuperar archivos borrados

---

Más información,

• WebUpd8
• Linux.com
• Brighthub
• Foremost