¿Alguna vez te has preguntado por qué vaciar la papelera, borrar conversaciones o aplicar un formateo rápido casi nunca elimina la evidencia durante una auditoría de informática forense? Cuando eliminas un documento en un sistema operativo moderno, el disco no destruye el contenido inmediatamente; únicamente marca ese espacio como disponible dentro de su índice de almacenamiento.
En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.
1. Anatomía técnica del vector y superficie de exposición
En aplicaciones de mensajería y navegadores basados en SQLite, los registros borrados permanecen intactos dentro de las páginas libres y en el archivo temporal de escritura anticipada WAL.
Observa esta prueba en nuestro laboratorio pericial. Recuperamos decenas de registros históricos directamente desde las páginas no asignadas de una base de datos local sin alterar su integridad.
$ python3 parse_sqlite_forensics.py --db mensajeria_corp.sqlite --wal
Tamaño de página SQLite: 4096 bytes (UTF-8, modo journal=WAL activo)
Registros activos visibles: 42 filas en tabla principal 'messages'
Páginas en Freelist: 19 páginas desasignadas con celdas sin sobrescribir
Transacciones en .db-wal: 312 marcos de escritura anticipada pendientes de checkpoint
Filas eliminadas recuperadas: 184 mensajes íntegros con fecha, remitente y adjuntoAdemás, en volúmenes empresariales NTFS, la tabla maestra de archivos MFT y la bitácora transaccional USN Journal conservan nombres originales, fechas exactas de creación y movimientos de cada carpeta.
2. Escalada operativa y pruebas de laboratorio
Incluso después de un formateo rápido, los peritos reconstruyen documentos mediante copias de sombra del volumen y búsqueda de cabeceras binarias directamente sobre los sectores físicos no sobrescritos.
Mira en esta segunda captura cómo reconstruimos la línea de tiempo completa de un incidente corporativo correlacionando entradas de la tabla maestra, instantáneas previas y bloques recuperados.
$ python3 reconstruct_ntfs_timeline.py --image evid_disco_01.raw
Entradas $MFT analizadas: 148,920 registros (3,410 marcados como InUse=False)
Bitácora $UsnJrnl:$J: Eventos FILE_DELETE y RENAME_OLD_NAME registrados con UTC
Instantáneas VSS halladas: 2 puntos de restauración previos al formateo rápido
File Carving en Unallocated: 27 documentos PDF y XLSX recuperados por firma binaria
Anomalía cronológica: Eliminación masiva de 410 archivos en ventana de 90 segundosPara que estos hallazgos tengan validez plena ante un tribunal, la adquisición debe realizarse con bloqueadores de escritura y firmarse criptográficamente con SHA-256 bajo estricta cadena de custodia.
3. Mitigación, auditoría y defensa en profundidad
En esta tercera prueba generamos la imagen forense bit a bit y emitimos el acta pericial verificable conforme a las normas internacionales de preservación de evidencia digital.
- Referencia técnica 1 (NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response): La eliminación lógica de archivos y el formateo rápido dejan intactos los bloques de datos subyacentes y los metadatos del sistema de archivos, permitiendo su recuperación mediante adquisición bit a bit.
- Referencia técnica 2 (SQLite Official Documentation — Database File Format: Freelist Pages and Write-Ahead Logging (WAL)): Al eliminar registros en SQLite sin ejecutar VACUUM, las páginas pasan a la lista de páginas libres (freelist) y las transacciones recientes permanecen en el archivo WAL, conservando el contenido previo.
- Referencia técnica 3 (ISO/IEC 27037 — Information technology — Security techniques — Guidelines for identification, collection, acquisition, and preservation of digital evidence): La validez probatoria de la evidencia digital requiere bloqueo de escritura durante la adquisición y verificación criptográfica de integridad mediante funciones hash entre el medio original y la copia forense.
En ViciousByte realizamos adquisiciones forenses, recuperación pericial de bases de datos y dictámenes técnicos para litigios corporativos, investigaciones internas y respuesta a incidentes de seguridad de la información.
En informática forense, intentar ocultar un incidente suele dejar el rastro más claro. Acércate a ViciousByte: desarrollo de software, informática forense, Suite OSINT, seguridad TI y Red Team.
Canales oficiales de ViciousByte
- Web: https://viciousbyte.com
- Telegram: https://t.me/viciousbyte
- YouTube: https://www.youtube.com/@icrumor
- Instagram: https://www.instagram.com/9viciousbyte
- Facebook: https://www.facebook.com/viciousbyte
- Ciberseguridad
- InformaticaForense
- PeritajeDigital
- SQLite
- AuditoriaTI
- ViciousByte
