Editorial note / Nota editorial

This article preserves content originally published by Igor S. Bederov on his personal blog.

The original post was published at https://ibederov-en.blogspot.com/2023/12/15forensictools.html and can be accessed in its archived version on the Wayback Machine: https://web.archive.org/web/20260313134002/https://ibederov-en.blogspot.com/2023/12/15forensictools.html

It is reproduced here with full attribution to the original author, solely to prevent this publicly useful information from being lost.

All credit belongs to Igor S. Bederov.

Este artículo preserva el contenido publicado originalmente por Igor S. Bederov en su blog personal.

La entrada original fue publicada en https://ibederov-en.blogspot.com/2023/12/15forensictools.html y puede consultarse en su versión archivada en Web Archive: https://web.archive.org/web/20260313134002/https://ibederov-en.blogspot.com/2023/12/15forensictools.html

Se reproduce aquí con atribución completa al autor, con el único propósito de que esta información de utilidad pública no se pierda.

Todos los créditos pertenecen a Igor S. Bederov.

Free Digital Forensics Tools

Igor S. Bederov once compiled a list of free tools for investigators and digital forensics specialists.

Since that resource is no longer available online, we preserve its contents here so it remains accessible to those who need it.

NirSoft Utilities

A site hosting hundreds of free utilities for forensic specialists — from Windows password recovery to network tools. Most require no installation and leave no traces on the system.

https://www.nirsoft.net/

BULK_EXTRACTOR

Scans disk images, files, and directories to extract structured information such as email addresses, phone numbers, credit card numbers, GPS coordinates, and fragments of JPEG and JSON files — without parsing file system structures.

https://github.com/simsong/bulk_extractor

SHERLOQ

A complete toolkit for the forensic examination of digital images. Applies current research algorithms to graphic files to assess authenticity and produce detailed technical reports.

https://github.com/GuidoBartoli/sherloq

VIDEOCLEANER

Analyzes photo and video files across most formats. Useful in investigations for enhancing the visibility of faces, license plates, and other objects by improving brightness, adjusting saturation, and correcting distortions.

https://videocleaner.com/

ArtEx (Artifact Examiner)

A forensic tool for iOS smartphones that visualizes and extracts device data from jailbroken devices or pre-made images. Builds timelines, maps movements between cell towers, parses messaging apps, analyzes transactions, and performs facial recognition in photos.

http://doubleblak.com/

Andriller

A forensic toolkit for Android devices. Extracts and decodes device data, can bypass lock screen protection, and includes customizable decoders for Android app databases.

https://github.com/den4uk/andriller

MOBILedit

A phone management and backup app for any operating system. Transfers contacts and messages, creates local backups, and manages phones from a PC over Wi-Fi.

https://www.mobiledit.com/app-mobiledit

HINDSIGHT

Specialized in analyzing Chromium-based browsers. Collects and examines browser artifacts including download history, cache, bookmarks, autofill data, saved passwords, extensions, and cookies — organized into a timeline.

https://github.com/obsidianforensics/hindsight

HackBrowserData

An open-source tool that extracts data from a wide range of browsers (Chrome, Edge, Brave, Opera, Firefox, Vivaldi, and more): passwords, bookmarks, history, cookies, and download links.

https://github.com/moonD4rk/HackBrowserData

XPLICO

A network traffic analyzer supporting HTTP, SIP, IMAP, POP, SMTP, TCP, UDP, IPv6, Facebook, IRC, and other protocols. Highly useful for network forensics investigations.

http://xplico.org/

FILE IDENTIFIER

A Windows utility that identifies unknown files via the right-click context menu. Recognizes over 2,000 file types from its own built-in database.

https://windowsfileviewer.com/file_identifier

OSF Clone

Creates or clones accurate raw disk images independently of the installed operating system. Supports the open AFF (Advanced Forensics Format) and preserves unused sectors, free space, file fragmentation, and undeleted file records from the original drive.

https://www.osforensics.com/tools/create-disk-images.html

Autopsy

The most well-known open-source digital forensics platform. Features a full GUI and is used by law enforcement, military, and corporate examiners. Designed for extensibility through third-party modules.

http://sleuthkit.org/autopsy/

Avilla Forensics

A free mobile forensics tool that connects to devices via the ADB interface, creates full backups, and installs its own agent for real-time data parsing from a wide variety of sources.

https://github.com/AvillaDaniel/AvillaForensics

iLEAPP

A log, event, and Plist parser for iOS 11–14. Essential for anyone who works with iPhone plist files.

https://github.com/abrignoni/iLEAPP

Forensic Wiki

A web resource in Wiki format dedicated entirely to digital forensics. Contains answers to virtually any question in the field.

https://forensics.wiki/

Original credits: Igor S. Bederov. Content preserved by RecuperacionDeDatos.com.mx for public knowledge conservation purposes.

Herramientas gratuitas de forensia digital

Igor S. Bederov compiló en su momento una lista de herramientas gratuitas para investigadores y especialistas en forensia digital.

Dado que ese recurso ya no está disponible en línea, preservamos aquí su contenido para que siga siendo accesible a quienes lo necesiten.

NirSoft Utilities

Un sitio que reúne varios cientos de utilidades gratuitas para el especialista forense: desde recuperación de contraseñas de Windows hasta herramientas de red. La mayoría no requiere instalación y no deja rastros en el sistema.

https://www.nirsoft.net/

BULK_EXTRACTOR

Permite escanear imágenes de disco, archivos y directorios para extraer información estructurada: direcciones de correo, números telefónicos, tarjetas de crédito, coordenadas GPS, fragmentos de archivos JPEG y JSON, sin necesidad de analizar estructuras del sistema de archivos.

https://github.com/simsong/bulk_extractor

SHERLOQ

Un conjunto completo de herramientas para el análisis de imágenes electrónicas. Aplica algoritmos de investigación recientes sobre archivos gráficos para determinar su autenticidad y generar conclusiones técnicas detalladas.

https://github.com/GuidoBartoli/sherloq

VIDEOCLEANER

Analiza archivos de foto y video en la mayoría de formatos. Permite mejorar la calidad de rostros, placas vehiculares y otros objetos en imágenes, ajustando brillo, saturación y eliminando distorsiones. Muy útil en investigaciones.

https://videocleaner.com/

ArtEx (Artifact Examiner)

Herramienta forense para smartphones iOS. Permite visualizar y extraer datos de dispositivos con jailbreak o imágenes preconfiguradas. Construye líneas de tiempo, analiza movimientos entre torres celulares, interpreta mensajeros, analiza transacciones y reconoce rostros en fotos.

http://doubleblak.com/

Andriller

Conjunto de herramientas forenses para Android. Extrae y decodifica datos del dispositivo, puede revelar la protección de contraseña de acceso y cuenta con decodificadores personalizables para bases de datos de aplicaciones Android.

https://github.com/den4uk/andriller

MOBILedit

Aplicación de respaldo y gestión de teléfonos para cualquier sistema operativo. Permite transferir contactos y mensajes, crear respaldos locales y administrar el teléfono desde una PC vía Wi-Fi.

https://www.mobiledit.com/app-mobiledit

HINDSIGHT

Herramienta especializada en el análisis de navegadores basados en Chromium. Recopila y analiza artefactos del navegador: historial de descargas, caché, marcadores, autocompletado, contraseñas guardadas, extensiones y cookies, organizándolos en una línea de tiempo.

https://github.com/obsidianforensics/hindsight

HackBrowserData

Producto de código abierto que extrae datos de múltiples navegadores (Chrome, Edge, Brave, Opera, Firefox, Vivaldi, entre otros): contraseñas, marcadores, historial, cookies y más.

https://github.com/moonD4rk/HackBrowserData

XPLICO

Analizador de tráfico de red compatible con HTTP, SIP, IMAP, POP, SMTP, TCP, UDP, IPv6, Facebook, IRC y otros protocolos. Herramienta de gran utilidad en investigaciones forenses de red.

http://xplico.org/

FILE IDENTIFIER

Utilidad para Windows que permite identificar archivos desconocidos desde el menú contextual. Reconoce más de 2,000 tipos de archivos a partir de su propia base de datos.

https://windowsfileviewer.com/file_identifier

OSF Clone

Permite crear o clonar imágenes de disco en formato raw de forma independiente al sistema operativo instalado. Compatible con el formato AFF (Advanced Forensics Format). Preserva sectores sin usar, espacio libre, fragmentación de archivos y registros de archivos no eliminados.

https://www.osforensics.com/tools/create-disk-images.html

Autopsy

La plataforma de forensia digital más conocida del ecosistema libre. Cuenta con interfaz gráfica propia y es utilizada por fuerzas del orden, militares y peritos corporativos. Diseñada para trabajar con módulos de terceros.

http://sleuthkit.org/autopsy/

Avilla Forensics

Herramienta gratuita para forensia en plataformas móviles. Se conecta al dispositivo mediante la interfaz ADB, crea respaldos completos e instala un agente propio para análisis de datos en tiempo real desde múltiples fuentes.

https://github.com/AvillaDaniel/AvillaForensics

iLEAPP

Analizador de logs, eventos y archivos Plist para iOS 11–14. Indispensable para quienes trabajan con archivos plist de iPhone.

https://github.com/abrignoni/iLEAPP

Forensic Wiki

Recurso web en formato Wiki dedicado íntegramente a la forensia digital. Contiene respuestas a prácticamente cualquier pregunta en la materia.

https://forensics.wiki/

Créditos originales: Igor S. Bederov. Contenido preservado por RecuperacionDeDatos.com.mx con fines de conservación del conocimiento público.

Origen

La mejor forma de recuperar un archivo .zip corrupto depende de la gravedad del daño.

A continuación, se presentan los métodos más efectivos, desde funciones integradas en programas conocidos hasta herramientas especializadas:

1. Usar la función «Reparar» de WinRAR (Windows)

WinRAR es uno de los métodos más confiables porque intenta reconstruir la estructura del archivo:

– Abre WinRAR y navega hasta el archivo dañado.
– Selecciona el archivo y haz clic en el menú Herramientas > Reparar archivo (o presiona Alt + R).
– Elige la carpeta de destino y selecciona Tratar el archivo corrupto como ZIP.
– WinRAR creará una copia reparada con el prefijo «rebuilt».

2. Forzar la extracción con 7-Zip

A diferencia del extractor nativo de Windows, 7-Zip a menudo puede extraer archivos incluso si detecta errores de CRC (error de redundancia cíclica):

– Haz clic derecho en el archivo y selecciona 7-Zip > Extraer archivos….
– En la ventana de configuración, marca la casilla Eliminar archivos corruptos (si está disponible) o simplemente intenta la extracción normal. A menudo logrará salvar la mayoría de los archivos internos.

3. Reparación mediante terminal (Mac y Linux)

MacOS y Linux incluyen utilidades de línea de comandos que pueden reconstruir archivos ZIP dañados:

– Abre la Terminal.
– Usa el comando de reparación básica: zip -F archivo_dañado.zip –out archivo_reparado.zip.
– Si el daño es grave, usa el comando de reparación profunda: zip -FF archivo_dañado.zip –out archivo_reparado.zip.

4. Herramientas de terceros especializadas

Si los métodos anteriores fallan, existen programas diseñados específicamente para la recuperación profunda:

– DiskInternals ZIP Repair: Una herramienta gratuita y sencilla que automatiza el proceso de reconstrucción de la estructura del ZIP.

– WinZip Command Line: Para usuarios avanzados, WinZip ofrece una utilidad de línea de comandos que puede ejecutar reparaciones manuales mediante el comando wzzip -yf.

– Servicios en línea: Herramientas como ezyZip permiten cargar el archivo y tratar de repararlo directamente en el navegador sin instalar software.

Consejos rápidos si nada funciona:

– Vuelve a descargar el archivo: Muchos errores de corrupción ocurren por descargas incompletas o fallos en la conexión de red.

– Verifica el medio de almacenamiento: Si el archivo está en una USB o disco externo dañado (por ejemplo, con daño de sectores), intenta copiarlo a tu disco local antes de repararlo.

Nosotros ofrecemos un enfoque integral:

Recuperación profesional de datos:

– Intervención en laboratorio, con herramientas avanzadas y procedimientos controlados.
– Asesoría en almacenamiento y respaldo: Diseñamos esquemas seguros para hogares, creadores y empresas.
– Guías ebook especializadas: Aprende cómo funcionan los dispositivos, cómo recuperar y cómo proteger tus datos.
– Webinars técnicos y preventivos: Capacitación práctica para usuarios y profesionales de TI.

La importancia de un plan de respaldo y recuperacion de desastres

Si tu dispositivo falló (o quieres preparate para cuando falle) no esperes a que sea demasiado tarde.

¿Dejó de funcionar, perdiste información o quieres proteger tus datos antes de que ocurra una falla?

Contáctanos al 55-4522-9785 para diagnóstico, recuperación profesional, asesoría en respaldo o accede a nuestras guías y webinars especializados.

Origen

Primero, es importante entender que los datos pueden corromperse de muchas maneras diferentes.

Puede ser el resultado de un fallo de hardware (como el daño de sectores), un error de software, una infección de virus o malware, una recuperación incompleta, incorrecta, o simplemente un error humano.

Es fundamental identificar la causa del problema antes de intentar recuperar los datos.

Si los datos corruptos son el resultado de una recuperación incompleta, es necesario hacer la recuperación de nuevo, pues generalmente en esos casos no es posible reconstruir los archivos.

La corrupción de datos puede ser irreversible, como en los casos en los que hay sobrescritura.

Siempre que sea posible, y sobre todo si los datos son importantes, se recomienda encarecidamente que se realice una copia de seguridad en otro dispositivo o en la nube para reducir el riesgo de pérdida permanente.

Algunas veces es posible recuperar o reparar los archivos corruptos. Hay varios métodos para hacerlo, y el éxito depende en gran medida del tipo de falla y la extensión de la corrupción.

Si un dispositivo de almacenamiento está dañado, puede intentar conectarlo a otro dispositivo o puerto para ver si se puede acceder a los datos.

Sin embargo, es importante tener en cuenta que estos métodos pueden dañar aún más los datos y causar una mayor pérdida de datos.

Por lo tanto, es recomendable hacer una copia de seguridad antes de intentar cualquier método casero.

Si esto no es posible, significa que el dispositivo tiene un daño grave y lo mejor es acudir con un especialista en recuperación de datos.

Cómo reparar datos corruptos

 
Precaución: Siempre trabaje con una copia del archivo en un disco distinto al original.
 

Pruebe con métodos «caseros»

A veces, los datos pueden recuperarse con métodos «caseros». Por ejemplo, si un archivo está dañado, puede intentar abrirlo en otra computadora y en otro programa para ver si se puede recuperar.

En el caso de los archivos .chk, puede probar a cambiar su extensión, por ejemplo de chk a jpg.

A veces con eso es suficiente para que el archivo se asocie con la aplicación correcta y se pueda visualizar.
 

Utilice un servicio en línea para la reparación de archivos.

Si se trata de unos pocos archivos, puede usar servicios de reparación en línea como OnlineFile.Repair.

Tome en cuenta que estos servicios puede o no ser confiables y que la confidencialidad no está garantizada, por lo que si se trata de archivos sensibles lo mejor es buscar otras opciones.
 

Utilice software de reparación de archivos.

Otra opción es adquirir un programa de reparación de archivos, como los de filerepair1.com

La ventaja es que algunos de ellos ofrecen periodos de prueba para que pueda verificar si los archivos son reparables o no.
 

Repare los archivos con un editor hexadecimal.

En algunos casos de corrupción leve puede ser posible reparar las cabeceras o pies de los archivos de tipo conocido, como WOrd, Excel, PowerPoint, jpg, PDF, etc.

Para iniciarse en el tema le recomiendo leer el siguiente artículo:

Uso del editor hexadecimal para recuperar archivos
 

Utilice software de recuperación de datos:

Hay programas de recuperación de datos disponibles que pueden ayudar a recuperar datos corruptos.

Estos programas pueden escanear el dispositivo de almacenamiento en busca de archivos dañados o perdidos y recuperarlos si es posible.

Es importante tener en cuenta que, en algunos casos, el uso de software de recuperación en discos dañados puede empeorar la situación y causar una mayor pérdida de datos.

Por lo tanto, se recomienda siempre hacer una copia de seguridad antes de intentar recuperar los datos con un software.
 

Busque ayuda profesional

Si los datos son importantes y no puede recuperarlos con un software de recuperación de datos, puede ser necesario buscar ayuda profesional.

Los expertos en recuperación de datos tenemos herramientas y habilidades especializadas para recuperar datos corruptos.

Sin embargo, el servicio puede ser costoso, por lo que es importante asegurarse de que los datos sean críticos antes de invertir en la recuperación profesional.
 

En resumen

La recuperación de datos corruptos es posible en algunos casos. Es importante tener precaución y siempre hacer una copia de seguridad antes de intentar cualquier método de recuperación.

Si los datos son críticos y no se pueden recuperar con métodos caseros o software de recuperación de datos, se recomienda buscar ayuda profesional para recuperarlos.

Origen

Existen varias técnicas alternativas de recuperación de datos que se pueden utilizar en caso de que las técnicas comúnmente conocidas no funcionen.

Es importante tener en cuenta que estas técnicas alternativas pueden ser peligrosas para el disco duro y pueden dañar aún más los datos.

Por eso, si los datos son importantes, lo recomendable es buscar la ayuda de un profesional en recuperación de datos antes de intentar cualquiera de ellas.

Para su análisis vamos a dividirlas en Técnicas Recomendables y Técnicas No recomendables:
 

TECNICAS RECOMENDABLES

Utilización de herramientas de clonación de discos

Esta técnica se utiliza para copiar todo el contenido de un disco duro dañado a otro disco duro, o a un archivo en otro dispositivo.

De esta manera, se pueden recuperar los datos desde la copia sin tener que trabajar directamente en el disco dañado.

Existen muchos programas para el clonado de discos o la creación de «imágenes». Uno de los más populares es el DMDE.

Sin embargo, si el disco tiene daño físico, el hacer uso intensivo durante el clonado puede destruirlo físicamente sin remedio.
 

Lectura inversa

Esta técnica se utiliza generalmente en discos duros que tienen sectores dañados.

A través de un programa de recuperación de datos se intenta clonar el disco duro en orden inverso.

Esto puede permitir que el programa «salte» los sectores dañados del principio de la unidad para recuperar los datos que se encuentran después de ellos.
 

Utilización de software especializado de reparación de archivos

Existen programas de recuperación de datos que pueden ser utilizados para casos generales, como recuperar archivos eliminados o dañados. Estos programas escanean el disco duro en busca de datos perdidos y los recuperan.

También existen otros programas especializados que permiten el análisis de los datos recuperados para su reparación o reconstrucción.

Algunos de ellos tienen funciones automáticas o semiautomáticas, y pueden requerir de programación y entrenamiento para recuperar tipos de archivos poco comunes.

Ejemplos de programas especializados en la reparación de archivos comunes son los de OfficeRecovery.

Otro programa recomendable para recuperar y reparar imágenes es el JPEG-Repair Toolkit.
 

Escaneo por regiones

Escanear discos muy grandes puede llevar mucho tiempo. Algunas veces, solo una parte del disco duro debe ser escaneada para obtener los datos importantes.

Esa área se conoce como «región». Una región puede ser creada virtualmente por algunos programas de recuperación, de modo que no modifican ni dañan la información original.

Estas regiones pueden o no corresponder a particiones enteras o a discos lógicos, de las que se pueden recuperar datos en la misma forma que recuperamos desde un disco completo.

Estos programas también puede crear «exclusive regions», las que corresponden a los lugares que no debemos escanear ni modificar para evitar mas daño (como en el caso de áreas dañadas o delicadas como System Area).
 

Reemplazo de la tarjeta lógica (controladora o PCB)

Si la falla del disco duro es debido a un problema en la tarjeta lógica, es posible reemplazarla con una nueva, aunque esencialmente las tarjetas no son intercambiables.

Esto solo funciona si la nueva tarjeta es exactamente igual a la original, incluyendo marca, modelo y capacidad, fecha de fabricación y versión de firmware.

Además, en la gran mayoría de los casos también debemos hacer cambio de componentes físicos, por ejemplo la migración de chips de firmware (siempre que sea posible), o la deshabilitación o remoción de componentes, y soldadura de interfaces (como en los casos de la conversión de tarjetas USB a SATA).

Esto requiere de refacciones, soporte, capacitación, herramientas especiales, equipo, instalaciones y mano de obra altamente capacitada, pues si se hace mal se puede destruir información indispensable para la recuperación de los datos.
 

Análisis de datos

El análisis de datos es un conjunto de técnicas poderosas que se utilizan para examinar el disco duro (o el dispositivo de almacenamiento), para encontrar archivos perdidos o dañados y para extraer información importante.

Para saber más: Análisis de datos: ¿Qué información se puede recuperar y cómo se hace?
 

Recuperación de datos en Cuarto limpio

Si el disco duro está dañado debido a la exposición a contaminantes, como polvo o humedad, es posible que sea necesario abrirlo para recuperar los datos en un ambiente controlado libre de partículas, como un Cuarto limpio o una cabina de flujo laminar.

Estas instalaciones pueden requerir del uso de trajes especiales y equipo de protección (para evitar la contaminación interna del disco duro), además de equipo, herramientas, insumos y refacciones especiales.

La apertura en Cuarto limpio es necesaria si hay que hacer cambio de piezas, cuando existe un problema con los componentes mecánicos o electrónicos que deben ser reemplazados con partes nuevas (por ejemplo si hay daño de motor o daño de cabezal).

Este trabajo debe ser realizado por profesionales con mucha experiencia en la recuperación de datos, ya que es muy delicado y prácticamente no tiene margen de error.
 

TECNICAS NO RECOMENDABLES

 
Existen otras (mal llamadas) técnicas de recuperación de datos que no se recomiendan debido a que pueden dañar aún más el disco duro o dispositivo de almacenamiento, y hacer que los datos sean más difíciles o imposibles de recuperar.
 

Golpear el disco duro

El disco duro es una dispositivo de ingeniería electromecánica, con partes móviles, extremadamente sensible, delicado y preciso, por lo que golpearlo no será de ninguna ayuda y por el contrario, puede ocasionar daños irreparables.

El cabezal de lectura y escritura «flota» a distancias nanométricas sobre un colchón de aire de micras de espesor (una micra es la millonésima parte de un metro).

Ese colchón de aire lo crea el giro del plato magnético, que puede correr a velocidades de 5900 rpm, 7200 rpm e incluso mayores.

Si golpeas el disco y el cabezal pierde su alineación y choca con la superficie del plato, puede ocasionar Head crash o rotational scoring, que son daños catastróficos y destructivos para la información.
 

Congelar el disco duro

Esta «técnica» se utiliza para discos duros que tienen problemas mecánicos, y consiste en colocar el disco duro en una bolsa sellada que se congela por varias horas.

Una vez que se saca del congelador, se conecta inmediatamente a una computadora y se intenta recuperar los datos antes de que el disco duro se caliente nuevamente.

La «teoría» es que al congelar el disco duro dañado se reducirá su expansión térmica (?), lo que permitirá su funcionamiento temporal para la recuperación de los datos.

Sin embargo, la condensación de humedad en el interior del disco, sumado a la falla original puede dañar aún más el disco duro y hacer que sea imposible recuperar los archivos.
 

Abrir el disco duro

Abrir el disco duro antes de diagnosticar la falla y hacerlo fuera de un ambiente controlado especial, para intentar repararlo o recuperar los datos puede ser muy peligroso y no se recomienda, ya que la exposición del interior del disco duro a partículas de polvo y contaminantes puede hacer que se rayen los platos, lo que haría muy poco probable la recuperación.
 

Intentar reparar el disco duro uno mismo (DIY)

A menos que se tenga experiencia en la reparación de discos duros, no se recomienda intentar reparar uno usted mismo.

Si no se tiene el equipo y los conocimientos adecuados, se pueden causar más daños al dispositivo y hacer que sea más difícil recuperar los datos.
 

Aplicar sugerencias de YouTube, de «el hermano de un amigo» o de anécdotas pasadas

Desafortunadamente existen multitud de personas que por ganar unos clics, publican información incorrecta de manera irresponsable.

También hay otras bien intencionadas pero muy mal informadas, que pueden sugerir acciones destructivas.

Y existe lo que se llama la falacia de «a mí no me pasará lo peor», por la que a veces podemos pensar que nuestro caso se resolverá sencillamente y que los datos son de alguna manera indestructibles (como cuando el usuario dice «yo sé que los datos están ahí…»).

Para recuperar los datos se debe seguir un método específico por falla, que permita proteger el original, diagnosticar la falla, reparar el daño, clonar el disco, reconstruir los datos, verificarlos, y corregir los errores, para al final obtener una recuperación de datos exitosa.
 

Utilizar software de recuperación de datos no confiable

Hay muchos programas de recuperación de datos disponibles en línea, pero no todos son confiables.

Los programas «piratas» pueden contener virus o malware que pueden dañar aún más los datos o incluso el sistema operativo. Es importante utilizar software de recuperación de datos de una fuente confiable.

También hay que desconfiar de los sitios que prometen tasas de recuperación del 100% o que hacen afirmaciones increíbles. El uso del sentido común es obligatorio.
 

Uso de herramientas de reparación de sectores defectuosos

El daño de sectores (error de redundancia cíclica, formato RAW, error 23, etc.) generalmente es físico, progresivo y destructivo para la información.

No existe ningún programa de software que pueda reparar daños físicos de hardware. Se trata de dos dominios completamente diferentes.

Existen programas que dicen poder reparar sectores (como HDDRegen o Spinrite, entre otras), pero es importante tener en cuenta que esto es peligroso y causa una mayor pérdida de datos.
 

Formatear el disco duro (o el SSD, memoria o smartphone)

Una de las peores ideas es formatear un dispositivo dañado. Esto generalmente tiene efectos destructivos para la información, dependiendo del tipo de formato y dispositivo empleados:

– Formateo rápido en disco duro: Esto elimina solamente la tabla de asignación y la sustituye por una en blanco. Eso no repara daños ni ayuda a la recuperación.

– Formateo lento o de bajo nivel en disco duro: Este obliga al disco duro presuntamente dañado a intentar la escritura de sectores, lo que puede hacer progresar el daño.

Además causa la relocalización de los sectores que no se pueden leer (por estar dañados y por otras razones), hacia sectores de repuesto (spare). El efecto final es de sobrescritura masiva, la que destruye la información.

– Formateo en unidades flash (memorias USB, SD, CF, etc.): Causa los mismos efectos que en el disco duro, pero además, en memorias modernas, el formateo también sobrescribe a ceros los sectores (para evitar el efecto de memoria). Esto destruye los datos sin remedio.

– Formateo de unidades SSD: Al formatear (y también al borrar), se activan las rutinas de recolección de basura (TRIM), lo que sobrescribe a ceros los sectores formateados o borrados, destruyendo la información casi de inmediato.

– Formateo de unidades encriptadas (SED, Bitlocker, etc.): El formateo destruye los metadatos (que también están encriptados), necesarios para realizar el desencriptado, y no hay manera de hacer análisis de fragmentos porque no es posible reconocer información coherente en ellos.

– Formateo (y/o reset) de smartphones: El formateo o reseteo destruye los metadatos necesarios para el desencriptado, y generalmente los sobrescribe de inmediato con los datos del nuevo sistema de archivos encriptado.
 

Continuar utilizando el dispositivo de almacenamiento dañado

Si hay síntomas de falla (lentitud, perdida de conexión, ruido, corrupción, etc.), es importante dejar de utilizar el dispositivo, pues todos los daños son progresivos y destructivos para la información.

Lo mejor es buscar ayuda de un profesional en recuperación de datos.
 

Notas finales

Al seguir técnicas no recomendables, se corre el riesgo de dañar aún más los datos y hacer que sea más difícil o imposible recuperarlos.

Es importante tener en cuenta que la recuperación de datos es un proceso complejo y delicado, y que cualquier intento de recuperación debe ser realizado por un profesional capacitado en recuperación de datos.

El dispositivo dañado se debe proteger de personas no competentes, pues es muy fácil destruir la información al realizar intentos fallidos, o al aplicar métodos incorrectos para la falla presentada.

Comprueba por qué somos la mejor opción en recuperación de datos en México.

El Especialista está en línea. Solicita ayuda ahora!

Origen

Virus

En caso de una infección por virus, el objetivo principal es eliminar el virus y reparar cualquier daño causado por él.

Una vez que el virus ha sido eliminado, los archivos originales podrían ser recuperados o reparados mediante la utilización de software especializado o haciendo una reparación manual.

La precaución más importante que se debe seguir es que se trabaje siempre en una copia de los archivos (no en los originales), para evitar cualquier imprevisto y poder regresar al estado original en caso de ser necesario.

Ransomware

En caso de un ataque de ransomware, el objetivo principal es recuperar el acceso a los archivos cifrados.

A veces es posible recuperar los archivos mediante el pago del rescate, pero pagar no garantiza que los archivos serán desencriptados.

Tampoco debe fiarse de las empresas que dicen poder desencriptar los datos: No es cierto que tengan «equipos de investigación y desarrollo» o «tecnología de punta» para desencriptar archivos.

Desafortunadamente esto es mentira en la mayoría de los casos, y solo tratan de aprovecharse del problema y del cliente, sirviendo como cobradores para los secuestradores de datos.

Es muy importante que se conozca el problema antes de intentar recuperar los datos con programas antivirus, vacunas o software de recuperación, pues estos pueden destruir estructuras lógicas (como los archivos temporales), y ocasionar daños irreparables a los archivos cifrados.

Puede aprender mas acerca del ransomware y sus opciones visitando el siguiente enlace.

Es importante contar con una copia de seguridad actualizada de los archivos para asegurar la recuperación de los datos en caso de un imprevisto.

Puede llamar al 55-4522-9785 si requiere más información, estamos seguros de poder orientarle correctamente.

Origen

Para la recuperación de datos de un RAID-0, debe seguir un proceso diseñado para rescatar o reconstruir la mayor cantidad de archivos, con el menor riesgo de daño lógico o de daño físico posible:

Este proceso de recuperación consta de 6 pasos:

1.- Protección del dispositivo.
2.- Diagnóstico de la falla (y cotización).
3.- Determinación de los parámetros de operación.
4.- Reparación de emergencia.
5.- Clonado hacia discos «sanos».
6.- Reconstrucción y recuperación de datos.
 

Protección del dispositivo.

Si ya no tiene acceso a sus datos es indispensable que apague el servidor o NAS, pues de no hacerlo se expone cuando menos a la sobrescritura involuntaria de información, lo cual puede ocasionar la destrucción de sus archivos.

Debe marcar los discos con etiquetas adheribles para recordar su posición en el servidor o NAS.

Debe anotar la marca y modelo del servidor, de la tarjeta controladora RAID, o de la unidad NAS, así como de los discos físicos, tipo de interfaz (IDE-SAS-SATA-SCSI-etc.), sistema de archivos y sistema operativo.

Hay que investigar y anotar los antecedentes de la falla (apagones, golpes, vibraciones, alarmas, etc.) y los síntomas (sonidos, errores de sistema, presencia de humo, fuego o líquidos, olor a quemado, etc.).

También debemos saber si hubo algún intento previo de recuperación, y si fue así, solicitaremos un reporte de las acciones que llevaron a cabo, y/o si hubo sobrescritura de datos o sustitución de discos.

No debe utilizar discos en mal estado físico porque esto puede llevar a daños a la superficie de los platos internos, lo que puede causar la destrucción de los datos.

Los dispositivos deben protegerse muy bien contra daños golpes o mojaduras, durante el traslado al laboratorio, y no deben conectarse a ningún equipo de manera individual, ni con adaptadores (USB o de otro tipo), para prevenir mas daño.

Tampoco debe permitir la apertura de los discos fuera de laboratorio, pues no hay partes que pueda ajustar o cambiar y por otro lado, se complica mucho la recuperación por la contaminación y manipulación inadecuadas.

Diagnóstico de la falla.

Antes de conectar cualquier disco debemos saber si estaba alarmado, o si emite algún sonido distinto al de su funcionamiento normal (como pitidos o golpeteo), lo que puede indicar un daño físico interno.

Conocer los antecedentes y síntomas nos ayudará a elegir el método de recuperación adecuado para el caso.

Es muy importante proteger los discos originales contra escritura involuntaria o corto circuito, lo que solo se logra correctamente con equipo especial (bastante costoso), como la PC-3000 RAID Edition.
 
Acerca de la PC-3000
 

 
Este hardware de diagnóstico y recuperación protege contra corto circuito y comprueba el voltaje de los componentes de la PCB y el estado del motor.

Nos permite verificar la version de firmware, capacidad, numero de serie, modelo, familia y otros parámetros para diagnosticar, confirmar o descartar fallas probables.

También podemos consultar el estado SMART, editar o reparar el firmware, y reprogramar componentes para hacer reparaciones de emergencia.

Los discos sin falla y sin errores de SMART pasan directamente al paso 5.- CLONADO.
 
Costo de recuperación de datos
 
El costo de la recuperación de datos se calcula principalmente por el tipo de falla pues de eso depende el método de recuperación, precio de refacciones e insumos, mano de obra especializada, uso de instalaciones y equipo especial, entre otros.

Los trabajos se inician una vez que se autoriza el presupuesto total, y se divide en dos partes:

– Costo de Diagnóstico (que incluye refacciones e insumos).
– Costo de Recuperación.
 
Solicite una cotización personalizada para su caso en nuestra página de CONTACTO o llame al 55-4522-9785 para que un especialista le atienda de inmediato.
 

Determinación de los parámetros de operación.

Si hay acceso a discos en buen estado (o a sus clones) podemos determinar los parámetros de operación, que son las reglas de funcionamiento del RAID.

Los clones o imágenes de disco se analizan para determinar el orden, rotación, paridad, tamaño de sector, desplazamiento, sistema de archivos, sistema operativo, tipo de encriptado, etc.
 

Reparación de emergencia.

Una vez que sabemos el tipo de falla, que se ha autorizado el presupuesto y se ha pagado el diagnóstico, se pueden hacer cambios de piezas o las reparaciones de emergencia que se requieran (lógicas, físicas, electrónicas, mecánicas, externas o internas), que permitan leer los sectores secuencialmente para generar un archivo de «imagen» o «clon».
 

Clonado o Imagen.

A manera de ejemplo, podemos imaginar que los archivos son como rompecabezas, y sus fragmentos son las partes que los forman.

Entonces hacer el clonado es el equivalente a reunir todas las piezas de los rompecabezas que forman los archivos.

Acerca de la probabilidad de recuperación de datos de RAID-0

Si la extensión del daño lo permite y la reparación de la falla es exitosa, se puede llegar a lograr la lectura del 100% de los sectores, para tener acceso al 100% de los datos.

Puede ser más probable cuando existe algún daño electrónico, pues este tipo de falla rara vez afecta la integridad de los platos magnéticos.

Aun si solo se consigue un clonado o imagen parcial, todavía puede ser posible la recuperación parcial o total de los datos.

En otros casos, cuando hay daño físico de cabezal HSA o de sectores, head crash, head stiction, rotational scoring o sobrescritura, puede ser que la lectura de los sectores sea parcial, y por lo tanto, la recuperación también es parcial y puede verse afectada la integridad de los archivos.

Si uno de los discos de un RAID-0 no se puede reparar o leer, no es posible la recuperación.

Reconstrucción y recuperación de datos.

Una vez que tenemos las imágenes o clones de los discos, usamos los parámetros de operación para extraer, reconstruir y recuperar los archivos.
 

Verificación de integridad

Se verifica que la información reconstruida o recuperada sea funcional, pues de nada sirve tener archivos «recuperados» que no funcionan.

Existen varias técnicas y herramientas que nos permiten verificar la integridad de grandes cantidades de archivos con relativa facilidad, por lo que no necesariamente debemos abrir cada uno de ellos, ni instalar los programas con los que fueron creados.
 

Corrección de errores

Si detectamos que hay archivos que no funcionan, se pueden realizar reparaciones de emergencia para muchos tipos de archivo conocidos (docx, xlsx, jpg, pdf, pst, sql, mdf, ldf, etc.).

Esto no significa que cualquier archivo dañado se pueda reparar, por lo que se debe analizar caso por caso antes de dar un dictamen final.

La reparación de archivos puede ser automática, semiautomática o manual, según sea necesario.
 

Entrega de reporte de recuperación

En este punto ya podemos emitir un listado de archivos recuperables y el reporte de su estado actual, para que el usuario sepa qué se puede recuperar y en qué estado se encuentra la información.

En algunos casos podemos darle acceso vía Anydesk para la revisión de sus archivos en línea.
 

Cobro y entrega de datos recuperados

Una vez que se da el visto bueno a la recuperacion de los datos, se realiza el pago por ese concepto para tener acceso a los archivos.

La información recuperada se puede entregar en el dispositivo de su preferencia (no incluido en el costo del servicio).
 
Este es un extracto de un artículo publicado en nuestro sitio web.

Puedes consultarlo completo visitando Recuperación de datos de RAID-0.

Si ya no tiene acceso a sus datos es indispensable que apague el servidor o NAS, pues de no hacerlo se expone cuando menos a la sobrescritura involuntaria de información, lo cual puede ocasionar la destrucción de sus archivos.

Si tiene dudas acerca del proceso o necesita la recuperación de datos de servidores o NAS en RAID-0, solicite ayuda ahora!

Origen

Esas coordenadas, al ingresarlas en GoogleMaps, nos dirán en donde estaba parado el fotógrafo cuando la foto fue tomada.
 

Requisitos previos

– En Android, en configuración de la cámara debes tener seleccionada la opción de «Etiqueta de ubicación».
– En Iphone, esta opción se activa en Ajustes > Privacidad > Localización, en donde debes seleccionar la cámara.
– Los datos Exif deben estar presentes.
 

Que son los datos Exif?

Los datos Exif son una forma de metadatos que se puede encontrar en algunos archivos JPG o TIFF.

Estos datos incluyen informacion acerca de la fecha y hora en que fue tomada la foto, así como la marca de la cámara, la exposición usada, etc.

Si la cámara o smartphone tenía una unidad GPS con los permisos activados, los datos de geolocalización (en forma de coordenadas con latitud y longitud), se graban junto con la foto.

Aun sin la información de localización, los datos EXIF guardados en la imagen pueden ser de utilidad en investigaciones forenses.
 

Como encontrar los datos de geolocalización

Exif.regex.info

Para conocer los datos de geolocalización de una fotografía podemos hacer lo siguiente:

– Localiza una fotografía en línea (también puedes subir una desde tu computadora o teléfono).
– Haz clic derecho en «copiar URL de la imagen».
– Ir a la siguiente página: http://exif.regex.info/exif.cgi
– Haz clic en «pegar» (o en «Seleccionar archivo…» para subir la foto).
– Resuelve el CAPTCHA y…
– Haz clic en el botón «View Image Data».

En la siguiente página podrás ver la información Exif de la foto, así como las coordenadas de geolocalización y los vínculos correspondientes en GoogleMaps, Maps.Yahoo, Wikimapia, OpenStreetMap y Bing Maps:

Exif-viewer.com

 
El método descrito anteriormente trabaja bien con archivos JPG y TIFF que tengan la información de geolocalización disponible.

Si usamos otro tipo de archivos como .CR2 (y .CR3), .RAW, .PNG, etc., podemos intentar con una herramienta en línea subiendo la foto a http://exif-viewer.com/.

Después, debemos buscar las coordenadas en los parámetros GPSLatitude y GPSLongitude.

Si los encontramos podemos ingresarlos manualmente en GoogleMaps.
 

Causas por las que este método puede no funcionar

– Si el geoetiquetado no estaba encendido al momento de tomar la foto, este método no funciona. La mayoría de los smartphones y tabletas tienen esta opción deshabilitada por defecto.

– Para proteger la privacidad de las personas, la mayoría de las paginas de redes sociales como Facebook o Twitter borran automaticamente la informacion de Exif (aunque no siempre!).

– Tampoco funciona con fotos tomadas o enviadas por WhatsApp.
 

¿Por que no funciona con fotos de WhatsApp?

WhatsApp redimensiona las fotos para optimizar su tamaño y peso.

En nuestras pruebas, independientemente de si la foto fue tomada desde WhatsApp o desde la cámara, en ambos casos encontramos que la informacion Exif fue eliminada o se corrompió al enviar la foto con la aplicación.
 

Programa para extraer datos Exif

Uno de los mejores programas para trabajar con datos Exif es EXIFTool de Phil Harvey.

El programa nos permite ejecutar procesos en serie para obtener esta información de un gran numero de tipos de archivo diferentes (más de 150).

El programa es gratuito y se puede descargar desde la página del proyecto https://exiftool.org/.
 

Si todo lo anterior falla

Saber en donde fue tomada una fotografía puede ser simple o extremadamente complicado, y a veces hasta imposible, por lo que debes tener mucha paciencia pues no hay soluciones simples.

Puedes ampliar tus opciones de búsqueda con las siguientes:
 

Hacer una búsqueda por imágenes (Reverse search)

Muchas páginas permiten subir una imagen para buscar otras iguales o similares, por ejemplo Google Images o TinEye.

Una mención especial la merece el buscador de imágenes de Yandex, que aparte de ofrecerte más resultados que otros, te permite buscar por secciones de la foto (con la opción «Select crop area»).

Convertir la búsqueda en palabras

Aunque es mas difícil obtener resultados con este método, puedes tratar de buscar convirtiendo el contenido de la foto en palabras.

Piensa por ejemplo en lo que ves e intenta describirlo en términos simples (auto azul Chevrolet, chamarra roja con franjas, etc.).

Cualquier información, combinada con la obtenida con otros métodos puede ser útil.

Usar otros datos de referencia

A veces puedes analizar el contenido de la foto para buscar marcas (de coches o de ropa), puntos de referencia (como construcciones), letreros con nombres de negocios, placas de auto, logotipos y otra información que te permitan ubicar poco a poco el área en la que pudo tomarse la foto.

Algunos smartphones incluyen opciones de búsqueda visual para encontrar plantas, animales u objetos varios.

También puedes acudir a grupos de redes sociales, si, por ejemplo, sabes el área geográfica en la que pudo haber sido tomada (por ejemplo Brasil, Japón, etc.).

Es posible que alguien pueda reconocer partes de la foto y darte nuevas pistas.

Para saber más

Un nuevo estudio (2022) muestra 4 ejemplos en los que se construyeron perfiles completos (nombre, fecha de nacimiento, domicilio, nombre de esposo/esposa, etc.), a partir de imágenes disponibles públicamente.

En este estudio se cubre también lo básico de la privacidad de los metadatos y se explica cómo podemos eliminar esta información antes de subir cualquier imagen a Internet.

Puedes consultar el estudio visitando este vínculo (en inglés): https://www.comparitech.com/blog/vpn-privacy/exif-metadata-privacy/

Comentarios y sugerencias

Envíanos tus sugerencias por chat o mail, para que podamos publicar artículos útiles e interesantes.

Si te hemos sido de ayuda, te agradecemos mucho una reseña positiva en Google.

Los Especialistas en recuperacion de datos.

Origen

Es común encontrar casos de recuperacion de archivos que no funcionan, ya sea por la naturaleza de la falla o por errores en el procedimiento de recuperación. A veces los clientes nos traen archivos que «recuperaron» pero que no pueden abrir o usar.

Un editor hexadecimal es una herramienta muy útil para poder determinar el grado de corrupción o reconstrucción de los tipos de archivo mas comunes. Podemos analizar los datos «recuperados» para saber si mantienen al menos una parte de sus estructuras.

Si encontramos que su inicio, fin, tamaño, etc. son correctos, puede ser posible realizar reparaciones posteriores a la recuperación, con lo que se obtiene todo o parte del contenido de dicho archivo.

Por ejemplo, si encontramos archivos .chk u otros que no abren por una aparente corrupción, podemos buscar las cadenas correspondientes al header para cortarlas y ponerlas al principio del archivo.

Por otro lado, si los datos aparecen sin lógica o estructura, podemos saber a ciencia cierta que dichos archivos no se recuperaron correctamente y no se puede avanzar en la corrección de errores, por lo que se deberán intentar otras técnicas de recuperación aplicables al disco o medio original.

El Editor Hexadecimal 

Un editor hexadecimal (también conocido como HEX editor) es un programa que nos deja ver un archivo en modo de código de máquina.

Cada caracter es traducido a su código equivalente ASCII. Esto es útil cuando debemos identificar el código que pertenece a determinados tipos de archivos, como gif o jpg.

Cualquier editor HEX sirve. Recomendamos XVI32, porque es gratuito, pero hay muchos otros disponibles en la web.

En el contexto de este post, usaremos negritas para mostrar los caracteres en formato HEX. Algunas veces los verás con una «x» al principio. Los caracteres únicos estarán dentro de comillas («).

Por ejemplo, en ASCII, la letra mayúscula «C» se muestra como 43 en hexadecimal (o x43), o como 67 en decimal.

Para convertir de hex a decimal, tomas el primer número (4) multiplicado por 16, y le agregas el segundo numero (3) para obtener 64+3=67.

También puedes usar una calculadora en línea, como esta.

Cómo reconocer los tipos de archivo mas comunes

Archivos JPG

Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlo pues a partir del 7° caracter debe aparecer el término «JFIF».

En editor hexadecimal:

• FF D9 fin del archivo
• FF D8 inicio del archivo
• FF C0 contiene el tamaño del archivo
• Altura del archivo se define en la 4a entrada después del caracter FF C0
• Ancho del archivo se define en la 5a entrada después del caracter FF C0

Como ejemplo, «FF C0 00 11 08 00 D4 01 1B«: Tomamos el 4° y 5° bytes después de C0 (00 D4) multiplicamos el 00 por 256 y agregamos D4 (212) para obtener 212 pixels de alto. Multiplicamos el 01 por 256 y sumamos 1B (27) para obtener un ancho de 283 pixeles.

Archivos GIF

Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlos pues comienzan con GIF87a o GIF89a, dependiendo del formato usado.

En editor hexadecimal:
Ejemplo: «47 49 46 38 39 61 96 01 57 02» El ancho está en el 7° y 8° bit, pero los números están invertidos. Para GIF, tomamos el 8° bit (01), lo multiplicamos por 256 y agregamos el 7° bit (96). El ancho es entonces de 406.

Para la altura, tomamos el 10° bit (02), lo multiplicamos por 256 y agregamos el 9° bit (57), para obtener 599.

Archivos WAV

Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlos pues comienzan con «RIFF» o «WAVE», dependiendo del formato usado.

Archivos MP3

Los MP3 no se pueden identificar con Notepad. Al parecer no existe una entrada única, pero el consenso es que inician con FF. El 2°, 3° y 4° caracteres tienen que ver con versiones, layers y bit rates.

La regla general parece ser que el 5° caracter es 00. Pero incluso hemos encontrado archivos MP3 con un 00 extra al principio. Así que la regla general es que no hay regla.

Archivos DOC

Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlos pues prácticamente todo es texto simple. También podemos encontrar «W o r d D o c u m e n t» cerca del principio o cerca del final del archivo.

Archivos ZIP

Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). Todos los archivos contendrán al inicio «PK».

Archivos PDF

Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). Todos los pdf comienzan con %PDF-

Un punto importante es que los PDF no tienen marca de fin de archivo, por lo que en muchas ocasiones encontramos que al reconstruir archivos de este tipo, su tamaño se hace descomunalmente grande. Sin embargo, no es un problema que sea insalvable.

Notas finales

El editor hexadecimal es una herramienta que nos puede ayudar a examinar y reconstruir archivos que se encuentren dañados en su cabecera (header) o pie (footer).

Para saber más, puedes leer esta guía para crear un tipo de firma de archivo personalizada para R-Studio, o esta otra página que nos enseña paso a paso varios métodos para reparar archivos jpeg.

Si necesitas ayuda, el especialista está en línea!

Origen

Si tu base de datos de SQL Server (MDF) se encuentra corrupta o dañada, o si quieres verificar su integridad después de recuperada, puedes usar esta herramienta gratuita para visualizar el contenido de archivos mdf (Free MDF Viewer).

Con ella podrás ver en la mayoría de los casos una vista previa toda la información recuperada, o al menos, la que se podría recuperar en caso de un daño grave.

Para usar esta herramienta no necesitas tener instalada ninguna edición de SQL Server (2000, 2005 y 2008).

Este programa puede presentar una vista previa de toda la información contenida en tu MDF después de sufrir diferentes eventos de corrupción pero NO ES PERFECTA, es decir, NO TODO LOS ARCHIVOS MDF SE PUEDEN ABRIR CON ESTA HERRAMIENTA por si sola.

Esta herramienta te permite abrir, leer y escanear archivos mdf (a veces incluso con corrupción); también puedes previsualizar columnas y campos, y guardar el estado del escaneo para posteriores revisiones

Si después de verificar la vista previa del contenido quieres guardar el resultado, deberás comprar el SQL Recovery Tool, que es un programa adicional con capacidades de reparación avanzada.

Origen