Forense en un CTF: por qué lo borrado sigue ahí

Bienvenida

Bienvenido a CTF de forense digital: recuperar lo borrado. En unos 50 minutos va a sacar de la imagen de una llave USB dos archivos que su dueño borró, y con lo que guardan adentro va a armar la flag. Es para quien ya abrió una terminal y sabe qué es un zip; no hace falta experiencia en forense. Necesita una máquina virtual con Linux (Ubuntu o Kali sirven) o, si trabaja en Windows, Python 3 o CyberChef en el navegador. Son cinco lecciones: esta, una de firmas y recorte, una práctica guiada, el reto y el writeup. Cierra un quiz de 4 preguntas.

Qué es "forense" en un CTF

En un CTF, la categoría forense le entrega un archivo y una pregunta implícita: qué pasó aquí. El archivo puede ser una imagen de disco, un volcado de memoria, una captura de red o un documento con algo raro adentro. Nadie le pide romper un servidor ni una clave: la flag ya está en los bytes, y el trabajo consiste en encontrarla sin perder el contexto que la rodea.

Se reconoce rápido. Las extensiones delatan (.img, .dd, .raw, .E01, .mem, .pcap) y el enunciado habla de "recuperar", "borró", "volcado" o "incidente". Cuando me tocan un .img de pocos KB, lo primero que pienso es que alguien borró algo y los bytes siguen ahí.

Por qué los bytes siguen ahí

Cuando usted borra un archivo en una USB con FAT, el sistema no pasa un borrador por los datos. Hace dos cosas baratas: cambia el primer byte del nombre en el directorio por 0xE5 y marca como libres sus clústeres en la tabla FAT. El contenido queda intacto hasta que otro archivo necesite ese espacio, y en una llave casi vacía eso puede tardar meses. Windows tampoco manda a la papelera lo que se borra de una unidad extraíble: desaparece de la vista y nada más.

De ahí sale el carving (en español, tallado o recorte): buscar en los bytes crudos la firma con que empieza cada tipo de archivo y cortar desde ahí, sin preguntarle nada al sistema de archivos. Ni siquiera necesita que la entrada del directorio exista todavía. En el reto va a encontrar un caso donde ya no existe.

Qué se aprende de verdad

El reto reproduce, en miniatura, lo que hace un analista cuando Recursos Humanos le entrega la llave USB de alguien que renunció: verificar el hash de la imagen antes de tocarla, trabajar sobre una copia, recuperar lo borrado y ordenar los hechos en una línea de tiempo que aguante preguntas. En el CTF la recompensa es una flag; en el trabajo es un informe que puede terminar en una denuncia ante el OIJ, y ahí un hash que no coincide tumba la evidencia. Por eso el reto trae su propio archivo de hash y un acta de custodia, y le pido que los use.