El Servicio de instantáneas de volumen de Windows (VSS) permite realizar copias de seguridad de archivos, incluso archivos del sistema protegidos, mientras se ejecuta el sistema operativo. Windows utiliza VSS para realizar copias de seguridad diferenciales periódicas de los bloques de datos en volúmenes NTFS. Estas copias de seguridad se denominan instantáneas de volumen y se almacenan en la carpeta Información del volumen del sistema en la raíz del volumen. El análisis de estas copias de seguridad permite que las herramientas forenses proporcionen instantáneas de cómo se veía el sistema (incluidos los datos del usuario) en varios momentos, lo que permite la recuperación de archivos eliminados o sobrescritos, instantáneas del registro y archivos de registro de momentos anteriores y comparaciones. de cómo los archivos pueden haber cambiado con el tiempo. En un sistema en vivo, el comando vssadmin se puede usar para enumerar las instantáneas de volumen disponibles.
Las herramientas de código abierto también se pueden usar para acceder a datos de instantáneas de volumen desde una unidad con imagen. Un proyecto popular para este propósito es libvshadow, ubicado en https://github.com/libyal/libvshadow. libvshadow también se incluye en la estación de trabajo forense SIFT. Una vez instalada, libvshadow proporciona dos herramientas de línea de comandos para acceder a los datos de instantáneas de volumen. El vshadowinfo La utilidad muestra las instantáneas de volumen presentes y vshadowmount le permite montar una instantánea de volumen específica para un análisis más detallado.
Si encuentra el siguiente error:
vshadowmount: command not found
puede intentar instalar el siguiente paquete según su elección de distribución.
| Distribución | Comando |
|---|---|
| Debian | apt-get install libvshadow-utils |
| Ubuntu | apt-get install libvshadow-utils |
| Kali Linux | apt-get install libvshadow-utils |
| Raspbian | apt-get install libvshadow-utils |