Herramientas de borrado y limpieza

Las herramientas de borrado y limpieza eliminan contenido, pero son programas: se descargan y ejecutan, y cambian el nombre de los archivos, los sobrescriben y los eliminan; cada acción queda registrada en algún lugar. Esta lección distingue la eliminación de la sobrescritura y la eliminación segura, describe los rastros que suelen dejar las herramientas de borrado y limpieza comunes, y muestra cómo recuperar lo que queda y formular un hallazgo sin ir más allá de lo que permiten las pruebas.

El objetivo del examinador

Cuando se ha borrado contenido, la pregunta pasa de «¿qué contenía el archivo?» a «¿se borró, cuándo, desde qué cuenta y cuál era el objetivo?». El borrado es en sí mismo un evento, registrado por los mismos artefactos que cualquier otra actividad (módulos 1 y 2). Un hallazgo corroborado de borrado es importante incluso cuando no sobrevive ningún contenido, y el mismo análisis señala las copias que la herramienta pasó por alto.

Eliminación, sobrescritura y eliminación segura

• Eliminación: marca los metadatos y los clústeres como libres; el contenido permanece hasta que se reutilizan (lección 1.8).
• Sobrescritura: escribe nuevos bytes sobre los clústeres que contenían el contenido. En NTFS, cuando un programa escribe sobre el intervalo existente de un archivo ordinario, los datos normalmente vuelven a los mismos clústeres. Los archivos comprimidos, dispersos y cifrados con EFS son diferentes: NTFS los gestiona en unidades de 16 clústeres y escribe los datos nuevos en clústeres recién asignados, dejando los datos antiguos en el espacio libre. Un programa que «guarda» escribiendo un archivo nuevo y sustituyendo el anterior también deja los clústeres antiguos sin asignar, no sobrescritos.
• Eliminación segura: combina la sobrescritura del contenido, la ocultación del nombre y la eliminación. El borrado del espacio libre llena el espacio no asignado con archivos temporales y los sobrescribe, destruyendo contenido que se había eliminado anteriormente.

NIST SP 800-88 Rev. 1 (2014, ahora sustituida por Rev. 2, 2025) señalaba que, en soportes magnéticos, una sola pasada de sobrescritura suele impedir la recuperación, por lo que no debe esperarse encontrar restos después de una pasada completa.

TRIM es el principal falso positivo. En un SSD, la eliminación normal seguida de TRIM suele hacer que los bloques liberados se lean como ceros (u otro valor fijo, según la unidad). Por tanto, los clústeres llenos de ceros no constituyen por sí solos una prueba del uso de una herramienta de borrado. Un hallazgo de borrado requiere rastros de la propia herramienta: ejecución, cambios de nombre y archivos de relleno.

Herramientas de borrado y los rastros que dejan

Algunos ejemplos comunes son SDelete (Sysinternals, línea de comandos), Eraser (gráfica, con una entrada en el menú contextual del Explorador), BleachBit (Windows y Linux), Drive Wiper de CCleaner, la herramienta integrada cipher /w y GNU shred.

Ejecución e instalación

Una herramienta de borrado genera los artefactos de ejecución de la lección 2.3: Prefetch (número de ejecuciones, horas de ejecución y archivos referenciados, que en una herramienta de borrado pueden incluir sus objetivos), Amcache (ruta y SHA-1, que identifica el binario exacto después de su eliminación), BAM (última ejecución por SID de usuario) y Shimcache (presencia). UserAssist solo registra los inicios a través del Explorador, por lo que una ejecución de SDelete o cipher desde la línea de comandos no aparecerá allí. Las herramientas instaladas añaden una subclave Uninstall bajo SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall (o su equivalente en WOW6432Node), una carpeta en Program Files y, en el caso de los paquetes MSI, eventos de MsiInstaller en el registro de Aplicación, como 11707 y 1033. Los registros de descarga muestran de dónde procedía una herramienta portátil. cipher.exe viene incluido con Windows, por lo que solo importan sus rastros de ejecución.

Las herramientas también conservan su propia configuración:

• Las herramientas de Sysinternals normalmente registran la aceptación de la licencia como el DWORD EulaAccepted = 1 bajo Software\Sysinternals\<tool> en el NTUSER.DAT del usuario, por ejemplo, Software\Sysinternals\SDelete. Esto vincula la herramienta a una cuenta, y el valor LastWrite de la clave suele ser cercano a la primera ejecución.
• Las versiones instaladas de CCleaner conservan la configuración en la clave Software\Piriform\CCleaner del usuario (las versiones portátiles utilizan un archivo ccleaner.ini junto al programa). Los valores muestran qué opciones de limpieza se seleccionaron; sus nombres varían según la versión, por lo que se deben confirmar sus significados mediante pruebas con la misma versión.
• BleachBit almacena las preferencias en bleachbit.ini: bajo ~/.config/bleachbit/ en Linux y, en Windows, en la carpeta %APPDATA%\BleachBit\ del usuario o, en la edición portátil, junto al programa.

Patrones del sistema de archivos

Microsoft documenta que SDelete, después de sobrescribir un archivo, le cambia el nombre 26 veces, sustituyendo cada vez todos los caracteres del nombre por la siguiente letra (foo.txt se convierte primero en AAA.AAA), y después lo elimina. En NTFS se sabe que esto deja, para un mismo número de referencia de la MFT y en aproximadamente un segundo, DATA_OVERWRITE (0x00000001), después pares de cambios de nombre RENAME_OLD_NAME (0x00001000) y RENAME_NEW_NAME (0x00002000) que van desde nombres formados solo por A hasta nombres formados solo por Z de la misma longitud que el original (para un nombre 8.3, de AAAAAAAA.AAA a ZZZZZZZZ.ZZZ) y, por último, FILE_DELETE (0x00000200) con CLOSE (0x80000000). Veintiséis cambios de nombre generan al menos 52 registros de cambio de nombre, por lo que esa ráfaga destaca en $UsnJrnl, y $LogFile puede conservar las mismas operaciones durante un período más breve (lección 1.4). Las pruebas publicadas muestran que a veces se puede recuperar el nombre original a partir de registros más antiguos con la misma referencia de la MFT, como FILE_CREATE o DATA_EXTEND, si todavía se encuentran en el diario.

El borrado del espacio libre deja patrones distintos: uno o varios archivos muy grandes que crecen hasta llenar el volumen y después se eliminan y, en NTFS (SDelete lo documenta), muchos archivos pequeños que ocupan los registros libres de la MFT. Esto reutiliza registros eliminados de la MFT con nombres nuevos, destruyendo los metadatos eliminados antiguos. Microsoft documenta que cipher /w escribe tres pasadas (0x00, 0xFF y después datos aleatorios); utiliza archivos temporales en una carpeta denominada EFSTMPWP en la raíz del volumen, y el nombre de la carpeta puede persistir en la MFT, en $UsnJrnl o en el espacio residual de directorio.

GNU shred sobrescribe en el mismo lugar (tres pasadas de forma predeterminada en las versiones actuales de coreutils). Con -u, se sabe que cambia el nombre del archivo por nombres formados por ceros, de longitud decreciente, antes de desvincularlo. Su documentación advierte que es menos eficaz en sistemas de archivos que registran los datos en un diario, utilizan copia en escritura o conservan instantáneas, y en SSD; búsquelo en el historial del shell.

Herramientas de limpieza y los vacíos que dejan

Las herramientas de limpieza como CCleaner, BleachBit y el Liberador de espacio en disco de Windows principalmente eliminan, en lugar de borrar de forma segura: historial y caché del navegador, elementos recientes, Jump Lists, archivos temporales, cachés de miniaturas, Prefetch y, a veces, registros de eventos. La cobertura nunca es completa, por lo que deben buscarse incoherencias:

• Prefetch solo contiene archivos creados después de un momento determinado, mientras que Amcache, BAM, Shimcache y SRUM todavía registran programas anteriores.
• RecentDocs y los archivos LNK recientes están vacíos, pero Shellbags (lección 2.5), que muchas herramientas de limpieza no incluyen entre sus objetivos de forma predeterminada, todavía enumera las carpetas.
• Un historial del navegador cuya visita más antigua es de hace unos minutos, en un perfil creado meses antes.
• El evento de Seguridad 1102 o el evento de Sistema 104 registra el vaciado de un registro (lección 7.2).
• El propio archivo Prefetch de la herramienta de limpieza se escribe unos 10 segundos después de su inicio, por lo que a menudo sobrevive a la limpieza y permite fecharla.

La entrada más antigua que sobrevive entre los artefactos limpiados permite estimar cuándo se produjo la limpieza. Los archivos limpiados normalmente solo se eliminan, por lo que $UsnJrnl muestra ráfagas de registros FILE_DELETE y el contenido puede ser recuperable.

Resumen de acciones y rastros

Límites de interpretación

«Se ejecutó una herramienta de limpieza» es un hecho; «el usuario pretendía destruir pruebas» es una inferencia sobre la intención. Las herramientas de limpieza pueden ejecutarse de forma programada, el personal de TI puede ejecutarlas y las opciones predeterminadas limpian artefactos que nadie seleccionó individualmente. Informe sobre la herramienta, la hora, la cuenta, los objetivos y la configuración, además del contexto que influye en la interpretación: un único objetivo identificado por su nombre frente a una limpieza general, una primera ejecución, una descarga poco antes del uso, la eliminación posterior de la herramienta y la relación temporal con otros eventos del caso. Deje la determinación de la intención a quien deba tomar la decisión.

Recuperación de lo que queda

• Copias de sombra de volumen (lección 2.9): pueden conservar versiones anteriores, salvo que también se hayan eliminado.
• Otras copias: carpetas de sincronización en la nube, archivos adjuntos de correo electrónico, otros soportes extraíbles, copias de seguridad y la fuente original.
• Memoria, archivo de paginación y archivo de hibernación (lección 5.4): pueden conservar fragmentos o nombres.
• Carving (lección 1.8): sigue funcionando cuando el borrado se interrumpió, quedó incompleto o se aplicó solo a algunos archivos.
• Diarios de NTFS y espacio residual de directorio: a menudo conservan nombres.

Ejemplo resuelto: sdelete64 y q3-files.7z

En esta variante del caso compartido, el volumen FAT32 de la imagen USB (VSN 1A2B-3C4D) ya no muestra q3-files.7z. FAT32 no tiene diario, y $UsnJrnl en C: solo registra C:, por lo que las pruebas proceden del equipo anfitrión y del directorio.

1. Prefetch. SDELETE64.EXE-<hash>.pf muestra un número de ejecuciones de 1 y la última ejecución con FILETIME 0x01DCB3BFC40639A0 = 134.179.725.123.140.000. Dividido entre 10.000.000: 13.417.972.512,314 s; al restar 11.644.473.600 se obtiene el tiempo Unix 1.773.498.912,314; al restar 1.773.446.400 (2026-03-14T00:00:00Z) quedan 52.512,314 s = 14 h 35 min 12,314 s, por lo que resulta 2026-03-14T14:35:12Z. Los archivos referenciados incluyen \VOLUME{…}\USERS\ANA\DOWNLOADS\SDELETE\SDELETE64.EXE y \VOLUME{…}\CLIENTS\Q3-FILES.7Z, con información del volumen que indica el número de serie 1A2B3C4D: el volumen USB.
2. Amcache. c:\users\ana\downloads\sdelete\sdelete64.exe con FileId 0000e1b4c2d9a07f3b65c8d1e2f40a9b7c3d5e6f1a28 (ilustrativo): SHA-1 e1b4c2d9a07f3b65c8d1e2f40a9b7c3d5e6f1a28, para compararlo con el binario publicado por el proveedor.
3. BAM y NTUSER.DAT. Bajo S-1-5-21-…-1001, los datos 90 CB 61 C8 BF B3 DC 01 = 0x01DCB3BFC861CB90 = 2026-03-14T14:35:19.625Z, 7 segundos después de la hora de Prefetch. La clave Software\Sysinternals\SDelete de Ana tiene EulaAccepted = 1 con LastWrite 2026-03-14T14:35:12Z. No hay ninguna entrada de UserAssist, lo que es coherente con un inicio desde la línea de comandos.
4. Directorio FAT. El directorio \Clients contiene una entrada eliminada cuyo campo de nombre de 11 bytes es E5 5A 5A 5A 5A 5A 5A 5A 5A 5A 20: 0xE5 sustituyó al primer carácter, dejando ?ZZZZZZZ.ZZ (las herramientas pueden mostrar _). Conserva la longitud de q3-files.7z (8 + 2 caracteres), tal como predicen los cambios de nombre con letras documentados. La hora de escritura 69 5C = 0x5C69: 0x5C69 >> 11 = 11, (0x5C69 >> 5) & 0x3F = 35, (0x5C69 & 0x1F) × 2 = 18, por lo que resulta 11:35:18 hora local; fecha 6E 5C = 2026-03-14; al sumar 3 h se obtiene 14:35:18Z. El campo de tamaño C9 36 D2 03 = 64.108.233 bytes, el tamaño del archivo comprimido. Con 64 sectores por clúster (32.768 bytes), eso equivale a ceil(64.108.233 / 32.768) = 1.957 clústeres; el primero ya no comienza con la firma 7z 37 7A BC AF 27 1C. Algunas herramientas de borrado truncan primero los archivos, por lo que no se garantiza que el tamaño sobreviva.
5. Qué ha desaparecido y qué queda. El contenido en E: y el nombre original en el directorio han desaparecido. El nombre sobrevive en Prefetch y en cualquier entrada LNK o de Jump List del archivo comprimido (lección 2.4); el contenido sobrevive en la copia de OneDrive creada a las 14:01:03Z (lección 4.6), con el mismo tamaño y un hash que se puede calcular. SRUM también puede atribuir a ana las escrituras en disco de sdelete64.exe en su intervalo 14:31:09Z–15:31:09Z.

Hallazgo formulado. «SDelete (sdelete64.exe, con el SHA-1 indicado anteriormente) se ejecutó una vez, a las 2026-03-14T14:35:12Z, bajo la cuenta ana (S-1-5-21-…-1001), y referenció Q3-FILES.7Z en el volumen 1A2B-3C4D. Ese volumen contiene una entrada eliminada con un nombre compuesto solo por letras de la misma longitud, cuya última escritura fue a las 14:35:18Z, con el tamaño del archivo comprimido y sin contenido 7z. Esto es coherente con la eliminación segura de E:\Clients\q3-files.7z mediante esa herramienta. Una copia cargada a las 14:01:41Z permanece en OneDrive».

Enfoque del examen: Prepárese para indicar la hora de ejecución, el SID de usuario o el SHA-1 de una herramienta de borrado a partir de artefactos de ejecución, y para reconocer el patrón de cambios de nombre con letras en $UsnJrnl o en un directorio FAT. Las preguntas pueden evaluar que los ceros en un SSD son coherentes con TRIM y no una prueba de borrado, qué artefactos deja intactos una herramienta de limpieza y la diferencia entre demostrar que se ejecutó una herramienta y demostrar la intención.

Puntos clave

• El borrado es un evento: demuestre la herramienta, la hora, la cuenta y el objetivo incluso cuando el contenido haya desaparecido.
• Los artefactos de ejecución (archivos referenciados de Prefetch, SHA-1 de Amcache, BAM por SID) y la configuración de las herramientas (EulaAccepted, clave de CCleaner, bleachbit.ini) identifican la herramienta de borrado y al usuario.
• Está documentado que SDelete cambia el nombre de un archivo 26 veces con letras repetidas antes de eliminarlo; en NTFS esto deja una ráfaga de registros de cambio de nombre en $UsnJrnl; cipher /w utiliza una carpeta EFSTMPWP.
• Los ceros por sí solos no demuestran un borrado: TRIM en los SSD los produce después de una eliminación normal.
• Las herramientas de limpieza dejan vacíos junto a fuentes intactas; compare Prefetch con Amcache, BAM y SRUM, y RecentDocs con Shellbags.
• Busque copias supervivientes en las copias de sombra, las carpetas en la nube, otros soportes y los archivos de memoria, e informe sobre la intención solo en la medida en que lo permitan las pruebas.