Ferramentas de sobrescrita, exclusão e limpeza

Ferramentas de sobrescrita e limpeza removem conteúdo, mas são programas: elas são baixadas e executadas, e renomeiam, sobrescrevem e excluem arquivos, e cada ação é registrada em algum lugar. Esta aula diferencia exclusão, sobrescrita e exclusão segura, descreve os vestígios que ferramentas comuns de sobrescrita e limpeza normalmente deixam e mostra como recuperar o que resta e apresentar uma constatação sem extrapolar as evidências.

O objetivo do perito

Quando o conteúdo foi sobrescrito, a pergunta muda de "o que o arquivo continha?" para "ele foi sobrescrito, quando, por qual conta e qual era o alvo?" A sobrescrita é, por si só, um evento, registrado pelos mesmos artefatos que qualquer outra atividade (Módulos 1 e 2). Uma constatação corroborada de sobrescrita é importante mesmo quando nenhum conteúdo sobrevive, e a mesma análise aponta para cópias que a ferramenta não alcançou.

Exclusão, sobrescrita e exclusão segura

• Exclusão marca metadados e clusters como livres; o conteúdo permanece até que sejam reutilizados (Aula 1.8).
• Sobrescrita grava novos bytes sobre os clusters que continham o conteúdo. No NTFS, quando um programa grava sobre o intervalo existente de um arquivo comum, os dados normalmente voltam para os mesmos clusters. Arquivos compactados, esparsos e criptografados com EFS são diferentes: o NTFS os gerencia em unidades de 16 clusters e grava novos dados em clusters recém-alocados, deixando os dados antigos no espaço livre. Um programa que "salva" gravando um novo arquivo e substituindo o antigo também deixa os clusters antigos não alocados, e não sobrescritos.
• Exclusão segura combina a sobrescrita do conteúdo, a ocultação do nome e a exclusão. A sobrescrita do espaço livre preenche o espaço não alocado com arquivos temporários e os sobrescreve, destruindo conteúdo que havia sido excluído anteriormente.

A NIST SP 800-88 Rev. 1 (2014, agora substituída pela Rev. 2, 2025) observou que, em mídias magnéticas, uma única passagem de sobrescrita normalmente impede a recuperação; portanto, não espere encontrar resquícios após uma passagem completa.

TRIM é o principal falso positivo. Em um SSD, a exclusão normal seguida de TRIM geralmente faz com que os blocos liberados sejam lidos como zeros (ou outro valor fixo, dependendo da unidade). Portanto, clusters zerados, por si só, não são prova de uma ferramenta de sobrescrita. Uma constatação de sobrescrita precisa dos vestígios da própria ferramenta: execução, renomeações e arquivos de preenchimento.

Ferramentas de sobrescrita e os vestígios que deixam

Exemplos comuns são SDelete (Sysinternals, linha de comando), Eraser (gráfico, com uma entrada no menu de contexto do Explorer), BleachBit (Windows e Linux), Drive Wiper do CCleaner, o comando integrado cipher /w e o GNU shred.

Execução e instalação

Uma ferramenta de sobrescrita produz os artefatos de execução da Aula 2.3: Prefetch (contagem de execuções, horários de execução e arquivos referenciados, que, para uma ferramenta de sobrescrita, podem incluir seus alvos), Amcache (caminho e SHA-1, que identifica o binário exato após sua exclusão), BAM (última execução por SID de usuário) e Shimcache (presença). O UserAssist registra apenas inicializações pelo Explorer, portanto uma execução do SDelete ou do cipher pela linha de comando não aparecerá ali. Ferramentas instaladas adicionam uma subchave Uninstall em SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall (ou em sua equivalente em WOW6432Node), uma pasta em Program Files e, para pacotes MSI, eventos do MsiInstaller no log de Aplicativo, como 11707 e 1033. Registros de download mostram de onde veio uma ferramenta portátil. O cipher.exe é fornecido com o Windows, portanto apenas seus vestígios de execução importam.

As ferramentas também mantêm suas próprias configurações:

• As ferramentas da Sysinternals normalmente registram a aceitação da licença como o DWORD EulaAccepted = 1 em Software\Sysinternals\<tool> no NTUSER.DAT do usuário, por exemplo, Software\Sysinternals\SDelete. Isso vincula a ferramenta a uma conta, e o LastWrite da chave geralmente é próximo da primeira execução.
• Versões instaladas do CCleaner mantêm configurações na chave Software\Piriform\CCleaner do usuário (versões portáteis usam um arquivo ccleaner.ini ao lado do programa). Os valores mostram quais opções de limpeza foram selecionadas; seus nomes variam conforme a versão, portanto confirme os significados testando a mesma versão.
• O BleachBit armazena preferências em bleachbit.ini: em ~/.config/bleachbit/ no Linux e, no Windows, na pasta %APPDATA%\BleachBit\ do usuário ou, na edição portátil, ao lado do programa.

Padrões no sistema de arquivos

A Microsoft documenta que o SDelete, após sobrescrever um arquivo, o renomeia 26 vezes, substituindo a cada vez todos os caracteres do nome pela próxima letra (foo.txt primeiro se torna AAA.AAA) e, em seguida, o exclui. No NTFS, sabe-se que isso deixa, para um único número de referência da MFT e em cerca de um segundo, DATA_OVERWRITE (0x00000001), depois pares de renomeação RENAME_OLD_NAME (0x00001000) e RENAME_NEW_NAME (0x00002000) que vão de nomes compostos apenas por A a nomes compostos apenas por Z, com o mesmo comprimento do original (para um nome 8.3, de AAAAAAAA.AAA a ZZZZZZZZ.ZZZ) e, por fim, FILE_DELETE (0x00000200) com CLOSE (0x80000000). Vinte e seis renomeações geram pelo menos 52 registros de renomeação, portanto essa sequência concentrada se destaca no $UsnJrnl, e o $LogFile pode reter as mesmas operações por um período mais curto (Aula 1.4). Testes publicados mostram que o nome original às vezes pode ser recuperado de registros mais antigos com a mesma referência da MFT, como FILE_CREATE ou DATA_EXTEND, se ainda estiverem no diário.

A sobrescrita do espaço livre deixa padrões diferentes: um ou mais arquivos muito grandes que crescem até o volume ficar cheio e depois são excluídos e, no NTFS (o SDelete documenta isso), muitos arquivos pequenos que preenchem registros livres da MFT. Isso reutiliza registros excluídos da MFT com novos nomes, destruindo metadados antigos de itens excluídos. A Microsoft documenta que cipher /w grava três passagens (0x00, 0xFF e depois dados aleatórios); ele usa arquivos temporários em uma pasta chamada EFSTMPWP na raiz do volume, e o nome da pasta pode persistir na MFT, no $UsnJrnl ou no espaço residual de diretório.

O GNU shred sobrescreve no próprio local (três passagens por padrão nas versões atuais do coreutils). Com -u, sabe-se que ele renomeia o arquivo para nomes formados por zeros, de comprimento decrescente, antes de desvinculá-lo. Sua documentação alerta que ele é menos eficaz em sistemas de arquivos que registram dados em diário, usam cópia na gravação ou mantêm instantâneos, e em SSDs; procure por ele no histórico do shell.

Ferramentas de limpeza e as lacunas que deixam

Ferramentas de limpeza como CCleaner, BleachBit e a Limpeza de Disco do Windows principalmente excluem, em vez de sobrescrever: histórico e cache do navegador, itens Recentes, Listas de Atalhos, arquivos temporários, caches de miniaturas, Prefetch e, às vezes, logs de eventos. A cobertura nunca é completa, portanto procure inconsistências:

• O Prefetch contém apenas arquivos criados após determinado horário, enquanto Amcache, BAM, Shimcache e SRUM ainda registram programas anteriores.
• RecentDocs e arquivos LNK de Recentes estão vazios, mas Shellbags (Aula 2.5), que muitas ferramentas de limpeza não têm como alvo por padrão, ainda listam as pastas.
• Um histórico de navegador cuja visita mais antiga ocorreu há poucos minutos, em um perfil criado meses antes.
• O evento de Segurança 1102 ou o evento de Sistema 104 registra um log limpo (Aula 7.2).
• O próprio arquivo Prefetch da ferramenta de limpeza é gravado cerca de 10 segundos após ela iniciar, portanto frequentemente sobrevive à limpeza e permite datá-la.

A entrada sobrevivente mais antiga entre os artefatos limpos permite estimar quando a limpeza ocorreu. Os arquivos submetidos à limpeza geralmente são apenas excluídos, portanto o $UsnJrnl mostra sequências concentradas de registros FILE_DELETE, e o conteúdo pode ser recuperável.

Ações e vestígios em resumo

Limites da interpretação

"Uma ferramenta de limpeza foi executada" é um fato; "o usuário pretendia destruir evidências" é uma inferência sobre intenção. Ferramentas de limpeza podem ser executadas por agendamento, a equipe de TI pode executá-las, e as opções padrão limpam artefatos que ninguém selecionou individualmente. Relate a ferramenta, o horário, a conta, os alvos e as configurações, além do contexto relevante para a interpretação: um único alvo nomeado em comparação com uma limpeza geral, uma primeira execução, um download pouco antes do uso, a exclusão posterior da ferramenta e a relação temporal com outros eventos do caso. Deixe a avaliação da intenção para quem toma a decisão.

Recuperação do que resta

• Cópias de Sombra de Volume (Aula 2.9) podem conter versões anteriores, a menos que também tenham sido excluídas.
• Outras cópias: pastas de sincronização em nuvem, anexos de e-mail, outras mídias removíveis, backups e a fonte original.
• Memória, arquivo de paginação e arquivo de hibernação (Aula 5.4) podem conter fragmentos ou nomes.
• Carving (Aula 1.8) ainda funciona quando uma sobrescrita foi interrompida, ficou incompleta ou foi aplicada apenas a alguns arquivos.
• Diários do NTFS e espaço residual de diretório frequentemente preservam nomes.

Exemplo resolvido: sdelete64 e q3-files.7z

Nesta variante do caso compartilhado, o volume FAT32 na imagem do USB (VSN 1A2B-3C4D) não lista mais q3-files.7z. O FAT32 não tem diário, e o $UsnJrnl em C: registra apenas C:, portanto as evidências vêm do computador hospedeiro e do diretório.

1. Prefetch. SDELETE64.EXE-<hash>.pf mostra contagem de execuções 1 e FILETIME da última execução 0x01DCB3BFC40639A0 = 134.179.725.123.140.000. Dividido por 10.000.000: 13.417.972.512,314 s; menos 11.644.473.600 resulta em Unix 1.773.498.912,314; menos 1.773.446.400 (2026-03-14T00:00:00Z) restam 52.512,314 s = 14 h 35 min 12,314 s, portanto 2026-03-14T14:35:12Z. Os arquivos referenciados incluem \VOLUME{…}\USERS\ANA\DOWNLOADS\SDELETE\SDELETE64.EXE e \VOLUME{…}\CLIENTS\Q3-FILES.7Z, com informações de volume que listam o número de série 1A2B3C4D: o volume USB.
2. Amcache. c:\users\ana\downloads\sdelete\sdelete64.exe com FileId 0000e1b4c2d9a07f3b65c8d1e2f40a9b7c3d5e6f1a28 (ilustrativo): SHA-1 e1b4c2d9a07f3b65c8d1e2f40a9b7c3d5e6f1a28, para comparar com o binário publicado pelo fornecedor.
3. BAM e NTUSER.DAT. Em S-1-5-21-…-1001, os dados 90 CB 61 C8 BF B3 DC 01 = 0x01DCB3BFC861CB90 = 2026-03-14T14:35:19.625Z, 7 segundos após o horário do Prefetch. A chave Software\Sysinternals\SDelete de Ana tem EulaAccepted = 1 com LastWrite 2026-03-14T14:35:12Z. Não há entrada no UserAssist, o que é compatível com uma inicialização pela linha de comando.
4. Diretório FAT. O diretório \Clients contém uma entrada excluída cujo campo de nome de 11 bytes é E5 5A 5A 5A 5A 5A 5A 5A 5A 5A 20: 0xE5 substituiu o primeiro caractere, deixando ?ZZZZZZZ.ZZ (as ferramentas podem mostrar _). Ela mantém o comprimento de q3-files.7z (8 + 2 caracteres), como preveem as renomeações com letras documentadas. O horário de gravação 69 5C = 0x5C69: 0x5C69 >> 11 = 11, (0x5C69 >> 5) & 0x3F = 35, (0x5C69 & 0x1F) × 2 = 18, portanto 11:35:18 local; data 6E 5C = 2026-03-14; mais 3 h resulta em 14:35:18Z. O campo de tamanho C9 36 D2 03 = 64.108.233 bytes, o tamanho do arquivo compactado. Com 64 setores por cluster (32.768 bytes), isso corresponde a ceil(64.108.233 / 32.768) = 1.957 clusters; o primeiro não começa mais com a assinatura 7z 37 7A BC AF 27 1C. Algumas ferramentas de sobrescrita truncam os arquivos primeiro, portanto não há garantia de que o tamanho sobreviva.
5. O que desapareceu e o que resta. O conteúdo em E: e o nome original no diretório desapareceram. O nome sobrevive no Prefetch e em qualquer entrada LNK ou de Lista de Atalhos do arquivo compactado (Aula 2.4); o conteúdo sobrevive na cópia do OneDrive feita às 14:01:03Z (Aula 4.6), com o mesmo tamanho e um hash que pode ser calculado. O SRUM também pode atribuir gravações em disco por sdelete64.exe a ana em seu intervalo de 14:31:09Z–15:31:09Z.

Constatação apresentada. "O SDelete (sdelete64.exe, SHA-1 conforme indicado acima) foi executado uma vez, em 2026-03-14T14:35:12Z, sob a conta ana (S-1-5-21-…-1001), e referenciou Q3-FILES.7Z no volume 1A2B-3C4D. Esse volume contém uma entrada excluída com um nome composto apenas por letras e do mesmo comprimento, com última gravação às 14:35:18Z, com o tamanho do arquivo compactado e sem conteúdo 7z. Isso é compatível com a exclusão segura de E:\Clients\q3-files.7z por essa ferramenta. Uma cópia enviada às 14:01:41Z permanece no OneDrive."

Foco no exame: Prepare-se para informar o horário de execução, o SID do usuário ou o SHA-1 de uma ferramenta de sobrescrita a partir de artefatos de execução e para reconhecer o padrão de renomeação com letras no $UsnJrnl ou em um diretório FAT. As questões podem abordar que zeros em um SSD são compatíveis com TRIM, e não prova de sobrescrita, quais artefatos uma ferramenta de limpeza deixa intactos e a diferença entre comprovar que uma ferramenta foi executada e comprovar intenção.

Pontos principais

• A sobrescrita é um evento: comprove a ferramenta, o horário, a conta e o alvo mesmo quando o conteúdo tiver desaparecido.
• Artefatos de execução (arquivos referenciados do Prefetch, SHA-1 do Amcache, BAM por SID) e configurações da ferramenta (EulaAccepted, chave do CCleaner, bleachbit.ini) identificam a ferramenta de sobrescrita e o usuário.
• Está documentado que o SDelete renomeia um arquivo 26 vezes com letras repetidas antes de excluí-lo; no NTFS, isso deixa uma sequência concentrada de registros de renomeação no $UsnJrnl; cipher /w usa uma pasta EFSTMPWP.
• Zeros, por si só, não comprovam sobrescrita: TRIM em SSDs os produz após a exclusão normal.
• Ferramentas de limpeza deixam lacunas ao lado de fontes intactas; compare Prefetch com Amcache, BAM e SRUM, e RecentDocs com Shellbags.
• Procure cópias sobreviventes em cópias de sombra, pastas na nuvem, outras mídias e arquivos de memória, e relate a intenção apenas na medida permitida pelas evidências.