Deleted Files — Récupération de fichiers supprimés

Mécanisme

Supprimer un fichier ne fait généralement que marquer son espace comme libre : les données et l'entrée MFT subsistent jusqu'à réécriture. La récupération exploite ces traces (entrées MFT marquées inactives, Corbeille, journal).

Méthodes

# The Sleuth Kit : lister fichiers supprimés
fls -rd -o 2048 disk.dd

# Récupérer par inode
icat -o 2048 disk.dd <inode> > recovered.bin

# Récupération en masse
tsk_recover -o 2048 disk.dd output/

# Corbeille Windows : $Recycle.Bin ($I = métadonnées, $R = données)

Limites

Sur SSD, la commande TRIM efface physiquement les blocs peu après suppression, rendant la récupération souvent impossible. Sur HDD, agir vite et monter en lecture seule pour éviter toute réécriture.