Análise do MFT para Recuperação de Arquivos Excluídos

Visão Geral

A Master File Table (MFT) do NTFS é o repositório central de metadados para cada arquivo e diretório em um volume NTFS. Cada arquivo é representado por pelo menos um registro MFT de 1024 bytes contendo atributos como $STANDARD_INFORMATION (carimbos de data/hora, permissões), $FILE_NAME (nome, diretório pai, carimbos de data/hora) e $DATA (conteúdo do arquivo ou ponteiros para a lista de clusters). Quando um arquivo é excluído, seu registro MFT é marcado como inativo (bandeira InUse desmarcada), mas os metadados permanecem até que a entrada seja realocada por um novo arquivo. Essa persistência torna a análise do MFT uma técnica primária para recuperar evidências de arquivos excluídos, reconstruir linhas do tempo do sistema de arquivos e detectar atividades anti-forense, como timestomping.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise do MFT para recuperação de arquivos excluídos
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Imagem forense do disco (formato E01, raw/dd, VMDK ou VHDX)
• MFTECmd (Eric Zimmerman) ou analyzeMFT (baseado em Python)
• FTK Imager, Arsenal Image Mounter ou similar para montagem de imagem
• Timeline Explorer ou Excel para análise de CSV
• Python 3.8+ para scripts de análise personalizados
• Compreensão dos detalhes internos do sistema de arquivos NTFS

Estrutura do MFT e Layout do Registro

Cabeçalho do Registro MFT

Cada registro MFT começa com a assinatura "FILE" (0x46494C45) e contém:

Atributos Chave do MFT

Técnicas de Recuperação de Arquivos Excluídos

Técnica 1: Análise de Registro MFT com MFTECmd

# Extract $MFT from forensic image using KAPE or FTK Imager
# Parse the $MFT with MFTECmd
MFTECmd.exe -f "C:\Evidence\$MFT" --csv C:\Output --csvf mft_full.csv

# Filter for deleted files (InUse = FALSE) in Timeline Explorer
# Look for entries where InUse column is False

Identificando Arquivos Excluídos na Saída CSV:

• InUse = Falso indica um registro excluído ou realocado
• ParentPath mostra a localização original do arquivo antes da exclusão
• FileSize mostra o tamanho original (ainda pode ser recuperável)
• Carimbos de data/hora nos atributos $STANDARD_INFORMATION e $FILE_NAME persistem

Técnica 2: Análise do Journal USN ($UsnJrnl:$J)

O Journal USN registra todas as alterações em arquivos em um volume NTFS, incluindo eventos de criação, exclusão, renomeação e modificação de dados.

# Parse USN Journal with MFTECmd
MFTECmd.exe -f "C:\Evidence\$J" --csv C:\Output --csvf usn_journal.csv

# Key USN reason codes for deletion evidence:
# USN_REASON_FILE_DELETE     = 0x00000200
# USN_REASON_CLOSE           = 0x80000000
# USN_REASON_RENAME_OLD_NAME = 0x00001000
# USN_REASON_RENAME_NEW_NAME = 0x00002000

Técnica 3: Análise de Transação $LogFile

O $LogFile armazena registros de transação NTFS que podem revelar operações de arquivo mesmo após o Journal USN ter sido ciclado.

# Parse $LogFile with LogFileParser
LogFileParser.exe -l "C:\Evidence\$LogFile" -o C:\Output

# Look for REDO and UNDO operations indicating file deletion:
# - DeallocateFileRecordSegment
# - DeleteAttribute
# - UpdateResidentValue (clearing InUse flag)

…