LeandroIbov Solutions
║║║
// Segurança Digital & Antiforense — LeandroIbov Solutions

TestDisk: Recuperar Partições e Clonar HDs com DD Proteção Antiforense Total

Guia definitivo sobre como recuperar partições deletadas e formatadas com TestDisk, clonar mídias danificadas com DD e, mais importante: como proteger seus dados para que nenhum analista forense consiga recuperá-los.




Ler o Guia Completo Segurança Digital
0
Formatos de arquivo recuperados pelo PhotoRec
0
Partições recuperáveis sem criptografia
0
Passos para recuperar uma partição com TestDisk
0
Efetividade do secure erase em SSDs
// Capítulo 01

O que é o TestDisk e como ele Funciona

A Ferramenta Forense Open Source Mais Poderosa do Mundo

TestDisk é um utilitário gratuito e de código aberto desenvolvido pela CGSecurity, projetado especificamente para recuperar partições perdidas e reparar discos que pararam de inicializar. Criado em 1998, ele suporta uma vasta gama de sistemas de arquivos — FAT12/16/32, NTFS, ext2/ext3/ext4, APFS, entre outros — e funciona em praticamente todos os sistemas operacionais: Linux, Windows, macOS e BSD.

O TestDisk sempre vem acompanhado do seu parceiro PhotoRec, voltado para a recuperação de arquivos individuais (fotos, documentos, vídeos) diretamente do setor raw do disco, sem depender da estrutura do sistema de arquivos. Juntos, eles formam o arsenal forense mais completo e acessível disponível gratuitamente. [1][2]

Estratégia recomendada: se você perdeu uma partição inteira, comece pelo TestDisk. Se quiser recuperar arquivos específicos de uma partição corrompida ou formatada, use o PhotoRec. Se o TestDisk falhar, o PhotoRec ainda consegue extrair dados do blob binário bruto do disco. [3]

Como o TestDisk Localiza Partições Apagadas

Quando uma partição é deletada ou formatada, o que acontece é que a tabela de partições (MBR ou GPT) tem suas entradas apagadas — mas os dados continuam fisicamente presentes no disco até serem sobrescritos por novos dados. O TestDisk faz uma varredura detalhada do disco comparando a estrutura atual com assinaturas de sistema de arquivos conhecidas, reconstituindo a tabela de partições original.

O processo possui dois modos: Quick Search (busca rápida, poucos segundos) e Deeper Search (busca profunda, pode levar horas), que rastreia partições muito mais antigas e fragmentadas. Ao finalizar, as partições encontradas aparecem em verde (recuperáveis) ou vermelho (com problemas). Basta confirmar a operação com Write para restaurar a partição. [4]

Regra de ouro forense: desde o momento em que os dados são perdidos, cada nova escrita no disco reduz as chances de recuperação. Nunca instale programas, copie arquivos ou continue usando o disco afetado antes de tentar a recuperação. [3]

Fluxo Completo: TestDisk → Recuperação de Partição
1

Instalação e execução como root

sudo apt install testdisk → sudo testdisk → selecionar Create para gerar log

2

Selecionar a mídia e o tipo de partição

Escolha o dispositivo (/dev/sdb, /dev/sdc etc.) → selecione o tipo: Intel/PC para Windows/Linux, EFI GPT para sistemas modernos, Mac para Apple

3

Analyze → Quick Search

Selecione Analyze → Quick Search para busca rápida. Se não encontrar, use Deeper Search para varredura completa (pode levar horas em HDs grandes)

4

Selecionar partição em verde e gravar

Partições em verde são recuperáveis. Selecione, pressione Enter → Write → confirme com Y para restaurar a tabela de partições

5

Reiniciar e verificar a partição restaurada

Saia do TestDisk → desconecte e reconecte o dispositivo → a partição e todos os arquivos devem estar disponíveis novamente, intactos

Mídia Recuperação via TestDisk Secure Erase Efetivo Recomendação
HD (HDD) Alta probabilidade Sim (shred/dd) Ideal para dados sensíveis
SSD / NVMe Alta probabilidade Não confiável Destruir fisicamente se sensível
Pen Drive USB Média probabilidade Não confiável Destruir fisicamente se sensível
Partição criptografada (LUKS) Inacessível sem senha Criptografia como barreira Sempre use criptografia
// Capítulo 02

Clonagem com DD: Recuperar HDs Danificados

O Comando DD: A Faca Suíça da Forense Digital

O comando DD (álias disk duplicator) é uma ferramenta nativa de todos os sistemas Linux/Unix que realiza cópias exatas byte a byte de dispositivos ou partições. Para analistas forenses, o DD é o ponto de partida: antes de qualquer análise, cria-se uma imagem forense (.img) do dispositivo original, preservando-o intacto e trabalhando apenas na cópia.

Isso é especialmente valioso quando o HD ou pendrive está danificado físicamente: mesmo com o dispositivo falhando, o DD consegue copiar os setores acessíveis, criando uma imagem parcial que pode ser montada em outro HD para recuperar partições via TestDisk. [5]

# 1. Clonar HD danificado para arquivo de imagem:
$ sudo dd if=/dev/sdb of=~/imagem_windows.img bs=4096 status=progress
# 2. Restaurar imagem em novo HD (substituição completa):
$ sudo dd if=~/imagem_windows.img of=/dev/sdc bs=4096 status=progress
# 3. Montar imagem para acessar arquivos sem restaurar:
$ sudo mount -o loop ~/imagem_windows.img /mnt/recuperado
> Partição montada em /mnt/recuperado — todos os arquivos acessíveis

Por que Hackers e Agentes Forenses Fazem Isso

Técnicos de informática, agentes governamentais e hackers experientes utilizam exatamente essa técnica: clonar o HD com DD, criar múltiplas imagens das partições com TestDisk e depois analisar cada uma delas em busca de cookies de sessão, senhas, chaves privadas de criptomoedas e arquivos sensíveis — tudo sem que a vítima perceba, especialmente quando entrega o equipamento para "formatação" em lojas de informática. [6]

O cenário é mais crítico do que parece: além de recuperar arquivos deletados, é possível restaurar a partição completa do Windows, dar boot nela e acessar diretamente todos os programas com sessões ativas — Telegram, WhatsApp Web, navegadores — sem precisar de qualquer senha, pois os cookies armazenados no HD mantinham as sessões autenticadas.

Análise: Recuperabilidade de Dados vs Proteção
// Capítulo 03

Vulnerabilidades Fatais sem Criptografia

Roubo de Cookies de Sessão

Navegadores como Firefox e Chrome deletam cookies com delete normal, não com Secure Erase. Esses arquivos são recuperáveis com PhotoRec e permitem acessar todas as suas contas de e-mail, redes sociais e criptomoedas sem precisar de senha ou 2FA.

Recuperação de Chaves Privadas

Se você gerenciou wallets de criptomoedas sem criptografia de disco, é altamente provável que arquivos de configuração e seeds sejam recuperáveis de partições antigas. Isso representa perda total e irrecuperável dos seus fundos.

Bypass de Login via Sistemas Live

Com um pendrive bootável (Tails, Ubuntu Live), qualquer pessoa com acesso físico ao seu computador consegue enxergar e copiar todos os arquivos do HD sem precisar de sua senha de login do Windows ou Linux — se não houver criptografia de disco.

O Perigo do Técnico de Informática

Ao entregar seu equipamento para reparo sem sanitizar os dados, você concede acesso físico completo. Um técnico desonesto pode clonar todo o seu HD em minutos, analisar as partições, recuperar dados sensíveis e usá-los para chantagear ou vender informações. Sanitize antes de entregar.

// Capítulo 04

Antiforense: Como Tornar Seus Dados Irrecuperáveis

Secure Erase, LUKS e a Hierarquia da Proteção

Formatar não é Secure Erase. Deletar arquivos não é Secure Erase. Mesmo formatando 10, 20 ou 100 vezes, partições anteriores podem ser recuperadas pelo TestDisk. A única forma de impedir recuperação forense em um HD magnético (HDD) é sobrescrever os setores fisicamente com dados aleatórios múltiplas vezes — o que as ferramentas shred e dd com /dev/urandom fazem. [7][8]

# Secure Erase com shred (3 passagens padrão + zeros):
$ sudo shred -v -n 3 -z /dev/sdX
# Secure Erase com DD usando dados aleatórios:
$ sudo dd if=/dev/urandom of=/dev/sdX bs=4096 status=progress
# Criptografar partição com LUKS (cria barreira imediata):
$ sudo cryptsetup luksFormat /dev/sdX1
$ sudo cryptsetup open /dev/sdX1 crypto_aula
$ sudo mkfs.ext4 /dev/mapper/crypto_aula
> Partição criptografada criada. Inacessível sem senha.

O Problema Fatal dos SSDs e Pen Drives

Pesquisas científicas comprovaram que o Secure Erase em SSDs e pen drives é ineficaz. Devido ao mecanismo de wear leveling (nivelamento de desgaste), o SSD redistribui os dados entre células de forma que o software não consegue garantir que todos os setores foram sobrescritos. Mesmo usando o software do fabricante, dados podem ser recuperados. [9]

A solução definitiva para SSDs e pen drives com dados sensíveis: destruição física. Literalmente desmontar, perfurar e triturar os chips de memória NAND. O custo é o valor do hardware — muito menor que as consequências de ter seus dados expostos.

HDD + shred (3 passes)99%
LUKS criptografia de disco97%
Formatar (FAT32/NTFS/ext4)5%
Deletar arquivos normalmente0%
Nível de Proteção Antiforense por Método
// Capítulo 05

Casos de Uso Legítimos do TestDisk

HD Danificado

Recuperar partições de um HD com falhas físicas criando imagem .img com DD antes que pare de funcionar completamente.

Pendrive Formatado por Engano

Restaurar partição e todos os arquivos de um pendrive acidentalmente formatado, sem perda de dados, em minutos.

Sistema não inicializa

Reparar boot sector corrompido de partições FAT32, NTFS e ext4, tornando o sistema operacional inicializável novamente.

Análise Forense Legítima

Peritos de TI e profissionais de segurança usam TestDisk para recuperar evidências em investigações criminais dentro da legalidade.

Migração de Sistema

Clonar sistema operacional completo com DD de um HD antigo para um SSD novo, mantendo todos os arquivos e configurações intactos.

Pré-entrega para Técnico

Antes de levar o equipamento para reparo, usar shred para sanitizar partições antigas e garantir que nenhum dado sensível seja exposto.

Blindagem Digital Completa

Domine criptografia de disco, Secure Erase, TestDisk e análise antiforense através da nossa consultoria especializada. Estruture um ecossistema de privacidade que seja resistente tanto a ataques digitais quanto a ataques físicos forenses.

Consultoria Especializada Central de Segurança
// Fontes e Referências

Fontes, Referências e Leituras Complementares

  Fontes Técnicas e Oficiais

  • [1]
    TestDisk PT — CGSecurity (Site Oficial)
    cgsecurity.org — TestDisk PT

    Documentação oficial do TestDisk em português: ferramenta gratuita para recuperar partições perdidas e reparar discos não-inicializáveis causados por falhas de software, vírus ou erro humano.

  • [2]
    TestDisk Download — CGSecurity
    cgsecurity.org — TestDisk Download

    Página oficial de download do TestDisk 7.2 para Windows, Linux, macOS e outros sistemas. Versão mais recente lançada em 2024.

  • [3]
    Como Recuperar Dados com TestDisk e PhotoRec Passo a Passo
    pchardwarepro.com — TestDisk e PhotoRec Step by Step

    Guia completo sobre estratégia de uso combinado: TestDisk para partições, PhotoRec para arquivos individuais. Inclui a importante regra de não gravar mais dados no disco afetado.

  • [4]
    Recuperação de Partições Deletadas com TestDisk — Viva o Linux
    vivaolinux.com.br — Recuperação com TestDisk

    Artigo técnico detalhado em português mostrando o processo completo de recuperação de partições deletadas, incluindo casos com resultados de busca profunda de 140 partições encontradas.

  • [5]
    Recuperar Arquivos Deletados usando TestDisk — 100security.com.br
    100security.com.br — TestDisk Análise Forense

    Tutorial de análise forense usando TestDisk para recuperar arquivos de dispositivos removíveis. Recurso amplamente utilizado em processos forenses para recuperar evidências.

  • [6]
    How to Recover Deleted Files with TestDisk & PhotoRec — iBoysoft
    iboysoft.com — TestDisk Complete Guide

    Guia completo sobre TestDisk criado em 1998: como funciona a recuperação de arquivos deletados, sistemas de arquivos suportados e o mecanismo de localização de clusters. 

  • [7]
    3 Best Ways to Securely Wipe Disk in Linux — Linuxiac
    linuxiac.com — Secure Wipe Linux

    Guia sobre shred, dd e wipe para apagar dados de forma irrecuperável no Linux. Por padrão o shred usa 3 passagens com dados pseudo-aleatórios — suficiente para a maioria dos casos.

  • [8]
    Securely Wipe Disk — ArchWiki
    wiki.archlinux.org — Securely Wipe Disk

    Documentação técnica completa do Arch Linux sobre shred, scrub e outros métodos de apagamento seguro. O shred usa /dev/urandom por padrão para gerar dados aleatórios nas passagens.

  • [9]
    Solid State Drive / Memory Cell Clearing — ArchWiki
    wiki.archlinux.org — SSD Memory Cell Clearing

    Documentação técnica sobre por que o Secure Erase em SSDs não resetea o wear leveling e pode não garantir apagamento completo em drives próximos do fim da vida útil.

  • [10]
    5 Free Bootable Tools To Securely Wipe SSD HDD — GeckoAndFly
    geckoandfly.com — Secure Wipe Tools

    Lista de ferramentas bootáveis gratuitas para apagamento seguro incluindo ShredOS/nwipe com suporte aos padrões DoD 5220.22-M (7 passes) e Gutmann (35 passes).