Para tentar esconder evidências de um comprometimento de um sistema Windows 10, o invasor apagou alguns arquivos que estavam no disco C, que foram para a lixeira do Windows. Posteriormente, na análise forense desse sistema, o perito procurou verificar o caminho original desses arquivos e a data em que foram removidos. O perito pode conseguir essas informações
- A)nos arquivos do diretório C:\Windows\RECYCLE.
Errada, porque o caminho C:\Windows\RECYCLE nao corresponde ao formato usado no Windows 10 para a Lixeira.
- B)no arquivo com o nome C:\$Recycle.BIN\INFO2, contendo todos os metadados dos arquivos que estão na lixeira.
Errada, porque o arquivo INFO2 e associado a versoes antigas do Windows e nao e o repositório correto de metadados da Lixeira no Windows 10.
- C)nos arquivos com nomes iniciados com I$, localizados abaixo do diretório C:\$Recycle.BIN\*.
Certa, porque os arquivos iniciados com I$ guardam os metadados forenses do item apagado, incluindo caminho original e data da remocao.
- D)no arquivo com o nome C:\NTUSER.DAT, contendo todos os metadados dos arquivos que estão na lixeira.
Errada, porque o NTUSER.DAT guarda configuracoes do perfil do usuario, nao os metadados dos arquivos da Lixeira.
- E)no Registry do Windows.
Errada, porque o Registry pode conter muitas informacoes do sistema, mas nao e o local padrao para registrar os dados da Lixeira cobrados na questao.
Gabarito: C
Quando voce apaga um arquivo no Windows e ele vai para a Lixeira, o sistema nao joga tudo fora de uma vez. Em vez disso, ele costuma guardar informacoes que permitem identificar de onde o arquivo veio e quando foi removido. Isso e muito util na pericia, porque nem sempre o agressor consegue apagar os rastros com tanta facilidade assim. No Windows 10, a Lixeira fica em C:\$Recycle.BIN, e cada usuario tem registros proprios ali. Para cada item eliminado, normalmente existem dois arquivos: um com os dados do arquivo e outro com metadados. E justamente nesses metadados ficam o caminho original, o nome original e a data/hora da exclusao. Por isso o gabarito e a letra C. Os arquivos que comecam com I$ sao os que guardam as informacoes relevantes para a analise forense, permitindo ao perito reconstruir a origem do arquivo e o momento em que ele foi removido. Em provas, a banca costuma cobrar esse detalhe da Lixeira do Windows como se fosse uma senha secreta do perito digital. Resumo pratico: se a pergunta falar em caminho original e data de remocao de arquivo que foi para a Lixeira, pense nos metadados armazenados no C:\$Recycle.BIN, especialmente nos arquivos de identificacao iniciados por I$.