Recuperare i files cancellati : e´ possibile farlo anche se sono stati eliminati dal cestino

Spesso sento persone disperate per l’aver cancellato involontariamente documenti, immagini o quant’altro e non riescono più a recuperarli dal momento che hanno anche svuotato il cestino. Non disperate! Potrebbe non essere ancora tutto perduto! Dico “potrebbe” visto che ci sono alcune cose da sapere per poter fare chiarezza su questo argomento e quindi condurre tutte le operazioni nel migliore dei modi.

Cercherò di spiegare in maniera molto banale come avviene la cancellazione di un file. Diciamo innanzitutto che ogni file possiede un “flag”, ovvero una sorta di “interruttore”, che indica se esso deve essere reso disponibile oppure no: quando visualizziamo il contenuto di una cartella, in realtà visualizziamo in automatico tutti i file che hanno questo flag “acceso”.

All’atto della cancellazione di un file, questo suo famigerato “interruttore di disponibilità” viene messo sulla posizione di “spento”, per cui: il file è ancora lì dov’era, ma windows, vedendo che ha questo flag disattivato, sa benissimo che il documento non è più disponibile e quindi che lo spazio da esso occupato può essere riutilizzato all’occorrenza. Quando ci troveremo a salvare nuovi documenti sul nostro pc, tali documenti andranno ad occupare degli spazi vuoti sull’ hard disk, e tra gli spazi vuoti occupabili ci saranno anche quelli occupati da tali file cancellati. Le stesse cose avvengono durante le operazioni di una normale formattazione.

Per questo motivo, se ci siamo appena resi conto di aver cancellato un file che abbiamo bisogno di recuperare, il pc non deve assolutamente più essere utilizzato, perchè ogni operazione che prevede la scrittura sul disco (backup, deframmentazione, salvataggio di file ecc) potrebbe causare il riutilizzo di parte o di tutto lo spazio occupato dal file che ci interessa recuperare, rendendolo quindi di fatto irrecuperabile.

Quando esisteva ancora la FAT16, molti “veterani” sapevano di poter contare sul comando dos “undelete” per recuperare i files eliminati, dalla FAT32 in poi, tale comando è scomparso, ma per fortuna sono stati sviluppati altri software in grado di eseguire tale operazione, ovvero: scansionare tutto l’hard disk (o schede di memoria ecc) alla ricerca di questi file con “l’interruttore spento” per poterli recuperare. Se decidiamo di fare questa operazione, come detto poco fa, è ovvio che il programma di recupero che intendiamo utilizzare dovremo scaricarlo da un altro pc diverso da quello in cui intendiamo fare il recupero.

Uno di questi programmi, con cui mi trovo molto bene è Restoration di Brian Kato, piccolissimo nelle dimensioni, freeware e in grado di lavorare anche sulla FAT NTFS, comodo da portare anche sulla pendrive dato che non ha nemmeno bisogno di installazione. Tale programma lo potete scaricare in fondo a questo articolo oppure sul sito http://www3.telus.net/mikebike/RESTORATION.html.

Scarichiamo Restoration (ripeto: da un pc diverso da quello in cui dobbiamo recuperare i files!) e salviamolo su un floppy o su una pendrive, e facciamolo quindi partire:

Innanzitutto nella casella “Drives” selezioniamo l’unità dalla quale dobbiamo recuperare i files cancellati e premiamo quindi il tasto “Search Deleted Files”. Verrà avviata una scansione dell’unità selezionata alla ricerca di files eliminati. Se vogliamo velocizzare la scansione per cercare soltanto un particolare tipo di documento, ad esempio immagini JPG, possiamo scrivere “.jpg” (senza virgolette) nel campo “All or part of the file”. A fine scansione apparirà l’elenco dei files eliminati:

Attenzione: spesso capita che i nomi dei files riportati in questo elenco non corrispondono più al nome originale che il file aveva quando è stato cancellato, altre volte è sostituita soltanto la lettera iniziale con il simbolo del dollaro. Selezioniamo il file o i file che ci interessa recuperare e premiamo quindi il tasto “Restore By copying”. Si aprirà una finestra che ci chiede dove salvare il file. Furbamente cerchiamo di non salvarlo sull’unità dalla quale dobbiamo recuperare i dati, mi raccomando!

Questo è tutto. Purtroppo non è garantito che il recupero possa avvenire in maniera perfetta, spesso capita che i files recuperati siano corrotti, ovvero manchino delle parti, la frammentazione dei files cancellati, inoltre, riduce sensibilmente la possibilità di recuperare totalmente ciò che ci interessa.

Altre opzioni del programma:

“Include used clusters by other files” : selezionando questa opzione, aumenterà il numero di files trovati, perchè verranno cercati anche files che di sicuro non potranno essere recuperati totalmente, dal momento che alcuni cluster che occupavano prima sono già stati occupati da altri files.

“Include even the file size is zero” : se selezionato, verranno cercati anche files che occupano 0 bytes di spazio (normalmente non cercati) … Ovviamente non serve a nulla recuperare un file che non occupa spazio, ma può servire per verificare se un file c’era o no.

Dal menù “Others” si possono eseguire inoltre altre due funzioni:

“Scan all clusters” : Effettua la scansione dei clusters di tutta l’unità, non soltanto di quelli dei files cancellati

“Delete completely” : Effettua la cancellazione definitiva dei files cancellati, in maniera tale che non possano più essere recuperati (questa affermazione non è vera al 100% – vedi sotto)

Sulla cancellazione dei dati ci sarebbero moltissime cose da dire. Non per niente esistono software in grado di effettuare una cancellazione definitiva dei files, in maniera che non possano più essere recuperati. Esistono software altamente specializzati, alcuni dei quali in dotazione soltanto alle forze dell’ordine e utilizzabili soltanto in casi gravi, in grado di recuperare dati anche se sono stati cancellati definitivamente con uno dei software detti prima…. Sembrano tutti controsensi, eppure è così. Esistono addirittura costosissimi macchinari in grado di smagnetizzare completamente gli hard disk per fare in modo che i dati non possano più essere recuperati con nessun sistema attualmente esistente…

Io vi ho illustrato il sistema che uso io, che non ha nessuna pretesa di funzionamento al 100% dal momento che come detto, questa “scienza” (se cosi la vogliamo definire) è qualcosa di davvero articolato e complesso, non per altro esiste l’informatica forense. Esistono sicuramente software migliori di questo per effettuare il recupero dei dati, ma sono a pagamento, io con questo mi sono trovato bene, e molte persone con questo dicono di aver addirittura recuperato le immagini da schede di memoria formattate.

Download: [download#35]