Dumpster

CCleaner для Windows

Хотя существует множество популярных программ для очистки ПК, CCleaner — это известное имя, которое предлагает сильно настроенное программное обеспечение, которое может удалять все ненужные файлы в Windows. Программный модуль включает в себя удаление и обновление программного обеспечения. Запускать. Плагины браузера. Анализатор дисков. Поиск дубликатов. Восстановление системы и очиститель диска. Все эти модули означают, что это не просто более чистое программное обеспечение, но вы можете использовать его для регулярного обслуживания своего ПК.

Функции:

• Управление плагинами Google Chrome и обнаружение элементов автозагрузки
• Процедура обнаружения восстановления системы
• Поиск дубликатов файлов
• Оптимизирована и улучшена чистка реестра.
• Мониторинг нежелательной почты в реальном времени, автоматическая очистка истории и параметры автоматического обновления.
• Функции восстановления файлов и аппаратного анализа
• Включает набор инструментов для очистки и восстановления: Recuva, Defraggler и Speccy.

А если диск полностью затереть?

Теоретически даже в этом случае иногда остаётся возможность восстановить данные. Под полным затиранием диска мы понимаем перезапись всей поверхности нулями. Такая функция есть, например, у приложений Eraser, SDelete, Freeraser, Overwrite, Secure Delete, CCleaner и др.

Чаще всего затирания вполне достаточно. После этого данные на диске не обнаружат уже перечисленные DiskDigger, Photorec, Foremost и т.д.

Но есть методика магнитной микроскопии. Чувствительное оборудование позволяет определить состояние каждого бита на диске до перезаписи.

На самом деле эта методика крайне редко на практике даёт возможность восстановить файлы. Если хотя бы в 2-3% битов информация восстановится с ошибками, никакого смысла в процедуре не будет. Так что если речь идёт не о коротком текстовом пароле от кошелька с тысячей биткоинов, пробовать не стоит.

Кстати, в прошивку SSD обычно встраивают утилиты, которые выполняют самоочистку. Они запускаются автоматически после подачи питания или когда диск активно не используется, и затирают, изменяют или переносят файлы, которые система пометила как уничтоженные. Это делается для ускорения работы системы. А заодно и уничтожает улики.

С другой стороны, методы, изначально разработанные для HDD, на SSD могут не работать. Исследователи из Калифорнийского университета в Сан-Диего, показали, что после удаления утилитами для безопасного стирания на диске остаётся 67-75% данных якобы стёртых файлов.

Программные инструменты

Среди профессиональных систем для анализа самая популярная, пожалуй, EnCase Forensic. Она позволяет анализировать большие объёмы данных, задавать поиск по ключевым словам, атрибутам и т. п.

EnCase Forensic создает точную побитовую копию всего диска или части данных, после этого верифицирует собранные улики, генерируя хэш MD5 файла собранных доказательств и снимая CRC-значения данных. Это даёт возможность гарантировать, что данные не были изменены, и в любой момент использовать их в виде доказательств в суде.

EnCase Forensic умеет восстанавливать файлы и разделы, искать удаленную информацию и журналы событий, сигнатуры файлов и значения хэша, анализировать составные файлы (архивы) и находить остатки информации в неразмеченном пространстве жесткого диска в встроенном HEX редакторе.

Другой удобный вариант – дистрибутив Digital Evidence & Forensics Toolkit: DEFT Linuix на платформе Lubuntu. Он позволяет находить и анализировать информацию на жестком диске и других носителях, включает систему поиска информации в кэше браузера, сетевые сканеры и утилиты для выявления руткитов.

Для снятия копий дисков обычно используют дистрибутивы вроде Rip Linux, DEFT Linux, CAINE, Paladin, Helix, Kali. Но обычно в них для полноценной работы нужно уметь работать с консолью. Это не всегда просто, потому что ошибки в командах могут привести к уничтожению улик.

Другой вариант – сборка Windows Forensic Environment (WinFE) с графическим интерфейсом. Она была создана сотрудником Microsoft, компьютерным криминалистом. Сборка основана на WinPE и работает аналогично Linux-дистрибутивам, которые не монтируют разделы в процессе загрузки. В системе есть основные инструменты анализа.

MacKeeper для Mac

MacKeeper — это полный инструмент для очистки Mac и не только программное обеспечение для очистки ненужных файлов и программ. Это делает его пакетом безопасности и оптимизации. Говоря о функции очистки, она может освободить дисковое пространство за несколько секунд, что поможет тем, кто использует MacBook с твердотельными накопителями с небольшим объемом памяти. Вы также можете потребовать обратно RAM, закрыв работающие программы в фоновом режиме, которые вы, возможно, не сразу используете.

Функции:

• Очистка хранилища одним щелчком удаляет ненужные файлы, временные данные, дубликаты, похожие изображения и бесполезные снимки экрана.
• Удалите системные приложения, которые иначе невозможно.
• Управление приложениями для установки обновлений программного обеспечения, удаления приложений и надстроек, не оставляя файлов.
• Автоматическая очистка памяти может освободить RAm и завершить ресурсоемкие процессы для повышения производительности.

Начало работы с MacKeeper

Помня о функции очистки, давайте узнаем, какие разделы вы можете использовать, чтобы ускорить работу MacBook.

Безопасная очистка: это первое, что вы можете использовать для удаления ненужных файлов, загромождающих ваш ноутбук. Он может удалять файлы журналов, кеши, почтовые вложения и так далее. Это также помогает удалить данные, которые могут быть конфиденциальными, например файлы, которые вы скачали для проверки, но забыли удалить.

Duplicate Finder: многие из нас в конечном итоге делают дубликаты одной и той же фотографии. Мы даже загружаем их в iCloud. Если вы продолжите практиковать это, на вашем маленьком SSD в конечном итоге закончится место, и все будет медленно

Очень важно иметь достаточно свободного места, чтобы приложения могли использовать их, когда им это нужно. Duplicate Finder имеет смысл вычислить эти изображения и предоставить вам все детали, чтобы вы могли узнать, какое из них удалить, а какое оставить

Smart Uninstaller: один из наиболее значительных недостатков удаления на основе ОС зависит от сценария удаления программного обеспечения. Предположим, программа решила оставить какие-то файлы (конфигурация пользователя). Эти файлы занимают место в течение нескольких месяцев, в зависимости от того, сколько приложений вы устанавливаете. MacKeeper Smart Uninstaller гарантирует, что все файлы и записи, похожие на реестр, будут удалены, и ничего не останется. В результате получается больше места, чем обычно.

Очиститель памяти: последний в списке может помочь вам вернуть неиспользованную оперативную память. Большинство из нас даже не закрывает приложения и редко перезагружает Mac. Значит, будет заблокирован большой объем памяти. Вы можете найти все приложения в фоновом режиме и закрыть их с помощью очистителя памяти. Это также удобно, если есть приложение, которое вы не можете закрыть. Они будут вынуждены перестать освобождать достаточно памяти.

Найдите большие файлы: при редактировании видео я понял, что они занимают больше всего места. FCPX, например, поддерживает резервные копии всех изменений, и библиотека продолжает расти. К тому же их нелегко найти. MacKeeper может легко найти эти файлы большого размера, которые могут быть фильмами или почтовыми вложениями.

Вывод

Сообщение дает понять, что можно ускорить любую ОС, Windows или macOS, используя такие инструменты, как CCleaner и MacKeeper. Последний является одним из немногих инструментов, которые работают должным образом в ОС, которая в остальном ограничена и предлагает ограниченные возможности для очистки хранилища и ненужных файлов. Самое приятное то, что вы можете использовать MacKeeper бесплатно, который предлагает все функции, но с ограничениями. Как только вы закончите, это поможет вам, что это именно тот инструмент, который вам нужен.

Как протереть жесткий диск и очистить MFT

Итак, теперь, когда вы знаете, как это работает, есть два способа предотвратить восстановление. Вы можете полностью очистить свой жесткий диск, используя какое-нибудь безопасное программное обеспечение для удаления, так что в конечном итоге таблица MFT не будет ничего обнаруживать.

Второй способ — если вы можете перезаписать данные удаленных файлов чем-то другим. Таким образом, даже если MFT имеет местоположение файла, данные будут недействительными.

Давайте взглянем на два бесплатных программного обеспечения, которые могут вам в этом помочь. Хотя вы можете выполнять эти операции часто, на SSD это, скорее всего, сократит срок службы SSD.

1.Cyrobo Prevent Recovery

Интерфейс прост. Запустите программу, и она обнаружит разделы, подключенные к компьютеру.

• Выберите раздел, для которого вы хотите запустить операции защиты от восстановления.
• На следующем экране вы можете выбрать вариант перезаписи данных с использованием пробелов, случайных символов, случайных чисел и специальных технических знаков.
• Затем вам нужно выбрать тип безопасности, но, поскольку это бесплатная версия, вы не можете. Так что жмите Далее.
• Наконец, вы можете выбрать очистку таблиц MFT в процентах от свободного диска, подлежащего перезаписи. Рекомендуется 100%.
• Опубликуйте это, программное обеспечение будет искать удаленные файлы, перезаписывать их, а также очищать записи MFT.

Время, необходимое для этого, будет зависеть от скорости жесткого диска. На одну перезапись на моем жестком диске ушло около 50 минут.

Скачать бесплатную версию предотвращения восстановления. Он предлагает стирать с использованием данных MFT и не имеет ограничений. Версия Pro предлагает лучший алгоритм безопасности для удаления файлов, лучший интерфейс и приоритетную поддержку.

Программное обеспечение утверждает, что они используют 12 алгоритмов безопасности, чтобы даже службам безопасности было сложно восстановить данные с существующего диска.

2.CCleaner Wipe MFT Free Space

CCleaner предлагает ту же функцию, но с другим подходом. Первый подход — это операция по очистке, а второй — специальный инструмент Wipe Free Space.

Очистить диски свободного места

Когда вы настраиваете это, CCleaner продолжает удалять файлы безвозвратно, используя технику свободного пространства MFT, каждый раз, когда вы удаляете файл.

• Откройте CCleaner и перейдите в Параметры> Настройки> Очистить диски свободного места.
• Выберите диск, для которого вы хотите выполнять каждый раз при удалении файлов
• Установите флажок «Очистить свободное пространство MFT».

Привод стеклоочистителя

Это полезно, когда вы передаете свой компьютер кому-то другому или если у вас не была включена вышеупомянутая опция ранее.

• • Перейдите в Инструменты> Очиститель диска.
  • Выберите Free Space only под Wipe.
  • Выберите тип протирания безопасности, который может быть от одного до тридцати пяти раз.
  • Выберите один или несколько дисков
  • Затем нажмите на Вытирать чтобы запустить процесс.

Лучшее в использовании инструментов — это то, что вы можете использовать их на существующем жестком диске, не беспокоясь о потере данных. Поскольку он перезаписывает только то, что является бесплатным, остальные данные в безопасности.

Работает ли удаление основной таблицы файлов?

Это сложный вопрос, потому что действительно важно, какой алгоритм безопасности использовался для удаления данных. Существует высококлассное программное обеспечение, которое может извлекать данные, даже если вы их однажды стерли, или может нарушить алгоритм, который использовался для очистки данных

Существует высококлассное программное обеспечение, которое может извлекать данные, даже если вы их однажды стерли, или может нарушить алгоритм, который использовался для очистки данных.

Мы протестировали его с помощью программы восстановления, которую я часто использую для тестирования восстановления, и я убедился, что она работает. Однако на этот раз восстановить данные при сканировании не удалось.

Cyrobo Prevent Recovery результат

Мы видели сотни файлов во временной папке и корзине, но ни один из них не мог быть просмотрен после восстановления. Расширенное сканирование не смогло восстановить ни один файл, но оно показало имена файлов кое-где.

Результат CCleaner Wipe MFT Free Space

Результаты CCleaner, где мы использовали функцию Wipe Driv e (только свободное пространство), были интересными. Все, что мы могли видеть, это тонны файлов с именем ZZZZ как при быстром, так и при расширенном сканировании. Похоже, CCleaner справился намного лучше, чем Cyrobo Prevent Recovery.

Полезные ссылки

• DumpIt– создание дампа физической памяти Windows.
• Live RAM Capturer– создание дампа RAM, в том числе защищенный анти-отладочной или антидампинговой системой.
• FTK Imager– просмотр и клонирование носителей данных в Windows.
• FTK Imager CLI for Mac OS– консольная версия утилиты FTK Imager для mac
• EnCase Forensic Imager– утилита для создания доказательных файлов EnCase.
• EWF MetaEditorутилита для редактирования метаданных EWF (E01).
• Forensics Acquisition of Websites– браузер для захвата веб-страниц для проведения расследований.
• Mail Viewer– просмотр почты Outlook Express, Windows Mail/Windows Live Mail, базы данных сообщений Mozilla Thunderbird и отдельных файлов EML.
• bstrings– поиск в двоичных данных, умеет работать с регулярными выражениями.
• floss– утилита для автоматической деобфускации данных из двоичных файлов вредоносных программ.
• Defraser– поиск полных и частичных данных о мультимедийных файлах в нераспределенном пространстве.
• bulk_extractor— поиск e-mail, IP-адресов, телефонов в файлах на диске.
• Encryption Analyzer– анализ защищенных паролем и зашифрованных файлов.
• photorec— извлечение данных и файлов изображений.
• Forensic Image Viewer– получение данных из изображений.
• iPBA2– анализ резервных копий iOS.
• SAFT– поиск SMS, журналов звонков и контактов на Android-устройствах.
• KeeFarce— извлечение паролей KeePass из памяти.
• Rekall— анализ дампов RAM.
• volatility— анализ образов физической памяти.
• RecuperaBit— восстановление NTFS-данных.
• python-ntfs— анализ NTFS-данных.
• chrome-url-dumper— извлечение данных из Google Chrome.
• hindsight— анализ истории Google Chrome/Chromium.

Список программ для восстановления данных

Unformat

Однако с помощью этой утилиты не получится полностью реконструировать НDD или внешний носитель и вернуть его к состоянию до форматирования. В результате, многие системные файлы будут утеряны и восстановленные программы не станут работать стабильно. Также использование Unformat не гарантирует возврата всех файлов – будут регенерированы только некоторые документы, архивы, фото.

Recuva

Программа специально предназначена для восстановления данных с HDD, а также с флешек и карт памяти. Скачивание простой версии доступно бесплатно, расширенную можно купить за $19,95.

Утилита отличается дружественным интерфейсом и удобным мастером настройки. Кроме этого, ее преимущество состоит в возможности работы с CD/DVD или флешки без установки. Для запуска программы потребуется прописать в BIOS приоритет внешнего диска, на котором она находится.

Disk Drill

Утилита создана для восстановления данных на компьютерах с ОС Windows и macOS. Доступна для скачивания как бесплатная версия, так и профессиональная, за которую придется заплатить $89.

Disk Drill поддерживает множество файловых систем, подходит для работы со съемными носителями. К удобствам можно отнести возможность задать фильтр поиска. Это ускорит процесс, если требуется восстановить только определенный тип файлов.

Из недостатков – отсутствие переносной версии. Так что, чтобы воспользоваться программой, придется искать рабочий компьютер, устанавливать утилиту на него и подключать свой винчестер.

R-Studio

Универсальная программа, работающая не только с платформами Windows и macOS, но и с Linux. Утилита способна восстановить утраченные данные после форматирования, с поврежденных разделов и внешних дисков. Преимущество – возможность работы через сеть.

Кроме этого, программу можно запустить с установочного диска даже в том случае, если система не грузится. Доступна для скачивания бесплатная версия. Но, чтобы воспользоваться всеми возможностями, требуется заплатить $49,99.

R.Saver

Популярная бесплатная программа, не требующая установки. Запускается даже с внешнего носителя с помощью файла с расширением exe. Позволяет не только найти случайно удаленную информацию, но и восстановить файловую систему после быстрого форматирования. Кроме этого, с помощью утилиты можно создавать образы файлов по сохранившимся фрагментам.

Data Rescue

Одна из лучших на сегодняшний день программ. В фри-варианте, рассчитанном на новичков, есть аскетичный интерфейс и минимум настроек, что страхует неопытного пользователя от того, что он что-то напутает. В про-версии за $99 возможности расширены. В функциях есть варианты назначения параметров диска, клонирование и создание виртуальных массивов.

Wise Data Recovery

Простая бесплатная программа с базовым набором функций, позволяющая быстро вернуть удаленные файлы, восстановить фото и документы с поврежденного диска. Работает на платформе Windows.

Stellar Data Recovery

Утилита подходит для ОС Windows и macOS. Отличается интуитивно понятным интерфейсом и высокой скоростью работы. Демо-версия доступна бесплатно. За дальнейшее пользование придется заплатить $79.99.

MiniTool Data Recovery

Простая программа, с которой справится даже начинающий. Работает на платформах Windows и macOS. Восстанавливает как отдельные файлы, так и целые разделы. Цена про-версии – $79, но можно скачать пробник с урезанными возможностями бесплатно.

Не стоит отчаиваться, если по случайности был стерт важный документ, после форматирования обнаружилось, что не была создана копия нужного файла, или если жесткий диск перестал работать. В большинстве случаев восстановить утерянную информацию возможно инструментами Windows или с помощью сторонних утилит.

Как восстановить безвозвратно удаленные файлы в Windows 10 с бесплатной программой

Если восстановить файлы с помощью упомянутых ранее способов не получилось, попробуйте воспользоваться бесплатной программой восстановления данных EaseUS  для Windows 10/8/7 и Mac. С помощью этого инструмента, вы сможете восстановить потерянные папки, документы, эл.почту, аудио и видео файлы, а также и многие другие типы файлов во всех случаях их потери. Просто скачайте и попробуйте!

EaseUS Data Recovery Wizard признан самым известным и эффективным программным обеспечением для восстановления файлов. Восстановление данных в Windows 10/8.1/8/7/XP/Vista всего за 3 шага: Выберите расположение файла -> Сканирование -> Восстановление.

Шаг 1. Запустите программу восстановления данных с жесткого диска от EaseUS.

Запустите EaseUS Data Recovery Wizard и выберите тот диск, на котором вы потеряли или случайно удалили файлы.
Нажмите «Сканировать», чтобы начать поиск всех потерянных данных и файлов.

Шаг 2. Дождитесь завершения сканирования.

Программа от EaseUS просканирует указанный диск полностью и представит вам всю потерянную информацию (включая скрытые файлы).

Шаг 3. Просмотрите список найденных файлов и восстановите нужные из них.

После предварительного просмотра, выберите нужные вам файлы, которые были потеряны на диске, и нажмите кнопку «»Восстановить»», чтобы сохранить их в безопасном месте на вашем компьютере или другом внешнем запоминающем устройстве.»

Как восстановить безвозвратно удаленные файлы без использования программного обеспечения

Наиболее часто используемым способом восстановления безвозвратно удаленных файлов в Windows 10 является применение командной строки. Давайте же с неё и начнём. 

Восстановление безвозвратно удаленных файлов с помощью команды attrib

Использование командной строки для восстановления удаленных файлов в Windows — это первый способ, который следует попробовать.

1. В строке поиска Windows введите cmd и выберите Командная строка, запустив её от имени Администратора.

2. Введите: chkdsk X: /f и нажмите Enter. (X представляет букву диска, с которого были удалены файлы).

3. Введите Y для подтверждения команды и нажмите Enter, чтобы продолжить.

4. Снова введите X (буква нужного диска) и нажмите Enter.

5.Введите: X(буква диска):\>attrib-h-r-s /s /d *.* и нажмите Enter. Дождитесь вступления команды в силу и Восстановите удаленные файлы.

Восстановление удаленных файлов из предыдущей версии

С помощью базовой службы резервного копирования Windows вы сможете восстановить свои файлы с помощью теневых копий, выбрав одну из предыдущих версий файла, которые были автоматически сохранены в системе. 

1. Щелкните правой кнопкой мыши на папку, в которой вы удалили файлы и выберите «Восстановить прежнюю версию». Откроется окно восстановления, в нём выберите нужную вам версию файла.

Если вы вдруг не обнаружили опцию «Восстановить прежнюю версию», выполните следующие действия:

2. Перейдите в Панель управления и выберите «Защита системы».
3. Нажмите на «Система и безопасность» > «Система» > «Защита системы» (на левой боковой панели).
4. Будут показаны доступные диски с соответствующей защитой.
5. Выберите конкретный диск и нажмите кнопку Настроить.
6. Нажмите на кнопку «Восстановить настройки системы и предыдущие версии файлов» и нажмите на кнопку «ОК». Вот и все; теперь вы увидите возможность восстановить конкретный файл.

Извлечение потерянных файлов из резервной копии

Если на вашем ПК активна функция резервного копирования Windows, то существует высокая вероятность восстановления безвозвратно удаленных файлов в Windows 10 с помощью метода резервного копирования. 

1. Откройте Настройски резервного копирования Windows.
2. Нажмите клавишу Windows + I, чтобы перейти в раздел «Параметры Windows». 
3. Выберите «Обновление и безопасность» > «Служба архивации».
4. Нажмите кнопку Перейти в раздел «Архивация и восстановление» (Windows 7).
5. Нажмите Кнопку «Восстановить мои файлы».

Если с помощью всех вышеперечисленных способов у вас всё же не получилось восстановить потерянные файлы, у вас все еще есть другое надежное решение. Восстановите все потерянные или удаленные данные с помощью надёжной программы восстановления. 

Удаление кеша и временных файлов в Windows и Mac

Хотя и Windows, и MacBook предлагают встроенную систему для очистки ненужных файлов, их недостаточно. Например, Windows не предоставляет никакого программного обеспечения для глубокой очистки, которое могло бы удалить любые лишние файлы, оставленные программным обеспечением. То же самое и с macOS, где опций недостаточно.

Вот где потребность в профессиональном программном обеспечении становится существенной. В этом посте рассказывается о CCleaner для Windows и MacKeeper для Mac. Это профессиональное программное обеспечение, которое предлагает инструменты и функции, которые помогут вам поддерживать максимальную производительность вашего ПК и Mac.

Что ещё можно сделать

Смотря что вы хотите скрыть. Понятно, что если в офис нагрянут, быстро перезаписать весь жесткий диск нулями не получится. Физическое уничтожение контроллера тоже не всегда помогает – блины HDD можно переставить на другое «железо» и восстановить данные.

А вот если изменить атрибуты файла, например, дату и время создания, изменения и т. п., это часто делает улики недействительными. Для таких действий подходит утилита Timestomp. Простейший скрипт для изменения временных атрибутов:

Здесь ключ –m используется для изменения даты модификации, -a – времени доступа, -с – времени создания, -e – времени модификации в MFT, -z – всех четырёх параметров сразу. Дата задается в формате DayofWeek MonthDayYear HH:MM:SS . Ещё один вариант дает ключ –b, который устанавливает атрибуты файлов такими, что программа EnCase, к примеру, их не видит. При этом вы не теряете доступа к данным.

Что ищут криминалисты

Все доступные файлы

В том числе удалённые и частично перезаписанные. Даже так: особенно удалённые.

Первый и самый простой шаг для этого – общедоступные платные и бесплатные программы для восстановления данных, к примеру, R-Studio, RecoverMyFiles, DiskDigger или Photorec. Они найдут файлы, которые вы удалили. Но можно использовать и более специфичные варианты – к примеру, bstrings и т.д.

Кстати, информация о копиях может остаться и после дефрагментации, перемещения и т. п. Понятно, что просто Command + Option + Delete в macOS (или Shift + Delete в Windows) для окончательного удаления тем более недостаточно.

Следы сохранённых фото

Если вы удалили фото и даже несколько раз перезаписали область диска, в которой оно хранилось, шанс восстановить изображения есть. Например, Windows в каждой папке создаёт специальный скрытый файл Thumbs.db. Здесь сохраняются превью изображений из текущей папки в формате JPEG. И когда вы выбираете режим «Эскизы страниц» для отображения содержимого, картинки подгружаются как раз отсюда.

Конечно, восстановить файл в оригинальном качестве Thumbs.db не поможет. Но понять по превью, что изображено на фото, кто с кем сфотографирован и чем занимается, обычно можно.

Просмотреть содержимое Thumbs.db можно с помощью Thumbnail Cache Viewer. Программа Thumbs.db Viewer 2 дает больше возможностей, но она платная.

Чтобы не попасться в ловушку, нужно отключить кэширование эскизов в файлах Thumbs.db. В Windows 10 это делается так: «Выполнить» – запустить Редактор локальной групповой политики командой gpedit.msc – «Конфигурация пользователя» – «Административные шаблоны» – «Компоненты Windows» – «Проводник» – «Отключить кэширование эскизов в скрытых файлах thumbs.db».

Файл подкачки и своп памяти

Операционная система выполняет массу процедур, чтобы работать быстрее. К примеру, она пишет данные в реестр, временные папки и т. п. За счёт этого временные данные, связанные с файлом, отследить вручную довольно сложно.

В Windows есть файл подкачки pagefile.sys и своп памяти hiberfil.sys, который используется в режиме гибернации. Они лежат в корне диска с системой.

Операционная система не позволяет скопировать эти файлы. Но есть утилиты, которые позволяют получить данные из них. Например, есть утилита Foremost из сборки Kali Linux и аналогов. Она позволяет восстанавливать файлы по заголовкам и внутренней структуре.

Foremost запускается из консоли командой:

Первая директория – что будем восстанавливать, вторая – куда будем писать данные. Утилита создаёт папки под файлы различных типов и раскладывает в них найденное.

Другой вариант – утилита FTK Imager. В меню нужно выбрать File – Add Evidence Item и указать нужный диск, затем экспортировать файл через контекстное меню. Затем скачанный файл можно анализировать с помощью DiskDigger или PhotoRec.

Отметим, что в pagefile.sys и hiberfil.sys есть не только файлы, которые вы открывали с момента последней загрузки Windows. Данные могут лежать несколько недель или даже месяцев.

Отключить файл подкачки можно. В поиске введите «Настройка представления и производительность системы», перейдите к соответствующему разделу панели управления. Затем нажмите «Дополнительно» – «Изменить», снимите галочку «Автоматически выбирать объем файла подкачки», после этого выберите «Без файла подкачки». Система может тормозить, но враги ничего не найдут.

Аппаратная часть

Обычно всё начинается с создания копии диска. Потому что если вдруг в процессе анализа что-то пойдёт не так, можно будет снять ещё одну копию. Или же сразу сделать несколько копий, если над данными работает группа специалистов.

Для создания копий дисков используются системы двух типов:

• блокираторы записи (bridge), через которые носители подключают к компьютеру;
• дубликаторы записи (duplicator), которые умеют автономно создавать полные копии и образы дисков.

Блокираторы перехватывают команды записи от операционной системы и предотвращают их передачу на носитель информации. Они внушают системе, что устройство подключено в режиме «только чтение», а если это не удаётся, то просто сообщают об ошибках записи. Некоторые устройства используют встроенную память для кэширования записанных данных и делают вид, что данные на диске действительно изменились.

Конечно, такие системы недешевы. Например, блокиратор записи T35u обойдётся в 350 долларов, дубликатор Tableau TD2u – в 1600 долларов.