Quem apaga rastro deixa outro rastro. A perícia mostra o que foi destruído, quando e como, recupera o que ainda existe e diz com franqueza o que se perdeu.
O invasor apaga os logs antes de sair. O colaborador formata o notebook antes de devolver. Quem forjou um documento ajusta as datas para que pareçam antigas. São técnicas antiforenses: ações para destruir, esconder ou falsificar vestígios.
Elas raramente funcionam por inteiro. O sistema registra o mesmo fato em vários lugares. Apagar um deles deixa os outros, e deixa uma lacuna onde deveria haver registro. A lei chama de vestígio também o material latente, aquele que não está à vista (CPP, art. 158-A, § 3º). Boa parte deste trabalho é encontrar o vestígio latente.
A perícia tem dois objetivos. O primeiro é provar que houve destruição, quando e por qual meio. Esse é um fato relevante por si: um disco apagado no dia da devolução conta uma história. O segundo é recuperar o que ainda for possível, e declarar o que não é. Quando a mídia está danificada, o trabalho segue no laboratório de Recuperação Forense de Dados.
Arquivo apagado continua no disco até ser sobrescrito. Em disco rígido, a formatação rápida também deixa o conteúdo. Sobrescrita total e o TRIM dos SSDs (a rotina que apaga de fato os blocos liberados) destroem de verdade. Mesmo então, o padrão da destruição mostra se ela foi proposital, e quando.
Log apagado costuma sobreviver em outro lugar: no arquivo de paginação (onde o sistema grava em disco partes da memória), no coletor central de registros e em backups. Também no journal do sistema de arquivos (o diário interno de alterações) e nos registros da outra ponta da conexão. Em servidores Linux, histórico de comandos e journal apagados podem voltar pela estrutura do sistema de arquivos.
É a alteração das datas de um arquivo para que ele pareça mais antigo ou mais novo. O sistema de arquivos guarda mais de um conjunto de datas, o journal registra as mudanças e o documento tem datas internas. Quando essas fontes discordam, a manipulação aparece.
Conteúdo cifrado sem a chave legítima continua ilegível, e o laudo diz isso. Mas o ato de cifrar deixa rastro: quando, com qual programa, por qual conta. Cópias anteriores, memória e backups podem guardar o conteúdo de antes.
Quem usa programa para apagar rastros precisa instalá-lo e executá-lo. A execução fica registrada em artefatos do sistema, mesmo depois que o programa é removido.
Às vezes a resposta é que não há vestígio. O laudo mostra o que foi examinado, ancorado em hash, para que a ausência seja verificável, e não uma opinião.
Em evidência destruída, o vestígio direto muitas vezes não existe mais. Por isso o grau de cada conclusão precisa ficar claro para o juízo e para as partes.
O laudo afirma como fato apenas o que o exame confirmou. Isso é próprio de todo laudo pericial e dispensa rótulo. As demais conclusões recebem uma de duas classes:
As etapas do método e da cadeia de custódia estão na página Método e Cadeia de Custódia.
Três situações enganam a análise apressada. O laudo nomeia cada uma, porque é assim que o contraditório consegue conferi-las.
O indicador apontou uma conduta que, examinada, não ocorreu. Uma coincidência de horário, um alerta automático, um vínculo aparente entre pessoas que não se sustenta.
O vestígio existe, mas não significa o que parece. Datas de acesso mudadas pelo antivírus, pela indexação, pela sincronização com a nuvem ou pela TI que abriu a máquina antes da perícia.
O vestígio foi criado ou alterado de propósito, para esconder as ações do atacante ou para apontar outra pessoa. Acontece com atacante externo e com insider. A perícia confronta cada registro com fontes independentes que o manipulador não controlava.
Um colaborador estava sob suspeita. Antes do afastamento, o equipamento dele foi preservado em sigilo, sem aviso.
Quando ele devolveu o notebook, uma segunda preservação encontrou o disco zerado por comando enviado ao próprio controlador da unidade: entropia nula, isto é, só zeros do início ao fim. O padrão não era de falha nem de uso normal.
A perícia demonstrou o apagamento proposital no dia da devolução. A primeira preservação garantiu o conteúdo que se tentou destruir.
Num equipamento Windows envolvido em um incidente, os logs de eventos tinham sido apagados.
A perícia fez a busca por fragmentos (carving) no arquivo de paginação.
Registros apagados foram recuperados desse arquivo e entraram na linha do tempo do laudo.
Uma empresa encontra, no sistema financeiro, transferências feitas com a conta de um analista. Tudo parece apontar para ele.
Nesse cenário, a perícia confrontaria esses registros com fontes que o fraudador não controlava: diretório de contas, VPN, controle de acesso físico e uso do computador do analista. Poderia achar o analista de férias, sem nenhuma conexão no período, e entradas do log com sequência quebrada.
O laudo mostraria um vestígio forjado: a conta do analista serviu para esconder quem de fato operou. A apuração seguiria para quem tinha acesso para editar aqueles registros.
Consulte também
Recuperação Forense de Dados → Método e Cadeia de Custódia → Forense Computacional e Investigação Digital → Investigação Corporativa e Compliance → Perícia em Nuvem, Identidade e DevOps → Autoria Digital e Quebra de Sigilo Telemático →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso