File Carving (Récupération de Fichiers)

Définition

Le file carving (littéralement « découpage de fichiers », parfois traduit par récupération de fichiers ou sculpture de données) est une technique d'investigation numérique qui consiste à reconstruire des fichiers supprimés ou fragmentés en recherchant leurs signatures binaires — les fameux magic bytes — directement dans l'espace brut d'un support de stockage, sans s'appuyer sur les métadonnées du système de fichiers.

Là où un outil de récupération classique interroge la table d'allocation (MFT en NTFS, inodes en ext4, FAT en FAT32), le carving ignore totalement cette couche logique. Il traite le disque comme un flux d'octets continu et y cherche des motifs reconnaissables. C'est précisément ce qui en fait l'arme de dernier recours du forensic : il fonctionne même quand la table de fichiers a été effacée, corrompue, chiffrée partiellement ou volontairement détruite.

Pourquoi ça fonctionne : la suppression n'efface rien

Sur la majorité des systèmes de fichiers, supprimer un fichier ne fait que marquer ses clusters comme « disponibles ». Le contenu reste physiquement présent dans l'espace non alloué (unallocated space) jusqu'à ce qu'une écriture ultérieure vienne l'écraser. S'ajoutent d'autres réservoirs de données résiduelles :

• Slack space : l'espace résiduel entre la fin logique d'un fichier et la fin du cluster qui l'héberge.
• Fichiers d'échange et hibernation : pagefile.sys, hiberfil.sys, swap sous Linux.
• Dumps mémoire : une capture RAM contient des fragments de documents, d'images et de clés en clair.
• Espaces réservés : zones de démarrage, secteurs de rechange, blocs orphelins.

Fonctionnement technique

Le principe repose sur le fait que la plupart des formats de fichiers commencent par un en-tête fixe, et se terminent souvent par un pied de fichier tout aussi identifiable :

• JPEG : en-tête FF D8 FF, pied FF D9
• PNG : 89 50 4E 47 0D 0A 1A 0A, pied IEND
• PDF : %PDF-, pied %%EOF
• ZIP / DOCX / XLSX / APK : 50 4B 03 04 (« PK »)
• SQLite : la chaîne SQLite format 3
• ELF : 7F 45 4C 46 — utile pour extraire des binaires malveillants

Plusieurs stratégies coexistent :

• Header/footer carving : on extrait tout ce qui se trouve entre une signature d'ouverture et la signature de fermeture correspondante. Simple, rapide, mais mis en échec par la fragmentation.
• Header + taille : certains formats déclarent leur longueur dans l'en-tête (BMP, WAV, MP4), ce qui permet un découpage exact.
• Carving par blocs : on analyse chaque secteur indépendamment et on évalue statistiquement son type (entropie, distribution des octets) pour regrouper les blocs cohérents.
• Bifragment gap carving : reconstruction de fichiers coupés en deux morceaux séparés par un intervalle, en testant les combinaisons jusqu'à obtenir un fichier valide.
• Carving sémantique : validation par décodage réel du contenu (une image qui ne s'affiche pas est rejetée), ce qui réduit fortement les faux positifs.

Outils de référence : PhotoRec, Foremost, Scalpel, bulk_extractor, binwalk (pour le firmware), ainsi que les modules intégrés d'Autopsy, The Sleuth Kit ou X-Ways Forensics.

Cas d'usage concrets

• Réponse à incident ransomware : après chiffrement, les fichiers originaux ont souvent été supprimés plutôt qu'écrasés. Le carving permet parfois de récupérer des versions en clair, ainsi que la note de rançon et les exécutables effacés par l'attaquant.
• Enquête sur exfiltration de données : reconstruction d'archives ZIP ou RAR préparées puis supprimées par un collaborateur malveillant.
• Anti-forensique : quand un adversaire a formaté un volume ou détruit le journal, le carving reste opérationnel car il ne dépend d'aucune métadonnée.
• Analyse de firmware IoT/OT : binwalk extrait les systèmes de fichiers SquashFS, noyaux et certificats embarqués dans une image brute.
• Memory forensics : extraction de documents, de scripts PowerShell obfusqués ou de captures d'écran depuis un dump RAM.

Limites à connaître

Le carving n'est pas magique. La fragmentation reste son principal ennemi : un fichier éclaté en cinq morceaux non contigus sera au mieux partiellement reconstruit. Sur les SSD, la commande TRIM associée au ramasse-miettes efface physiquement les blocs libérés en quelques minutes, réduisant drastiquement les chances de succès. Enfin, les fichiers récupérés perdent leur nom d'origine et leurs horodatages, puisque ces informations vivaient dans le système de fichiers — un point critique pour la valeur probante en justice.

Bonnes pratiques

• Travailler exclusivement sur une copie : réaliser une image bit-à-bit (dd, ewfacquire) via un bloqueur d'écriture matériel, jamais sur l'original.
• Documenter la chaîne de possession et calculer les empreintes SHA-256 avant et après acquisition.
• Éteindre correctement le protocole : ne jamais redémarrer une machine SSD suspecte, chaque boot déclenche du TRIM.
• Croiser carving et analyse du système de fichiers : le carving complète, il ne remplace pas l'examen de la MFT ou du journal.
• Valider chaque artefact récupéré par ouverture réelle et vérification de cohérence avant toute conclusion.

Concepts liés

Le file carving s'inscrit dans une chaîne plus large : acquisition forensique, analyse de la timeline, memory forensics, threat hunting et DFIR (Digital Forensics and Incident Response). Il est aussi le miroir défensif de l'effacement sécurisé : c'est parce que le carving fonctionne si bien qu'une politique de mise au rebut du matériel doit reposer sur du chiffrement intégral de disque ou une destruction physique, et non sur un simple formatage.