File Carving — Récupération de fichiers (Sculpture de fichiers)

Définition

Le file carving est une technique d'investigation numérique permettant de récupérer des fichiers supprimés ou des fragments de fichiers directement depuis l'espace brut d'un disque, sans s'appuyer sur le système de fichiers (qui peut être corrompu, effacé ou délibérément falsifié). La technique repose sur la détection de signatures de fichiers (magic bytes) : les en-têtes et pieds de fichiers caractéristiques de chaque format (FFD8 pour JPEG, 504B03 pour ZIP/docx, 25504446 pour PDF). L'outil Scalpel (fork de Foremost) et PhotoRec sont des références open-source pour le carving ; des suites commerciales comme EnCase ou X-Ways Forensics offrent des capacités plus avancées incluant le carving dans l'espace non alloué, les flux de données alternatifs NTFS, et les fragments de fichiers fragmentés. Le carving produit souvent des faux positifs (fichiers partiels, structures invalides) qui nécessitent une validation manuelle. Cette technique est particulièrement utile dans les cas d'effacement délibéré de preuves, de crash systèmes, ou de récupération après ransomware.