Scalpel3: framework paralelo de data carving para recuperação de arquivos fragmentados
Pesquisadores lançam o Scalpel3, um framework open source de carving de dados projetado para recuperação de arquivos tanto contíguos quanto fragmentados em larga escala, algo que ferramentas clássicas como Foremost, Scalpel v1/2 e PhotoRec não oferecem de forma genérica. A arquitetura abstrai paralelização e I/O, permitindo que novos tipos de arquivo sejam suportados apenas com lógica de validação, e integra classificadores ONNX para apoiar a reconstrução de blocos.
Data carving é a técnica de recuperar arquivos diretamente de mídia bruta sem depender de metadados de sistema de arquivos — essencial quando tabelas de alocação estão corrompidas, formatadas ou deliberadamente apagadas. O artigo, publicado no arXiv (cs.CR), apresenta o Scalpel3 como sucessor do venerável Scalpel, historicamente usado ao lado de Foremost e PhotoRec em investigações forenses e recuperação de dados.
A limitação que o trabalho ataca é conhecida por qualquer perito que já tentou recuperar arquivos fragmentados: ferramentas tradicionais lidam bem com arquivos contíguos, e o suporte a fragmentação, quando existe, costuma ser amarrado a formatos específicos e premissas simplificadoras. Scalpel3 propõe uma arquitetura genérica de alto desempenho em que adicionar suporte a um novo tipo de arquivo exige apenas escrever a lógica de validação de arquivo (e, opcionalmente, validação de bloco e regras de remontagem) em single-thread — o backend cuida de paralelização, sincronização e I/O de forma transparente, evitando que cada novo carver reimplemente sua própria infraestrutura multithread.
Outro ponto técnico relevante é a integração do ONNX Runtime, permitindo que classificadores de aprendizado de máquina participem da validação de blocos e da remontagem de fragmentos — uma tentativa de superar os limites de heurísticas puramente baseadas em assinatura/cabeçalho quando os blocos candidatos são ambíguos.
Para o dia a dia de investigações, os autores destacam três recursos pensados para uso real: checkpointing persistente, que permite pausar e retomar jobs de carving longos (comuns em imagens forenses de discos grandes); controle human-in-the-loop, para o operador acompanhar o progresso e redirecionar esforço de busca interativamente; e deduplicação em nível de bloco, que reduz o espaço de busca e, por consequência, o tempo de processamento. Por ser open source e de propósito geral, o Scalpel3 tem potencial para se tornar uma peça de reposição direta em fluxos de trabalho que hoje dependem de ferramentas com décadas de idade e suporte limitado a fragmentação — desde que a comunidade forense valide sua confiabilidade em casos reais antes de adotá-lo em produção.