Scalpel3: nova arquitetura de alta performance para recuperação de arquivos fragmentados (data carving)
Pesquisadores publicaram na Forensic Science International: Digital Investigation (v. 59, dez/2026) o Scalpel3, uma reformulação arquitetural da ferramenta de data carving Scalpel voltada para recuperação de arquivos fragmentados em imagens forenses. O time inclui Golden G. Richard III, um dos criadores da ferramenta original, o que dá continuidade histórica a um dos carvers mais usados em perícia computacional. O foco declarado é desempenho em cenários de fragmentação, um dos problemas mais difíceis do carving clássico.
O Scalpel é um carver baseado em assinaturas (header/footer) que se tornou padrão de facto em laboratórios forenses desde meados dos anos 2000, como evolução do Foremost. Sua proposta original era simples e robusta: varrer um fluxo de bytes bruto — imagem de disco, dump de memória, espaço não alocado — procurando cabeçalhos e rodapés de tipos de arquivo conhecidos (JPEG, PDF, DOCX, ZIP etc.) e extrair os blocos correspondentes, mesmo sem metadados de sistema de arquivos íntegros. O artigo anunciado, "Scalpel3", propõe uma nova arquitetura de alta performance do zero, mantendo o foco em recuperação de arquivos fragmentados.
Data carving fragmentado é tecnicamente mais difícil que carving contíguo porque o arquivo não ocupa um bloco único e sequencial no disco: fragmentos podem estar espalhados por conta de alocação incremental do sistema de arquivos, wear-leveling em SSDs, ou reuso de blocos livres ao longo do tempo. Isso obriga o carver a testar hipóteses de remontagem (qual fragmento vem depois de qual), validando cada candidato por estrutura interna do formato de arquivo, o que é computacionalmente caro — especialmente em imagens de disco na casa de terabytes, cenário comum hoje em perícia. O RSS/abstract disponível não detalha o algoritmo específico de remontagem nem os números de desempenho reportados (não foi possível acessar o texto completo do artigo no ScienceDirect, que retornou erro 403 de acesso), então não é possível precisar aqui se o ganho vem de paralelização, indexação mais eficiente, heurísticas de validação mais rápidas, ou uma combinação dessas técnicas.
Na prática, isso importa para investigadores porque data carving continua sendo o método de último recurso quando metadados do sistema de arquivos estão corrompidos, quando o suspeito deletou arquivos e sobrescreveu entradas de diretório, ou quando se trabalha com espaço não alocado e memória volátil. Uma arquitetura mais rápida reduz o tempo de triagem em casos com grandes volumes de dados — um gargalo real em laboratórios forenses sobrecarregados — e pode viabilizar carving fragmentado em cenários onde hoje ele é evitado por custo computacional. Por ser publicação de um grupo com histórico direto na ferramenta original, há razoável expectativa de que o Scalpel3 seja disponibilizado como sucessor prático e não apenas uma prova de conceito acadêmica, mas isso depende de release público do código, que o resumo não confirma.