SCAR: carving semântico recupera PDFs modernos corrompidos via reconstrução de cross-reference streams
Pesquisadores publicam na FSI: Digital Investigation (v. 59) uma técnica de data carving voltada especificamente a PDFs modernos, usando reconstrução de cross-reference streams e um algoritmo de reparo bi-fragmentado ancorado para recuperar documentos corrompidos ou parcialmente sobrescritos. A proposta ataca uma lacuna das ferramentas de carving genéricas, que tratam o PDF como blob binário e ignoram sua estrutura interna de objetos e streams. É relevante para peritos que precisam reconstruir provas documentais a partir de espaço não alocado, imagens de disco danificadas ou containers truncados.
PDFs a partir da versão 1.5 trocaram a tabela de referência cruzada (xref) em texto puro por cross-reference streams comprimidas, mais compactas mas também mais frágeis: se o stream que contém essa tabela é corrompido ou fragmentado no disco, o leitor perde a capacidade de localizar os objetos internos do arquivo mesmo que o conteúdo em si esteja intacto em outro ponto da mídia. O artigo propõe o SCAR, que ataca exatamente esse cenário em vez de depender apenas de assinaturas de cabeçalho/rodapé (%PDF... / %%EOF) como fazem carvers genéricos.
A técnica combina duas ideias centrais, a julgar pelo título e resumo publicados: "carving semântico", que valida candidatos a objeto contra a gramática interna do formato PDF (trailers, startxref, dicionários de objeto) em vez de apenas casar bytes; e "anchored bi-fragment stream repair", um reparo que usa pontos de ancoragem estruturais para localizar e costurar streams que foram fisicamente fragmentadas em duas partes não contíguas no meio de armazenamento. Isso permite reconstruir a tabela de referência cruzada mesmo quando ela própria está danificada, algo que carving por assinatura simplesmente não tenta fazer.
Na prática pericial, documentos PDF deletados, parcialmente sobrescritos em sistemas de arquivos FAT/NTFS ou extraídos de espaço não alocado e memória são um cenário recorrente em exames de disco. Ferramentas populares de recuperação (PhotoRec, Scalpel, bulk_extractor) fazem carving por assinatura binária e tendem a falhar quando o arquivo está fragmentado ou a tabela xref está corrompida, produzindo PDFs que não abrem ou que perdem páginas e metadados. Uma técnica academicamente validada que reconstrói a semântica interna do formato é candidata natural a ser incorporada em ferramentas forenses abertas, elevando a taxa de recuperação de documentos íntegros.
Vale registrar uma ressalva metodológica desta análise: o texto completo do artigo está atrás do paywall da ScienceDirect (o acesso retornou HTTP 403), então esta leitura se apoia no título e no resumo de metadados disponíveis via RSS. Não há, portanto, confirmação pública aqui sobre taxa de sucesso, composição do dataset de teste ou comparação direta com carvers já usados no dia a dia da perícia.