Temos um laptop com inicialização dupla, o principal é o Win 7 pro e o secundário foi o Win XP, o disco rígido do Win 7 foi instalado para executar programas modernos, etc., mantivemos a unidade XP para sistemas de gerenciamento de edifícios mais antigos. O técnico insatisfeito formatou o disco rígido do XP apagando tudo, a única coisa que aparece no Windows explorado é 100Mb (que presumo ser para indexação) o disco não mostra nada além de 297 Gig de espaço livre. Nas propriedades não há data de criação. Precisamos descobrir (se possível) quando a unidade foi formatada (volume criado) para provar a intenção de destruir dados dentro de um determinado período de tempo. Novamente, agora é um disco rígido vazio, mas montável, sem sistema operacional. Supondo que tenha um número de volume e um número de série, a data de criação pode ser determinada? Não sou programador, então termos leigos seriam ótimos. Agradecemos antecipadamente por qualquer ajuda possível.
Responder1
se for possível, pegue uma cópia do gpart ou gdisk (não do gparted, que é uma ferramenta de particionamento) ou qualquer distribuição Linux e localize a partição/unidade em questão. (executar lsblk é muito útil para isso) Uma vez conhecido, execute gpart -f -d -l (algum nome de arquivo) {o que quer que seja mostrado como --sample sintaxe abaixo, assumindo que esteja em um gabinete externo)
$lsblk
[servidor@servidor ~]$ lsblk
NOME MAJ:MIN RM TAMANHO RO TIPO PONTO DE MONTAGEM
sda 8:0 0 232,9G 0 disco
├─sda1 8:1 0 2M 0 parte
├─sda2 8:2 0 518M 0 parte
│ └─server.boot-boot 253:0 0 512M 0 lvm /boot
└─sda3 8:3 0 232.4G 0 parte |
└─luks-11cc71b0-109f-47e0-8951-8a96195755ef
253:1 0 232.4G 0 crypt
{RETIRADO PARA BREVE}
sdb 8:16 0 7,5G 0 disco
(a unidade de destino seria sdb neste caso)
$ gpart -b -f -l log forense /dev/sdb