Informacja, że coś zostało usunięte jest informacją przydatną. Jeśli to coś zostało usunięte przy pomocy narzędzi typu sdelete (i innych mających na celu uniemożliwienie odzyskania usuniętych danych), to jest to kolejna interesująca informacja. Sam fakt, że narzędzie sdelete istnieje w systemie wcale nie świadczy o tym, że było wykorzystane. Przykład: Forensic Practical #2.
Ślad po sdelete
Jeden z komentujących zwraca uwagę na narzędzie sdelete, przy czym dodatkowo pisze:
1/30/08 9:41:22am sdelete.exe was created in the LST folder. No prefetch for this executable, cannot say if it was executed or not (Last Access was 1 second later, so maybe it was). Userassist does not show it executing. MUICache does not show it as having been executed. Shows up as having a window size of 800x600 in the ShellNoRoam BAGs key - application once ran with that window size, but cannot show it ran then.Jest więcej śladów (albo raczej więcej "braków śladów"), że narzędzie to było uruchomione. Po pierwsze od pewnego czasu użycie narzędzi z Sysinternals wiąże się z akceptacją EULA. Po akceptacji EULA przez użytkownika tworzony jest klucz w rejestrze, w wypadku sdelete klucz HKEY_CURRENT_USER\Software\Sysinternals\SDelete, a w nim wartość EulaAccepted, której w tym przykładzie nie ma.
Po drugie sdelete usuwa (nadpisuje) zawartość pliku, oraz wielokrotnie nadpisuje nazwę tego ostatniego, przy czym na końcu nazwa ta wygląda mniej więcej tak: ZZZZ.ZZZ. Jeśli na dysku są pliki o nazwach tego typu (a właściwie były, bo zostały usunięte), można zakładać, że zostały one usunięte przy pomocy narzędzia sdelete.
Po trzecie zawartość tak usuniętego pliku. Nadpisanie pliku odbywa się wartościami losowymi, a więc entropia danych będzie duża. Trzeba pamiętać, że istnieją pliki "normalne" o dużej entropii (np. pliki szyfrowane, pliki skompresowane). Jeśli kogoś ten temat interesuje, może łatwo sprawdzić entropię wybranych przez siebie plików za pomocą narzędzia CryptTool (zresztą może przeprowadzić z nim więcej ciekawych eksperymentów).
Oczywiście, jeśli narzędzie sdelete było użyte "dużo wcześniej", to ślady po jego użyciu mogły już zostać nadpisane przez kolejne nowo tworzone pliki.
