Recuperare Immagini Sovrascritte

Quando un file viene cancellato può essere recuperato. Esistono diversi programmi per farlo, ricordo Recuva e Undelete Plus.

Se però il file viene cancellato con un programma che effettua la sovrascrittura come Eraser allora il recupero diventa assai problematico, se non impossibile.

Nel caso delle immagini può esserci una soluzione che permette di visualizzare le immagini anche se cancellate e sovrascritte.

Per fare subito chiarezza quella che descrivo è una tecnica di computer forensics, utile se si cercano prove su un computer, prove che potrebbero essere state cancellate dal sospettato; questa tecnica si basa sulla possibilità di recuperare le anteprime e non le immagini vere e proprie.


Quindi l’immagine potrebbe essere non recuperabile, ma l’anteprima ovvero una rappresentazione di dimensioni ridotte dell’immagine potrebbe invece esserlo. Vediamo come.

Windows crea automaticamente dei file nascosti (thumbs.db) contenenti l’anteprima delle immagini nella stessa cartella dove sono memorizzate le immagini. Quando dall’Esplora Risorse sfogliamo una cartella contenente delle immagini,Windows salva una versione in miniatura di queste immagini nel database thumbs.db.
Quando un’immagine viene cancellata, viene eliminata dal disco, ma l’anteprima rimane memorizzate in questi archivi.

Il file thumbs.db è un file nascosto. Per poterlo visualizzare bisogna andare su Strumenti -> Opzioni Cartella -> Visualizzazione e deselezionare la voce “Nascondi i file protetti di sistema”, ignorando il messaggio di avviso.

Con Thumbnail Database Viewer è possibile visualizzare le immagini contenute nei file thumbs.db.
Per farlo è sufficiente trascinare il file sul programma e automaticamente verranno visualizzate le immagini contenute.
E’ possibile anche effettuare una ricerca in una cartella specifica, o in tutto il disco.

Le immagini possono anche venire estratte tramite Thumbs Extractor un programma eseguibile da linea di comando.
Il suo funzionamento è semplice: basta lanciare il programma con il percorso del file thumb.db da analizzare come parametro. Le immagini verranno estratte nella stessa cartella dove si trova il thumb.db; può anche essere specificato un percorso diverso.

Se vogliamo evitare che le nostre immagini una volta cancellate in modo sicuro tramite sovrascrittura non possano essere recuperate neanche sotto forma di anteprime è necessario disabilitare la funzione che permette aWindows di creare i file thumbs.db.
Per fare questo bisogna andare su Strumenti -> Opzioni Cartella -> Visualizzazione e contrassegnare la voce “Non memorizzare le anteprime nellacache”.

Esiste anche un Thumbnail Database Cleaner che cancella il contenuto dei file thumbs.db.