Cómo exportar archivos desde una imagen forense con FTK Imager

Resumen: Esta guía explica cómo exportar archivos FTK Imager desde una imagen forense (E01, AD1, RAW/dd): qué hace falta, cómo usar la interfaz gráfica y la línea de comandos, cómo generar listados y hashes verificables, y buenas prácticas y errores comunes. Al final tendrás pasos claros para exportar, verificar integridad y documentar el proceso.

Introducción: cuándo y por qué exportar archivos desde una imagen forense

Exportar archivos desde una imagen forense sirve para obtener copias verificables de archivos o carpetas sin alterar la evidencia original: para análisis malware, revisión por partes interesadas, alimentar otras herramientas (antivirus, análisis estático) o preparar evidencias para un informe. FTK Imager permite extraer elementos individuales, crear listados (CSV) y generar listas de hashes (MD5/SHA-1) para comprobar integridad. Estas funciones son parte de la interfaz gráfica principal y también existen opciones limitadas por línea de comandos. (ftkimager.com

Requisitos y compatibilidad

• SO: FTK Imager GUI está pensado para Windows; existe una versión de línea de comandos para Linux/Unix y Windows. Comprueba la versión instalada y sus notas, porque las opciones de CLI han variado entre versiones. (d1kpmuwb7gvu1i.cloudfront.net
• Formatos soportados: E01 (EnCase), AD1 (AccessData logical/custom content), RAW/dd, AFF y otros formatos habituales. FTK Imager detecta sistemas de ficheros dentro de las imágenes y presenta archivos y metadatos en el File List. (d1kpmuwb7gvu1i.cloudfront.net
• Permisos: trabaja con la imagen en modo lectura; usa un write-blocker para adquisiciones físicas y trabaja en una máquina controlada (VM o forense).

Buenas prácticas iniciales

• Trabaja siempre sobre una copia de la imagen si vas a manipular formatos o convertir (no sobre el original).
• Activa registro de acciones (log) y anota usuario, hora, ruta de destino y motivo de la exportación.
• Escanea los archivos exportados en un entorno aislado (sandbox/VM) antes de abrirlos si sospechas de malware.
• Genera hashes (MD5/SHA-1 o mejor SHA-256 si tu flujo lo exige) al exportar y registra los valores. FTK Imager puede producir listas de hash MD5/SHA-1 para archivos exportados. (d1kpmuwb7gvu1i.cloudfront.net

Abrir la imagen en FTK Imager (Archivo → Add Evidence Item)

En la GUI: Archivo → Add Evidence Item → Image File, y selecciona la E01/AD1/.001/.dd. FTK detectará particiones y volúmenes y mostrará un Evidence Tree con unidades y carpetas; al seleccionar nodos verás el File List con archivos y metadatos (fechas, tamaño, hashes si existen). FTK marca visualmente archivos eliminados y muestra fragmentos de volumen cuando procede. (ftkimager.com

Explorar Evidence Tree y File List

Familiarízate con los iconos (archivo normal, carpeta, archivo borrado). Antes de exportar inspecciona metadatos y hashes en la vista de detalles para decidir qué exportar. Si necesitas recuperar archivos borrados, identifica aquellos marcados como «deleted» y comprueba si están íntegros (no sobrescritos).

Exportar archivos individuales y carpetas (GUI)

1. Selecciona en File List el archivo o carpeta (puedes seleccionar varios con Shift/Ctrl).
2. Botón derecho → Export Files… o usa el botón «Export Files» en la barra.
3. Opciones habituales: conservar estructura de carpetas, mantener timestamps/atributos y calcular hashes al exportar. Elige la carpeta de destino (preferiblemente en un volumen forense o en carpeta etiquetada con caso).
4. Tras exportar, genera una lista de hashes (si no la has creado durante la exportación) y compárala con los hashes que FTK mostraba en el File List. Esto verifica integridad. (d1kpmuwb7gvu1i.cloudfront.net

Exportar listados y metadatos

• Export Directory Listing: crea un CSV con ruta, tamaño, fecha y otros campos. Útil para inventario y triage.
• Export File Hash List: genera un reporte de hashes MD5 y SHA-1 para los archivos visibles. Guarda esos ficheros junto con tu registro del caso. (d1kpmuwb7gvu1i.cloudfront.net

Crear un AD1 lógico o «Custom Content Image»

Si necesitas distribuir sólo un subconjunto de archivos con preservación forense, crea un AD1 (Custom Content Image) que almacena los archivos seleccionados con metadatos. Esto es útil cuando no quieres compartir la imagen completa pero sí preservar integridad de los archivos relevantes. AD1 es un formato lógico y no contendrá sector-by-sector; tenlo en cuenta para validaciones que requieren imagen física. (d1kpmuwb7gvu1i.cloudfront.net

Montar la imagen como unidad vs exportar: ventajas y riesgos

Montar la imagen (mount) permite acceder a todos los archivos con una letra de unidad y facilita operaciones en lote o uso con otras herramientas. Riesgos: algunos montajes permiten escritura accidental si no se configura correctamente; además, montar únicamente expone el sistema de archivos mientras que exportar genera copias verificables que puedes sellar. Elige según la necesidad: montaje para análisis interactivo, exportar para entrega/archivo. (ftkimager.com

Uso básico de la línea de comandos (ftkimager)

FTK proporciona opciones CLI limitadas que varían por versión. En Windows existen parámetros como /CreateDirListing, /VerifyImage y /EnableDebugLog para crear listados y verificar imágenes usando el ejecutable de FTK Imager; en entornos Unix suele usarse el ejecutable ftkimager con una sintaxis tipo ftkimager <origen> <destino> [opciones]. Comprueba la ayuda de la versión instalada con ftkimager --help o ejecutando el .exe con la opción de línea de comandos para ver parámetros disponibles. Ejemplos de uso documentados: "FTK Imager.exe" /CreateDirListing C:\ruta\imagen.E01 o ftkimager /help. Debido a diferencias entre versiones, verifica la sintaxis de tu instalación antes de automatizar. (d1kpmuwb7gvu1i.cloudfront.net

Verificar exportes

1. Genera hashes de los archivos exportados: en Windows puedes usar certutil -hashfile archivo SHA1 o certutil -hashfile archivo MD5; en Linux sha1sum / md5sum.
2. Compara estos valores con los presentados por FTK al seleccionar el archivo en la imagen o con la Export File Hash List exportada. Coincidencia = integridad. (d1kpmuwb7gvu1i.cloudfront.net
3. Preserva timestamps y atributos si es necesario (marca la opción en el diálogo de exportación).

Problemas comunes y soluciones

• Permisos al montar imagen: monta con privilegios de administrador o usa herramientas que soporten mount a nivel sistema.
• Archivos cifrados (EFS, contenedores): necesitarás claves o credenciales; FTK puede identificar EFS pero no descifrar sin las claves.
• Rutas largas / nombres con caracteres no ASCII: exporta en un sistema que soporte long paths o renombra destino temporalmente; evita truncados.
• Archivos muy grandes: comprueba espacio en destino y limita fragmentación si tu herramienta de ingestión requiere tamaños concretos.

Registro y cadena de custodia

• Documenta: imagen origen, hora, usuario, versión de FTK Imager, ruta de destino, hashes (imagen y archivos), y notas del examinador.
• Conserva logs de FTK y los CSV/Hashlist generados; almacena las copias exportadas en ubicaciones acreditadas y con acceso restringido.

Ejemplo práctico paso a paso

1. Abrir FTK Imager → Archivo → Add Evidence Item → elegir imagen.E01.
2. En Evidence Tree, navegar a \Users\ejemplo\Documents y seleccionar archivos a exportar.
3. Botón derecho → Export Files… → elegir carpeta de destino (ej. D:\EXPORTES\CASO-123). Marcar «Preserve timestamps» y «Calculate file hashes» si aparece la opción.
4. Generar Export File Hash List desde el menú sobre la imagen (guardar como hashes.csv). (d1kpmuwb7gvu1i.cloudfront.net
5. Verificar con: certutil -hashfile D:\EXPORTES\CASO-123\archivo.docx SHA1 y comparar con hashes.csv.

Si prefieres crear un paquete con sólo los archivos relevantes, usa la opción para crear un AD1 (Custom Content Image) desde los archivos seleccionados y archiva ese AD1 con su hash.

Enlaces internos útiles

• Cómo Crear una Imagen Forense con FTK Imager en Windows
• Cómo Montar una Imagen Forense con FTK Imager en Windows
• Cómo verificar imagen forense con FTK Imager usando hashes

Conclusión

Exportar archivos desde una imagen forense con FTK Imager es directo si sigues buenas prácticas: trabaja en modo lectura, registra todo, genera y compara hashes, y usa AD1 si necesitas empaquetar archivos seleccionados. Verifica la sintaxis de la CLI antes de automatizar y escanea los ficheros exportados en un entorno controlado.

Preguntas frecuentes (FAQ)

¿FTK Imager conserva las marcas de tiempo al exportar?

Sí, existe una opción para preservar timestamps/atributos durante la exportación; confírmalo en el diálogo de Export Files. Luego verifica con stat o propiedades del fichero. (d1kpmuwb7gvu1i.cloudfront.net

¿Puedo exportar archivos borrados?

Sí, si los archivos están presentes en la imagen (no sobrescritos), FTK los mostrará como eliminados y permite exportarlos. Si están fragmentados o sobrescritos, la recuperación puede fallar.

¿La CLI permite exportar carpetas enteras?

Las opciones CLI documentadas son limitadas (crear listados, verificar imagen, habilitar log) y la sintaxis varía según versión; la GUI ofrece mayor control para exportes masivos. Verifica la ayuda de tu versión antes de usarla en scripts. (d1kpmuwb7gvu1i.cloudfront.net