Mở đầu
Hầu hết người dùng Windows đều nghĩ rằng khi nhấn nút Delete, file sẽ biến mất khỏi hệ thống. Thực tế không hoàn toàn như vậy. Trước khi bị xóa vĩnh viễn, phần lớn các file sẽ được chuyển vào Recycle Bin. Tại đây, Windows không chỉ lưu lại nội dung của file mà còn ghi nhận nhiều thông tin hữu ích như:
- File được xóa khi nào
- File nằm ở đâu trước khi bị xóa
- Kích thước ban đầu của file
- Người dùng nào đã thực hiện thao tác xóa Đối với Digital Forensics, đây là một artifact rất giá trị để tái hiện hành vi của người dùng trên hệ thống.
Recycle Bin được lưu ở đâu?
Recycle Bin thực chất là một thư mục đặc biệt của Windows. Đường dẫn mặc định: C:\$Recycle.bin. Bên trong thư mục này sẽ xuất hiện nhiều thư mục con mang tên SID (Security Identifier) của từng người dùng.
Mỗi SID tương ứng với một tài khoản người dùng. Điều này cho phép điều tra viên xác định ai là người đã thực hiện thao tác xóa file.
Điều gì xảy ra khi một file bị xóa?
Để minh họa, tôi tạo một file có tên: secret.txt. Sau đó thực hiện thao tác Delete thông thường. Ngay sau khi file được đưa vào Recycle Bin, Windows tạo ra hai file mới:
$Ixxxxxx và$Rxxxxxx. Trong đó phần hậu tố gồm 6 ký tự ngẫu nhiên và luôn giống nhau giữa hai file.
Ví dụ: $I7A3B2.txt và $R7A3B2.txt
File $I chứa những gì?
File bắt đầu bằng ký tự "$I" không chứa dữ liệu gốc của file. Thay vào đó, nó đóng vai trò như một bản ghi metadata. Thông tin thường được lưu bao gồm:
- Kích thước file ban đầu
- Đường dẫn gốc của file
- Thời điểm file bị xóa
Ví dụ:
Original Path:
C:\Users\Admin\Desktop\secret.txtDeletion Time:2026-06-22 18:30:15Từ góc độ forensic, đây là nguồn dữ liệu rất hữu ích vì nó cho phép xác định chính xác file nào đã bị xóa và thời điểm xảy ra hành động đó.
File $R chứa những gì?
Khác với file $I, file $R chứa nội dung thực tế của file đã bị xóa.
Nếu file gốc là: secret.txt thì nội dung bên trong file $R chính là dữ liệu của secret.txt trước khi bị xóa.
Nói cách khác:
- $I = Metadata
- $R = Content Hai file này kết hợp với nhau sẽ tái tạo gần như đầy đủ thông tin về một file đã bị xóa.
6 ký tự hậu tố quan trọng?
Windows sử dụng phần hậu tố ngẫu nhiên để liên kết hai file với nhau.
Ví dụ: $I7A3B2.txt và $R7A3B2.txt
Hậu tố "7A3B2" cho biết đây là một cặp tương ứng. Nhờ đó chúng ta có thể dễ dàng ghép metadata từ file $I kết hợp với nội dung từ file $R thành một bản ghi hoàn chỉnh.
Giá trị trong điều tra số
Từ Recycle Bin, điều tra viên có thể trả lời nhiều câu hỏi quan trọng:
- Ai đã xóa file? → Dựa trên SID của thư mục chứa file.
- File nào đã bị xóa? → Dựa trên Original Path trong file $I.
- File bị xóa khi nào? → Dựa trên Deletion Timestamp.
- Nội dung file là gì?→ Dựa trên file $R.
Chỉ với một artifact nhỏ, chúng ta có thể tái hiện khá nhiều thông tin liên quan đến hành động xóa dữ liệu của người dùng.
Lưu ý
Recycle Bin không phải lúc nào cũng lưu lại bằng chứng. Một số trường hợp ngoại lệ:
- Người dùng sử dụng Shift + Delete
- File nằm trên thiết bị không hỗ trợ Recycle Bin
- Recycle Bin đã bị Empty
- SSD thực hiện TRIM khiến dữ liệu khó phục hồi hơn Do đó việc thu thập và phân tích artifact này nên được thực hiện càng sớm càng tốt trong quá trình điều tra.
Kết luận
Recycle Bin thường bị bỏ qua vì nó xuất hiện quá quen thuộc trên Windows. Tuy nhiên dưới góc độ Digital Forensics, đây lại là một nguồn bằng chứng rất giá trị. Thông qua cặp file $I và $R, chúng ta có thể xác định:
- File nào đã bị xóa
- File nằm ở đâu trước đó
- Thời điểm xóa
- Nội dung của file
- Người dùng thực hiện hành động Chỉ với vài phút phân tích Recycle Bin, điều tra viên có thể thu thập được nhiều thông tin quan trọng phục vụ quá trình điều tra sự cố hoặc phân tích hành vi người dùng.