MFT y diario USN, lo que sobrevive al borrado

La MFT es una foto del estado: un registro por cada fichero y carpeta del volumen, con su nombre, su tamaño, sus marcas de tiempo y un indicador de si el registro está en uso. Cuando un fichero se borra, su registro no desaparece: se marca como no en uso y conserva nombre y tamaño hasta que otro fichero nuevo lo reutilice. El diario USN es el otro lado: una historia de cambios, un registro por cada creación, borrado, renombrado o ampliación, con el nombre del fichero, la carpeta que lo contiene y la hora del cambio.

Cada uno cubre lo que el otro no. El MFT dice cómo está el volumen ahora; el diario dice qué ocurrió para que esté así. Ninguno guarda quién lo hizo.

Un borrado queda en el diario como un registro con la razón de borrado, el nombre del fichero y su carpeta. La hora es precisa, y se puede cruzar con lo demás: ¿había una sesión abierta en ese instante? ¿Qué se ejecutó justo antes? Lo que el diario no dice es quién ordenó el borrado, con qué programa ni por qué. Esa parte hay que sacarla de las sesiones y de los registros de eventos.

Lee el diario completo y busca el borrado del ejecutable descargado, el que estaba en la carpeta donde se descomprimió el .zip.

El diario tiene, para el mismo fichero, la hora en que apareció y la hora en que se borró, y la resta de las dos es un dato de comportamiento: un fichero que vive unos segundos suele ser un temporal; uno que vive horas, con ejecuciones en medio, estaba haciendo algo. Esa duración sirve para decidir cuánto tiempo hay que revisar hacia atrás y qué actividad cae dentro de su ventana.

Con las dos horas del mismo fichero, calcula cuántos minutos estuvo en el disco.

El diario es de tamaño fijo y circular: al llenarse, los registros más viejos se sobrescriben. En un equipo con mucha actividad, la ventana cubierta puede ser de horas o de pocos días. Un fichero que no aparece en el diario puede no haber cambiado nunca en esa ventana, o haber cambiado antes de que empiece. El diario nunca autoriza a decir «no existía».

Consulta el estado del diario antes de interpretar el silencio sobre un fichero concreto.

El fichero borrado dejó dos huellas: la del diario, con su hora, y la del MFT, que conserva el número de registro, el nombre, la carpeta y el tamaño mientras nadie lo reutilice. Ese número de registro permite hablar del mismo fichero sin ambigüedad: aquí hay dos ficheros borrados, en carpetas distintas, y los dos conservan su fila.

En el MFT busca el fichero de la carpeta de Descargas que figura como no en uso.