Cómo recuperar archivos y carpetas usando Shadow Volume Copies

  • Índice

  • 1 ¿Qué son las copias del volumen de las sombras?
  • 2 Cómo recuperar archivos usando las versiones anteriores de Windows
  • 3 Cómo recuperar carpetas usando las versiones anteriores de Windows
  • 4 Usar ShadowExplorer para restaurar archivos de Copias de Volumen de Sombra
  • 5 ¿Por qué el programa de rescate intenta borrar las copias del volumen de las sombras
Índice()

    ¿Qué son las copias del volumen de las sombras?

    Desde Windows XP Service Pack 2 y Windows Server 20013, Microsoft ha incorporado una tecnología en sus sistemas operativos llamada Volume Shadow Copy Service o VSS. Este servicio permite a Windows hacer copias de seguridad automáticas o manuales, o instantáneas, del estado actual de los archivos de un determinado volumen (letra de unidad). La parte importante de este proceso es que estas copias de seguridad pueden ser tomadas de los archivos aunque estén abiertos. Por lo tanto, esto proporciona un mecanismo que los programas de copia de seguridad y Windows pueden utilizar para conservar un historial fiable de los archivos de un ordenador.

    Cuando se crean estas copias de seguridad se almacenan en un contenedor especial llamado Shadow Volume Copy. Estas Copias de Volumen de Sombra pueden ser usadas por el software de respaldo, utilidades o Windows para restaurar archivos que pueden haber sido borrados o alterados de alguna manera. Cuando se crea una copia de seguridad mediante el Servicio de Copia de Volumen de Sombra, los archivos son respaldados mediante un método de creación de versiones, de modo que sólo se respaldan los cambios en un archivo, en lugar de todo el archivo. Esto permite que muchas versiones del mismo archivo estén disponibles sin utilizar una gran cantidad de espacio en el disco.

    Como pueden ver, esta tecnología es muy útil ya que nos permite recuperar archivos borrados o alterados si es necesario. He encontrado muchos usos para esta función, como la recuperación de un juego guardado antiguo, la restauración de archivos que han sido cifrados por un programa de rescate o la restauración de un archivo que he eliminado por accidente.

    En este tutorial, he esbozado dos métodos que puedes usar para restaurar archivos de una copia de volumen de sombra. El primer método utiliza la función incorporada de Windows llamada Versiones anteriores. El segundo método consiste en utilizar una herramienta llamada Shadow Explorer, que le permite explorar y restaurar archivos y carpetas de las diversas copias de sombra de un ordenador.

    Cómo recuperar archivos usando las versiones anteriores de Windows

    Windows tiene una característica llamada Versiones Previas que permite restaurar copias anteriores de un archivo particular a partir de instantáneas de Shadow Volume Copy. El método que se describe a continuación es sólo para restaurar archivos individuales de las Copias de volumen de sombra. Si desea restaurar una carpeta entera, lea esta sección en su lugar.

    Para restaurar archivos individuales, abra la carpeta que contiene el archivo que desea recuperar, como se muestra a continuación.

    Open Folder

    Ahora haga clic con el botón derecho del ratón en el archivo que desea recuperar y seleccione las propiedades como se muestra a continuación.

    Right Click on a File

    En el menú contextual que aparece, haga clic en la opción Propiedades . Esto abrirá las propiedades del archivo. Cuando se abra la pantalla de propiedades, haz clic en la pestaña Versiones anteriores . Ahora te encontrarás en una pantalla que muestra todas las versiones anteriores que se guardaron en copias de sombra. Ten en cuenta que cada versión tendrá la fecha y la hora correspondientes a la que se hizo la copia de seguridad.

    Previous Versions for a File

    Para recuperar una versión anterior de un archivo puedes hacer clic en los botones Copiar o Restaurar . El botón Copiar restaurará el archivo en la ubicación que especifiques, mientras que el botón Restaurar sobrescribirá el archivo existente en tu disco duro con la versión anterior. Te sugiero que crees una carpeta en tu disco duro y que utilices el botón Copy para restaurar una versión anterior en esa carpeta para asegurarte de que es la que quieres.

    Para ello, haga clic en el botón Copiar y Windows le pedirá una carpeta en la que restaurar el archivo.

    Copy Dialog

    Navegue hasta la carpeta o cree una nueva en la que desee restaurar la versión anterior. Cuando estés listo, haz clic en el botón Copiar .

    Windows recuperará ahora la versión anterior del archivo de las Copias de Volumen de Sombra y lo guardará en la carpeta especificada. Ahora puede cerrar la ventana de propiedades y acceder a su archivo según sea necesario.

    Si desea aprender a recuperar una carpeta entera, puede leer la siguiente sección.

    Cómo recuperar carpetas usando las versiones anteriores de Windows

    Recuperar una carpeta entera usando las versiones anteriores de Windows es en su mayor parte lo mismo que recuperar un archivo. Sin embargo, los pasos son ligeramente diferentes, por lo que pensé que una sección dedicada sería útil.

    Para recuperar una carpeta, abra la carpeta que contiene el archivo que desea restaurar como se muestra a continuación.

    Open Folder

    Ahora haga clic con el botón derecho del ratón en el espacio vacío de la carpeta para abrir el menú contextual de la carpeta como se muestra a continuación.

    Right Click on a Folder

    En el menú contextual que aparece, haga clic en la opción Propiedades . Esto abrirá las propiedades de la carpeta. Cuando se abra la pantalla de propiedades, haz clic en la pestaña Versiones anteriores . Ahora te encontrarás en una pantalla que muestra todas las versiones anteriores de la carpeta que se guardaron en copias de sombra. Ten en cuenta que cada versión tendrá la fecha y la hora correspondientes a la que se hizo la copia de seguridad.

    Previous Versions for a Folder

    Para restaurar una versión anterior de una carpeta puedes hacer clic en los botones Copiar o Restaurar . El botón Copiar restaurará la carpeta en la ubicación que especifiques, mientras que el botón Restaurar sobrescribirá la carpeta existente en tu disco duro con las versiones anteriores de todos los archivos contenidos en ella. Le sugiero que cree una carpeta en su disco duro y utilice el botón Copy para restaurar una versión anterior a esa carpeta, de modo que no sobrescriba por error los archivos buenos.

    Para ello, haz clic en el botón Copiar y Windows te pedirá una ubicación para restaurar la carpeta.

    Copy Dialog

    Navegue hasta la carpeta o cree una nueva que desee restaurar la versión anterior de la carpeta. Cuando estés listo, haz clic en el botón Copiar .

    Ahora Windows restaurará toda la versión anterior de la carpeta de las Copias de Volumen de Sombra en la carpeta especificada. Ahora puede cerrar la ventana de propiedades y acceder a la carpeta de restauración para ver si tiene los archivos que necesita.

    Usar ShadowExplorer para recuperar archivos y carpetas de las copias del volumen de Shadow

    Para restaurar archivos y carpetas de Shadow Volume Copies también puedes usar un programa llamado ShadowExplorer. Personalmente, prefiero este método a las versiones anteriores ya que creo que es más fácil encontrar y restaurar las versiones de los archivos que necesitas en una interfaz fácil de usar. Al descargar el programa, puedes usar la descarga de la instalación completa o la versión portátil ya que ambas realizan la misma funcionalidad.

    ShadowExplorer puede ser descargado desde este enlace: Enlace de descarga de Shadow Explorer

    Una vez que descargue e inicie ShadowExplorer, se le mostrará una pantalla con una lista de todas las unidades y las fechas en que se creó una copia de la sombra. Seleccione la unidad (flecha azul) de la que desea recuperar los archivos o carpetas y la fecha (flecha roja) de la que desea restaurar. Esto se muestra en la imagen de abajo.

    Restoring files with Shadow Explorer

    A continuación, navegue hasta la carpeta o los archivos que desea recuperar. Cuando esté listo, haga clic con el botón derecho del ratón en la carpeta o el archivo y seleccione Exportar como se muestra a continuación.

    Export a File using Shadow Explorer

    Cuando haga clic en Exportar, ShadowExplorer mostrará un aviso que le preguntará dónde restaurar los archivos como se muestra a continuación.

    Shadow Explorer Browse Prompt

    Navegue o cree una nueva carpeta para recuperar sus archivos y luego haga clic en el botón OK . ShadowExplorer ahora restaurará los archivos en esa ubicación.

    ¿Por qué el programa de rescate intenta borrar las copias del volumen de la sombra

    Una táctica común de las infecciones de software de rescate de computadoras es borrar las copias del volumen de la sombra cuando encripta la computadora de la víctima. Como ahora ves lo fácil que es recuperar archivos usando las Copias de Volumen de Sombra, el programa de rescate las elimina para que la víctima no pueda hacerlo.

    Cuando un programa de rescate intenta borrar las copias del volumen de la sombra, normalmente utiliza el comando:

    C:NWindowsN-SysnativeNvssadmin.exe" Delete Shadows All Quiet

    Cuando se ejecute este comando, Windows mostrará un aviso de UAC preguntando si la víctima desea que el comando se ejecute con privilegios de administrador. Si el usuario permite que el comando continúe, vssadmin.exe borrará todas las copias de volumen de sombra de todas las unidades del ordenador. En algunos casos, Ransomware usará los comandos powershell o WMIC para borrar los SVC en su lugar.

    Independientemente de la forma en que se eliminen estas copias, el software de rescate elimina los SVC para que no se puedan restaurar los archivos cifrados por el software de rescate.

    Deja una respuesta

    Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

    Subir