Considerando que um suspeito de ataques de ransomware utilize máquinas virtuais para encobrir sua identidade durante esses ataques, julgue o item subsequente. A duplicação forense

Gabarito

Errado

Comentário do professor

A afirmação é incorreta porque a simples preservação do arquivo original não substitui a necessidade de validar a cópia com um hash. Ao gerar e registrar valores hash antes e após a duplicação, o perito garante a integridade dos dados e demonstra que não houve alteração, corrupção ou erro de transferência durante a aquisição.

Imagens de máquinas virtuais (VMDK, VDI, QCOW2) podem conter snapshots, metadados e áreas esparsas que são sensíveis a processo de cópia; sem comparação hash não é possível provar identidade bit a bit entre origem e cópia. Para fins legais também é imprescindível documentação da cadeia de custódia e dos hashes (por exemplo SHA‑256) gerados no momento da aquisição.

Portanto, validar com hash é prática forense obrigatória para garantir confiabilidade e aceitabilidade da evidência em juízo.