¿Qué es el formato de archivo DD?
El archivo .dd es una imagen de disco sin procesar (raw) - una copia bit a bit de cada sector de un disco, partición, tarjeta flash u otro medio de almacenamiento. Es la salida directa del comando de Unix dd y de herramientas de imagen forense dedicadas como dcfldd y dc3dd. Debido a que captura todo lo que hay en el origen -incluyendo sectores de arranque, tablas de particiones, espacio no asignado y restos de archivos eliminados-, .dd es un formato estándar en la recuperación de datos y la informática forense.
Una imagen .dd no tiene contenedor ni encabezado propio; el archivo comienza en el desplazamiento (offset) cero con los bytes exactos del medio de origen. Una imagen de disco completo comienza con una tabla de particiones MBR o GPT; una imagen de partición comienza con un sector de arranque del sistema de archivos. Identificar el contenido requiere leer estructuras incrustadas: la firma FAT/NTFS 55 AA en el desplazamiento 510, la firma GPT EFI PART en el desplazamiento 512, o una firma de superbloque ext4 0x53EF en el desplazamiento 0x438 dentro de una partición.
El formato .dd es intercambiable con .img y .raw; la mayoría de las herramientas forenses y de imagen los tratan de forma idéntica. Cuando se necesita compresión o metadatos de cadena de custodia, las imágenes suelen comprimirse con gzip o convertirse al contenedor forense E01, que incrusta hashes MD5/SHA-256 y notas del caso junto con los datos sin procesar.
Nota: la extensión .dd también se utilizó históricamente por Doodle!, un programa de gráficos rasterizados para el Commodore 64. Ese formato de imagen heredado no tiene ninguna relación con las imágenes de disco.
Seguridad y protección
RIESGO: MEDIUMUn archivo .dd son datos sin procesar pasivos y no se ejecutarán por sí solos, pero conllevan precauciones reales. Primero, pueden contener cualquier cosa que tuviera el disco de origen -incluyendo malware y, en imágenes forenses, datos personales sensibles y restos de archivos eliminados-, así que móntelo en SOLO LECTURA (e idealmente en un entorno aislado) y manipúlelo con cuidado. Segundo, ESCRIBIR un .dd de nuevo en un disco con «dd» o balenaEtcher sobrescribe todo el dispositivo de destino, por lo que un nombre de dispositivo incorrecto borra el disco equivocado. Tercero, al obtener imágenes para evidencia, genere un hash de la imagen (MD5/SHA-256) y use un bloqueador de escritura para que la copia sea demostrablemente inalterada. Descargue herramientas forenses (FTK Imager, Autopsy, Sleuth Kit) solo de sus proveedores oficiales.
Detalles del formato
en pocas palabras- Imagen Doodle (Commodore 64) - Un mapa de bits de alta resolución de C64 poco común de la década de 1980 (típicamente 9026 bytes, a menudo llamado «dd» como prefijo de nombre de archivo); solo relevante para usuarios de retroinformática/emuladores, no para imágenes de disco modernas.
- Archivo comprimido DiskDoubler (classic Mac OS) - DiskDoubler de Symantec usaba .dd para archivos comprimidos en classic Mac OS; obsoleto, solo se abre con The Unarchiver o herramientas antiguas de Mac.
Programas que abren archivos DD
Windows4 apps
7-Zip
Código abierto Clic derecho > 7-Zip > Open archive para explorar y extraer archivos de muchas imágenes .dd sin necesidad de montarlas. 
FTK Imager
Gratis File > Add Evidence Item > Image File, seleccione el .dd, luego explore y exporte archivos de los sistemas de archivos incrustados. El visor forense gratuito estándar.
OSFMount / Arsenal Image Mounter
Gratis Monte el .dd como un disco virtual de solo lectura y explórelo en el Explorador como una unidad normal.
Autopsy (The Sleuth Kit)
Código abierto Cree un caso y añada el .dd como fuente de datos para un análisis forense completo (recuperación de archivos, líneas de tiempo, archivos eliminados). 
macOS2 apps
hdiutil / Disk Utility (built-in)
Integrado Adjunte la imagen sin procesar: «hdiutil attach -imagekey diskimage-class=CRawDiskImage disk.dd» (solo lectura) para montarla y explorarla.
The Sleuth Kit / Autopsy
Código abierto Use las herramientas de línea de comandos de TSK (fls, icat) o Autopsy para examinar la imagen .dd y extraer archivos. 
Linux3 apps
mount (loop device, built-in)
Integrado Para una imagen de partición: «sudo mount -o loop,ro disk.dd /mnt». Para una imagen de disco completo, adjunte con «losetup -fP disk.dd» y luego monte la partición (ej. /dev/loop0p1).
The Sleuth Kit / Autopsy / Guymager
Código abierto Examine con TSK (fls/icat) o Autopsy; cree/verifique imágenes sin procesar con Guymager o «dd»/«dcfldd».
dd / dcfldd (CLI)
Código abierto Crear: «dd if=/dev/sdX of=disk.dd bs=4M». Restaurar: «dd if=disk.dd of=/dev/sdX bs=4M» (el destino se sobrescribe; elija el dispositivo con cuidado). Detalles técnicos
especificación profunda| Contenedor | Ninguno - sectores binarios sin procesar sin envoltorio, encabezado ni metadatos de ningún tipo |
| Codificación | Binario (copia byte por byte del medio de origen) |
| Tamaño del archivo | Refleja exactamente el origen - desde unos pocos KB para particiones pequeñas hasta varios TB para discos completos |
| Bytes mágicos | Ninguno intrínseco; las imágenes de disco completo exponen una firma MBR 55 AA en el desplazamiento 510 o GPT «EFI PART» en el desplazamiento 512 |
| Compresión | Ninguna incrustada; comúnmente se archiva después de la captura con gzip, bzip2 o zstd (produciendo .dd.gz, .dd.bz2, etc.) |
| Cifrado | Ninguno a nivel de imagen; los volúmenes de origen pueden contener datos de BitLocker, LUKS o FileVault |
| Integridad | Sin suma de comprobación integrada; la práctica forense almacena un hash MD5 o SHA-256 separado del archivo de imagen junto a él |
| Tipo MIME | application/octet-stream |
| Capacidad de montaje | Montable como dispositivo de bucle (loop device) en Linux (losetup / mount); mediante OSFMount o Arsenal Image Mounter en Windows; mediante hdiutil en macOS |
| Alcance capturado | Cada byte del origen - estructuras del sistema de archivos, sectores de arranque, slack space, espacio no asignado y artefactos de archivos eliminados |
| Comando de creación | dd if=/dev/sdX of=image.dd bs=4M status=progress |
| Uso principal | Informática forense, recuperación de datos, clonación de discos y aprovisionamiento de máquinas virtuales |
| Intercambiabilidad | Funcionalmente idéntico a .img y .raw; la mayoría de las herramientas forenses y de imagen tratan los tres como el mismo formato |
| Variantes forenses | dcfldd y dc3dd añaden hash MD5/SHA-256 sobre la marcha durante la adquisición; EWF/E01 envuelve los mismos datos sin procesar con hashes incrustados y metadatos del caso |
| Lanzado | The 'dd' utility dates to early Unix (1970s); raw imaging is a long-standing convention |
| Última versión | No format version - a .dd is just raw bytes; tooling evolves (GNU coreutils dd, dcfldd, dc3dd, ewfacquire) |
| Estándar abierto | Sí · libre de regalías |
| Especificación | en.wikipedia.org |
Conversiones de DD
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos DD.
