что происходит с удалёнными файлами?

....происходит при этом следующее:

Корректируется файл /$MFT:$BITMAP, каждый бит которого определяет "занятость" соответствующей файловой записи (FILE Record) в MFT ("0" - запись не используется) ;

Корректируется файл /$BITMAP, каждый бит которого определяет "занятость" соответствующего кластера ("0" - кластер не используется) ;

Файловые записи, соответствующие файлу, помечаются как удаленные (поле FLAG, находящееся по смещению 16h от начала FILE Record, сбрасывается в ноль) ;

Ссылка на файл удаляется из двоичного дерева индексов (технические подробности этого животрепещущего процесса здесь опускаются, поскольку восстановить таблицу индексов вручную сможет только гуру, да и зачем? В NTFS индексы играют вспомогательную роль - проще переиндексировать директорию заново, чем восстанавливать сбалансированное B*tree дерево) ;

Обновляется атрибут $STANDART_INFORMATION каталога, хранившего удаляемый файл (время последнего доступа и т. д.) ;

В /$LogFile обновляется Sequence Number (изменения, происходящие в журнале транзакций мы не рассматриваем) ;

Update Sequence Number следующих файловых записей увеличивается на единицу - сам удаляемый файл, текущий каталог, /$MAF, /$MFT:$BITMAP, /$BITMAP, /$BOOT, /$TRACKING.LOG.