Всегда приятно получать благодарности. Эта благодарность нам приятна особенно — мы помогли сохранить частичку культуры Кыргызстана, готовый фильм, и сопутствующие его производству материалы.
Благодарность от Союза кинематографистов Кыргызстана
Реальный кейз
Описание реальных кейзов
Восстановление данных с монолитной флешки: когда решает оборудование
Монолит — это карта памяти, выполненная в едином блоке компаунда, в которой все микросхемы находятся внутри этого компаунда. Как правило, выполняется на подложке, с одной стороны которой имеется медное напыление, на котором вытравлены (или нанесены другим способом) дорожки (контактные группы, проводники и прочее), а на другой находятся сами электронные компоненты. Доступ к электронным компонентам напрямую невозможен, его организация производится строго через указанные дорожки.
Время от времени обращаются клиенты с флешками, имеющими монолитное исполнение. Восстановление данных с таких флешек значительно труднее, чем с устройств аналогичного типа, но имеющих распаянные на печатной плате NAND-микросхемы. Связано это с тем, что для доступа к данным на NAND-микросхеме ее достаточно просто выпаять и прочитать на специальном устройстве, а для доступа к данным монолита нужно зачистить контактные площадки, определить назначение контактов и правильно припаяться к ним.
Между тем временами встречаются флешки, которые, скажем так, скорее живы, чем мертвы. Например, герой этого рассказа — монолит, который на короткий миг появляется в системе (и даже показывает свое содержимое), но при любой попытке доступа к поверхности — исчезает. Этакая флешка-фантом.
Восстановление данных с такой флешки возможно двумя способами. Более сложный — определить назначеие технологических контактов, напаяться на них и читать через них данные. Более простой — подобрать правильное питание и вычитать флешку напрямую. Естественно, что более простой метод будет и более дешевым, и более надежным.
Так мы и сделали. Через специализированный адаптер флешка была запитана, работа ее стала стабильной. Ну а дальше это было лишь дело техники: считать устройство в образ, разобрать его и доставить клиенту данные.
Насколько сильным должно быть повреждение головки, чтоб она перестала работать?
Часто задают вопрос: при каких повреждениях головка жесткого диска неспособна читать данные? Ответ на этот вопрос прост: часто достаточно минимальных повреждений. На фото выше и ниже вы видите исправную головку из накопителя Western Digital емкостью 2 Тб. На этой головке нет никаких повреждений.
А вот на фото ниже — головка из того же накопителя, имеющая крайне незначительные повреждения. Буквально это несколько царапин (на самом последнем фото они выделены стрелками). И вот этих повреждений оказалось достаточно, чтобы головки полностью перестали работать. А какой из этого вывод? Достаточно крайне незначительного физического воздействия, чтобы вывести накопитель на жестких магнитных дисках из строя, с такими устройствами нужно быть предельно аккуратным.
Флешка из видеорегистратора: о восстановлении информации
Довольно часто для успешного восстановления информации решающую роль играет техническое оснащение (хотя, конечно, не всегда). Часто оказывается так, что без определенных технических средств восстановить данные просто нельзя. К счастью, мы занимаемся восстановлением данных уже 27 лет, и к оборудованию относимся очень щепетильно.
На днях в нашу лабораторию поступил довольно любопытный заказ — microSD карта из китайского видеорегистратора. Карта памяти упорно не хотела определяться ни одном устройством, куда ее устанавливали. При этом на карте должно было находиться видео аварии, в которой, как мы понимаем, обвиняли хозяина флешки.
Действительно, при штатном подключении флешка не определилась. Это означает, что она физически неисправна, и может потребоваться сложная процедура определения пинаута, подключения на технологические контакты, вычитывания данных с последующей их сборкой. Как вы понимаете из перечисления необходимых акций, восстановление могло оказаться довольно дорогим.
Однако, прежде чем включать тяжелую артиллерию, мы всегда пробуем пойти более легким путем. Для этого у нас имеется специализированное оборудование: SD/microSD адаптер для РС-3000 Flash. В сочетании с модулем чтения NAND-микросхем 4-го поколения, этот прибор позволяет производить тонкую настройку чтения карты памяти по нескольким параметрам, включая напряжение питания.
Далеко не всегда проблемы флеш-карты связаны с транслятором или ошибками микропрограммы, и далеко не всегда распайка на самом деле необходима. Важно понимать, что распайка — это значительно более дорогая услуга, и не очень добросовестные компании могут предлагать вам ее как единственно возможное решение лишь потому, что хотят заработать на вас максимум денег. Мы идем другим путем: если более простое и более дешевое решение возможно, мы его непременно предложим.
Лог инициализации карты памяти при стандартном напряжении питания виден на картинке внизу. Из этого лога очевидно, то карта практически инициализирована, но на подаче последней команды случился сбой — причем РС-3000 успела считать с карты загрузочный сектор и некоторое количество секторов за ним, после чего карта памяти перестала определяться. Заметим, что в загрузочном секторе обнаружились вполне вменяемые данные: программа определила раздел. Следовательно, карту можно назвать неисправной лишь частично: на короткое время она дает доступ к поверхности и позволяет забрать порцию информации.
Такое поведение карты памяти обычно говорит о частичном или только начавшемся выходе из строя (деградации) ее контроллера. Контроллер карты памяти — это небольшая микросхема, которая организует миллионы ячеек памяти NAND-микросхем в единый массив данных, определяет алгоритмы сохранения ресурса карты памяти и делает массу другой работы, направленной на то, чтобы карта памяти функционировала правильно и как можно более долго.
Наиболее логичным способом обхода таких ошибок является понижение питания флешки. При этом контроллер получает меньшее питание и меньше нагревается, что позволяет ему хоть и ненадолго, но вернуть карте работоспособность. Собственно, нам надолго и не надо: наша задача забрать информацию с неисправной карточки. Само устройство, в силу его малой цены, обычно никому уже не интересно.
Опытным путем мы установили, что карты памяти с подобного рода повреждениями лучше всего работают при напряжениях 2.8 — 3.0 Вольт. Берем верхнюю границу этого значения, и получаем стабильно работающую карту памяти. Не теряя времени, забираем с нее интересующие нашего заказчика видеофайлы.
Дальше это было лишь делом техники. Нужные заказчику видеофрагменты были выделены и скопированы на наши носители. Вся операция заняла не более 15 минут, и довольный заказчик понес в ГАИ доказательства своей невиновности.
Станислав Корб (С) 2019
Восстановление информации с украденного диска: невозможное возможно
На днях к нам поступил довольно любопытный заказ. Жесткий диск, абсолютно исправный, но около двух месяцев бывший в использовании у другого человека. Проще говоря, диск украли, а вернулся он к своему хозяину лишь через два месяца. Естественно, все время, что диска не было на его законном месте, его использовали: записывали на него фильмы и музыку, очевидно, чтобы куда-то это все переносить или где-то смотреть и слушать.
Ситуация оказалась отягощена тем, что диск (а это был внешний накопитель емкостью 1 Тб) был размечен и отформатирован в файловой системе FAT32 — не самый удачный выбор для файлового хранилища. Почему? Да хотя бы потому, что в FAT32 имеются ограничения на длину пути в имени файла, на размер файла, на количество файлов, и т.п. (подробнее можно почитать в википедии). Ну и самое главное — при форматировании FAT32 затираются файловые таблицы. После этого воссоздать файловую систему довольно трудно, а если на диске имелись крупные фрагментированные (состоящие из нескольких кусков, раскиданных по разным местам диска) файлы, то возникают проблемы с их сборкой.
Ну и добавьте сюда то, что диск около двух месяцев использовался, активно затирая данные настоящего владельца.
В этих условиях восстановление информации — задача вовсе не тривиальная. С чего мы начали?
Как обычно, был создан полный посекторный клон диска. Да, мы работаем только так: в любых условиях, при любой неисправности мы вначале создаем клон диска. О том, почему мы так делаем, мы уже писали, и останавливаться на этом не будем. Работа с оригинальным диском — вне зависимости от того, какая у него неисправность — это грубейшая ошибка любого псевдоспециалиста в области восстановления данных, так как при этом имеется потенциальный риск для данных пользователя. А работа специалиста по восстановлению данных как раз и заключается в том, чтобы достать данные, полностью исключив все риски.
После клонирования работы ведутся только с клоном, оригинальный «больной» диск заказчика отправляется на полку.
Естественно, в нас теплилась надежда, что какие-то фрагменты старой файловой системы на диске все-таки остались. И мы не ошиблись — при анализе диска нам удалось обнаружить больше 800 записей о каталогах и больше 64000 записей о файлах. Дело за малым: собрать это все в файловую систему.
Как правило, в таких случаях мы не ограничиваемся сборкой виртуальной файловой системы, так как гарантировать ее 100%-ное совпадение с исходной в условиях перезаписи нельзя. Поэтому мы проводим параллельную работу восстановления файлов по сигнатурам: диск сканируется последовательно, все найденные заголовки файлов анализируются, после чего файлы собираются и «выливаются» на диск-приемник. При этом восстанавливается все, что было записано на диск, вне зависимости от того, кто и когда это сделал. В случае с фрагментированными файлами (особенно это касается видео) используются наши собственные разработки.
Так же мы поступили и на этот раз: данные были восстановлены как традиционным путем, с сохранением файловой структуры, так и в режиме сигнатурного поиска. Как ни странно, результаты оказались почти одинаковыми по объему восстановленного — а это означает, что файловая система была воспроизведена очень близко к исходной, почти без потерь.
Ну и о результатах. Это было сюрпризом, но результат оказался более чем воодушевляющим: нам удалось восстановить около 75% данных, которые находились на диске на момент кражи. Заказчик остался доволен, да и мы тоже остались довольны своей работой.
Станислав К. Корб (С) 2019
Восстановить данные с жесткого диска Samsung HD103SJ
Задача. Восстановить данные с жесткого диска Samsung HD103SJ
Описание проблемы. Накопитель поступил с жалобой на то, что с него не удается скопировать файлы.
Результаты диагностики. Диагностика проведена с использованием ПАК РС-3000. Обнаружено, что у диска имеются обширные зоны повреждения поверхности (дефектные сектора).
Необходимые для восстановления информации процедуры.
- Модификация микропрограммы.
- Запуск накопителя в технологическом режиме.
- Вычитывание накопителя в технологическом режиме.
- Извлечение данных из полученных файлов-образов.
Результат.
Данные восстановлены полностью.
Особенности заказа.
Особенность данного заказа заключается в том, что в штатном режиме блок магнитных головок не мог прочитать некоторые части поверхности. Однако в технологическом режиме эти данные прочитать было возможно.
Восстановить файлы с жесткого диска Toshiba 4 TB
Задача. Восстановить данные с жесткого диска Toshiba HDWE140.
Описание проблемы. Накопитель поступил с жалобой на то, что он не определяется в системе.
Результаты диагностики. Диагностика проведена с использованием ПАК РС-3000 и ламинарного шкафа. При подаче питания накопитель начинает издавать характерные щелчки. Анализ гермозоны накопителя в ламинарном шкафу: у диска вышел из строя блок магнитных головок.
Необходимые для восстановления информации процедуры.
- Подбор и адаптация донорского устройства.
- Замена блока магнитных головок.
- Запуск накопителя в технологическом режиме.
- Вычитывание накопителя в технологическом режиме.
- Извлечение данных из полученных файлов-образов.
Результат.
Данные восстановлены полностью.
Особенности заказа.
Жесткие диски Toshiba последних семейств отличаются большим количеством головок и пластин в пакете. Наш пациент — не исключение.
Seagate ST2000DM002: восстановить информацию с жесткого диска
Задача. Восстановить данные с жесткого диска Seagate ST2000DM002
Описание проблемы. Накопитель поступил с жалобой на то, что он не определяется в системе.
Результаты диагностики. Диагностика проведена с использованием ПАК РС-3000 и ламинарного шкафа. При подаче питания накопитель начинает издавать характерные щелчки. Анализ гермозоны накопителя в ламинарном шкафу: у диска вышел из строя блок магнитных головок.
Необходимые для восстановления информации процедуры.
- Подбор и адаптация донорского устройства.
- Замена блока магнитных головок.
- Запуск накопителя в технологическом режиме.
- Вычитывание накопителя в технологическом режиме.
- Извлечение данных из полученных файлов-образов.
Результат.
Данные восстановлены с небольшими (около 1%) потерями.
Особенности заказа.
Накопители Seagate Grenada, к которому относится наш пациент, отличаются достаточно высокой «смертностью». Надо сказать, что пару лет назад их поступало на восстановление информации намного больше, чем сейчас: до половины всего потока дисков, приходивших в работу, были именно Seagate Grenada. В настоящее время исправных накопителей этого семейства осталось уже немного, поэтому стоимость такого диска на запчасти превышает 100 (а для некоторых моделей и 200) долларов США.
Восстановить данные с диска Seagate Momentus 5400.6 емкостью 500 GB
Задача. Восстановить данные с жесткого диска Seagate Momentus 5400.6 500 GB
Описание проблемы. Накопитель поступил с жалобой на то, что он не определяется в системе.
Результаты диагностики. Диагностика проведена с использованием ПАК РС-3000 и ламинарного шкафа. При подаче питания накопитель начинает издавать характерные щелчки. Анализ гермозоны накопителя в ламинарном шкафу: у диска вышел из строя блок магнитных головок.
Необходимые для восстановления информации процедуры.
- Подюор и адаптация донорского устройства.
- Замена блока магнитных головок.
- Запуск накопителя в технологическом режиме.
- Вычитывание накопителя в технологическом режиме.
- Извлечение данных из полученных файлов-образов.
Результат.
Данные восстановлены полностью.
Особенности заказа.
Данный накопитель относится к семейству Seagate Wyatt, для которого характерной проблемой является выход из строя блока магнитных головок с последующим запиливанием одной или нескольких поверхностей. Высокий риск появления запилов объясняется тем, что пользователь обычно пытается многократно включить диск в надежде на его запуск, а для дисков именно этого семейства не предусмотрена аварийная парковка БМГ в случае, если в микропрограмму поступают сигналы о неисправных головках. Это приводит к тому, что диск продолжает вращаться, головки парят над его поверхностью, повреждения головок прогрессируют, что в конечном итоге приводит к обрыву одной или нескольких головок, падению на поверхность их фрагментов и формированию повреждений поверхности.
Восстановить данные с жесткого диска Maxtor из старого компьютера
Задача. Восстановить данные с жесткого диска Maxtor 2F040L0 (40 GB)
Описание проблемы. Накопитель поступил с жалобой на то, что он не определяется в системе.
Результаты диагностики. Диагностика проведена с использованием ПАК РС-3000. Обнаружено, у диска имеется стандартная для накопителей Maxtor: запорченные контрольные суммы некоторых модулей служебной зоны, приводящие к невозможности старта микропрограммы.
Необходимые для восстановления информации процедуры.
- Анализ микропрограммы.
- Исправление ошибок контрольных сумм и заголовков испорченных модулей микропрограммы.
- Вычитывание накопителя в технологическом режиме.
- Извлечение файлов из вычитанных данных.
Результат.
Данные восстановлены полностью.
Особенности заказа.
Старые накопители производства Maxtor имели производственный дефект: при записи некоторых модулей микропрограммы, если в этот момент происходил какой-то сбой (например, выключение электропитания), содержимое этих модулей портилось (как правило, оказывалась неверной контрольная сумма модуля). Это приводило к невозможности запуска микропрограммы (модули не проходили проверку на целостность данных).
