Запилы. Коротко о страшном

Любому специалисту по восстановлению информации известно такое неприятное явление, как запил поверхности жесткого диска. Да что там говорить — неприятное. Катастрофическое! Ужасное! Фатальное для данных.

Что такое этот запил, и чем он отличается от других повреждений поверхности НЖМД?

Повреждения поверхности жесткого диска

  1. Дефектные сектора (бэд-блоки). Такие повреждения обычно не видно невооруженным глазом, они проявляются при копировании информации: диск или зависает окончательно при попытках скопировать файлы, или начинает срываться в стук и перестает работать, или данные копируются очень долго.
  2. Царапины. Эти повреждения имеют или радиальную, или концентрическую направленность, и, как правило, очень тонкие. Часто они настолько тонкие, что определить их можно только с помощью фог-теста (поверхность на короткое время покрывается парами дистиллированной воды, при этом изменяются преломляющие свет свойства поверхности и становятся видны микроповреждения).
  3. Запилы. Как правило, бывают в основном концентрическими. Запилы хорошо видно невооруженным взглядом, это серьезные и крупные повреждения поверхности. Характеризуются глубоким внедрением не только в лубрикант, но также и в несущий информацию магнитный слой. Имеют тенденцию к лавинообразному разрастанию за очень короткое время.

Что такое запил

Запил на поверхности жесткого диска, увеличение х10

Запил — это глубокое и необратимое повреждение поверхности жесткого диска. При запиле повреждаются не только верхние, защитные слои поверхности, но также и более глубокие слои: несущий данные ферромагнетик и, довольно часто, даже подложка.

Запиленная поверхность накопителя HGST. Неповрежденным остался только участок поверхности под парковочной рампой.

Чем опасен запил

Самое неприятное, что привносит запил в работу жесткого диска — это мелкодисперсная (а иногда и крупнофракционная, вплоть до опилок) пыль. Пыль внутри диска, в котором магнитные поверхности вращаются с гарантированной скоростью свыше 5000 оборотов в минуту, почти мгновенно начинает разрушать не затронутые запилом поверхности — вначале бомбардируя их и приводя к образованию множества дефектных секторов; затем частицы пыли попадают на исправные головки, выводят их из строя и те, в свою очередь, начинают запиливать еще исправную поверхность. Если диск, который начал запиливаться, не остановить — будет безвозвратно потеряно все его содержимое. Именно поэтому современные НЖМД при старте опрашивают все головки, и если хотя бы одна из них не прочитает и не запишет данные, диск немедленно останавливает свою работу.

Запил в парковочной зоне накопителя Seagate Barracuda 7200.11

Как образуется запил

Основной источник запиливания жестких дисков — свободно двигающиеся в гермоблоке частицы. Например, при парковке головок на внешнюю рампу обломился небольшой кусочек рампы (она пластиковая). При следующем включении диска потоками воздуха его начало «гонять» по гермоблоку, и вопрос того, когда произойдет соударение этого кусочка с головками или поверхностью — лишь вопрос времени. Во время соударения происходят необратимые изменения, и начинается процесс запиливания.

Реже бывает так, что при резкой потере питания не срабатывает магнитный замок, и головки падают на поверхность. При следующем запуске, если шпиндель может провернуть диски, головки срывает с кронштейнов, а пока набирается необходимая скорость вращения, они пилят поверхность.

Также образование запилов возможно в тех случаях, когда происходят разрушения или повреждения пъезоэлементов современных головок, или нарушения в работе микропрограммы (например, распарковка головок до набора шпинделем необходимой скорости вращения).

Есть ли шансы восстановить данные при запиливании диска?

Это — самый главный вопрос. Если диск запилен, можно ли из него извлечь данные хотя бы частично?

Практика показывает, что в большинстве случаев, если диск не пилился непозволительно долго, часть данных из него достать можно. Это делается разными методами — поверхность покрывается особыми полимерами, поврежденная поверхность исключается из трансляции, изготавливаются специальные устройства для обхода запилов, ограничители и т.п.

Стоимость таких работ ввиду их сложности достаточно высока.

Если вы подозреваете у своего накопителя запил, немедленно отключайте его от питания и несите профессионалам. Диагностика в этом случае включает разборку диска и оценку масштабов повреждений, на основании которых делается смета затрат и оцениваются шансы успешного проведения работ.

Стоимость восстановления данных. Дисковые массивы

Дисковые массивы (RAID) многими воспринимаются как едва ли не самые надежные носители информации. При соблюдении определенных условий это справедливо, но условия соблюдаются далеко не всегда. Поэтому дисковые массивы — довольно частые гости в нашей лаборатории. Мы даже проводили акцию, при которой восстанавливали данные с массивов RAID по цене копирования — и планируем провести эту акцию вновь.

Какие типы неисправностей бывают при выходе дискового массива из строя? Перечислим:

  1. Выход из строя RAID-контроллера. Именно в этом случае вы бы попали под акцию, о которой я говорил выше.
  2. Выход из строя критичного для прекращения работы массива количества дисков (для разных массивов — по-разному, это может быть и один диск, и два, и даже половина массива).
  3. Потеря конфигурации массива; при этом и контроллер, и сами диски остаются абсолютно исправными.
  4. Ошибки пользователя, такие, как удаление массива в оснастке управления.

Кроме того, работа с массивом бывает срочной или в обычном порядке. Да, для нас не бывает срочной работы — любая работа в нашей лаборатории выполняется в максимально сжатые сроки — но с дисковыми массивами проблема заключается в том, что их объемы как правило существенно превышают объемы обычных жестких дисков, а значит, на работу с ними требуется существенно больше времени. Поэтому в случае срочности нам приходится работать сверхурочно — а вот за сверхурочную работу мы берем увеличенный тариф.

Есть и еще одна особенность работы с дисковыми массивами. Это необходимость создания посекторной копии каждого диска, входящего в массив. Конечно, встречаются компании, работающие с клиентскими дисками напрямую — но таких компаний следует избегать. Для этого есть две важные приины:

  1. Оригинальный диск уже имеет износ, и в процессе извлечения данных может выйти из строя, что приведет к дополнительным расходам времени и средств для восстановления с него данных.
  2. В случае, если на оригинальный диск будут внесены изменения — по умыслу ли, по недомыслию, или случайно — они будут необратимы, и это может привести даже к невозможности восстановления информации.

Склонировать оригинальные диски не представляет проблем, если лаборатория оснащена достаточным количеством необходимого оборудования. Это важно понимать. Если фирма, куда вы обратились за восстановлением, собирается работать с оригинальными дисками, я дам простой совет: уходите оттуда, и забирайте ваши диски, так как существует вероятность того, что вам уничтожат данные вместо их восстановления.

Из чего же складывается стоимость восстановления информации с дискового массива?

  1. Амортизация специального оборудования.
  2. Амортизация специального ПО.
  3. Стоимость аренды помещения и сопутствующие расходы (коммунальные услуги и пр.).
  4. Стоимость запасных частей.
  5. Расходные материалы.
  6. Исследовательская работа.
  7. Заложенная прибыль.

Очередная ловушка злоумышленников: несуществующий трекинг

Письмо с фишинговой ссылкой; ссылка частично прикрыта для безопасности

Очередное изобретение злоумышленников, желающих получить доступ к вашему компьютеру — рассылка фишинговых писем с предложением отследить некую посылку.

Люди часто пользуются службами доставки или почтой, поэтому для многих такое предложение не покажется подозрительным. Не ожидая ничего плохого, они пройдут по имеющейся в письме ссылке, в результате чего загрузят на свой компьютер вредоносное ПО. Чем это чревато?

Наиболее распространенная возможная проблема — включение вашего компьютера в ботсеть для осуществления распределенных вычислений. Следующая по степени распространенности — троянская программа для кражи персональных данных (включая данные банковских карт или реквизиты интернет-банкинга). Наконец, вам могут просто зашифровать файлы с последующим требованием выкупа за их расшифровку.

Поэтому, получая любое электронное письмо с неизвестного вам адреса, тем более — содержащее внутреннюю ссылку — не нажимайте на ссылку сразу, проверьте ссылку, обращались ли вы в службу, которая ссылается за ссылкой, ранее, взвесьте все «за» и «против», и только после этого принимайте решение — посещать эту ссылку или удалить письмо.

WhatsApp FAQ: часто задаваемые вопросы о популярном мессенджере

Нам часто поступают заказы на восстановление информации из чатов мессенджера WhatsApp. В части случаев, к сожалению, нам приходится отказывать в проведении работ в силу их бесперспективности. В этой короткой заметке я собрал наиболее часто задаваемые вопросы о восстановлении информации из сообщений, отправляемых через WhatsApp.

Вопрос: Телефон был сброшен на заводские настройки, требуется восстановить чаты WhatsApp.

Ответ: Если в телефоне не была установлена карта памяти, или не делалась резервная копия в облако, восстановление данных с телефона невозможно. При сбросе на заводские настройки производится полная очистка внутренней памяти телефона, после чего в ней уже нет никаких данных, которые были до сброса. WhatsApp в случае наличия карты памяти может держать базы сообщений на ней, и если телефон даже был сброшен, в приложение можно загрузить сообщения из сохраненных баз. Сброс телефона не затрагивает карту памяти; также сброс телефона не затрагивает сервисы облачного хранения данных.


Вопрос: Я удалил чат некоторое время назад, теперь мне нужно его восстановить.

Ответ: Восстановление чатов возможно только из резервной копии или файлов баз сообщений, которые хранятся в папке Whatsapp вашего устройства. Файлы баз сообщений не хранятся на работающем постоянно телефонее более 2 недель. Соответственно, восстановить удаленный чат можно только в том случае, если у вас имеется резервная копия на нужную дату, или файл баз сообщений на нужную дату.


Вопрос: Удаленные чаты удалось восстановить из файла баз сообщений, но в нем нет фотографий, которые мне присылали в этот чат.

Ответ: Все медиа-файлы, которые присылают ваши корреспонденты через WhatsApp, хранятся в открытом виде (не шифруются) на вашем устройстве. В случае удаления чата медиа-файлы удаляются, а в ежедневных базах сообщений они не хранятся, там хранится только текстовая информация. Таким образом, если медиа-файлы были удалены, их восстановление уже либо невозможно, либо для него требуется сложная процедура сохранения телефона в файл-образ с последующим его анализом.


Вопрос: Как лучше всего делать резервное копирование чатов WhatsApp?

Ответ: Лучше всего, без сомнений, иметь полную копию (включающую медиа-файлы). Если медиа-файлы не будут включены в резервную копию, то при удалении чатов после резервирования вы рискуете их потерять.


Вопрос: Можно ли восстановить удаленные чаты из отчета по информации аккаунта, который имеется у меня в настройках?

Ответ: Нет. В отчете не будет ваших сообщений.

Forbes: взломано облачное хранилище Canon, украдено 10 Тбайт данных

Вчера на сайте журнала Forbes появилась весьма тревожная статья: объявлено, что облачный сервис Canon подвергся хакерской атаке и с него было украдено около 10 Тбайт данных пользователей.

Новость эта тревожна по двум причинам. Во-первых, уж если такие крупные гиганты IT-индустрии, как Canon, не могут обеспечить безопасность своих онлайн-сервисов, то что говорить о нас, простых смертных? И, во-вторых, а если в следующий раз злоумышленники не станут красть чужие данные, а зашифруют их? Как известно, современные вирусы-шифровальщики весьма тяжело поддаются расшифровке.

Что известно на настоящий момент? 5 августа 2020 года хакеры из группировки Maze (разработчика одноименного зловреда) взломали защиту серверов Canon и украли около 10 Тбайт данных, включая персональную информацию. Что именно было украдено, не раскрывается — но, надо думать, хакеры вряд ли стали бы тянуть с серверов фоточки и видосики пользователей. Всего пострадало 24 домена Canon — случай беспрецедентный по своему размаху. Скорее всего, злоумышленники получили полный доступ к корневым директориям главных серверов компании.

В настоящее время компания Canon проводит расследование данного инцидента. Самое неприятное, что мне, как пользователю сервисов Canon, не поступало никаких предупреждений о том, что требуется мое внимание к безопасности моего аккаунта.

В свете всего этого я бы посоветовал тем, кто пользовался облачными сервисами Canon, озаботиться обновлением защиты: как минимум, поменять пароли. Оевидно, что корпорации сейчас не до оповещения пользователей о возможных проблемах и рисках. А зря.

Стоимость восстановления данных. Замена блока магнитных головок

Вместо введения

Замена блока магнитных головок (БМГ) — одна из наиболее часто встречающихся услуг, требующихся для восстановления информации с физически неисправного жесткого диска. Необходимость этой процедуры возникает тогда, когда БМГ накопителя выходит из строя и требуется вычитать информацию, для чего и применяется БМГ из другого накопителя в качестве запчастей.

Стоимость работ по замене БМГ варьирует в довольно широких пределах: от 5000 сом в легких случаях до 20000 — 25000 в тяжелых. Бывают и более дорогие работы по замене БМГ, они определяются индивидуальными особенностями накопителя и особой сложностью работ.

Для проведения замены БМГ требуются три обязательных компонента:

  1. Наличие совместимого донорского устройства, с которого будет взят исправный БМГ;
  2. Наличие специального оборудования для работы в гермозоне (съемники головок, ламинарный шкаф);
  3. Наличие специального оборудования для вычитывания накопителя в технологическом режиме (ПАК РС-3000).

Кроме того, требуется большой объем опыта и знаний. В некоторых случаях может потребоваться несколько тренировочных замен головок на исправных накопителях для того, чтобы отработать технологию (обычно это касается новых семейств накопителей, имеющих нестандартные технологические решения в гермоблоке).

Еще один фактор, влияющий на стоимость работ по замене БМГ — количество головок в пакете. Чем их больше, тем больше требуется времени для проведения работ, и тем дороже, соответственно, сами работы.

Оборудование для замены БМГ

Едва ли не самый затратный пункт во всей смете. Для замены БМГ, как правило, требуются три дорогостоящих инструмента: съемники головок (стоимость варьирует от 20 (дешевые изделия низкого качества) до 500 (high-end решения) евро), ламинарный шкаф (стоимость от 1500 долларов США) и ПАК РС-3000 или его аналог (стоимость от 2000 долларов США). Съемники головок, к слову, не бывают универсальными — они производятся отдельно для каждого семейства (а в некоторых случаях — для каждой модели) НЖМД.

Доноры запчастей

Другая часть расходов — доноры запчастей. Далеко не всегда диск, с которого будет взят БМГ, имеет ту же номинальную стоимость, как его аналог в розничной торговой сети. Часто бывает так, что такой накопитель стоит в два, а то и больше, раз дороже. Это зависит от множества факторов.

Как правило, любая компания по восстановлению данных имеет ограниченную базу донорских устройств, с которых запасные части могут быть оперативно взяты для текущих работ. Но иметь полную базу запчастей с учетом разнообразия выпущенных моделей и модификаций — совершенно неподъемная задача, поэтому часто доноры запчастей покупаются либо на специализированных ресурсах (например, donor drives), либо на торговых интернет-площадках (локальные сайты объявлений, amazon, eBay и т.п.).

Резюме

Таким образом, стоимость замены БМГ в стандартных случаях складывается из следующих частей:

  1. Амортизация оборудования (самая большая доля расходов).
  2. Стоимость аренды помещения и сопутствующие расходы (коммунальные услуги и пр.).
  3. Стоимость запасных частей.
  4. Расходные материалы.
  5. Заложенная прибыль.

Повреждения платы электроники и проблемы восстановления данных

Плата электроники накопителя информации — устройство сложное. Как любое другое сложное устройство, она может выходить из строя — и случается это, к слову, довольно часто. Диагностировать неисправности платы электроники порой очень легко, а порой — очень не просто. А еще бывают ситуации, когда плату до обращения к нам уже кто-то пытался лечить. В таких случаях, если «лечение» проходило паяльником в стиле «паять ламповые телевизоры», платы имеют весьма характерный вид, и диагностика не вызывает никаких проблем.

Немалую роль при диагностике неисправностей плат электроники играет визуальный осмотр. В этой заметке я продемонстрирую несколько примеров неисправностей платы электроники. Охватить все их многообразие в рамках одной публикации такого рода невозможно, но в качестве отправной точки этого более чем достаточно.

1. Прогоревшие чипы

Электрические разрушения микросхем бывают разного типа, наиболее легко визуально диагностируется так называемый прогар микросхем. В чипах отчетливо видны дырки, часто (при прогаре не сверху, а сбоку) — сгорает также одна или даже несколько ножек микросхемы.

Этот тип неисправностей, как мы видим, диагностировать относительно легко. Лечение производится двумя основными способами: или заменой сгоревшего чипа, или заменой платы электроники.

Восстановление данных в Бишкеке | Data Recovery Bishkek
Серьезно прогоревший чип VCM and motor driver накопителя Western Digital
Восстановление данных в Бишкеке | Data Recovery Bishkek
Тот же чип, увеличение х10. Хорошо видно две медные точки — остатки двух сгоревших проводников
Восстановление данных в Бишкеке | Data Recovery Bishkek
Остатки двух сгоревших проводников микросхемы VCM and motor driver накопителя Western Digital, увеличение х40
Восстановление данных в Бишкеке | Data Recovery Bishkek
Прогоревшая микросхема VCM and motor driver с платы электроники накопителя Seagate
Восстановление данных в Бишкеке | Data Recovery Bishkek
Та же микросхема, увеличение х10
Восстановление данных в Бишкеке | Data Recovery Bishkek
При увеличении х40 видны разрушения компаунда: трещины в самом компаунде и рваные ошметки оболочки чипа

2. Нарушение контакта

Не часто случающийся тип неисправности платы электроники. Может проявляться по-разному: нарушение контакта в интерфейсном разъеме или разъеме питания за счет вдавления проводников при неаккуратном подключении устройства; нарушение контакта между SMD-элементом и платой электроники за счет некачественной пайки, нарушение контакта между отдельными частями платы электроники за счет оборванной или сгоревшей дорожки; нарушение контакта между платой электроники и гермоблоком за счет окислившихся или поврежденных контактных площадок; и пр. Ниже представлены два примера нарушения контакта между гермоблоком накопителя и контактными площадками платы электроники механо-химического происхождения. Штырьки, торчащие из гермоблока, и упирающиеся в контактные площадки, железные, а контактные площадки покрыты олово-содержащим припоем. При долгом контакте железа и олова в условиях повышенной влажности между ними образуется окисловая пленка, препятствующая прохождению сигнала или серьезно его искажающая.

Восстановление данных в Бишкеке | Data Recovery Bishkek
Нарушение контакта между платой электроники и гермоблоком накопителя Samsung
Восстановление данных в Бишкеке | Data Recovery Bishkek
Контактные площадки предыдущей платы, увеличение х20. Темные участки — места нарушения контакта.
Восстановление данных в Бишкеке | Data Recovery Bishkek
Аналогичное предыдущему нарушение контакта между платой электроники и гермоблоком, накопитель HGST
Восстановление данных в Бишкеке | Data Recovery Bishkek
Предыдущая плата электроники, контактные площадки, увеличение х20. Более темные участки — места нарушения контакта.

3. Попытки самолечения

Едва ли не каждый второй диск с неисправностями электроники приходит к нам со следами самолечения. Причем 80% из них — паяются явно не предусмотренными для такой пайки инструментами и припоями. Ниже размещаем несколько примеров таких «работ».

Грустнее всего выглядят попытки паять микросхемы с большим количеством выводов. Обычно это заканчивается тем, что часть выводов или не попадает на предназначенные для них контактные площадки, или (что хуже) замыкает их. При включении платы с такой пайкой можно сжечь и микросхему, и плату.

Просто посмотрите на фото ниже. Нужны ли вам подобные попытки «ремонта», или все-таки лучше обратиться к специалисту?

Восстановление данных в Бишкеке | Data Recovery Bishkek
Следы самодеятельной пайки, увеличение х10
Восстановление данных в Бишкеке | Data Recovery Bishkek
Увеличение х20, то же, что и на предыдущем снимке
Восстановление данных в Бишкеке | Data Recovery Bishkek
Криво посаженный при самостоятельной пайке чип, увеличение х5
Восстановление данных в Бишкеке | Data Recovery Bishkek
Тот же чип, увеличение х30. Отчетливо видно, как ножки микросхемы замыкают контактные площадки.
Восстановление данных в Бишкеке | Data Recovery Bishkek
Некачественная пайка в цепи питания накопителя Seagate
Восстановление данных в Бишкеке | Data Recovery Bishkek
Некачественная пайка в цепи питания накопителя Seagate, увеличение х20. Видно, что плата перегрета. Кроме того, не смыта канифоль, что привело к налипанию на плату большого числа электропроводящего мусора.

Заключение

Это — лишь малая толика того, что может произойти с платой электроники накопителя. Разнообразие неисправностей огромно, далеко не все из них можно диагностировать визуально. Часто для диагностики требуется использование измерительной аппаратуры. Это — наша специальность. Помните: самолечение здесь также вредно, как и в человеческом здоровье, и также может привести к весьма плачевным последствиям.

Стоимость восстановления данных. Проблемы в служебной зоне

Служебная зона накопителя — то его пространство, которое используется для его собственных, служебных, нужд. Это: обеспечение работы накопителя (запуск, функционирование, трансляция физических адресов в логические и т.п.), ведение различных системных журналов (SMART, общее время работы, дефекты и пр.) и так далее. Функционирование накопителя без служебной зоны невозможно.

Организация служебной зоны может быть разной, но в подавляющем большинстве случаев служебная зона — это область дискового пространства, куда нет доступа в штатном режиме. В этой области находятся части микропрограммы и других фрагментов служебной зоны, которые называют модулями.

Неисправности служебной зоны, как правило, не приводят к полному выходу из строя накопителя, они проявляются или в неправильной его идентификации, или в сильной заторможенности его работы, или в невозможности получить доступ к данным, или в блокировании работы микропрограммы. Физически диск при этом остается исправным.

Стоимость работ по возвращению служебной зоне работоспособности и обеспечению доступа к данным варьирует от 1000 до 5000 сом, но в некоторых особо сложных случаях может достигать 14000 сом. Как вы уже поняли, стоимость будет напрямую зависеть от сложности и от того, какие ресурсы для успешного завершения работ должны быть задействованы.

1. Легкие случаи

Легкие случаи — те, для восстановления которых не требуется подбора совместимой версии микропрограммы. К ним относятся те неисправности служебной зоны, которые либо корректируются самим накопителем при подаче соответствующей команды (например: переполнение логов подсистемы SMART), либо могут быть скорректированы простой перезаписью поврежденного модуля служебной зоны от аналогичного диска, либо — отключением этого модуля в таблице модулей накопителя.

Стоимость работ по легким случаям составляет 1000 сомов, время выполнения работ — не более получаса. В стоимость таких работ включаются:

  1. Амортизация специализированного оборудования;
  2. Расходные материалы;
  3. Заложенная прибыль.

2. Случаи средней тяжести

При средней степени тяжести повреждения служебной информации накопитель уже не может сам исправить имеющиеся проблемы соответствующей командой, а простой перезаписи неисправных частей микропрограммы оказывается недостаточно для организации доступа к пользовательским данным. К таким повреждениям относятся: повреждения системы трансляции; установка максимального уровня парольной защиты при забытом пароле; активированное аппаратное шифрование накопителя (SED — Self Encrypted Drive — самошифрующийся диск) и пр. Для восстановления доступа к пользовательским данным потребуется провести несколько манипуляций, включающих в себя: организацию доступа к служебной зоне; внесение в служебную зону необходимых исправлений; проверку корректности изменений; запуск накопителя и копирование данных.

Стоимость работ по таким случаям составляет от 2000 до 3500 сомов, время выполнения работ составляет от одного часа. В стоимость таких работ включаются:

  1. Амортизация специализированного оборудования;
  2. Расходные материалы;
  3. Заложенная прибыль.

3. Тяжелые случаи

К этой группе относятся неисправности служебной зоны, которые еще можно исправить, используя только диск-пациент, но исправление требует глубокого знания функционирования накопителя, организации его служебной информации и шестнадцатеричной системы счисления.

Например: частичное разрушение модулей дефект-листов во всех копиях служебной зоны; частичное разрушение оверлеев микропрограммы во всех копиях служебной зоны; разрушение или повреждение модулей адаптивной информации; и пр.

Для приведения к рабочему состоянию в таких случаях обычно требуется максимально полное вычитывание данных из служебной зоны, а затем восстановление утерянных частей модулей с помощью шестнадцатеричного редактора. Эта работа стоит 5000 сом и может занимать несколько дней.

В стоимость таких работ включаются:

  1. Амортизация специализированного оборудования;
  2. Расходные материалы;
  3. Заложенная прибыль.

4. Случаи, требующие использования исправного диска

Бывают ситуации, когда исправление проблем в служебной зоне накопителя невозможно. Например, разрушения служебной зоны так велики, что накопитель теряет возможность корректной записи. В таких случаях потребуется подготовка диска-клона неисправного накопителя и запуск неисправного диска с использованием диска-клона.

Для этого из служебной зоны неисправного диска вычитывается максимальное количество информации, производятся (если необходимо) манипуляции с модулями (восстановление, ремонт и т.п.), а затем нужные для функционирования диска модули записываются в исправный носитель. После этого исправный диск, если все сделано верно, запускается со всеми параметрами (включая систему трансляции) как у неисправного диска, и нам достаточно перенести проинициализированную таким образом плату электроники с подготовленного носителя на неисправный.

Стоимость этой услуги, по очевидным причинам (необходимость использования исправного диска в качестве запчастей) является достаточно высокой, и может достигать 14000 сомов.

В стоимость таких работ включаются:

  1. Амортизация специализированного оборудования;
  2. Расходные материалы;
  3. Исправный диск;
  4. Заложенная прибыль.

При этом имеется риск, что исправный диск после всех манипуляций уже будет невозможно вернуть в исходное состояние, то есть диск физически будет исправен, но не будет нормально функционировать. Это связано с тем, что в случае записи в накопитель чужих (от неисправного диска) адаптивных параметров у части накопителей запись по этим параметрам окажется невозможной. Это нужно учитывать при планировании расходов, связанных с восстановлением.

Восстановление данных из профессионального диктофона ZOOM Handy Recorder H6

Восстановление данных в Бишкеке | DataRecovery Bishkek
ZOOM Handy Recorder H6

Задача. Восстановить данные из профессионального диктофона ZOOM Handy Recorder H6.

Описание проблемы. Карта памяти из диктофона была отформатирована в фотоаппарате, данные не видны. При восстановлении данных свободно распространяемым через интернет ПО аудиозаписи повреждены.

Результаты диагностики. В результате форматирования утеряна информация о фрагментации аудиофайлов.

Необходимые для восстановления информации процедуры.

  1. Посекторное копирование карты памяти в образ.
  2. Анализ образа, отделение аудиопотока от остальных данных.
  3. Анализ аудиопотока, реконструкция метода записи диктофона.
  4. Подготовка скрипта для сборки аудиопотока.
  5. Сборка аудиопотока, контроль результата.

Результат.

Данные восстановлены полностью.

Восстановление данных в Бишкеке | DataRecovery Bishkek
Неисправная аудиозапись
Восстановление данных в Бишкеке | Data Recovery Bishkek
Та же аудиозапись после исправления

Особенности заказа.

Диктофон ZOOM Handy Recorder H6 записывает многоканальный звук сразу с нескольких микрофонов и компонует аудиозапись таким образом, чтобы максимально увеличить производительность при записи. При этом особенное внимание уделяется качеству звука — звук записывается в формате wav с высоким битрейтом. Файлы при этом получаются достаточно большими. Для оптимизации записи диктофон пишет эти файлы на носитель фрагментированно.

После форматирования флеш-карты из диктофона информация о фрагментировании теряется, и аудиофайл перестает нормально работать. Восстановленный классическими свободно распространяемыми через Сеть приложениями, такой файл проигрывается, но запись представляет собой смесь звуков.

Размер фрагментов зависит от количества подключенных микрофонов и интенсивности записи. Не имея информации о том, каким образом диктофон записывал конкретный аудиофайл, восстановить правильный порядок и величину блоков невозможно.

В каждой папке проекта (аудиозаписи) диктофона имеется файл-описатель формата hprj. В этом файле содержится вся необходимая информация для сборки аудиофайла, пригодного для проигрывания: величина блоков записи, их расположение и порядок. Поскольку данный формат файлов нигде не описан, нам пришлось самостоятельно разбираться с ним и подготовить на его основе скрипт для нашего сборщика mov-файлов.

Процедура восстановления информации с диктофона ZOOM Handy Recorder H6 заняла в нашей лаборатории 2 часа.

Восстановление данных в Бишкеке | Data Recovery Bishkek
Заголовок аудиофайла, записанного диктофоном ZOOM Handy Recorder H6
Восстановление данных в Бишкеке | Data Recovery Bishkek
Фрагмент файла-описателя проекта записи диктофона ZOOM Handy Recorder H6

Стоимость восстановления данных. Логические случаи

Ситуации, когда приходится объяснять, отчего стоимость тех или иных услуг именно такая, а не какая-то другая, случаются не только в IT, но и в целом во всей сфере оказания услуг. Я уже писал о том, как и почему стоимость той или иной услуги по восстановлению данных составляет именно ту сумму, которую вам озвучили, однако вопросов не становится меньше, поэтому было принято решение разложить прайс на пять частей (логические проблемы, проблемы в служебной области накопителя, замена блока магнитных головок, прочие физические проблемы, дисковые массивы) и по каждой из этих частей написать подробную статью. Перед вами первая часть из запланированных пяти — о том, из чего складывается стоимость логического восстановления данных.

Что такое логические проблемы? Под этим общим названием принято понимать те случаи, когда накопитель физически исправен, но по каким-то причинам пользователь не может получить доступ к своим данным. Замечу сразу, что при некоторых проблемах со служебной зоной поведение накопителя может быть таким же: накопитель исправен, но доступа к данным нет. Какая именно проблема приключилась с конкретным диском, можно выяснить в ходе диагностики, которая у нас бесплатна.

Логические проблемы условно можно разделить на следующие типы:

  • Полная или частичная перезапись данных (переустановка операционной системы без предварительного резервирования данных; удаление информации с последующей записью новых данных; и т.п.).
  • Форматирование раздела.
  • Удаление информации.
  • Шифрование данных (как инициированное вирусом-шифровальщиком, так и самим пользователем).
  • Ошибки операционной системы (запись в сектора модифицированных или неверных данных).
  • Проблемы интерфейса (криво установленный кабель, в результате чего происходит искажение сигнала и запись неверных данных; помехи от сильного источника электромагнитного поля, приводящие к искажению сигнала; и т.п.).
  • Преднамеренное или непреднамеренное изменение структуры данных (например, замещение некоторых секций файла другими секциями того же или другого файла).

Полная или частичная перезапись данных

Перезапись данных всегда приводит к невозможности 100%-ного восстановления информации. Наиболее распространена переустановка операционной системы без предварительного резервирования данных.

Стоимость работ по извлечению информации после ее перезаписи варьирует в широких пределах. В нашей лаборатории вы можете получить эту услугу по цене от 1000 до 5000 сомов в зависимости от сложности. В лабораториях крупнейших мировых центров по восстановлению информации (с некоторыми из них мы имеем партнерские отношения, поэтому в некоторых случаях мы можем помочь через наших партнеров) стоимость таких работ может составлять до нескольких сотен тысяч долларов. Такая цена возможна в случаях, когда производится восстановление данных по остаточной намагниченности с использованием туннельного электронного микроскопа. Это кропотливая, длительная и непростая процедура, требующая дорогостоящего оборудования (туннельного микроскопа) и программного обеспечения (сшивающего RAW-споты слоев остаточной намагниченности в треки и декодирующего их в бинарном виде).

Стоимость услуги по восстановлению данных после перезаписи в нашей лаборатории складывается из следующих компонент:

  1. Создание посекторного клона накопителя, с которого производится восстановление данных (все операции мы производим с клоном для того, чтобы исключить любой риск повреждения исходных данных).
  2. Сканирование текущей файловой системы для определения карты секторов, которые используются в ней.
  3. Создание карты секторов, не использующихся в текущей файловой системе.
  4. Поиск валидных данных в обеих созданных картах, выливка данных на диск-приемник.
  5. Анализ полученного результата, удаление поврежденных файлов.
  6. Амортизация ПО, используемого для восстановления информации.
  7. Амортизация используемого для подключения диска в режиме «только чтение» оборудования.
  8. Накладные расходы (электроэнергия, аренда и т.п.).
  9. Заложенная прибыль.

Работа может проводиться не в один проход. Финальная стоимость зависит от того, какой объем данных нам придется обрабатывать — чем больше объем, тем больше на работы требуется времени, тем большее время будет занято специальное оборудование и тем выше будет окончательная стоимость работ.

Форматирование раздела

Также, как и предыдущая проблема, является одной из наиболее широко распространенных. Форматирование раздела может происходить как случайно, так и намеренно. Результат: раздел имеется, данных в нем нет.

Стоимость восстановления данных из разделов после форматирования варьирует от 1000 до 10000 сомов. Складывается она из следующих моментов:

  1. Создание посекторного клона накопителя, с которого производится восстановление данных (все операции мы производим с клоном для того, чтобы исключить любой риск повреждения исходных данных).
  2. Сканирование файловой системы и реконструкция ее структуры до форматирования.
  3. Выливка данных на внешний приемник.
  4. Анализ полученного результата, уточняющее сканирование накопителя, если результат неудовлетворительный.
  5. Амортизация ПО, используемого для восстановления информации.
  6. Амортизация используемого для подключения диска в режиме «только чтение» оборудования.
  7. Накладные расходы (электроэнергия, аренда и т.п.).
  8. Заложенная прибыль.

В случае с форматированием раздела цена работ зависит от объема накопителя (чем он больше, тем больше требуется времени на производство работ и тем выше, соответственно, их стоимость) и от типа раздела. Дешевле всего восстановить данные из форматированных разделов NTFS, так как структурные особенности разделов этого типа позволяют полностью реконструировать исходную файловую систему с минимальными затратами времени. Наиболее дорогими для восстановления информации после форматирования являются разделы FAT и ZFS, так как их структурные особенности требуют больших объемов ручной работы (в первом случае как результат фрагментации, во втором — сжатия информации).

Удаление информации

Довольно часто бывает так, что пользователь или третье лицо случайно удаляет нужный файл или папку. Восстановление данных в этом случае достаточно непредсказуемо — если данные удалены с жесткого диска, и после удаления работа с ним не велась, то шансы на восстановление достаточно велики. Если данные удалены с телефона или SSD, шансы на восстановление обратно пропорциональны времени использования устройства после удаления файла.

Стоимость работ по восстановлению удаленных данных складывается из следующих моментов:

  1. Безопасное подключение и подготовка носителя к извлечению данных.
  2. Сканирование файловой системы и поиск удаленных файлов.
  3. Копирование найденных данных на внешний приемник.
  4. Анализ полученного результата, уточняющее сканирование накопителя, если результат неудовлетворительный.
  5. Амортизация ПО, используемого для восстановления удаленных файлов.
  6. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
  7. Накладные расходы (электроэнергия, аренда и т.п.).
  8. Заложенная прибыль.

Средний ценник на восстановление удаленных файлов с жесткого диска в настоящее время составляет 1000 сом, с телефона 3000 сом.

Шифрование данных

Данные могут быть зашифрованы как вирусом-шифровальщиком, так и самим пользователем (BitLocker, FileVault, EFS и пр.). В первом случае вирус сам сообщает о том, что данные зашифрованы, и начинает вымогать вознаграждение за расшифровку. Во втором случае проблемы обычно возникают в трех случаях:

  1. Возникновение на накопителе дефектных секторов, приводящих к проблемам с штатной расшифровкой.
  2. Переустановка системы без учета того, что данные были зашифрованы (при этом теряются ключи шифрования).
  3. Утеря информации о ключах или паролях (забыли, потеряли листок где это записано, и пр.).

Стоимость услуги восстановления данных в случае с их зашифровкой варьирует от 7000 до 10000 сом в случае если это шифрованная файловая система (BitLocker, FileVault, TrueCrypt и пр.); в случае, если данные зашифрованы вирусом, стоимость расшифровки может составлять до 25000 сом. Из чего складывается данная услуга:

  1. Создание посекторного клона накопителя, с которого производится восстановление данных (все операции мы производим с клоном для того, чтобы исключить любой риск повреждения исходных данных).
  2. Сканирование накопителя, поиск информации для восстановления (ключи шифрования, метаданные и пр.).
  3. Применение ключей шифрования, потоковая расшифровка данных на внешний диск-приемник.
  4. Анализ полученного результата, уточняющее сканирование накопителя, если результат неудовлетворительный.
  5. Амортизация ПО, используемого для восстановления информации.
  6. Поиск алгоритмов шифрования в ручном режиме, если они не были обнаружены в автоматическом.
  7. Амортизация используемого для подключения диска в режиме «только чтение» оборудования.
  8. Накладные расходы (электроэнергия, аренда и т.п.).
  9. Заложенная прибыль.

Высокая стоимость расшифровки данных в нестандартных случаях объясняется большим количеством ручной работы. Если дело касается стандартных случаев шифрования (BitLocker, FileVault), стоимость ниже, и зависит главным образом от того, насколько долго будет занят специализированный ПАК для извлечения данных.

Ошибки операционной системы

В некоторых случаях потеря данных может быть следствием некорректной работы операционной системы. Такие случаи достаточно редки, однако они все же встречаются. Наиболее распространенным типом ошибки при этом является работа штатной программы проверки диска checkdisk в ОС Windows.

Работа этой программы направлена на то, чтобы выявить и исправить ошибки файловой системы жесткого диска. При этом, если выявляются ошибки, связанные с дефектными секторами (например, повреждена часть записей в MFT), то данные, которые относятся к этим ошибкам, программа переносит (именно переносит, а не копирует) в особые папки, которые сама создает на диске. Чем это чревато? Во-первых, при больших объемах таких переносов может возникать перезапись данных. Во-вторых, программа не гарантирует, что будет произведен перенос всего файла.

Возможны и другие ошибки работы ОС, приводящие к утере доступа к данным — например, запись неверных данных в заголовок раздела или в файловые таблицы.

Работа с ошибками операционной системы тарифицируется также, как работа с удаленными данными, и составляет обычно 1000 сом. Что сюда входит:

  1. Безопасное подключение и подготовка носителя к извлечению данных.
  2. Сканирование файловой системы и поиск ошибок ОС.
  3. Копирование найденных данных на внешний приемник.
  4. Анализ полученного результата, уточняющее сканирование, если результат неудовлетворительный.
  5. Амортизация ПО, используемого для восстановления удаленных файлов.
  6. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
  7. Накладные расходы (электроэнергия, аренда и т.п.).
  8. Заложенная прибыль.

Проблемы интерфейса

Встречаются крайне редко, являются наиболее сложно диагностируемыми логическими проблемами с наиболее сложными методами восстановления. Стоимость работ с такими заказами составляет от 5000 сом за 1 Тбайт емкости диска.

В чем проявляются такие неисправности? При неправильной установке коннектора data-кабеля (будь то SATA, SAS/SCSI или USB) нестабильный контакт приводит к искажениям записи информации, имеющим определенный повторяемый характер. Например, одна из линий данных может вместо байтов 00h записывать FFh. При этом файл будет записан на устройство, но при его работе будут возникать ошибки: он либо не будет запускаться вообще, либо после запуска его содержимое будет искажено или повреждено.

Для восстановления поврежденных таким образом данных потребуется сделать следующее:

  • Обнаружить все сектора, в которых имеются поврежденные или модифицированные данные;
  • Настроить скрипт-машину таким образом, чтобы произвести пакетное потоковое исправление ошибок;
  • Проконтролировать результат.

Таким образом, в стоимость работ указанного типа заложены следующие моменты:

  1. Безопасное подключение и подготовка носителя к извлечению данных.
  2. Создание посекторной копии накопителя.
  3. Определение алгоритма повреждения данных.
  4. Настройка скрипт-машины на потоковое пакетное исправление повреждений.
  5. Анализ полученного результата, уточняющее сканирование, если результат неудовлетворительный.
  6. Амортизация ПО, используемого для восстановления удаленных файлов.
  7. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
  8. Накладные расходы (электроэнергия, аренда и т.п.).
  9. Заложенная прибыль.

Преднамеренное или непреднамеренное изменение структуры данных

Встречается еще реже, чем предыдущий тип логических неисправностей. Суть проблемы заключается в том, что в определенном файле часть данных замещается другими, не имеющими отношения к этому файлу. Как правило, это происходит при сбоях операций переноса или копирования. Также, как правило, замещенные данные на целевом носителе имеются, но являются «потерянными».

Работы в этом случае заключаются в поиске утерянных фрагментов данных и «посадке» их на место. Задача эта весьма нетривиальна, так как требует глубокого знания форматов файлов, с которыми производятся работы, а также, обычно, кропотливого поиска утерянных фрагментов данных в ручном режиме. Проблема в том, что обычно RAW-данные в фрагментированном виде не имеют уникальных структур, позволяющих их обнаруживать автоматически (таких, как заголовки), поэтому их поиск возможен только вручную.

Стоимость работ по восстановлению работоспособности единичного файла составляет от 500 до 10 000 сом и зависит от его типа, размера и характера повреждений. В эти работы закладываются:

  1. Безопасное подключение и подготовка носителя к извлечению данных.
  2. Определение алгоритма повреждения данных.
  3. Поиск фрагментов утерянных данных.
  4. Анализ полученного результата, уточняющее сканирование, если результат неудовлетворительный.
  5. Амортизация ПО, используемого для восстановления удаленных файлов.
  6. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
  7. Накладные расходы (электроэнергия, аренда и т.п.).
  8. Заложенная прибыль.

Заключение

Как видите, стоимость восстановления информации даже в относительно «легких» случаях логических проблем складывается из массы моментов, однако основными являются оборудование и ПО. И то, и другое имеет приличную стоимость; например, комплект оборудования компании ACE Lab для восстановления данных с жестких дисков (ПАК РС-3000) имеет стоимость 1500 долларов США в минимальной комплектации. Как профессиональный сервис, мы используем десятки наименований различного оборудования, имеющего аналогичную стоимость.

В следующей части этой статьи мы расскажем о том, из чего складывается стоимость работ при восстановлении информации с накопителей с проблемами в служебной зоне.



Мы принимаем к оплате | We accept payments


Мы стажировались и работали в странах | We worked or practiced in following countries