восстановление данных

WD3200AAKX: ВОССТАНОВИТЬ ДАННЫЕ С ЖЕСТКОГО ДИСКА

stankorb Реальный кейз , , , ,

Задача. Восстановить данные с жесткого диска WD3200AAKX

Описание проблемы. Накопитель поступил в работу с диагнозом: не определяется в системе, стучит. Заказчик подозревает выход из строя блока магнитных головок.

Результаты диагностикиДиагностика произведена с помощью использования эталонной платы электроники и ПАК РС-3000. Обнаружена неисправность платы электроники накопителя: повреждение выводов микросхем не до конца смытым на заводе флюсом.

Необходимые для восстановления информации процедуры.

1) Подбор и адаптация донорского устройства.

2) Замена платы электроники, перенос адаптивных параметров.

3) Запуск накопителя в технологическом режиме.

4) Подготовка накопителя к вычитыванию данных.

5) Вычитываение накопителя.

Результат.

Данные восстановлены полностью.

Особенности заказа.

Накопители бюджетных линеек Western Digital производятся с максимально возможным удешевлением, поэтому часто диски, произведенные в конце технологического цикла, проходят обработку технологическими жидкостями, на протяжении технологического цикла не сменявшимися. В данном случае — плата электроники помещается в смывочную камеру, где обраатывается смывом флюса, который имеет определенный ресурс (20000 плат электроники до замены). Соответственно, жидкость накапливает флюс и под конец производственного цикла не способна полностью смыть его с платы, часть остается. Благодаря этому агрессивный флюс медленно разлагает контакты, что в итоге приводит к выходу из строя некоторых цепей платы электроники, что выражается в стуке диска. Это — типичная неисправность накопителей данного семейства.

Троянские программы: простые правила во избежание вреда.

stankorb Восстановление информации, Программное обеспечение , , , , , , , , , , , , , , , , , ,

Знакомство с этой группой зловредов я начну с поучительной истории.

Однажды ко мне обратился мой хороший знакомый с просьбой разобраться, как оказалось так, что с банковского счета его небольшой фирмы была списана вся имевшаяся там сумма. Расследование оказалось недолгим: оказалось, что все деньги были просто перечислены через клиент-банк на другой банковский счет, оттуда – на какую-то банковскую карту, зарегистрированную на бомжа, ну а после этого банально получены наличкой через банкомат. Естественно, в осуществлении этой схемы тут же заподозрили бухгалтера фирмы, но она оказалась не при чем. На компьютере бухгалтера был обнаружен хитрый вирус-бэкдор, который позволил злоумышленнику зайти на компьютер бухгалтера во время обеденного перерыва и провести банковский платеж. Бухгалтер (да и директор компании) ничего не подозревал до того момента, когда потребовалось оплатить очередные услуги – тут то и оказалось, что банковский счет фирмы пуст, а денежек уже давно и след простыл.

Итак, бэкдоры. Это довольно большая группа вирусов, которые объединяет одно общее свойство: их основное предназначение. Это предназначение – получить доступ к атакуемому компьютеру или к тем сведениям, которые пользователь на нем хранит. Другое название бэкдоров – трояны (троянский конь – способ овладения городом Троя, когда греки спрятались внутри массивной фигуры коня, которого они оставили под стенами Трои; доверчивые троянцы внесли его в город, а ночью греки выбрались из коня и открыли ворота города поджидавшим их войскам).

Троянские программы принято делить на типы по тому, каким образом они наносят вред. Вот эта классификация:

1) Программы для обеспечения удаленного доступа к компьютеру, или бэкдоры в узком смысле. Методов «открывания» дверей очень много – начиная от открытия какого-то порта, и заканчивая установкой специализированного ПО или протокола (типа стандартного RDP), через которое злоумышленник может беспрепятственно проникать на компьютер тогда, когда он включен.

2) Программы для сбора и передачи злоумышленнику данных, которые вводятся с клавиатуры (кейлоггеры). Работа таких программ обычно почти никак не обнаруживается, все, то они делают – дублируют нажатия клавиш на клавиатуре компьютера (и, некоторые из них, могут еще записывать движения курсора мышки) в особый лог-файл, который, с определенной периодичностью, отправляется злоумышленнику. Для чего это делается? Например, вы совершаете покупки в интернете, и вводите с клавиатуры данные своей банковской карты. Эту информацию кейлоггер передаст злоумышленнику, и, кроме вас, использовать карту сможет и он. Именно поэтому сейчас более безопасно использовать системы платежей, привязанные к определенному смартфону и проходящие аутентификацию по отпечатку пальцев – они практически полностью невосприимчивы к взлому. Но традиционных пользователей компьютеров, вручную вводящих данные своих банковских карт, еще очень много.

3) Деактивация систем безопасности компьютера (отключение антивируса, сетевого экрана, файерволла и т.п.) – обычно предшествует внедрению бэкдора, но может быть и отдельной функцией, например, для обеспечения возможности DDoS-атаки. Логично, что при активной системе безопасности заразить компьютер совсем не просто, поэтому атака может состоять из нескольких этапов: проникновение программы-деактиватора; деактивация защиты; загрузка основного кода вируса и его установка в системе; «обучение» охранных систем компьютера взаимодействию с зловредной программой (включение ее в список исключений); запуск систем безопасности. Таким образом компьютер заражается так, что заподозрить факт заражения практически невозможно – ведь системы безопасности компьютера продолжают работать, а сама атака обычно длится очень непродолжительное время. Как правило, таким образом атакуются сервера, контроль над которыми злоумышленник планирует осуществлять продолжительное время.

4) Программы для распространения какого-то контента. При этом ваш компьютер становится ретранслятором спама: для его распространения могут использоваться ваши мессенджеры, электронная почта, аккаунты в социальных сетях, и т.п. Как правило, распространяется два вида контента – или банальный спам, или какой-то вирус, причем не обязательно тот же, которым заражена ваша машина.

5) Организация распределенных вычислений. При этом ваш компьютер становится участником бот-сети, основной функцией которой является осуществление крупных массивов вычислений (например, взлом пароля методом брут-форса). Бот-сети – это прекрасное изобретение современных хакеров, которые делают взлом казавшихся до текущего момента стойкими алгоритмов шифрования относительно простым. Представьте: у вас имеется файл, зашифрованный ключом длиной 2048 бит. Для брут-форса этого ключа требуется 1 000 000 000 (1 миллиард лет). А теперь представьте, что для его брут-форса используется не один компьютер, а 100 000. Каждому из компьютеров передается файл и назначаются границы брут-форсинга (от значения Х0 до значения Х1 компьютеру 1, от значения Х1 до значения Х2 компьютеру 2, и так далее). При этом подходе требуется уже не 1 миллиард а 1000 лет. Все равно, много, не так ли? А если вывести каждый брут-форс отдельным потоком, и сделать каждый поток использующим одно ядро процессора? Скажем, у нас имеется 100 000 двухъядерных процессоров. Это уже 500 лет. А если пойти еще дальше, и внедрить виртуализацию? Каждому ядру назначить по десятку независимых виртуальных потоков? Это уменьшит время перебора в 20 раз, т.е. с 500 до 25 лет. Видите, как из невообразимого одного миллиарда лет мы дошли до уже вполне приемлемых 25? А если бот-сеть состоит не из 100 000, а из полумиллиона машин? Это дает возможность «ломать» файл, защищенный, казалось бы, невообразимо надежным шифрованием, за 2 месяца! Вот почему очень у многих людей «живут» троянцы, которые вообще не проявляют никакой зловредности – их функция заключается в том, чтобы предоставлять злоумышленнику доступ не к вашему компьютеру как таковому, а к его вычислительным мощностям.

Насколько опасен каждый из этих типов троянцев? Увы, но нельзя говорить, что какой-то из типов троянцев более опасен, а какой-то – менее. Опасны они все. Просто у них разные функции, и, скажем, если ваш компьютер просто ретранслирует какое-то сообщение, заражая троянцем другие машины, то лично вас прямой вред от этого может и не коснуться, но совокупный вред, который работа троянца на вашем компьютере нанесет в целом, будет велик. Исходя из этого, любой тип бэкдора должен незамедлительно обнаруживаться и удаляться.

Распространение троянских вирусов происходит обычно также, как распространение других вирусных программ, но всегда сопряжено с определенными факторами. Главный из этих факторов – первый запуск троянской программы или ее загрузчика в вашей системе должен быть однозначно совершен или санкционирован вами. Если вы не запустите троянца или программу, которая скачает и установит его в ваш компьютер, он не сможет у вас появиться. Поэтому, как и в случае с вирусами-шифровальщиками, важным моментом защиты является внимательность и правильная работа firewall.

Другой фактор – это ваша антивирусная защита. В случае с троянскими программами антивирусы справляются очень хорошо, так как алгоритмы эвристического анализа почти безошибочно определяют программу, как зловредную. Установив хороший антивирус с постоянно обновляемыми базами и активированными функциями эвристического и логического анализа, вы обезопасите себя от внедрения троянского коня почти на 100%.

Третий фактор – это макросы и встроенный язык Visual Basic, используемый в приложениях Microsoft Office. Спрятать в макросе загрузчик вредоносного кода злоумышленники догадались на второй день после того, как Microsoft начала поддерживать макросы в Office. Получая по почте документ MS Word или таблицу MS Excel, будьте внимательны, и, прежде чем разрешать выполнение макросов этим документом, проверьте его на вирусы. Современные продукты MS Office поддерживают функцию защищенного просмотра – она активируется для любых файлов, скачанных из интернета. Для просмотра присланных документов защищенного просмотра обычно хватает, если источник файла является подозрительным или вам не известен – лучше не включать редактирование документа и не разрешать исполнение макросов.

Для того, чтобы на вашем компьютере не было «сюрпризов» в виде троянских программ, следуйте трем простым правилам.

Правило первое. На вашем компьютере должен стоять хороший антивирус со свежими антивирусными базами и включенными функциями эвристического анализа.

Правило второе. Еженедельное сканирование диска на предмет поиска вирусов. Понимаю, что сканирование может занимать много времени, однако оно необходимо, и необходимо регулярное. Запланируйте антивирусу сканирование всех ваших дисков, скажем, на ночь, и просто оставьте компьютер включенным этой ночью. Для того, чтобы во время работы компьютер нельзя было взломать извне, сеть от него можно отключить. При сканировании компьютера лучше не оставлять опцию автоматического удаления найденных угроз – некоторые слишком подозрительные антивирусы могут удалить и нужные файлы, заподозрив в них вирусы – поэтому лучше, если результатом сканирования будет формирование отчета с обнаруженными угрозами, по каждой из которых вы будете принимать решение самостоятельно.

Правило третье. Внимательное отношение к трафику входящих файлов и сообщений и отфильтровывание тех, которые явно несут вредоносное ПО. Об этом я уже говорил ранее на примере вирусов-шифровальщиков.

И помните. Троянские программы создаются не забавы ради, их основная функция – извлечение пользы из ваших данных, вашего компьютера. Поэтому «сосуществовать» с ними категорически нельзя. Восстановление данных и восстановление украденных денег – это совершенно разные задачи, лучше не доводить до того, чтобы киберпреступники имели возможность украсть ваши реальные деньги с использованием вашего же компьютера.

Безопасного вам интернета и не терять ваши данные!

Станислав Корб, ©2018

WD30NMRW: ВОССТАНОВИТЬ ДАННЫЕ С ЖЕСТКОГО ДИСКА

stankorb Реальный кейз , , , ,

Задача. Восстановить данные с жесткого диска WD30NMRW

Описание проблемы. Накопитель поступил в работу после падения.

Результаты диагностики. Для диагностики накопитель был исследован в чистой зоне (ламинарный шкаф вертикальной тяги класса 100). Обнаружено залипание БМГ на поверхности диска.

Необходимые для восстановления информации процедуры.

1) Подбор и адаптация донорского устройства.

2) Вывод залипшего БМГ в зону парковки и удаление его из гермозоны.

3) Замена блока магнитных головок.

4) Запуск накопителя в технологическом режиме.

5) Подготовка накопителя к вычитыванию данных.

6) Вычитываение накопителя в технологиеском режиме.

7) Извлечение данных из полученного образа.

Результат.

Данные восстановлены на 95%.

Особенности заказа.

Диск относится к семейству PebbleB с блокировкой служебной зоны. В настоящее время ни один ПАК не поддерживает возможности работы со служебной зоной данных дисков. Кроме того, диск является SMR-накопителем со всеми вытекающими последствиями (двойной транслятор, SMR-ленты и прочее). Работа с диском осуществлялась с использованием ПО, разработанного командой HDD Research Group.

Вирусы-шифровальщики: как избежать потерь, и что делать, если ваши файлы зашифрованы?

stankorb Восстановление информации, Компьютерное железо , , , , , , , , , , , , , , , , , ,

Каждый третий звонок, который мы получаем, касается вирусов-шифровальщиков. Пользователь обнаруживает потерю данных слишком поздно, когда данные уже зашифрованы, и обращается к нам за помощью с расшифровкой. Увы, помочь мы можем не всегда. Однако, как говорится, профилактика лучше лечения – потому сегодня мы поговорим с вами о криптовирусах, как они работают, чем опасны, в каких случаях можно расшифровать данные и как обезопасить себя от их негативного воздействия.

Что такое вирус-шифровальщик?

С появлением стойких алгоритмов шифрования шифрование как услуга или опция стало весьма популярно. Зашифрованные разделы с данными (BitLocker в Windows, FileVault в Mac и пр.), зашифрованные массивы данных (к примеру, сквозное шифрование Viber или WhatsApp), зашифрованные файлы (встроенное шифрование MS Office, WinRar и пр.) – все это примеры полезного применения функции шифрования. Да что там говорить – шифруются целые устройства (к примеру, iPhone под управлением iOS выше 10 версии или внешние жесткие диски Western Digital My Passport).

Однако стойкие алгоритмы шифрования привели к появлению прослойки граждан, решивших, что шифрование файлов может принести хороший нелегальный доход. Данные пользователя шифруются без его согласия, после чего пользователю предлагается заплатить денег за расшифровку. На заре возникновения этой заразы она не была популярной, так как узким местом в ее реализации была оплата: при желании правоохранительные органы легко вычисляли злоумышленника, что влекло неотвратимое и суровое наказание. Однако развитие технологий привело к возникновению криптовалют. Отследить, кому вы сделали перевод в биткоинах, крайне сложно, а использовать виртуальные деньги очень легко, поэтому, как только криптовалюты прочно вошли в нашу жизнь, в нее также прочно вошли криптовирусы.

Вирус-шифровальщик – это зловредная программа, которая разработана с единственной целью – зашифровать ваши данные. После того, как вирус выполнит свою работу, он даст вам об этом знать: либо покажет на экране при следующем запуске системы сообщение о том, что ваши файлы зашифрованы, либо положит в корень каждой папки с зашифрованными файлами соответствующий файлик с объяснением (обычно это текстовичок с пугающим названием «FILES ARE ENCRYPTED.txt» или подобным). В принципе вы и сами поймете, что с вашими файлами что-то не так, когда попробуете открыть один из них.

Несколько слов о шифровании

История шифрования восходит корнями к античности, и ее основное применение было на протяжении многих тысячелетий связано почти исключительно с военным делом. Зашифрованные военные или разведывательные депеши заставляли ломать головы контрразведчиков многих государств – достаточно вспомнить хрестоматийную историю с немецкой шифровальной машиной «Энигма» и окружающие взлом ее кода легенды. Однако важно понимать, что до 50-х годов прошлого века все шифрование крутилось вокруг аналоговых данных, и, в силу этого, для взлома такого шифра требовалось достаточно небольшое количество попыток, или, как говорят математики, итераций. То есть фактически любой аналоговый код оказывался весьма уязвимым для расшифровки и не мог считаться абсолютно устойчивым (надежным).

Другое дело – цифровые методы шифрования. Естественно, начало этим методам положили методы аналоговые, но очень скоро разработчики компьютерных кодов поняли, что у них практически нет ограничений по объему используемых алгоритмов, ведь компьютер может производить сотни тысяч операций в секунду и оперировать громадными объемами данных. Поэтому от имитации аналоговых методов шифрования типа подмены одного символа другим (или другими в каком-то цикле), исключения символа или повторения символа в закодированной последовательности, разработчики методов шифрования быстро перешли к более надежным методам цифрового шифрования. Первым из них, и наименее стойким, оказалось простое наложение. Суть этого метода проста: на определенные данные накладываются другие данные, а взаимодействия между этими данными описывает какое-то математическое действие. Соответственно, для того, чтобы получить исходные данные, требуется определить, какое именно математическое действие произведено над ними и какое число на эти данные наложили. Имея эту информацию, вернуть данным первоначальный вид ничего не стоит.

Поясню на примере.

Скажем, у вас есть массив данных вида: 1 2 3 4 5.

Для их шифрования применяется число 1, а алгоритм шифрования – сложение. Тогда после зашифровки вы получите данные вида: 2 3 4 5 6 (1+1, 2+1, 3+1, 4+1, 5+1).

Для того, чтобы вернуть данным первоначальный вид, вы должны определить, что использовано число 1, которое складывалась с первоначальными данными. Просто отняв от текущих данных единицу, мы снова получим незашифрованные данные.

Логично, что этот метод оказался слишком простым для расшифровки, поэтому его начали модифицировать. Одна из модификаций – XOR, когда на данные накладывается битовая маска с определенным периодом (скажем, на первые 100 байт данных накладывается, затем 20 байт – нет, потом 200 байт снова да, и так в цикле), а суть наложения – получение результата логического оператора XOR в тех местах, куда маска наложена для определенного набора символов.

Вроде бы, сложно? Но на самом деле, как оказалось, нет. Тут же были написаны соответствующие программы, которые искали эти цикличности в массивах данных, и по ним расшифровывали алгоритмы наложения и математических трансформаций.

В настоящее время распространено шифрование с использованием ключа. При этом сам алгоритм шифрования для стойкости зашифровки не имеет большого значения – значение имеет только ключ. Чем он длиннее, тем больше возможных комбинаций и тем больше времени требуется на то, чтобы определить, какая именно комбинация «откроет» доступ к данным. В настоящее время ключ длины 128 бит «ломается» примерно за час, минимальная длина ключа для обеспечения достаточно стойкого шифрования составляет 1024 бит, а большинство хакеров использует в криптовирусах ключ длиной 2048 бит и больше (атакой «в лоб», простым перебором, такой ключ будет подбираться несколько миллиардов лет).

Как избежать заражения криптовирусом

Существует заблуждение, что хороший (или платный) антивирус обязательно убережет вас от воздействия шифровальщика. Увы, но это именно заблуждение. Новейшие типы вирусов-шифровальщиков легко (и это ключевое слово) преодолевают защиту даже самых современных антивирусов с наисвежайшими базами и полностью активированной защитой. Я настолько часто вижу жертв воздействия криптовирусов, имеющих официальную подписку на антивирусы известных брендов, что давно уже скептически смотрю на всю эту антивирусную «защиту».

Единственный надежный метод уберечься от шифрования ваших данных злоумышленником – не пустить вирус на ваш компьютер. И, как следует из абзаца выше, антивирус в этом может и не помочь, то есть надеяться приходится только на себя и на свое внимание.

Как криптовирус попадает на ваш компьютер

1. Наиболее распространенный способ — вы получаете электронное письмо с вложением. Это вложение и есть или собственно вирус, или программа, которая запускает его скачивание и установку на ваш компьютер. Вложение имеет вид или документа, или картинки, с двойным расширением (хотя может быть и не спрятано, а представлять собой программу сразу же). Например, это замаскированный под pdf исполняемый файл. Злоумышленник меняет иконку файла так, что он выглядит как pdf, но стоит вам его запустить, как оказывается, что это что-то другое. Файлы с двойным расширением запускать категорически нельзя, пусть даже в названии присутствует «я в купальнике на пляже» (да даже если и без купальника…). Двойное расширение – это всегда ловушка.

2. Через социальные сети и мессенджеры. Второй по степени риска путь получить зловреда. Социальные сети и мессенджеры (WhatsApp, Viber, Skype и пр.) – это огромный массив разных данных, от фотографий до документов, но наиболее опасны для пользователя переходы на внешние ссылки. По внешней ссылке вас может ожидать не только картинка приятного содержания или блок новостей, но и инсталлятор зловреда. Поэтому любые переходы по внешним ссылкам лучше делать только тогда, когда вы на 100% уверены в безопасности этого. К примеру, если вас направляют для просмотра новости по ссылке, начинающейся с www.bbc.com, то тут нет никаких проблем, и доверять сайту можно. А вот если вместо этого вы видите www.bbci.com, то идти туда не стоит. Также – если вам предлагают ссылку на один сайт, а на деле выходит ссылка на другой. Это легко проверяется: наведите на ссылку мышкой и посмотрите (в зависимости от браузера, либо над самой ссылкой, либо в нижней части окна) реальный адрес, куда она ведет. Если он совпадает с тем, что нужно – нажимайте. Если нет – лучше не рисковать, так как перед вами обман, и по адресу, куда вас на самом деле перенаправят, может не быть ничего, кроме неприятностей.

3. Через закладки на сайтах. Время от времени злоумышленники получают контроль над теми или другими Интернет-ресурсами. Времена, когда они просто развлекались, «взломав» сайт и разместив на его главной странице картинку пошлого содержания, давно прошли – теперь полученный контроль используется с максимальной выгодой. К примеру, на новостной ресурс в части ссылок размещается вредоносный код, который начинает загрузку и исполнение вируса. Однако такой способ распространения вирусов достаточно дорогостоящ, ведь сайт еще надо взломать, а это – время (которое, как известно, деньги), поэтому используется нечасто.

Есть и другие, менее распространенные и более экзотичные методы атак вирусов-шифровальщиков, однако все они так или иначе завязаны на сетевой безопасности, о которой — чуть ниже.

Как обезопасить себя от криптовирусов

Полагаю, вы уже догадались, что первое и самое главное правило безопасности – внимательность.

1) Получая электронные письма, не запускайте вложение, пока не убедились, что это именно то, что должно быть – то есть у картинки имеется расширение картинки, а у документа – документа, а не исполняемого файла.

2) Получая электронные письма со ссылками на ресурсы в сети интернет, равно как переходя по ссылкам в социальной сети или мессенджере, вначале убедитесь, что ссылка ведет вас именно туда, куда нужно, а не является замаскированной ссылкой на левый ресурс. Переходите по ссылке только тогда, когда убедились, что она безопасна.

3) Не разрешайте устанавливаться на своем компьютере никаким программам, которые разные сайты хотят у вас установить (всякие даунлоадеры и акселераторы). Такие программы обычно «поставляют» вам целый букет компьютерных заболеваний, одним из которых вполне может оказаться и шифровальщик.

Однако надеяться только на свою внимательность довольно наивно, ведь ее уровень падает в течение дня в разы, и то, что вы легко заметили бы утром, можете совершенно легко пропустить днем. Поэтому программная защита необходима.

Но как же быть, если антивирусы не имеют той степени надежности, которая нужна для вашей безопасности?

Не все антивирусы одинаково бесполезны в борьбе с шифровальщиками =). Есть несколько, которые включают так называемую «сетевую защиту», одна из функций которой – отслеживать, что скачивает ваш компьютер из сети и определять, опасно это или нет. В случае малейших подозрений такой антивирус заблокирует исполнение файла и предупредит пользователя, что в его епархию пытается проникнуть зловред (или какая-то другая программа, по поведению похожая на зловред). Правда, эти «антивирусы» называются уже по-другому – экраны сетевой защиты (или сетевые экраны), то есть формально это уже не антивирус.

К сожалению, даже такие экраны не всегда обладают нужной степенью параноидальности, и могут пропустить хорошо замаскированное вредоносное приложение. Оно запустится и произведет свое черное дело.

Как быть, чтоб избежать потерь?

Есть два простых и очень надежных решения – резервное копирование и firewall, программа, функция которой не в отслеживании и отлове вирусов и подозрительных программ, а в контроле работы программного обеспечения системы. Одним из наиболее известных продуктов на рынке таких программ является Agnitum Outpost.

Установив такую программу, отключите режим самообучения. Программа начнет запрашивать разрешения на запуск установленных в системе приложений, на те или иные акции, которые приложения выполняют в системе (изменение памяти, прослушивание портов и т.п.). Тем приложениям, которым вы доверяете, вы можете разрешить активность на постоянной основе, отметив специальную галочку – при этом при повторном запуске firewall уже не будет спрашивать, что делать с тем приложением, которому вы уже доверяете. Суть использования этой программы очень проста: она реагирует на запуск любого приложения, которое исполняется в системе. И если firewall вдруг запросит у вас разрешение на исполнение программы, о которой вы ничего не знаете, которая имеет подозрительное название или требует странные действия (например, изменить содержимое жесткого диска) – смело запрещайте любую активность этой программы.

Это единственный на текущий момент, реально работающий способ эффективно обезопасить себя от вредоносного воздействия вирусов-шифровальщиков. Собственно, и не только их. Используя firewall, вы обезопасите себя от DDoS атак, попыток взлома вашей системы извне (прослушивание портов, атака через открытый порт и т.п.), использования троянцев или майнеров (о них будут отдельные статьи) и т.п.

Что делать, если ваши файлы зашифрованы

Это самый печальный вариант развития событий. Если вы не использовали firewall, не имеете резервных копий и достаточно вольно используете Интернет – он вполне возможен. Итак, вы обнаружили, что ваши файлы зашифрованы.

Первое. Нужно определить, каким именно вирусом зашифрованы ваши данные, и есть ли для него расшифровщик. Мировое сообщество программистов довольно плотно работает над методами «раскола» криптовирусов, и, как ни странно, для многих из них есть инструменты для расшифровки. Как узнать, поддается ли расшифровке ваш случай? Заходите на страничку сообщества по борьбе с программами-вымогателями и следуйте описанным там инструкциям. Вы очень быстро узнаете, чем зашифрованы ваши файлы и есть ли против этого лекарство.

Второе. Если ваш вирус поддается расшифровке, следуйте инструкциям на указанном выше сайте. В этом случае вам повезло.

Третье. Вирус не поддается расшифровке в настоящее время. Это обычное явление для новых модификаций зловредов, которые еще не «расколола» международная группа борцов с этим злом. У вас есть три опции. Первая и наименее правильная – это пробовать договориться со злоумышленником. Практика показывает, однако, что злоумышленнику плевать на ваши данные и, получив от вас деньги, он может навсегда исчезнуть с горизонта, не дав вам дешифратор (что вполне естественно, так как если дешифратор утечет от него в сеть, его барыши тут же закончатся). Вторая – ждать. Сохранить все ваши зашифрованные файлы где-то, и проверять время от времени, не появился ли расшифровщик.

Наконец, третья опция. Пробовать восстановить ваши данные из теневых копий и из удаленных файлов. Дело в том, что при зашифровке обычно исходный файл не переписывается, а создается новый; после окончания процедуры шифрования новый (зашифрованный) файл остается, а старый (исходный, незашифрованный) удаляется. При большой фрагментации данных и большом количестве папок шансы на извлечение с диска части удаленных исходных файлов довольно велики. Однако к этому процессу нужно подходить очень осторожно, поэтому делать такие операции самостоятельно мы не рекомендуем – обратитесь к профессионалам в области восстановления информации, это значительно увеличит шансы на восстановление хотя бы части утерянных данных.

Станислав Корб, ©2018

Вирус в прошивке: реальность или вымысел?

stankorb Компьютерное железо , , , , , , , , , , , , , , , , , ,

Что такое компьютерный вирус? Странный вопрос, скажете вы – это вредоносная программа. Она ничего хорошего не делает, и если компьютер заражен, неприятности неизбежны.

Да, сейчас – именно так. А вот на заре вирусописания вирусы делались, чтоб посмеяться, а не вредить. Помнится, был такой вирус, который ровно в полночь начинал выдвигать и задвигать лоток привода CR-ROM. А знаменитый вирус, который внезапно показывал во весь экран страшную морду зомби и заливал экран кровью?

Первый массовый вред от вируса случился, когда в свет выпустили зловреда Win9x.CIH, который называли еще «Чернобыль». Вирус повреждал или уничтожал данные на жестких дисках зараженного компьютера, у части компьютеров он также стирал содержимое микросхемы BIOS. По современным данным, в то время (1998 год) от вируса пострадало не менее полумиллиона компьютеров.

Начиная с «Чернобыля», зловредность зловредов стала расти. Компьютерные злоумышленники изобретали все новые способы использования вредоносного кода, и все новые способы его распространения. Удаление данных стало детской игрушкой по сравнению с тем, что данные начали зашифровывать, а за расшифровку – требовать денег. Различные модификации вирусов в настоящее время уже не используются для банального «напугать пользователя» — сейчас из них извлекается масса корысти. Это и майнинг криптовалют, и распределенные вычисления (когда Ваш компьютер используется для каких-то сложных расчетов, которые производит большой массив зараженных компьютеров – например, взлом пароля), и шпионаж (многочисленные трояны и бэкдоры), и т.п. И, конечно, шифрование.

Против вирусов борется огромное количество антивирусного и антишпионского ПО, наиболее известное: Kaspersky Antivirus, Dr Web, NOD, F-Secure и т.п. Однако, как показывает практика, антивирусы очень часто не успевают за развитием вирусов, и «пропускают» голы с их стороны. Поэтому, как бы банально это ни звучало, но самый надежный метод не попадать под вредоносное воздействие вирусов – не заражаться.

До недавнего времени вирусописатели прятали свои творения в информации пользователя – в виде файлов или закладок в файловых системах. Такие вирусы так или иначе, но можно удалить – начиная от очистки памяти и стирания вируса с диска, и заканчивая самыми радикальными способами – форматирование раздела или тотальное стирание диска. Однако желание «утрамбовать» вирус так, чтобы его невозможно было удалить в принципе, всегда витало в воздухе, которым дышат злоумышленники.

Современные компьютерные устройства работают под управлением сложных микропрограмм, написанных обычно на языках высокого уровня (С, С++, Delphi и т.п.); раньше, на заре компьютерных технологий, ввиду сильно ограниченного размера микросхем памяти, микропрограмма писалась на ассемблере, что сильно экономило место. Сейчас экономить микросхемный объем уже не нужно, и микропрограммы пишут, что называется, с удобством и размахом.

Однако у написанных на языках высокого уровня программ есть один недостаток: их код довольно громоздок, что приводит к тому, что в нем часто возникают ошибки и находятся уязвимости. Теоретически эти уязвимости могут быть использованы злоумышленниками для заражения микропрограммы устройства. И это, увы, уже реальность.

Сообщество Equation не так давно разработало вирус, способный перепрограммировать прошивку жесткого диска так, что вирус становится практически неубиваем – вы можете убрать его с помощью антивируса из памяти вашей операционной системы, но на следующем старте он снова запишет себя в память вашей машины из прошивки накопителя. Вирус прописывается в микропрограмму диска, и при каждом старте устройства проверяет свое наличие в памяти, и, если его там нет – просто «кладет» себя в память и начинает (или продолжает) работать. Такой вирус опасен тем, что убрать его может только высококлассный специалист со специальным оборудованием, дающим доступ в системную область диска; второй вариант избавиться от зловреда – выбросить диск и купить новый.

Насколько реально заразиться таким вирусом, который «поселяется» в прошивке жесткого диска? Для оценки такой вероятности нужно определить основные пути, которыми зловред может попасть в прошивку. Итак:

1) Заражение с обновлением прошивки. Для многих дисков на сайтах производителя доступны файлы обновлений, скачав которые, пользователь сам обновляет прошивку своего устройства. Заражение через прошивку возможно двумя способами: первый – заразить сам файл прошивки, что, как нам представляется, весьма и весьма непросто, так как сайты производителей жестких дисков пишут и поддерживают тоже не дураки. Поэтому наиболее вероятен второй вариант – вирус ждет, пока вы начнете прошивку, и когда вы начали ее – перехватывает управление или внедряет какие-то свои функции, и происходит заражение.

Метод заражения, бесспорно, хорош, но маловероятен, так как для реализации первой возможности требуется взломать сайт производителя (а он очень хорошо защищен и его взлом или крайне маловероятен, или слишком дорогостоящ), а для осуществления второй возможности требуется ждать, причем пользователь может и не захотеть обновлять прошивку своего диска – то есть ожидание может оказаться напрасным, а сам тип заражения – слишком низкоэффективным, что ни одного уважающего себя хакера не устроит.

2) Заражение специальным модулем. Для того, чтобы активировать ту или иную возможность, скрытую в микропрограмме жесткого диска, требуется активация технологического режима. Это делается специальной командой, после чего пользователю становится доступным набор инструкций, позволяющих сделать с жестким диском практически все, что угодно: от изменения каких-то свойств устройства до полной перезаписи или даже стирания служебной информации диска. Эти команды сейчас уже не секрет (их легко можно экстрагировать даже из заводских файлов обновления прошивки), а программистов, способных работать с физическими портами устройств, пачками готовят специализированные ВУЗы. Почему такие вирусы еще не получили массового распространения? Во-первых, набор команд для работы со служебной зоной разных накопителей различен, и вирус, таким образом, будет действовать только на ограниченный круг дисков. Во-вторых, сам код получается достаточно громоздким, а сделать его работу незаметной для средств защиты системы практически невозможно (согласитесь, даже самый примитивный антивирус немедленно заблокирует программу, которая вдруг начинает «ломиться» в жесткий диск на уровне «железа» и пытаться внести на этом уровне какие-то изменения). И в-третьих, для написания по-настоящему эффективного зловреда злоумышленнику понадобятся годы исследований, так как структура микропрограммы накопителя – тайна за семью печатями, и для ее использования ему придется «вскрывать» ее самому.

Однако именно этот способ проникновения в прошивку, не смотря на все очевидные трудности, в настоящее время получает распространение. Логично предположить, что злоумышленникам, при всей очевидности сложности заражения и дороговизны разработок, не интересны домашние компьютеры – их усилия направлены на заражение серверов для извлечения максимальной выгоды. А в серверах используется уже не такой широкий круг накопителей, как у домашних пользователей – следовательно, заразить их проще и дешевле. В частности, не так давно по сети прокатилась волна новостей о том, что группировка хакеров NSA заразила некоторые SAS-диски серверного класса производства Seagate вирусом типа Stuxnet.

Кстати, таким же способом можно заражать не только жесткие диски, но и вообще любые устройства, для которых существуют низкоуровневые протокола взаимодействия с системой. Например, заражение UEFI-BIOS так называемыми «UEFI-закладками» уже давно широкая хакерская практика. Правда, удалить такой вирус намного проще, чем вирус в прошивке жесткого диска – достаточно обновить прошивку BIOS. Проблема лишь в том, что UEFI-закладку очень сложно детектировать.

3) Заражение непосредственно на производстве. Исключить возможность такого заражения нельзя, так как внедрить своего человека на завод с целью массового заражения выпускаемых устройств, сейчас довольно легко. Скажу больше – практически наверняка такие шпионские закладки внедряются во многие типы компьютерного оборудования намеренно, но не хакерами, а спецслужбами.

4) Заражение с загрузкой системы. Наиболее «экзотический» способ, однако, достаточно вероятный в силу того, что многие пользователи в своей работе используют не оригинальные версии операционных систем, а версии взломанные. Никто и никогда не знает заранее, каким образом эти системы готовились, и что заложено в их дистрибутивах. Замечу, что именно в исталляторах операционных систем можно расположить код для проникновения в микропрограмму накопителя практически любого объема, а время установки ОС и незащищенность самого процесса (никакой антивирус во время установки не работает) дает очень высокие шансы для незаметного заражения прошивки. Поэтому использование оригинальных операционных систем – не только хорошо для вашей кармы, но и обезопасит вас от весьма вероятного использования вашего компьютера злоумышленниками для известных им одним целей.

Логично, что для управления ячейками памяти в настолько многослойных структурах (подача питания, считывание, запись) требуется подвести к каждому слою проводники и управляющие электронные компоненты. Раньше все это хозяйство напылялось на каждый слой отдельно, от этого страдали размеры чипа (до 50% его объема занимала вспомогательная электроника). Новые QLC-чипы сделаны по-другому, в них применяется технология СuA (CMOS under the Array) – вся управляющая схемотехника расположена отдельным слоем под многослойным «небоскребом» ячеек памяти. Это позволило уменьшить размер чипа минимум на 25%.

Недавно в прессе начали появляться статьи о том, что все без исключения компьютеры имеют встроенные программные закладки, аналогичные вирусам типа «троянский конь», которые устанавливаются спецслужбами с целью обеспечения тотального контроля за людьми. Оставим эти истории на совести журналистов, но отметим, что такая возможность вполне вероятна.

Чем нам грозит «вирус в прошивке»? Основная проблема – это его неубиваемость. Убрать вирус, который встроен в микропрограмму устройства, можно только в случае его полной перепрошивки, или с помощью специального оборудования, позволяющего скачать из устройства прошивку, удалить из нее все лишнее, и залить обратно. Третьего пути нет.

Станислав Корб, ©2018

HITACHI HDS721616PLA380: ВОССТАНОВИТЬ ДАННЫЕ С ЖЕСТКОГО ДИСКА

stankorb Реальный кейз , , , , ,

Задача. Восстановить данные с жесткого диска Hitachi HDS721616PLA380

Описание проблемы. Накопитель поступил в работу в разобранном виде, частично — в составе другого накопителя (другого производителя и другого семейства). Поверхности сильно повреждены, головки неисправны.

Результаты диагностики. Для диагностики накопитель был исследован в чистой зоне (ламинарный шкаф вертикальной тяги класса 100). Обнаружены серьезные повреждения поверхностей (коцки, радиальные царапины, много грязи и т.п.). Оригинальные головки неисправны.

Необходимые для восстановления информации процедуры.

1) Подбор и адаптация донорского устройства.

2) Чистка и подготовка поврежденных поверхностей, обработка нанополимером.

3) Замена блока магнитных головок.

4) Запуск накопителя в технологическом режиме.

5) Подготовка накопителя к вычитыванию данных.

6) Вычитываение накопителя в технологиеском режиме.

7) Извлечение данных из полученного образа.

Результат.

Диск в процессе работы, часть данных вычитана.

Особенности заказа.

Накопитель поступил после варварского вмешательства другого «специалиста», а именно: в качестве донора для диска 160 Гбайт производства Hitachi был использован накопитель Seagate Pharaoh в тонком корпусе, емкостью 500 Гбайт. Пластина из исходного диска была перенесена неизвестным нам «мастером» в накопитель Seagate, где в открытом состоянии диск пытались стартовать. Естественно, конструктивные особенности двух накопителей разных производителей не позволили диску запуститься; более того, серьезные различия в размерах конструкции обоих накопителей привели к тому, что головки накопителя Seagate серьезно царапали поверхности Hitachi. К счастью, «мастер» оказался не слишклм упертым, и прекратил попытки бессмысленного уничтожения поверхностей несчастного диска Hitachi. После такой вивисекции без обработки поверхности полимерной пленкой запуск накопителя слишком рискован. Кроме того, для вычитывания данных заказчика в приемлемом объеме нам потребуется от 7 до 12 донорских устройств, так как даже полимерная пленка не может уберечь свежий БМГ от быстрого выхода из строя (время жизни одного комплекта БМГ от момента запуска диска до температурной деградации даже при интенсивном охлаждении «банки» не превышает 15 минут). Надо ли говорить о том, что первоначальная неисправность диска, диагностированная нами в процессе паталогоанатомирования поступившего трупа, лежала вовсе не в плоскости блока магнитных головок, а представляла стандартную проблему с микросхемой VCM & Motor Driver, и в этом ключе работы по извлечению пользовательских данных могли быть финансово весьма умеренными, а по времени — весьма быстрыми; в настоящее же время только на закупку донорских устройств заказчику придется инверстировать несколько сотен долларов США.

Новое поколение NAND-микросхем открывает новые горизонты емкости одного чипа: QLC

stankorb Компьютерное железо , , , , , , , , , , , , , , , , , ,

Устройства на базе NAND-памяти давно заняли почетное место незаменимых в нашем мире. Флешки, SSD, сотовые телефоны, MP3-плейеры, диктофоны, камеры и многое другое – все это не может функционировать без NAND-микросхем. Производители давно бьются за увеличение емкости и производительности этих чипов, двигаясь, в общем-то, пока только в одном направлении: многослойность.

Типы NAND-микросхем

В настоящее время используются NAND-чипы трех основных типов:

SLC – Single Layer Cell, однослойная ячейка; в одной ячейке хранится 1 бит данных.

MLC – Multi Layer Cell, многослойная ячейка; в одной ячейке хранится 2 бита данных.

TLC – Triple Layer Cell, трехслойная ячейка; в одной ячейке хранится 3 бита данных.

Ячейки этих типов памяти могут упаковываться в трехмерные структуры по технологии 3D-NAND – кристалл формируется не только вертикальными, но и горизонтальными слоями; при этом плотность упаковки данных значительно возрастает, что сильно увеличивает емкость микросхемы. Современный предел многослойности в 3D-NAND структурах – 96 слоев.

Почти все современные устройства большой емкости, в особенности, выпущенные корпорациями Samsung и Intel, сделаны по технологии 3D-NAND; количество слоев в микросхеме до недавнего времени ограничивалось максимальными 64 слоями (сейчас их может быть до 96).

Плотность, емкость и компактность: борьба за рынок

Современный рынок гаджетов движется в двух, казалось бы, взаимоисключающих направлениях: миниатюризация и максимизация. Пример – iPhone. Помните, каким был iPhone 4? iPhone 5 был немного больше. iPhone 6 и 7 – еще больше; современные iPhone X, XS, XR и особенно их Max разновидности по размеру уже сравнимы с китайскими «лаптями» от Meizu и Xiaomi. Да, размеры гаджетов увеличиваются, но при этом уменьшаются размеры чипов, которые в них используются. Материнская плата мобильного телефона несет (за очень редкими исключениями) только один чип NAND-памяти. Его емкость и ограничивает емкость «внутренней памяти» телефона.


Разные поколения iPhonе

Мы все помним, что те же iPhone 4 производились с минимальной емкостью 8 GB; для iPhone 5 это уже 16. Современные аппараты этого производителя «начинаются» от 128 или 256 Гбайт – это вполне логично, ведь микросхемы этого объема доступны на рынке за относительно небольшие деньги. В дальнейшем емкости будут только расти.

Не менее логично и то, что чем большего объема чипы NAND-памяти будут доступны на рынке, тем более емкими будут изготавливаться основные гаджеты. Это очевидная закономерность.

Соответственно, количество слоев в микросхемах NAND-памяти, по этой логике, должно со временем возрастать.

Что такое QLC

Корпорация Micron совместно с Intel разработала новый стандарт построения ячеек NAND-микросхем: QLC.

QLC (quad level cell) – это четырехслойная структура, позволяющая хранить в одной ячейке памяти 4 бита данных. Такой принцип построения ячейки позволяет увеличить плотность записи в NAND-микросхему на 33%, уменьшить энергопотребление, увеличить компактность. Это, без сомнений, новый прорыв в конструировании флеш-устройств.

Однако, как у любого прорыва, у этого есть свои слабые места. Прежде всего, это надежность. Чем больше слоев, тем больше вероятность того, что какой-то из них может выйти из строя, что приведет к недоступности всей ячейки и, как следствие, к потерям данных.

Следующая проблема, вытекающая из более плотной упаковки ячеек – это ресурс. При использовании боле компактных структур ресурс падает довольно сильно, для QLC памяти заявлено всего лишь 1000 циклов перезаписи в ячейку. Понятное дело, что проблемы с ресурсом будут решаться огромными массивами избыточных 3D-NAND структур, используемых в качестве запаса для саморемонта микросхемы.

Еще одна проблема – удорожание технологии производства. Ожидать, что новая, более емкая, память, будет дешевле, не приходится. С увеличением емкости чипа его стоимость будет возрастать. Отрадно лишь то, что соотношение объем/цена все-таки уменьшается, т.е. стоимость одного гигабайта емкости для конечного пользователя будет меньше. Но общая стоимость устройств, использующих NAND-память, существенно не «пострадает».

96 слоев: что дальше?

Логично, что для управления ячейками памяти в настолько многослойных структурах (подача питания, считывание, запись) требуется подвести к каждому слою проводники и управляющие электронные компоненты. Раньше все это хозяйство напылялось на каждый слой отдельно, от этого страдали размеры чипа (до 50% его объема занимала вспомогательная электроника). Новые QLC-чипы сделаны по-другому, в них применяется технология СuA (CMOS under the Array) – вся управляющая схемотехника расположена отдельным слоем под многослойным «небоскребом» ячеек памяти. Это позволило уменьшить размер чипа минимум на 25%.

Правда, производитель ничего не говорит о том, что с уменьшением размера микросхемы и увеличением его многослойности должно увеличиться тепловыделение. Но, очевидно, на текущем этапе развития технологии это не так критично.

Ждет ли нас дальнейшее увеличение многослойности NAND-кристаллов? Совершенно однозначно, да. Использование технологии CuA открывает новые перспективы в деле упаковки 3D-NAND структур. Я уверен, что не за горами технологические процессы, позволяющие упаковывать в один ряд более 100 слоев.

Что нас ждет?

Помните, что было с рынком, когда на него попали первые жесткие диски емкостью 1 Тбайт? Диски расхватывали, как горячие пирожки; каждый хотел иметь такой диск. А помните, что случилось потом?

Да-да. Муха ЦеЦе (Seagate Barracuda 7200.11 и 7200.12) и «скребущий лишай» (WD Green Caviar). Диски такой емкости оказались настолько сырыми, что начали отказывать в массовых масштабах: означенные выше Seagate страдали «мухой ЦеЦе» — самоблокированием микропрограммы, которое могло быть инициализировано практически любым «неприятным» для диска событием. При этом в терминал диск выдавал сообщение LED CC (именно из-за этого СС болезни и дали название той самой мухи, которая переносит опаснейшее заболевание). Но, в отличие от дисков WD, эта болезнь лечилась относительно легко.

С WD все было сложнее. В один «прекрасный» момент диск начинал «скрести головками» — издавать шебуршащие звуки при попытке старта компьютера или при любом обращении к диску; при этом система зависала навсегда. Как ни странно, но природа этого поведения и природа «мухи ЦеЦе» одинаковы – и в том, и в другом случае виновата так называемая «фоновая активность» (как пример такой активности приведем работу программы самотестирования SMART). Микропрограмма занимается своими делами как бы между делом, и пока она способна это делать – накопитель здоров. Но как только фоновая активность возрастает, диск перестает отвечать на запросы и «зависает». При этом микропрограмма фоновой активности активно (простите за тавтологию) двигает головками, перемещая информацию в рамках этой самой активности.

К чему я все это рассказал? Уверен, что с учетом вышесказанного о надежности и ресурсе нового типа памяти, нас ждет примерно тоже самое, что и в случае с терабайтными дисками: череда эпических фейлов производителей, начавших использовать эту память в массовом производстве. Можно даже предугадать, какие именно фейлы нас ждут: во-первых, заметные тормоза при работе таких устройств после преодоления основным количеством рабочих ячеек порога ресурса перезаписи, а во-вторых, заметная потеря производительности в высокоскоростных устройствах. Наконец, нас ожидают устройства на базе QLC-памяти с сильно возросшим количеством дефектных секторов (как это было в самом начале использования TLC-микросхем).

Но, как это обычно бывает, после обкатки технологии и процессов производства кристаллов, более новые поколения устройств станут более надежными и менее дорогостоящими.

Поэтому я, пожалуй, подожду годик, прежде чем куплю устройство, сделанное на базе микросхем QLC.

А между тем, корпорация Micron уже выпустила первый 96-слойный NAND-чип на базе технологий QLC и CuA объемом 1 Тб. В спину Micron жарко дышит Samsung с его технологией V-NAND (по сути тот же QLC) – их чипы аналогичной емкости активно используются в корпоративных SSD емкостью 60 Тб. Ну и, конечно, Toshiba.

Добро пожаловать в новый мир, мир терабайтных микросхем. И что-то мне подсказывает, что скоро будет анонсирован новый iPhone с терабайтом памяти на борту.

Станислав Корб, ©2018

RAID-5: ВОССТАНОВИТЬ ДАННЫЕ С ДИСКОВОГО МАССИВА

stankorb Реальный кейз , , , ,

Задача. Восстановить данные с дискового массива RAID-5

Описание проблемы. Массив поступил в degraded состоянии, в работу поступило 3 диска (один физически неисправен), каждый емкостью 80 Гб, тип интерфейса: SATA.

Результаты диагностики В целях диагностики по стандартной методике проверялся каждый диск. Выяснено, что в массиве вышел из строя один диск, массив перешел в состояние degraded (деградирован; массив может работать, но при выходе из строя следующего диска выйдет из строя). Накопители массива старые, медленные, поэтому в деградированном состоянии массив очень медленно работает.

Необходимые для восстановления информации процедуры.

1) Создание полной посекторной копии каждого накопителя.

2) Определение конфигурации массива.

3) Сборка массива.

4) Извлечение пользовательских данных.

Результат.

Данные восстановлены полностью.

Особенности массива.

Массив имеет солидный возраст, составляющие его диски — также. Благодаря этому скорость массива при выпадении одного диска заметно упала; заказчик решил, что массив неисправен, так как копирование данных (данные заказчика — несколько миллионов файлов размером в несколько байт каждый) оценивалось системой в несколько лет. Для ускорения выливки данных массив был собран с использованием Data Extractor RAID Edition после создания посекторных копий участников массива на SSD-диске; выливка данных также производилась на твердотельный накопитель новейшего форм-фактора NMVe для ускорения процесса (первое) и для ускорения работы системы у нашего заказчика (второе, и главное).

WD10JMVW: ВОССТАНОВИТЬ ДАННЫЕ С ЖЕСТКОГО ДИСКА

stankorb Реальный кейз , , , ,

Задача. Восстановить данные с жесткого диска WD10JMVW

Описание проблемы. Накопитель поступил в работу с посторонними звуками из гермозоны: стук.

Результаты диагностики. Для диагностирования неисправности диска произведены исследования накопителя в чистой зоне (ламинарный шкаф, класс очистки 100). Диагностирована неисправность блока магнитных головок (БМГ).

Необходимые для восстановления информации процедуры.

1) Необходимы запасные части: исправный БМГ. Запчасти взяты от совместимого накопителя.

2) Подготовка пациента для замены БМГ.

3) Замена БМГ.

4) Запуск накопителя в технологическом режиме, применение необходимых изменений в памяти диска для облегчения вычитывания данных.

5) Вычитывание пользовательских данных на исправный носитель методом создания посекторной копии диска.

Результат.

Данные восстановлены полностью

Особенности накопителя.

Накопитель этой модели оснащен не стандартной SATA-платой, а платой управления с USB-разъемом. Поэтому при подготовке диска к работе USB-плата была заменена на ее SATA-аналог.

Почему нельзя делать восстановление данных на тот же диск.

stankorb Восстановление информации , , , , , , , , , , , , , , , , , ,

Довольно часто встречаюсь с проблемами, когда пользователь решает, что может самостоятельно восстановить данные с помощью программ из интернета. Обычно это происходит тогда, когда был случайно отформатирован или удален раздел, установлена новая операционная система, и т.п.

Дисковое пространство делится на две области: недоступная пользователю в обычном режиме служебная область, которая содержит сервисную информацию диска (SMART, систему трансляции, оверлеи, адаптивные параметры, подстроечные таблицы и т.п. – все, что необходимо диску для нормальной работы), и пользовательская область, где лежат, соответственно, данные пользователя. В упрощенном виде пользовательская область на отформатированном диске состоит из области файловых таблиц, в которых имеются записи о файлах, лежащих на диске, и из области данных, где, собственно, эти файлы и лежат.

Самостоятельное восстановление данных чревато серьезными последствиями, связанными с перезаписью данных. Многие пользователи заблуждаются, полагая, что операционная система будет записывать их данные в «пустые» (неиспользованные до того момента) места диска. Это не так. Система использует диск весьма рационально, данные записываются по порядку от нулевого сектора (LBA 0) и до конца последовательно. Соответственно, если диск для системы пустой, то она начнет его использовать заново с наименьшего доступного адреса. Вроде бы, все хорошо – ведь если данные записывались последовательно, то при очистке диска и последующей записи данные должны лечь также последовательно, и, соответственно, должны быть рабочими. Но на деле все сложнее. При работе операционной системы происходит неизбежное удаление части файлов. Удаленный файл обычно не удаляется физически (если, конечно, не активирована технология TRIM), удаляется только соответствующая запись в файловых таблицах. Однако при следующем запросе на запись файла система просканирует файловую таблицу, найдет освободившееся место максимально близко к началу диска, и будет записывать новый файл именно туда; при этом будет сформирована новая запись в файловой таблице. А теперь представьте, что эта «дырка» в старых данных, которая была освобождена предыдущим удалением, для нового файла мала: он банально больше. Что сделает операционная система? Она разобьет файл на фрагменты, которые запишет в несколько таких дырок по порядку их наличия от младшего сектора к старшему. Соответственно будет записана и информация об этом файле в файловой таблице: фрагмент 1 лежит тут, фрагмент 2 лежит там. При обращении к файлу система соберет эти фрагменты по адресам, указанным в файловой таблице, и файл будет работать нормально. Это называется фрагментацией.

При форматировании раздела, соответственно, мы потеряем не только информацию о расположении файлов, но и об их фрагментации. К счастью, большинство файловых систем при форматировании не стирают файловые таблицы (так как они банально могут быть очень большими, занимать несколько гигабайт), а лишь меняют заголовок файловой таблицы, в котором указывается количество записей и адрес первой записи (на отформатированном диске, соответственно, количество записей близко к нулю, и адрес первой записи – также). Если мы начинаем использовать отформатированный диск, в область данных файлы начнут записываться с наименьшего доступного LBA, а в области файловых таблиц начнут формироваться новые записи.

Рассмотрим все это на простом примере.

Представим себе файловую систему, в которой имеется 4 файла, один из которых фрагментирован (разбит на 2 фрагмента). Соответственно, имеется 4 записи в файловых таблицах (одна из которых содержит информацию о фрагментированном файле), и 5 участков в области данных, соответствующих нашим четырем файлам.

Форматируем диск. Заголовок файловой системы обнуляется, файловые записи перестают учитываться; соответственно, вся область данных диска теперь помечена как пустая, пригодна для записи. Однако физически и записи в файловой таблице, и данные на диске все еще имеются и могут быть легко восстановлены.

Запускаем программу для восстановления данных. Программа просканирует поверхность, найдет «потерянные» записи и соберет по ним заново файловую систему в памяти компьютера. Теперь данные можно скопировать. Если копировать их на заведомо чистый носитель, то все данные, которые программе удалось найти, за исключением очень старых и многократно переписанных, будут работать; то есть все актуальные данные будут спасены.

Что произойдет, если мы начнем записывать восстановленные данные на тот же диск?

Программа даст системе команду на запись файла. Система просмотрит файловую таблицу, обнаружит, что в ней еще нет записей, и будет использовать наименьший доступный LBA для записи первого сектора файла. Соответственно, система создаст нулевую запись в файловой таблице для нового файла (и сотрет ту, что там была до этого).

Вслед за этим будет записываться второй файл (файл номер 1 для файловой системы). Естественно, создается новая запись в файловой таблице, и поскольку файл записывается для системы «в первый раз», то он ложится аккурат в следующий сектор после окончания первого файла. Но у нас в оригинальной файловой системе этот файл был разбит на два фрагмента – соответственно, программа объединит их в один файл, а система запишет. Пока вроде все нормально, оба записанных файла будут работать. Но вот на третьем файле уже начнутся проблемы. Ведь то место, куда мы записали (вполне успешно) фрагменты 1 и 2 второго файла, частично использовалось старой системой под хранение третьего файла.

При записи третьего файла (файл номер 2 для файловой системы) система также будет использовать первый свободный сектор после окончания последнего записанного (второго) файла. Однако данные о расположении этого файла не изменились, и она возьмет с диска именно тот кусок, где должны лежать данные файла номер 2: то есть кусок только что записанного файла номер 1. И положит его на новое место, переписав то, что там было до этого.

Также будет и с четвертым файлом: программа считает то, место, где лежал этот файл, и положит его туда, куда укажет операционная система – после окончания третьего файла.

Чем более фрагментированной была исходная файловая система, тем больше будут перемешиваться данные при их повторной записи на тот же диск, и тем хуже будет результат такого «восстановления».

Если вы не уверены в том, что не испортите свои данные при их восстановлении – лучше не рисковать. Мы всегда готовы помочь, даже в самых сложных и, казалось бы, безнадежных случаях. Но, увы, восстановить полностью перезаписанные данные не сможем даже мы.

Станислав Корб, ©2018



Мы принимаем к оплате | We accept payments


Мы стажировались и работали в странах | We worked or practiced in following countries