Metody odzyskiwania danych

Jak odzyskujemy dane — od oprogramowania po mikrochirurgię

Odzyskiwanie danych to nie jedno narzędzie i nie jedna metoda — to eskalacja technik od najprostszych do najbardziej zaawansowanych, w zależności od rodzaju i stopnia uszkodzenia nośnika. Poniżej opisujemy metody, które stosujemy w laboratorium Memolab.

Odzyskiwanie logiczne (software recovery)

Pierwszy poziom — gdy nośnik jest sprawny fizycznie, ale dane zostały utracone przez błąd ludzki lub softwarowy. Rekonstrukcja systemu plików: odbudowa uszkodzonych struktur NTFS, HFS+, APFS, ext4, XFS, Btrfs, ZFS — gdy system plików jest uszkodzony, ale dane fizycznie istnieją na dysku. Odbudowa tablicy partycji: gdy partycja została usunięta, nadpisana lub uszkodzona — narzędzia analizują sektory dysku i odtwarzają oryginalny układ. File carving: przeszukiwanie surowych danych na dysku w poszukiwaniu sygnatur plików (nagłówków JPEG, PDF, DOCX, ZIP i setek innych formatów) — nawet gdy system plików jest całkowicie zniszczony, pliki mogą być odzyskane po fragmentach. Odzyskiwanie po formatowaniu: szybkie formatowanie nie kasuje danych — nadpisuje tylko struktury systemu plików. Dopóki dane nie zostały fizycznie nadpisane nowymi, można je odzyskać. Narzędzia: R-Studio, UFS Explorer, DMDE, własne skrypty i procedury.

Naprawa i modyfikacja firmware

Firmware dysku to mikrokod zapisany w specjalnym obszarze talerzy (service area) lub w pamięci ROM na elektronice. Kontroluje on pracę dysku: kalibrację głowic, mapowanie sektorów, tablicę translacji (LBA → fizyczny adres na talerzu), parametry adaptacyjne silnika i głowic. Gdy firmware ulega uszkodzeniu — dysk może nie startować, klikać, być nierozpoznawalny lub pokazywać złą pojemność. Naprawa firmware wymaga specjalistycznych narzędzi (PC-3000, MRT, ACE Lab Salamander) podłączanych bezpośrednio do interfejsu serwisowego dysku. Edytujemy moduły firmware, naprawiamy tablice translacji, resetujemy SMART, naprawiamy listy defektów (P-List, G-List), odbudowujemy service area z kopii zapasowych lub dysków-dawców. To praca wymagająca głębokiej znajomości architektury konkretnego producenta i modelu — firmware Seagate działa zupełnie inaczej niż Western Digital.

Wymiana głowic odczytująco-zapisujących

Gdy głowice dysku twardego są uszkodzone (po upadku, zużyciu, head crash), jedynym sposobem na odczytanie danych z talerzy jest wymiana głowic na sprawne z dysku-dawcy (donor drive). Procedura odbywa się wyłącznie w cleanroomie klasy ISO 5 — otwarcie dysku w normalnych warunkach oznacza osadzenie cząsteczek kurzu na talerzach i trwałe uszkodzenie danych.

Proces: identyfikacja dokładnego modelu dysku i wersji głowic (nawet ten sam model może mieć różne rewizje głowic — kompatybilność jest krytyczna), znalezienie kompatybilnego donora z banku dysków (utrzymujemy bank setek dysków różnych modeli i rewizji), otwarcie obu dysków w cleanroomie, demontaż głowic z donora za pomocą specjalistycznych narzędzi (każdy producent wymaga innego zestawu), montaż głowic w dysku pacjenta z precyzyjnym pozycjonowaniem, kalibracja i testowanie — uruchomienie dysku w trybie diagnostycznym (PC-3000), klonowanie danych na zdrowy nośnik sektorowo, z pominięciem uszkodzonych obszarów. Wymiana głowic to najbardziej wymagająca mechanicznie procedura w odzyskiwaniu danych — wymaga doświadczenia, precyzji i cierpliwości. Jeden błąd oznacza trwałe uszkodzenie talerzy.

Chip-off — odczyt bezpośredni z pamięci NAND

Gdy kontroler SSD, pendrive'a lub telefonu jest uszkodzony i nie da się go naprawić, pozostaje odczyt bezpośredni z chipów pamięci NAND flash. Procedura: wylutowanie chipów NAND z płytki (lutownica BGA/IR, temperatura kontrolowana z dokładnością ±2°C — za wysoka niszczy dane w chipie), odczyt każdego chipa w programatorze (Rusolut Visual Nand Reconstructor, ACE Lab PC-3000 Flash), rekonstrukcja danych — chipy NAND przechowują dane w sposób specyficzny dla kontrolera (scrambling, ECC, wear leveling, FTL). Dane surowe z chipa to chaos — trzeba odtworzyć algorytm kontrolera, aby złożyć z powrotem czytelne pliki. To jak układanie puzzli z milionów elementów, bez obrazka na pudełku. Chip-off stosujemy głównie do: SSD z martwym kontrolerem, pendrive'ów po przepięciu, telefonów po zalaniu (gdy płyta główna jest nie do naprawy), kart SD i microSD z uszkodzoną elektroniką.

Naprawa elektroniki PCB

Płytka elektroniki (PCB) dysku twardego może ulec uszkodzeniu przez przepięcie, zwarcie, wyładowanie elektrostatyczne lub defekt fabryczny. Naprawa obejmuje: diagnostykę uszkodzonych elementów (TVS diody, kontroler silnika, preamplifikator, pamięć ROM), wymianę uszkodzonych komponentów SMD, transplantację pamięci ROM z oryginalnej płytki na płytkę zastępczą (ROM przechowuje unikalne parametry adaptacyjne — bez transplantacji dysk nie rozpozna swoich talerzy), kalibrację po wymianie PCB. Proste przepięcie (spalona TVS dioda): naprawa szybka i skuteczna. Uszkodzony kontroler główny: wymaga płytki-dawcy z kompatybilną rewizją.

Klonowanie uszkodzonych nośników

Zanim przystąpimy do właściwego odzyskiwania danych, tworzymy sektorową kopię (obraz) uszkodzonego nośnika na zdrowy dysk. Klonowanie odbywa się za pomocą sprzętu DeepSpar Disk Imager lub PC-3000 Data Extractor — narzędzi zaprojektowanych do pracy z niestabilnymi dyskami. Inteligentne klonowanie: pomijanie sektorów powodujących zawieszenie, wielokrotne próby odczytu z różnymi parametrami, odczyt w różnych kierunkach (od początku, od końca, od środka), zarządzanie temperaturą dysku (chłodzenie, przerwy). Cel: wyciągnąć maksymalnie dużo danych, zanim dysk ostatecznie odmówi współpracy. Właściwe odzyskiwanie robimy już na klonie, nigdy na oryginale.

Rekonstrukcja macierzy RAID

Gdy macierz RAID się rozpadła — kontroler nie jest w stanie jej odbudować, a dane są rozproszone fragmentami na wielu dyskach. Rekonstrukcja polega na: sklonowaniu każdego dysku z macierzy osobno, ustaleniu parametrów macierzy — kolejność dysków, wielkość stripe (4K, 64K, 256K...), typ RAID (0, 5, 6, 10...), rozmieszczenie parzystości (left/right, synchronous/asynchronous), offset danych, odtworzeniu wirtualnej macierzy za pomocą specjalizowanego oprogramowania, weryfikacji poprawności (czy pliki się otwierają, czy struktura katalogów jest logiczna), ekstrakcji danych na nowy nośnik. Każdy kontroler RAID implementuje standard nieco inaczej — dlatego automatyczne narzędzia często zawodzą i potrzebna jest ręczna analiza.