STOP REGENERATOR – Ремонт жестких дисков или как угробить данные!
20.12.2018
ASUS_UX333F_введите_ключ_восстановления_BitLocker
Введите ключ восстановления BitLocker
30.10.2019
Показать все

Внешний HDD WD My Passport (JMS538S) c аппаратным шифрованием

С omment ça va? Putain de russes! Ils voulaient saignent me à blanc! - такой бы диалог состоялся у нашего клиента, после его визита в одну из Московских «контор» по восстановлению данных. Но к большому несчастью последних, спутница нашего героя, оказалась куда более стойкой к неожиданным ударам судьбы. И решила проверить «спасителей» на адекватность. О распространенных способах раскрутки вас на американских горках, вы сможете прочитать позже тут. А сейчас, мы вернемся к нашему иностранному кейсу.
Сегодня в нашей рубрике Восстановление данных 24 - изнутри!, прямиком из Франции, внешний HDD Western Digital My Passport WD20NMVW-11W68S0 семейства семейства Shrek с аппаратным шифрованием (о возможности взлома, данных накопителей, можно почитать тут или в оригинальном докладе рабочей группы), что для нашего региона, как вы понимаете, было отключено - почему, читаем тут..

В чем была проблема, со слов клиента и какие файлы требовалось достать?

Пролог
При копировании данных с внешнего hdd, макбук начал зависать. После чего, мне пришлось перезагрузить его. При повторном подключении диска, finder ругнулся, что вставленный вами диск не может быть прочитан на этом компьютере.
Файловая система
ExFAT
Задача
По возможности все папки, если структура будет повреждена, то все файлы форматов: DNG, ARW, CR2.
Примечание
После повторного подключения был легкий свист, но потом он исчез. В прошлой лаборатории сказали, что диск запиливается и нужно как минимум, потратить 5 жестких дисков-доноров! Да ещё и зашифрован!

Предварительный осмотр с лирическим отступлением

WD20NMVW-11W68S0_zavodskie_plomby_na_meste_0

Заводские пломбы на месте (диск не вскрывался)

Le chasseur entendit un sifflement étrange a l’intérieur de la maison.

П опробуем дать шанс нашим коллегам по цеху! И предположим, что специалист, который производил диагностику, был в не себе и у него начались слуховые галлюцинации. В принципе, в жизни каждого восстановителя, даже звук тормозящего велосипеда (с дисковыми тормозами) проезжающего под окном, будет ассоциироваться со скрежетом головок об поверхность пластин. Так что, кошмарные звуки и скрежет, которые описывали специалисты, не что иное, как сквозняк! Но даже при таком стечении обстоятельств, не ясно одного - почему накопитель не остался вскрытым и осмотренным!
WD20NMVW-11W68S0_zavodskie_plomby_na_meste_1

Заводские пломбы под наклейкой (диск не вскрывался)


«…Et que tu as une grande bouche,» murmura la petite fille d’une voix faible.

Н о как же ребятам удалось определить сколько нужно дисков доноров!? Думаю математика тут проста: чем больше сказать вначале, тем легче отнять в конце! Все это безобразие можно охарактеризовать одним словосочетанием: рыночные отношения! Так что, наверное, это было сделано из благих побуждений. Чтобы в конце аттракциона, обрадовать клиента и сделать ему скидку!
Ну еще можно было добавить, что диск с аппаратным шифрованием, то есть зашифрованный! А с учетом предварительных изысканий, усложнило бы процесс восстановления информации.

Процесс восстановления данных с внешнего HDD WD20NMVW-11W68S0

О смотрев накопитель, приступаем к адоптации донорской платы (2060-771823-000 REV A) электроники c sata-интерфейсом взамен платы пациента внешнего hdd (выпаиваем или вычитываем пзу и переносим на донорскую плату). Как уже было сказано ранее, накопитель имеет аппаратное шифрование на базе usb-моста JMS538S с которым благополучно может работать комплекс PC-3000 Express. А отсутствие следов вскрытия, с большей долей вероятности, говорит о том, что накопитель можно запустить и просмотреть состояние служебной зоны (без вскрытия сложно поставить диагноз и тем более говорить о донорах и их количестве и ценах).
WD20NMVW-11W68S0_sozdanie_kopii_sluzhebnoj_zony

Копируем модули служебной зоны

П осле успешного запуска накопителя, немедленно производим копирования служебных модулей накопителя. И временно запрещаем работу с дефект-листами в ОЗУ (мы еще не знаем, могут ли писать головы). Далее перезаписываем не критичный для инициализации накопителя модуль - запись есть по всем служебным головам!
Нас все еще преследует цель оправдать наших заблудившихся коллег, сославшись на их невнимательность! Запускаем «тест головок» (только чтение), возможно данный тест ввел их в заблуждение! И бинго! Тест ругается на неисправность (3, 4, 5, 6 и 7 голов). Такое поведение объясняется тем, что служебная зона не вся форматирована, а значит и проверка «только чтением» не годится. Но тогда, почему об этом не знают специалисты данной конторы? Может «новобранец» получил диск на диагностику, а менеджер решил заработать на поход в ресторан?
WD20NMVW-11W68S0_prosmotr_S.M.A.R.T

S.M.A.R.T. накопителя - первый тревожный звоночек

WD20NMVW-11W68S0_read_test_of_heads

Тест головок на чтение (в служебной зоне)

WD20NMVW-11W68S0_read_write_test_of_heads

Тест головок на чтение и запись (в служебной зоне)


WD20NMVW-11W68S0_encryption_on

Зашифрованный сектор

Поиск ключей шифрования и вычитка данных.

Т еперь пришло время разобрать с шифрованием. Комплекс поддерживает работу с такими дисками и мы без труда можем получить доступ к пользовательской зоне для восстановления. Для примера пробуем прочитать любой сектор. Как можно наблюдать на скриншоте, он зашифрован. Воспользуемся функционалом комплекса и попробуем запусти поиск ключей шифрования (тот самый заводской 256-bit DEK) в служебной зоне. Спустя некоторое время ключи были обнаружены и мы без труда получили расшифрованный сектор.
WD20NMVW-11W68S0_encryption_off

Сектор после нахождения ключа шифрования


Осмотр голов и констатация фактов?

З аключительный этап - тестируем головки на чтение пользовательской зоны. И приступаем к вычитке данных. Забегая вперед. Чтение по 4 голове оказалось невозможным. Видимо по этой причине накопитель перестал определяться в системе. Для большей наглядности, мы вновь решили проверить коллег и после вычитки, произвели вскрытия гермозоны накопителя для осмотра блока магнитных головок. Посмотрев на картинки вы сами все поймёте. Конкретно о результате, такой большой процент дефектов вышел из-за размеров файлов (в основном это были видео файлы). Такой результат устроил заказчика. По итогам у нас вышло:
Folders        - 4058
   Files          - 70777 ( 748,82 Гб)
   Problem Files  - 8305 ( 321,34 Гб)

#0-я Голова - чистая, чтение возможно.

WD20NMVW-11W68S0_head_0_oktest heads 0

#2-я Голова - чистая, чтение возможно.

WD20NMVW-11W68S0_head_2_oktest-heads-2

#4-я Голова - чистая, но не читает.

WD20NMVW-11W68S0_head_4_surface_oktest-heads-4

#6-я Голова - чистая, чтение возможно.

WD20NMVW-11W68S0_head_6_oktest-heads-6

#1-я Голова - чистая, чтение возможно.

WD20NMVW-11W68S0_head_1_oktest heads 1

#3-я Голова - чистая, чтение возможно.

WD20NMVW-11W68S0_head_3_oktest-heads-3

#5-я Голова - чистая, чтение возможно.

WD20NMVW-11W68S0_head_5_oktest-heads-5

#7-я Голова - чистая, чтение возможно.

WD20NMVW-11W68S0_head_7_oktest-heads-7

Pas de conclusions hâtives!

Н е доверяйте никому, даже нам! Представьте, что вы, как перевёрнутая черепаха, среди акул. Не делайте поспешных выводов, сравнивайте источники и не гоняйтесь за дешёвыми ценами. Кушаем круассаны и слушаем приятную музыку! И как нам уже не раз намекает комплекс PC3000 - главное не деньги, а внимание: