Н
а восстановление данных не всегда приносят «французские гранаты». Именно в такой наряд фирма Lacie решила нарядить флешку с контроллером Innostor IS903 с 2-мя микросхемами памяти Samsung по 16gb в tsop-корпусе. Флешка перестала определяться в компьютере и не подавала признаков жизни. Её владелец пытался самостоятельно поправить ситуацию с помощью утилиты «Innostor IS903 MP Tool», но восстановление после всех манипуляций зашло в тупик.
И
так заказ принят, начнём восстановление данных с флешки Lacie RuggedKey USB 3.0 на контроллере Innostor IS903. Задача по извлечению из корпуса и выпайки nand-микросхем памяти не заняла много времени, а вот для вычитки 32gb информации потребовалось 5 часов – сбойные сектора на одной из микросхем.
После успешного создания дампа с nand-микросхем памяти мы можем приступить к устранению преобразований, созданных контроллером. Как уже отмечалось ранее наличие алгоритмов по сбору образов в списке поддерживаемых контроллеров
, увеличивает скорость процесса восстановления данных с неисправной флешки или карты памяти.
Список поддерживаемых контроллеров
| IS902 | IS903 | IS916 | IS817 | IS917 |
В
первую очередь запустим процесс корректировки битовых ошибок «Ecc-коррекция».
Далее пользуясь уже готовым алгоритмом из базы «AceLab» меняем последовательность частей микросхемы (забегая вперед, сигнатура Boot FAT32 – место откуда ОС понимает, что дальше идет раздел файловой системы, а не просто пустой диск; как раз находился в 4 части 1 микросхемы).
П
осле нам нужно устранить Xor-преобразования характерные для контроллера Innostor IS903, здесь же комплекс предложит нам применить параметры страницы для данного Xor’a – отделяем служебную информацию от пользовательской.
Как уже много раз отмечалось для просмотра успешного устранения преобразований мы будем использовать метод анализа основанный на поиске регулярных выражений файлов, файловых систем, так называемое «черновое восстановление» – данный метод ищет файлы по регулярным выражениям, то есть у всех типов файлов есть свои характерные отличия. С помощью «чернового восстановления» мы сможем отслеживать контрольные суммы файлов, то есть с увеличением кол-ва успешно найденных файлов контрольные суммы которых удалось проверить, мы можем с большей долей вероятности сказать, что преобразование устранено верно.
На картинке показана сигнатура файловой системы FAT32 – Boot fat32 (точка входа в фс) и контрольная сумма. Так же должны будут выглядеть найденные файлы в последствии устранения преобразований.
На картинке показана сигнатура файловой системы FAT32 – Boot fat32 (точка входа в фс) и контрольная сумма. Так же должны будут выглядеть найденные файлы в последствии устранения преобразований.
Д
алее действуем согласно алгоритму и устраняем следующие преобразования, до тех пор, пока чиcло частей в графе преобразований не останется 1 вместо 7.
В
се эти преобразования были созданы для улучшения характеристик чтения/записи и продления срока службы nand-микросхем памяти, с чем они и справлялись до поломки. После того как предварительные преобразования были устранены мы можем приблизиться к последнему этапу в сборе образа флешки – применению транслятора или сбору транслятора по номеру блока.
Как только транслятор будет применен мы приступаем к работе с файловой структурой флешки и анализу целостности полученного образа в процессе восстановления данных.
К
ак только мы убеждаемся в корректности полученного результата за счет проверки контрольных сумм файлов и контроля целостности каталогов (зеленые отметки возле каталогов и файлов), восстановление данных с флешки Lacie RuggedKey или «французская граната» – завершен.