Интересное совпадение! В тот самый момент, когда размещалась статья о «Ложно-софтовых проблемах на флешках», поводом для которой послужил случай прошлой недели, в работе находилась flash-карта, пожалуй, не менее интересная, чем уже описанная USB-flash.
Принесли нам совершенно обычную, одну из самых распространенных SD-карт Transcend на 16 гигабайт из цифровой видеокамеры.
По утверждению клиента, она полностью забита видео со знаменательного события. Но вставляя в карт-ридер и пытаясь ее открыть, опешивший клиент видит:
Что такое?! Слетел раздел? Ошибки в FAT? Пользователь оказался «продвинутым» и до прихода к нам ряд софтовых средств были опробованы, но результата не дали.
Используя WinHex, снимаем посекторный образ флешки, чтобы все софтовые попытки производить именно с ним. Во время клонирования не возникает никаких проблем — все сектора считаны на 100%, так что флешка ведет себя как абсолютно рабочая. Открыться в Windows она действительно не могла, так как вместо заголовка FAT мы видим следующее:
Тем не менее, если в строке поиска ввести f8ffff, найдем начало самой файловой таблицы.
Просматривая таблицу, можно убедиться, что она выглядит вполне прилично, то есть не содержит ни разрывов, ни перемешиваний, ни какого-либо мусора. То же и со вторым ее экземпляром — копией FAT, расположенной неподалеку.
Если отсканировать ее в программе R-studio, то все находится. Флешка действительно заполнена видео-файлами.
Но проблема в том, что ни один файл не восстанавливается как работающее видео. Вместо этого 15 Гб непонятного мусора, на который будет ругаться любой проигрыватель при любом наборе кодеков. Тот же эффект дают попытки извлечь данные, не опираясь на содержимое FAT (хоть она-то как раз и выглядит вполне прилично). Функции RAW-восстановления — по заголовку файла — предусмотрены и в WinHex, и в Active@ File Recovery, да и в R-Studio есть опция «Extra Search for Known File Types». К сожалению, результат тот же. Ничего целого. Наверняка, примерно то же самое уже испробовал сам клиент. Но попытаться надо было обязательно, так как чаще всего наша карма оказывается сильней, и нам удается добиться лучшего результата. Жаль, что не в этот раз.
С разрешения клиента флешка разбирается для выпаивания чипов памяти.
Отпаянные чипы памяти (в данном случае это два Intel’овских чипа по 8 Гб, каждый из которых состоит из двух банков на 4 Гб), считываются в дампы и на комплексе Flash_Extractor v6.141 собирается итоговый образ флешки. Образ явно отличается от того, что мы сняли WinWex‘ом. Заголовок FAT теперь на месте.
То есть в памяти заголовок файловой системы на самом деле и раньше содержался, но в итоговый образ в физическом устройстве, с которым работала файловая система, не попадал из-за некорректной работы контроллера. Разумно предположить, что содержимое всей остальной памяти тоже могло неправильно отображаться. И действительно, восстанавливаем из откорректированного образа MP4-файлы — и видим, как счастливая пара весело сыграла свадьбу. 15 Гб видео (151 файл) — и все целое.
Вывод очевиден. Если флешка вдруг перестала открываться, начала ругаться на ошибки, предлагать форматирование, а программы типа R-Studio не могут восстановить данные, стоит попробовать восстановление флешки в лабораторных условиях на специализированном оборудовании.
Вячеслав Мочалов, 30 марта 2011 года
Похожие услуги:
29 October 2014
В нашей практике восстановления флешек мы часто сталкиваемся с тем, что какой-то файл на флешке не открывается. Иногда это может быть не один, а несколько файлов, целые папки или разделы. Обычно это софтовые проблемы — следствие каких-либо программных сбоев. Решаются они различными програмными средствами. Но бывает и так, что любые программы окажутся бессильными, так как причина глубже. Флешка может лишь «выглядеть» работающей правильно, когда на самом деле именно в ее некорректной работе и таится корень зла. Вот о таких ложно-софтовых проблемах и пойдет речь в этой статье.
Incorrect password or not a TrueCrypt volume. Вот с каким сообщением TrueCrypt'а столкнулся наш очередной клиент при попытке подмонтировать свой файл-контейнер с секретной и, конечно, очень важной информацией.
Примерный (с учетом цензуры) смысл негодований несчастного был таким:
— Как это неверный пароль?! Ввожу каждый день с закрытыми глазами!!! Как это не трукриптовский том??!! Он самый! Любимый avi-файл на 1,5 Гб, в котором совсем не видео!
В чем же дело?! Файл находился в числе прочих данных на USB-flash Silicon Power 2 Гб. По словам клиента, все остальные документы в порядке. Никогда никаких проблем с флешкой не было. Работу всегда заканчивал корректно и вообще берег ее, как зеницу ока.
На первый взгляд состояние флешки абсолютно рабочее. Сам файл на уровне файловых таблиц FAT жив-здоров: копируется и просматривается. Однако при попытке монтировать в TrueCrypt видим:
Слава Богу, владелец флешки рассудил здраво и не стал делать тайны из своего пароля, позволив нам работать, проверяя все версии.
Анализ FAT на флешке никаких ошибок не выявил. Старая добрая R-Studio и подобные средства восстанавливают файл ровно таким же образом, что и простое копирование. Значит, проблема в самом файле.
Иногда так может происходить даже из-за незначительных повреждений контейнера. Достаточно повредиться заголовку. И тогда спасти может только использование резервного заголовка, хранящегося в самом контейнере. Проверить эту версию нетрудно: в меню Mount Options отмечаем соответствующие галочки (работаем только с копией файла):
И, к нашему сожалению, видим прежний результат. Значит, повреждения файла оказались более серьезными.
Если предположить, что содержимое файла было изменено (частично перезаписано) вследствие какого-то программного сбоя, действия вируса или злоумышленника, то, казалось бы, впору сдаваться. Весь файл изнутри выглядит примерно так:
Такой его вид вполне ожидаем. Он такой сейчас и был таким же. Если предположение о изменении его содержимого верно, то вариантов помогающих вернуть его в прежнее состояние, нет. Эту гипотезу следует отвергнуть. Она не мотивирует нас ни на что иное кроме как отдать флешку хозяину, выразив сожаление о том, что помощь в принципе невозможна.
Лучше займемся следующей гипотезой. Предполагаем, что содержимое файла изменено не на программном, а на аппаратном уровне. В этом случае то, что мы видим является результатом некорректной работы контроллера, отвечающего за чтение и запись. И в таком случае то, что нам «показывает» флешка, вовсе не обязательно совпадает с «правильным» содержимым памяти.
При этом «устойчивость результата» ничего не доказывает и не опровергает. Контроллер действительно может выдавать одинаковый, но не соответствующий действительности результат при каждой попытке чтения.
Решать такую проблему можно, воспринимая носитель как нерабочий, с диагнозом «неисправность контроллера». Сначала делаем резервный образ флешки со всеми данными. Для посектороного клонирования используем WinHex.
Далее флешку надо разбирать, отпаивать чипы памяти, считывать ее на программно-аппаратном комплексе (мы используем Flash Extractor v6.141) в дампы. Считанные дампы содержат множество ошибок, которые исправляются ECC-коррекцией. Затем, имитируя правильную работу контроллера программным образом необходимо расшифровать полученные дампы и получить корректный имидж-файл, то есть образ флешки. Извлекаем наш контейнер из этого образа. Пробуем монтировать в TrueCrypt.
И Ура!!! Контейнер примонтировался!!! Буква логическому диску присвоилась, но содержимое пока не открывается.
Похоже, внутри самого контейнера все-таки имеются какие-то некорректные записи и его файловая система повреждена. Но главное, что теперь она не зашифрована. Теперь это обычный поврежденный раздел. Такое случается и с дисками и с флешками и даже с RAID-массивами. В простых случаях все решается R-Studio. А это именно такой случай. В результате все данные из контейнера восстановлены и отданы счастливому клиенту.
Конечно, пойдя по такому пути, предположив некорректную работу устройства, мы (с разрешения клиента) рискнули стоимостью флешки. То есть неподтверждение нашей гипотезы означало бы, что мы зря убили исправную флешку. Но ценность данных для клиента была достаточно высока, что и подвигло нас использовать любые шансы для их восстановления, не обращая внимания на возможные жертвы, тем более, что флешки таких объемов сейчас очень дешевы.
Итак, данные полностью восстановлены. А разобранная нами флешка, как выяснилось, работала некорректно, то есть доверять ей важные данные, в любом случае, было самоубийством.
Следует отметить, что этот случай не является каким-то исключением. Флеш-накопители действительно часто дают подобные сбои. Просто не всегда это проявляется именно таким образом. Всем понятна ситуация, когда флешка вообще не работает, как устройство. Тут соблазна самому себе помочь не так много. А если она совсем, как живая, просто файлик повредился. Например, *.doc, *. хls или база данных 1с. Иногда таким образом «повреждается» не файл а таблица размещения файлов (FAT). Тогда флешка будет вести себя, как носитель с логической проблемой — файл копируется, открывается с ошибкой или не открывается вовсе. И неопытный восстановитель может не понять, почему же софтовые средства (chkdsk, fsck, r-studio, easy recovery) не помогают.
К сожалению, часто бывают фатальные ошибки. Например, таким ложно-софтовым образом поврежденный файл некоторые пытаются «чинить» стандартными MS-средствами или пробуют натравить Chkdsk на «поврежденный» FAT. Все это наверняка приведет к записи на флешку. И очень вероятно, что сектора флешки, которые по вине контроллера всего лишь «отдавали» неправильное содержимое, теперь действительно будут перезаписаны белибердой. И даже заботливо сделанный посекторный клон такого носителя не будет его настоящей резервной копией, так как не позволит вернуть саму флешку в прежнее состояние.
Поэтому желающим спасать себя самостоятельно нужно запомнить всего одно правило: если вы хотите попробовать различные средства восстановления при «софтовых» проблемах на флешке, сделайте предварительно ее образ, например, WinHex'ом. И экспериментируйте тогда именно с этим образом, а не с оригиналом. Если проблема действительно логическая, то вы прекрасно справитесь с ней, работая над клоном. А если ее софтовость окажется ложной, вы, хотя бы, не ухудшите шансы на восстановление данных аппаратными средствами.
Вячеслав Мочалов, 28 марта 2011 года
Похожие услуги:
11 August 2014
