Datarecuperatie in België, door de ingenieur die uw data zelf herstelt

Een Brussels beveiligingsbedrijf belde ons op een maandagochtend: het werkstation met hun bedrijfssoftware startte niet meer op. De schijf, een Seagate Barracuda 7200.12 van 250 GB in een HP Compaq 8000 Elite, draaide normaal maar verscheen niet langer in de BIOS. Erop stonden niet alleen de bedrijfsbestanden, maar ook een specifieke toepassing die jaren eerder was geïnstalleerd en waarvan de installatiemedia en licenties allang verdwenen waren. Opnieuw installeren was geen optie: het volledige systeem moest terug, niet alleen de documenten. Gelukkig had de klant de machine niet dagenlang aan en uit gezet.

De diagnose toonde een mechanisch gezonde schijf: de platters draaiden, de koppen positioneerden correct. De fout zat in de servicezone. Via de terminal met PC-3000 antwoordde de schijf wel, maar haar configuratiemodules lieten zich niet meer correct uitlezen: de translator was onleesbaar, en precies daarom zag de BIOS niets. We hebben rechtstreeks in de servicezone gewerkt om de translator opnieuw op te bouwen en de gebruikersruimte weer adresseerbaar te maken. Het oppervlak was intussen vermoeid: deze schijf uit 2011 had veel defecte sectoren opgebouwd. Het uitlezen gebeurde daarom onder Data Extractor, kaart per kaart, waarbij trage zones naar het einde van de passage werden geschoven zodat de schijf niet onnodig herstart werd. Met het volledige beeld in handen hebben we het teruggeschreven naar de nieuwe schijf die de klant had meegebracht, systeem en software inbegrepen.

Een Brusselse klant werkte met haar externe schijf aangesloten op haar computer. Toen ze opstond draaide ze zich te snel om: de kabel trok mee en de schijf bleef aan haar connector hangen. Die ene beweging volstaat om de USB-poort van de print te rukken. Ze bracht de schijf eerst naar een computerwinkel, waar men de afgebroken connector met dunne, met de hand gesoldeerde draadjes probeerde vast te maken. De herstelling hield niet en de schijf bleef onzichtbaar. Western Digital wilde het toestel ondanks de verlopen garantie terugnemen, maar haar vijf terabyte aan gegevens zouden daarmee nooit zijn teruggekomen.

Bij dit model is de USB-brug in de print geïntegreerd: er is geen SATA-aansluiting, dus de schijf kan niet zomaar als een interne schijf worden aangesloten. Bij de eerste voeding op de PC-3000 Portable Pro begon het toestel te piepen, het signaal van een kortsluiting. Het geïmproviseerde soldeerwerk van de winkel had twee punten op de print overbrugd. We hebben verwijderd wat van de connector restte, onze eigen draden rechtstreeks op de testpunten van de print gesoldeerd en die naar een adapter geleid, wat SATA-toegang geeft tot een schijf die er geen heeft. Daarna werd de ROM uitgelezen en de schijf onder PC-3000 ontgrendeld, de print punt voor punt gecontroleerd op resterende kortsluiting en teruggeplaatst. Bleef de doorslaggevende vraag: de staat van de koppen. Die waren ongeschonden.

De werkschijf van een professionele fotografe uit de regio Hasselt, een LaCie Rugged USB-C van 4 TB, viel op de grond. Daarop stond haar volledige archief: RAW-bestanden en videorushes van klantenprojecten, zonder reservekopie. Na de val geen toegang meer. In de behuizing zat een Seagate ST4000LM024 met een vergrendelde servicezone: de schijf kon zichzelf niet meer initialiseren. Doorslaggevend detail: niemand heeft geprobeerd de schijf opnieuw op te starten. De klant schreef ons diezelfde zondag en bracht de schijf 's avonds langs.

Nog voor de schijf onder spanning kwam, werd hij geopend in de cleanroom: de koppenset werd uitgenomen en onder de microscoop gecontroleerd om na te gaan of geen enkele kop vervuild of beschadigd was door de val. De koppen bleken schoon, werden teruggeplaatst, en pas daarna werd de schijf gestart, zonder risico op krassen op de platters. Bleef de vergrendelde servicezone. De ROM-chip werd van de PCB gesoldeerd, uitgelezen op een programmer, ontgrendeld op PC-3000, herschreven en opnieuw gesoldeerd. Daarna een volledige back-up van de servicezone en aanpassing van de configuratiemodules (het zogenaamde « paspoort » van de schijf, met de werkingsparameters) om te verhinderen dat de schijf zijn zelfherstelroutines zou starten, die in deze toestand destructief zijn. Op Data Extractor toonde de koppenkaart welke koppen nog reageerden: de bereikbare zones werden als eerste uitgelezen. Vervolgens werd de schijf gestopt, de koppenset vervangen door een compatibele donorset, en werd het uitlezen hervat voor de rest van de data.

Een HP-gaminglaptop die niet meer opstartte, binnengebracht door een klant uit Leuven, en daarin een Seagate FireCuda ST1000LX015 van 1 TB: een hybride schijf, in zulke machines gemonteerd om laadtijden te versnellen, dus een klassieke harde schijf met daarbovenop een flashgeheugenchip op de printplaat. De schijf draaide helemaal niet meer. Toch gaf hij zijn model en serienummer correct door, een teken dat het defect niet mechanisch was. Op dit model draagt de NAND-chip een deel van de firmware: valt die uit, dan raakt de schijf niet meer geïnitialiseerd, ook al zijn de platters ongeschonden. Erop stonden de foto's en persoonlijke documenten van de klant, zonder volledige back-up.

Bij het opstarten komt de schijf niet op toerental, maar meldt zich wel in DRD+DSC met een correct paspoort, terwijl de terminal de fout LED:0x000000BD FAddr:0x000059D8 toont, de signatuur van de defecte NAND op deze serie. Omdat de printplaat van de patiënt defect was, kon die niet gebruikt worden om de schijf te ontgrendelen. Eerst werd de ROM van de patiënt via de terminal uitgelezen, daarna werd een donorprintplaat gezocht volgens drie strikte criteria: hetzelfde model, dezelfde firmwareversie en hetzelfde PCB-nummer. De ROM van de patiënt werd op die donorprint geschreven, de print werd op de schijf van de klant gemonteerd en de ontgrendeling gebeurde via de terminal, met herinitialisatie van de NAND door het commando /OI1. Voor het uitlezen werden de achtergrondprocessen uitgeschakeld: automatische hertoewijzing bij lezen en schrijven, uitgestelde defectverberging en activiteit in rust. Daarna werd de schijf sector per sector geïmaged op PC-3000 Data Extractor.

Een externe LaCie d2 Professional-behuizing van 8 TB met USB-C-aansluiting werd na een val niet meer herkend door de computer, waarbij er ook een licht abnormaal geluid uit de schijf te horen was. De LaCie d2 Professional bevat een Seagate IronWolf Pro-harde schijf (ST8000NT001) van 8 TB, die via de USB-poort geen toegang meer gaf tot de gegevens. De klant had het apparaat laten vallen. Er was geen back-up beschikbaar.

Voor de diagnose moest de Seagate-harde schijf uit de LaCie-behuizing worden gehaald. Op de printplaat (PCB) was het ROM-geheugen verdeeld over twee afzonderlijke chips: deze werden met behulp van een programmeerapparaat uitgelezen, vervolgens geïmporteerd in het PC-3000-systeem en samengevoegd tot één ROM-image. Met behulp van de PC-3000 Portable Pro werd de schijf vervolgens aangepast voor een kop-voor-kop-lezing, waarbij elke leeskop afzonderlijk werd verwerkt om de integriteit van de gegevens te waarborgen.

Een externe harde schijf van het type Maxtor M3 Portable met een capaciteit van 1 To (Seagate ST1000LM035-1RK172) bevatte ontoegankelijke gegevens, terwijl de behuizing in perfecte staat leek te zijn. De klant, gevestigd in Luxemburg, hoorde de schijf draaien, maar kon zijn bestanden niet meer openen. Een eerste laboratorium had al tevergeefs geprobeerd de gegevens te herstellen. Het ging om een beperkte hoeveelheid gegevens, maar deze waren van onschatbare waarde: familiefoto’s die uitsluitend op deze schijf stonden, zonder back-up.

Uit de diagnose bleek dat het niet om een eenvoudig logisch probleem ging, maar dat er sprake was van een zwakke leeskop en een vergrendelde ROM-module, waardoor de schijf niet meer werkte. De ROM werd eerst ontgrendeld op de PC-3000-testbank om de toegang te herstellen. Vervolgens werd in Data Extractor een kaart van de leeskoppen gemaakt, gevolgd door een kaart van de daadwerkelijk bezette gegevenszones. Alleen de gegevens die voor de klant van belang waren — de familiefoto’s — werden als alleen-lezen-image vastgelegd, waarbij de kwetsbare leeskop werd ontzien om de leesbaarheid te maximaliseren.

Een HP ProLiant ML350 G6-server met een RAID 1 van twee SAS-schijven werd ontoegankelijk na een herstart. De eerste schijf was weken eerder uitgevallen zonder waarschuwing, en de tweede begaf het uiteindelijk, waardoor de toegang tot de kritieke gegevens van een transportbedrijf werd geblokkeerd.

We maakten een sector-per-sector kopie van elke schijf om de originelen te behouden. Door de images te vergelijken, identificeerden we de meest actuele schijf en extraheerden we alle gegevens.

Een Kingston DataTraveler-USB-stick van 128 GB bevatte een oud Outlook PST-archief dat de gebruiker per ongeluk had verwijderd. Dit bestand bevatte meerdere jaren aan zakelijke e-mails en bestond nergens anders: er was geen back-up van bewaard. De USB-stick werkte nog prima en werd herkend, maar het archief was niet meer zichtbaar. De uitdaging was om één enkel, omvangrijk PST-bestand te herstellen zonder iets op de stick te schrijven.

Eerst werd met Data Extractor een volledige kopie van de USB-stick gemaakt op de server, in alleen-lezenmodus, om op een kopie te kunnen werken en het origineel te behouden. Door de bezette en vrije ruimte te analyseren, kon het verwijderde, licht beschadigde PST-bestand worden gelokaliseerd en gereconstrueerd. Aangezien de ruwe gegevens intact waren, vond het herstel op logisch niveau plaats: het in Microsoft Outlook geïntegreerde hulpprogramma ScanPST heeft de kleine inconsistenties in de structuur van het bestand gecorrigeerd.

Een 5TB Seagate harde schijf maakte een abnormaal geluid, wat duidde op een kopcrash. Het bedrijf nam op zaterdag spoedcontact met ons op, zonder afspraak.

Vervanging van de kopstack in een cleanroom, gevolgd door het lezen en extraheren van de data naar een gezonde schijf. De interventie werd dezelfde dag uitgevoerd, zonder extra kosten voor het weekend.

Een architect uit Venetië bracht ons een SanDisk Extreme SSD waar de partitie ontoegankelijk was geworden. Een eerste poging tot gegevensherstel met TestDisk had de situatie alleen maar erger gemaakt: het programma had beschadigde gegevens naar de eerste partitie geschreven, waardoor het nog moeilijker werd om toegang te krijgen tot de oorspronkelijke bestanden.

Voordat we enige bewerking uitvoerden, hebben we een bit-voor-bit-kopie (sector voor sector) van de volledige schijf gemaakt, zodat we uitsluitend aan de kopie konden werken en het originele medium intact bleef. Door deze kopie te analyseren, konden we het werkelijke beginpunt van de HFS+-partitie lokaliseren en de structuur ervan reconstrueren.

De externe harde schijf werd niet meer herkend door de computer en maakte lichte klikgeluiden.

We hebben de USB-interface omgezet naar SATA en de ROM ontgrendeld met PC-3000. Er werd een kopkaart opgesteld om de gegevens eerst via de gezonde koppen en daarna via de defecte kop uit te lezen.

Een externe Western Digital-schijf van 5 TB, model WD50NDZW, bevatte bijna drie jaar foto's en reportages van een gezin van reisbloggers, gevolgd door duizenden lezers en vaste partner van de RTBF. De schijf werd niet meer herkend door de computer. Een eerste laboratorium in Frankrijk had een « firmwareprobleem » vastgesteld en stelde voor de « servosporen te herschrijven », een handeling die in de praktijk van datarecuperatie niet bestaat. Dat vocabulaire deed het gezin twijfelen: ze haalden hun schijf terug en namen contact met ons op, op aanraden van een IT-collega. Er was nog geen herstelpoging gedaan: de schijf kwam onaangeroerd bij ons aan.

Bij een WD50NDZW zitten de USB-brug en de controller op één printplaat, zonder SATA-poort: vóór elke diagnose moet de elektronica aangepast worden. Vier condensatoren worden losgesoldeerd om de verbinding tussen USB-brug en controller te verbreken, daarna worden vier draden op hun plaats gesoldeerd om een SATA-interface te maken. Vervolgens wordt de ROM uitgelezen en aangepast, omdat de controller in deze toestand standaard vergrendeld blijft. De schijf wordt geïnitialiseerd op de PC-3000 en elke kop wordt afzonderlijk getest: één dode kop, de andere in orde. Er wordt een koppenkaart opgebouwd, het paspoort van de schijf wordt aangepast om elke hertoewijzing te blokkeren, en alles wat via de levende koppen bereikbaar is, wordt eerst uitgelezen. Pas daarna wordt in de ISO 5-cleanroom de koppenset vervangen door een donorset uit eigen voorraad om de resterende oppervlakken te lezen. Het volledige beeld wordt geanalyseerd in Data Extractor en de data gekopieerd naar de nieuwe schijf van de klant.

RAID 5-array. Eén schijf defect. Tijdens de rebuild na vervanging begaf een tweede schijf het, wat leidde tot een totale crash van de array en verlies van het volume.

Alle schijven gekloond en de configuratie geïdentificeerd. Een virtuele array is opgebouwd met behulp van PC-3000 RAID Edition, waarbij beschadigde sectoren zijn hersteld op basis van de pariteitsgegevens.

Een Seagate ST2000LM007 van 2 TB die begon te tikken en niet meer werd herkend. Abnormaal geluid bij het opstarten, spoedherstel.

Geopend in een ISO 5-cleanroom, de koppenset vervangen door een compatibele donorset, daarna de platters uitgelezen en de gegevens geëxtraheerd op een PC-3000-bank.

256 GB iPhone 12 Pro met moederbord beschadigd door corrosie, scherm kapot, telefoon ging niet aan. Foto's en persoonlijke gegevens moeten worden hersteld.

Corrosie gereinigd, moederbord hersteld (micro-solderen) en scherm vervangen, daarna de gegevens uit de telefoon geëxtraheerd.

Een Synology DS920+ NAS (RAID 5, 4×4 TB) met twee van de vier schijven defect: het volume werd niet meer gemount en de gegevens waren ontoegankelijk. Een RAID 5 overleeft normaal slechts het uitvallen van één schijf.

Imaging van beide defecte schijven, analyse van de chronologie van de uitval (om de laatst actieve schijf te bepalen), virtuele reconstructie van de RAID 5, daarna extractie van alle gegevens.