Datarecuperatie in België, door de ingenieur die uw data zelf herstelt

Een externe LaCie d2 Professional-behuizing van 8 TB met USB-C-aansluiting werd na een val niet meer herkend door de computer, waarbij er ook een licht abnormaal geluid uit de schijf te horen was. De LaCie d2 Professional bevat een Seagate IronWolf Pro-harde schijf (ST8000NT001) van 8 TB, die via de USB-poort geen toegang meer gaf tot de gegevens. De klant had het apparaat laten vallen. Er was geen back-up beschikbaar.

Voor de diagnose moest de Seagate-harde schijf uit de LaCie-behuizing worden gehaald. Op de printplaat (PCB) was het ROM-geheugen verdeeld over twee afzonderlijke chips: deze werden met behulp van een programmeerapparaat uitgelezen, vervolgens geïmporteerd in het PC-3000-systeem en samengevoegd tot één ROM-image. Met behulp van de PC-3000 Portable Pro werd de schijf vervolgens aangepast voor een kop-voor-kop-lezing, waarbij elke leeskop afzonderlijk werd verwerkt om de integriteit van de gegevens te waarborgen.

Een externe harde schijf van het type Maxtor M3 Portable met een capaciteit van 1 To (Seagate ST1000LM035-1RK172) bevatte ontoegankelijke gegevens, terwijl de behuizing in perfecte staat leek te zijn. De klant, gevestigd in Luxemburg, hoorde de schijf draaien, maar kon zijn bestanden niet meer openen. Een eerste laboratorium had al tevergeefs geprobeerd de gegevens te herstellen. Het ging om een beperkte hoeveelheid gegevens, maar deze waren van onschatbare waarde: familiefoto’s die uitsluitend op deze schijf stonden, zonder back-up.

Uit de diagnose bleek dat het niet om een eenvoudig logisch probleem ging, maar dat er sprake was van een zwakke leeskop en een vergrendelde ROM-module, waardoor de schijf niet meer werkte. De ROM werd eerst ontgrendeld op de PC-3000-testbank om de toegang te herstellen. Vervolgens werd in Data Extractor een kaart van de leeskoppen gemaakt, gevolgd door een kaart van de daadwerkelijk bezette gegevenszones. Alleen de gegevens die voor de klant van belang waren — de familiefoto’s — werden als alleen-lezen-image vastgelegd, waarbij de kwetsbare leeskop werd ontzien om de leesbaarheid te maximaliseren.

Een HP ProLiant ML350 G6-server met een RAID 1 van twee SAS-schijven werd ontoegankelijk na een herstart. De eerste schijf was weken eerder uitgevallen zonder waarschuwing, en de tweede begaf het uiteindelijk, waardoor de toegang tot de kritieke gegevens van een transportbedrijf werd geblokkeerd.

We maakten een sector-per-sector kopie van elke schijf om de originelen te behouden. Door de images te vergelijken, identificeerden we de meest actuele schijf en extraheerden we alle gegevens.

Een Kingston DataTraveler-USB-stick van 128 GB bevatte een oud Outlook PST-archief dat de gebruiker per ongeluk had verwijderd. Dit bestand bevatte meerdere jaren aan zakelijke e-mails en bestond nergens anders: er was geen back-up van bewaard. De USB-stick werkte nog prima en werd herkend, maar het archief was niet meer zichtbaar. De uitdaging was om één enkel, omvangrijk PST-bestand te herstellen zonder iets op de stick te schrijven.

Eerst werd met Data Extractor een volledige kopie van de USB-stick gemaakt op de server, in alleen-lezenmodus, om op een kopie te kunnen werken en het origineel te behouden. Door de bezette en vrije ruimte te analyseren, kon het verwijderde, licht beschadigde PST-bestand worden gelokaliseerd en gereconstrueerd. Aangezien de ruwe gegevens intact waren, vond het herstel op logisch niveau plaats: het in Microsoft Outlook geïntegreerde hulpprogramma ScanPST heeft de kleine inconsistenties in de structuur van het bestand gecorrigeerd.

Een 5TB Seagate harde schijf maakte een abnormaal geluid, wat duidde op een kopcrash. Het bedrijf nam op zaterdag spoedcontact met ons op, zonder afspraak.

Vervanging van de kopstack in een cleanroom, gevolgd door het lezen en extraheren van de data naar een gezonde schijf. De interventie werd dezelfde dag uitgevoerd, zonder extra kosten voor het weekend.

Een architect uit Venetië bracht ons een SanDisk Extreme SSD waar de partitie ontoegankelijk was geworden. Een eerste poging tot gegevensherstel met TestDisk had de situatie alleen maar erger gemaakt: het programma had beschadigde gegevens naar de eerste partitie geschreven, waardoor het nog moeilijker werd om toegang te krijgen tot de oorspronkelijke bestanden.

Voordat we enige bewerking uitvoerden, hebben we een bit-voor-bit-kopie (sector voor sector) van de volledige schijf gemaakt, zodat we uitsluitend aan de kopie konden werken en het originele medium intact bleef. Door deze kopie te analyseren, konden we het werkelijke beginpunt van de HFS+-partitie lokaliseren en de structuur ervan reconstrueren.

De externe harde schijf werd niet meer herkend door de computer en maakte lichte klikgeluiden.

We hebben de USB-interface omgezet naar SATA en de ROM ontgrendeld met PC-3000. Er werd een kopkaart opgesteld om de gegevens eerst via de gezonde koppen en daarna via de defecte kop uit te lezen.

RAID 5-array. Eén schijf defect. Tijdens de rebuild na vervanging begaf een tweede schijf het, wat leidde tot een totale crash van de array en verlies van het volume.

Alle schijven gekloond en de configuratie geïdentificeerd. Een virtuele array is opgebouwd met behulp van PC-3000 RAID Edition, waarbij beschadigde sectoren zijn hersteld op basis van de pariteitsgegevens.

Een Seagate ST2000LM007 van 2 TB die begon te tikken en niet meer werd herkend. Abnormaal geluid bij het opstarten, spoedherstel.

Geopend in een ISO 5-cleanroom, de koppenset vervangen door een compatibele donorset, daarna de platters uitgelezen en de gegevens geëxtraheerd op een PC-3000-bank.

256 GB iPhone 12 Pro met moederbord beschadigd door corrosie, scherm kapot, telefoon ging niet aan. Foto's en persoonlijke gegevens moeten worden hersteld.

Corrosie gereinigd, moederbord hersteld (micro-solderen) en scherm vervangen, daarna de gegevens uit de telefoon geëxtraheerd.

Een Synology DS920+ NAS (RAID 5, 4×4 TB) met twee van de vier schijven defect: het volume werd niet meer gemount en de gegevens waren ontoegankelijk. Een RAID 5 overleeft normaal slechts het uitvallen van één schijf.

Imaging van beide defecte schijven, analyse van de chronologie van de uitval (om de laatst actieve schijf te bepalen), virtuele reconstructie van de RAID 5, daarna extractie van alle gegevens.