Ανάκτηση Δεδομένων & Λύσεις Ransomware: Northwind

Ανάκτηση Δεδομένων και λύσεις για Ransomware

H ΤΕΧΝΟΛΟΓΙΑ ΤΗΣ ΑΝΑΚΤΗΣΗΣ ΔΕΔΟΜΕΝΩΝ – Ορθές πρακτικές (μέρος 2ο)

συντάκτης ·

3. ΑΡΧΙΚΗ ΕΚΤΙΜΗΣΗ
3.1. ΕΞΩΤΕΡΙΚΗ ΕΜΦΑΝΙΣΗ ΤΟΥ ΔΙΣΚΟΥ


Το πρώτο βήμα στη διαδικασία της ανάκτησης είναι το να μπορέσουμε να πάρουμε ένα αξιόπιστο ιστορικό για το τι ακριβώς συνέβη στο δίσκο. Ποιες συνθήκες επικρατούσαν όταν ο δίσκος “έσκασε”? Έχει υποστεί πτώση από ύψος? Υπήρξε βραχυκύκλωμα? Οι πελάτες μπορεί να μην είναι σε θέση να δώσουν περισσότερες πληροφορίες, αλλά όταν δίνουν, είναι πολύ σημαντικές.
Εσείς τι βλέπετε στο δίσκο? Είναι το καπάκι στραβωμένο σε κάποια γωνία? Υπάρχουν σημάδια που να υποδεικνύουν ότι ο δίσκος έχει υποστεί πτώση, κρούση γενικώς ή κακοποίηση με κάποιο τρόπο?
Όλα αυτά σημαίνουν ότι θα πρέπει να αφιερώσετε λίγο χρόνο μελετώντας το δίσκο πριν κάνετε οτιδήποτε άλλο. Μπορεί να εντοπίσετε βλάβες (όχι πάντα τόσο προφανείς) οι οποίες θα επηρεάσουν το αποτέλεσμα της διάγνωσης και θα καθορίσουν την πορεία της ανάκτησης. Παραβλέψεις τέτοιου τύπου θα οδηγήσουν σε λανθασμένες διαγνώσεις και πολλές φορές σε απώλεια δεδομένων.
3.2. ΕΞΕΤΑΣΤΕ ΤΟ PCB
Ελέγξτε το PCB. Υπάρχουν σημάδια διάβρωσης? Έχει μυρωδιά καφέ, κρασιού κλπ? Έχει κολλώδη υφή? Αν ναι, τότε υπάρχει σίγουρα κάποια βλάβη στο PCB και θα πρέπει να εξεταστεί περαιτέρω. Ένας δίσκος που έχει βγει από πλημμύρα ή γενικώς έχει πέσει στο νερό θα πρέπει οπωσδήποτε να ανοιχτεί στο Clean Room πριντου δοθεί ρεύμα. Οι επιμολύνσεις οποιουδήποτε τύπου θα πρέπει να αφαιρεθούν πριν ξεκινήσει όποια άλλη διαδικασία ανάκτησης.
Υπάρχουν καμμένα σημεία επάνω στο PCB?
Εικ. 2 Σκληρός δίσκος με καμμένο PCB.
H εικόνα 2 δείχνει ένα καμμένο chip του μοτέρ επάνω στο PCB ενός δίσκου ο οποίος -φυσιολογικά- δεν στροφάρει καθόλου. Άλλες βλάβες PCB εκτός από τη διάβρωση και τις επιμολύνσεις μπορεί να είναι τα ελαττωματικά ή κατεστραμμένα υλικά.
Τα PCB των περισσότερων δίσκων περιέχουν μοναδικές πληροφορίες για το δίσκο στον οποίο ανήκουν, είτε μέσω της ROM(η οποία είναι συνήθως μία EEPROM— Electrically Erasable and Programmable Read-Only Memory), είτε ενσωματωμένες μέσω στον κεντρικό επεξεργαστή. Αυτές οι μοναδικές πληροφορίες ονομάζονται adaptivesή adaptive informationή firmware.
ΚΑΝΟΝΑΣΔεν είναι δυνατή η απλή αντικατάσταση ενός προβληματικού PCB με ένα άλλο, χωρίς να μεταφερθούν τα adaptives, κάτι που απαιτεί εξειδικευμένο προσωπικό. Οι μέρες που μια απλή αντικατάσταση του PCB ήταν αρκετή, έχει περάσει ανεπιστρεπτί.
Μερικές φορές τα κέντρα επισκευών προχωρούν σε αλλαγή PCB και δεν ενημερώνουν τον πελάτη, ή ακόμα χειρότερα καταστρέφουν ή πετάνε τα καμμένα/προβληματικά PCB. Αυτό φυσικά έχει ως αποτέλεσμα η διαδικασία ανάκτησης να γίνεται πολύ δυσκολότερη, ακριβότερη ή ακόμα και αδύνατη.
Παρακαλούμε έχετε υπόψιν ότι η ανάκτηση από δίσκους Toshiba 2.5” στους οποίους δεν υπάρχει το πρωτότυπο PCB είναι αδύνατη.
Για τους καινούργιους Seagate δίσκους (οικ. F3 και μετά), δε, η ανάκτηση μπορεί να κοστίσει μερικές χιλιάδες ευρώ αν το πρωτότυπο PCB έχει χαθεί.
ΚΑΝΟΝΑΣΘα πρέπει να επιστρέφεται ο προβληματικός δίσκος με την αρχική του πλακέτα, ακόμα και αν είναι εντελώς κατεστραμμένη.

4. ΠΡΙΝ ΠΑΡΕΧΟΥΜΕ ΡΕΥΜΑ ΣΤΟ ΔΙΣΚΟ


Εικ. 3 Κατεστραμμένες κεφαλές στο parking ramp.
ΒΑΣΙΚΟΣ ΚΑΝΟΝΑΣ
ΜΗΝδίνετε ρεύμα σε ένα δίσκο για τον οποίο ξέρετε ότι έχει υποστεί πτώση ή έχει δεχτεί κρούση με οποιονδήποτε τρόπο! Ένας δίσκος στον οποίο έχουν πέσει πάνω του υγρά ή έχει μολυνθεί με οποιονδήποτε τρόπο δεν θα πρέπει να του δίνουμε ρεύμα. Ένας δίσκος που έχει έρθει σε εμάς ανοιγμένος από κάποιον τρίτο, δεν θα πρέπει να του δίνουμε ρεύμα. Διαβάστε παρακάτω τους λόγους.
Οι σκληροί δίσκοι περιέχουν εκπληκτική γκάμα κορυφαίας μηχανικής και ηλεκτρονικής τεχνολογίας καθώς και εσωτερικό λογισμικό (που αποκαλείται firmware). Είναι όμως και εξαιρετικά ευαίσθητες συσκευές.
Κατά τη διάρκεια της λειτουργίας τους, μικροσκοπικές κεφαλές εγγραφής/ανάγνωσης πετούν πάνω από τα platter τα οποία περιέχουν τα δεδομένα του δίσκου. Η απόσταση στην οποία πετούν οι κεφαλές είναι 0.0038μm (συγκριτικά, το ύψος ενός κόκκου σκόνης είναι 10μm)- Εικ 4.

Αν ο δίσκος υποστεί σοκ (πτώση, κρούση), οι κεφαλές μπορεί να πέσουν επάνω στα platters με αποτέλεσμα να δημιουργηθεί βλάβη τόσο επάνω στα platter ενώ φυσικά και οι κεφαλές θα καταστραφούν. Βλάβη στις κεφαλές μπορεί να προκληθεί όταν ο δίσκος υποστεί κρούση ακόμα και όταν δεν είναι στο ρεύμα.

Εικ. 5 Σε μεγέθυνση μολυσμένη κεφαλή από το μαγνητικό υλικό των platters.Η εικόνα 5 δείχνει σε μεγέθυνση μία κατεστραμμένη κεφαλή. Η κεφαλή αυτή έχει σίγουρα γρατζουνίσει τα platter και το μαγνητικό υλικό των platter είναι τώρα μικροσκοπικά σωματίδια σκόνης. Δεν είναι δυνατή η ανάκτηση δεδομένων από κατεστραμμένα platter.
Επομένως, μόλις δοθεί ρεύμα στο δίσκο, οι αλλοιωμένες/παραμορφωμένες κεφαλές κινούνται επάνω στα platter και “ξύνουν” την επιφάνεια και μαζί με αυτό απομακρύνουν οποιαδήποτε πιθανότητα ανάκτησης.
Η σκόνη αυτή με τη σειρά της διασπείρεται σε όλες τις επιφάνειες του δίσκου κάνοντας τα πράγματα ακόμα χειρότερα.
Η εικόνα 6 έχει τραβηχτεί στο μικροσκόπιο του Clean Room μας και δείχνει ένα δίσκο που λειτούργησε με κατεστραμμένες κεφαλές. Είναι σαφώς εμφανείς τόσο οι βλάβες στην επιφάνεια (τα κυκλικά scratch που σε σημεία έχουν γίνει αυλακώσεις, όσο και η μαγνητική σκόνη.

Δυστυχώς για αυτές τις περιπτώσεις, οι προοπτικές ανάκτησης είναι εξαιρετικά χαμηλές. Συνήθως δεν είναι δυνατή ούτε μία μερική ανάκτηση, καθώς οι βλάβες είναι μεγάλες και διασπείρονται κατά κανόνα σε όλες τις επιφάνειες.

Εικ. 6 Βλάβες στην επιφάνεια.
Δίσκοι με μικρή βλάβη στην επιφάνεια μερικές φορές ανακτώνται, αλλά συνήθως μόνο μερική ανάκτηση είναι δυνατή. Εξαρτάται από την έκταση της βλάβης και το σημείο της. Ο χειρισμός δίσκων με βλάβη στην επιφάνεια είναι εξαιρετικά δύσκολη διαδικασία και αποτελεί εξειδίκευση.

Σε αυτό το σημείο η εξέταση των platter και των κεφαλών είναι ίσως το σημαντικότερο κομμάτι της διαγνωστικής διαδικασίας, όμως μόνο μέσα σε πραγματικά αποστειρωμένο περιβάλλον (Clean Room).

H Northwind Data Recovery είναι ο μοναδικός WD, HGST, & Europol Trusted Partner στην Ελλάδα στους τομείς της Ανάκτησης Δεδομένων από σκληρούς δίσκους και επίλυσης Ransomware όπως οι Dharma, Stop, Jigsaw, Scarab, Gandcrab, Matrix, Screenlocker, Cerber, HiddenTear, Locky, WannaCry, STOP.