Fall aus dem Datenrettungslabor – USB Sticks mit fehlerhaften Angaben

Was tun, wenn der  USB Stick vom Hostcomputer erkannt wird, der Inhalt des Datenbereichs jedoch nicht verfügbar ist.

“NO MEDIA”  lautete die Anzeige, das war Aufforderung genug.

Wie läuft der Prozess ab?

Beim Öffnen der Plastikabdeckung war die traditionelle USB-Stick Konstruktion zu sehen. Controller-Chip und der Speicher-Flash-Chip befinden sich auf der Leiterplatte.

Die Experten testeten die Leiterplatte und die Funktionalität der implementierten Bauteile auf der Leiterplatte. Dazu gehört das Prüfen aller messbaren Parameter, wie z.B. Spannungspegel, Stromverbrauch und Leistungsaufnahme.

Messbare Probleme konnten nicht festgestellt werden, folglich  wurde geschlussfolgert, dass es sich um einen logischen Fehler handeln müsste.  Wenn zum Beispiel der Controller seine Funktion nicht mehr erfüllt, sind häufig auch Metadaten beschädigt, die zusammen mit den gespeicherten Inhalten im Flash-Chip gespeichert werden.

Dann gibt es keine andere Möglichkeit, als direkt auf den Inhalt des Flash-Chips zuzugreifen. Nach der Entfernung der Chips von der Leiterplatte (Entlöten/ Chip-off Methode) und neuer Anbringung  wurde versucht nach der Reinigung eine Kopie aus dem verschlüsselten Inhalt zu erstellen. Dann wurde der Wiederherstellungsprozess fortgesetzt.

Es gilt: für spezielle, fehlertolerante Lesegeräte ist es auch bei schwachen oder teilweise beschädigten Flash-Chips keine Unmöglichkeit mehr ist die Daten zu retten, solange die Funktionsweise des NAND Flash-Speichers einmal bekannt ist.

Nachdem der separierte und gesäuberte FLASH Chip an den Reader angeschlossen wurde, stellte die Data Recovery Spezialisten fest, dass nur die Hälfte der ursprünglich angegebenen Speicherkapazität zugänglich war. Fazit: Nochmals Analyse starten.  Die angegebene Größe des USB-Sticks (von 16 GB) war realistisch und sollte irgendwo lesbar sein. Die Suche wurde hartnäckig weitergeführt.

Übrigens gibt es tatsächlich einige bekannte Fälle, in denen der Benutzer einer Täuschung unterlegen ist, die er nicht erkennen kann. Zum Beispiel kann dies ein Flash-basierter Chip im USB-Gerät mit falscher Größenangabe sein!

Nach der Leiterplatten-Layout-Analyse wurde festgestellt, dass es zusätzliche Anschlüsse des Flash-Chips mit  unbekannten Funktionen gab.  Es folgte eine Pin-Out-Suche.
Bei Verwendung des Flash-Chip-Interface Ersatzschaltbildes wurden dann die passiven Parameter und die bisher unbekannten Pins gemessen. Diese sind nach Funktion gegliedert. Die Parameter werden im Anschluss den möglichen Funktionen zugeordnet. Durch die Verwendung einiger bestimmten Regeln der FLASH-Chip-Bearbeitung, wurden die möglichen Pinbelegungen abgeschlossen und ein Konvertierungsmodul erstellt. Damit war es letztlich möglich den fehlenden Inhalt zu lesen.

Nach dem Lesen konnten die bereits begonnene Analyse fortgesetzt werden inklusive Analyse des Algorithmus des Datenspeichers auf dem Flash-Chip. Die fehlenden/beschädigten Metadaten-Parameter wurden korrigiert, die ursprüngliche Struktur des Datenbereichs des USB-Geräts so weit wie möglich rekonstruiert.

Aufgrund einiger logischer Schäden (diverse teilweise korrupte Segmente auf dem Chip) wurde also eine Methode angewendet, die im Falle einer logischen Beschädigung angemessen ist. Schließlich konnte dieser etwas unkonventionelle Fall erfolgreich abgeschlossen werden.

• Anzahl wiederhergestellter Dateien: 8669
• Anzahl wiederhergestellter Ordner: 598
• Gesamtgröße geretteter Dateien: 5.76 GB

Mehr Infos: http://www.stellardatenrettung.de/datenrettung-flash-speicher.htm

Weitere Fälle und Experten Know-how

Datenrettung mit Notfallgarantie

Wie immer beim Umgang mit Daten gilt es auf die Seriosität, Qualität und wesentliche Kriterien professioneller DataRacovery Unternehmen zu achten:

Weitere Informationen zum Prozess der Datenrettung.

KOSTENFREIE Hotlines:

Berlin: 030 692 008 300
Hamburg: 040 209 324 430
Düsseldorf: 0211 635 59 140
München: 089 416 176 730
Frankfurt: 069 175 369 970

Zürich: +41 (0)43 508 02 82

Wien: +43 (0) 1 229 72 88

Über Stellar Datenrettung

Stellar Datenrettung ist das weltweit einzige ISO-zertifizierte Datenrettungsunternehmen welches sowohl in der Entwicklung von Software-Tools, als auch in der professionellen Datenrettung erfolgreich tätig ist. Das Stellar Datenrettungslabor verfügt über einen modernen, ISO-zertifizierten Reinraum der Klasse 100. Datensicherheit hat höchsten Stellenwert, so erhielt Stellar das BDO Sicherheitszertifikat und ist unter anderem Mitglied der Allianz für Cybersicherheit. Das Unternehmen zählt weltweit mehr als 2 Millionen zufriedene Kunden und ist in Deutschland seit 20 Jahren in der Datenrettung erfolgreich. Stellar hat fünf Standorte in Deutschland (Berlin, Hamburg, München, Düsseldorf, Frankfurt), Standorte in der Schweiz und in Österreich.

Weitere Informationen über Stellar: www.stellardatenrettung.de