поврежденные файлы btc в скрытом томе

[alexjohn]

Цитата (9285) »

alexjohn
Речь была, конечно же, о ноутбуке.
А на переносном, как писал выше, нет смысла что либо сканить напрямую.
В идеале, сделать копию файла-контейнера, примонтировать его в вере и потом в DMDE открывать логический диск с соотвествующей буквой. И сканить уже в таком формате. И в дальнейшем, если будешь искать по содержимому тоже работать так + открывать chk-файлы как файл-образы и в них искать по тексту (в хексах).

Я понял, завтра буду пробовать копаться с ноутбуком.
И если не сложно, прочитайте, пожалуйста, лс

[9285]

alexjohn
Ок!
Я постараюсь до завтра 8:00 что нибудь расскопать в exFAT, а может и в вере и отпишусь.
В ЛС ничего нет. Правда было какое то заблокированное всплывающее окно, которое я разрешил, но не думаю что блокирока удалила само сообщение. Поэтому, продублируй ещё.

[alexjohn]

Цитата (9285) »

alexjohn
Ок!
Я постараюсь до завтра 8:00 что нибудь расскопать в exFAT, а может и в вере и отпишусь.
В ЛС ничего нет. Правда было какое то заблокированное всплывающее окно, которое я разрешил, но не думаю что блокирока удалила само сообщение. Поэтому, продублируй ещё.

Благодарю За помощь!
Сообщение могло на электронную почту уйти

upd рассказываю свои мысли...
структура папок была такой
папка_1
..папка_1.1
...файл_1.json
...файл_2.csv
..папка_1.2
...файл_1.backup
..файл_1.dat
..файл_2.txt
..файл_3.txt
и такик папок всего 4, но с разными именами. их я знаю.
сейчас понял, что могу восстановить полносьтью структур двух папок, у меня есть к ним доступ(это старые кошельки). остаются две папки. одна из них не нужна, т.к тоже старый кошелек, а вот во второй все что нужно. и по сути, чтобы восстановить доступ требуется доступ хотя бы к любому одному файлу.
теперь вопрос.. поможет ли восстановление структуры двух папок восстановить еще две папки?
но правда с чтением hex я не силен..

Так же, может быть конечно все это из мира фантастики..но может существует программа, которая восстанавливает весь буфер обмена по тексту? Если на ноуте его поднять, то в нем 100% будут ключевые слова для доступа в кошелек..

[9285]

alexjohn

Цитата

поможет ли восстановление структуры двух папок восстановить еще две папки?

Если необходимые файлы имеют какую то характерную сигнатуру, то да.
Позжее опишу как использовать (проверить) такую возможность.

Цитата

но правда с чтением hex я не силен..

Да этож элементарно, Ватсон!
Всё покажу на скриншотах как это делать.

Цитата

Сообщение могло на электронную почту уйти

Увы, но регистрационный ящик я в своё время забросил, потому как не придерживаюсь политики необходимости оставлять свой телефон, поэтому доступа к нему нет. Продублируй здесь, просто в ЛС.
PS. изменил в профиле адрес электронки, так что можешь в неё послать.

[9285]

Ну что, начнём потихоньку.
1. Относительно хороший момент - файл-контейнер тома со скрытым разделом НЕ создаётся динамическими. То есть он сразу записывается в полном обьёме на хостовый диск. Это хорошо тем, что файл может быть или не фрагментирован или разбит на меньшее число чем если бы был простой том (динамический).
Если бы могли найти начало тома, то можно было бы просто скопировать сектора начиная от найденного сектора и размером каким он был (может быт и больше). Но всё равно стоит учитывать что на место где ранее был записан том могло что то записаться, в том числе и удалиться полностью. В случае если бы не удалилось, то по карте кластеров можно было бы оценить потери и где они будут.
Вопрос только в том как найти начало тома.
В документации есть описание заголовка тома и там видно что есть сигнатур по которой можно найти его, но что то я не нашёл таковой в своих образцах (но это мне надо ещё поковырять)
2. Отличный момент - в параметрах монтирования тома можно задать режим только чтения. Это защитит открываемый том от каких либо твоих неправильных действий или от действий того же чекдиска, который в 8-ке и новее может без спросу чекать некоторые типы ошибок.
3. Что касается поиска по хексам.
Находишь образец файла ил создаёшь такой.
Далее можешь открыть его как образ или просто найти на диске в DMDE и выделить его. В окне увидишь его заголовок. Выделяешь нужное число байтов и в меню Правка выбираешь копирование.
После этого выбираешь свой логический иск и переходишь к его началу. Если что, переключаешься в режим отображения Текст/хекс
В меню сервис выбираешь Найти строку. В появившемся окошке программа сама вставит в окно поиска то, что ты скопировал.
При необходимости выбираешь те или иные опции поиска и запускаешь его.
что касается опций, то они разные, но рассмотрю пока одну - смещение от начала сектора. Если мы знаем что скопированный текст должен быть в начале сектора, то выберем эту опцию и оставляем там цифру 0. Это избавит от нахождения кусков такого текста, которые могут быть в любом другом месте (с любым смещением).
После нахождения нужного начала делаешь посекторку, начиная с этого сектора и размером каким примерно должен быть файл. А потом смотришь содержимое в том же блокноте. Перед просмотром надо изменить расширение дампа с bin на соответствующее.

[9285]

У меня есть немного времени (потом уйду) - если есть "горящие" вопросы, спрашивай;
возможно успею ответить.

[alexjohn]

Цитата (9285) »

У меня есть немного времени (потом уйду) - если есть "горящие" вопросы, спрашивай;
возможно успею ответить.

Пока тяжеловато представить как все проделать на практике, но я попробую!
Я так понял мне нужно создать новый файл для шифрования в веракрипт, сделать идентичное расположение, то есть один раздел и в нем скрытый. Восстановить там структуру папок, файлов и содержимого, грубо говоря, сделать все так как было на сломанном контейнере. И уже методом поиска копировать хекс из нового контейнера и искать его же в старом контейнере?
Или же я должен искать хекс в созданных .chk файлах, заранее переименовав их в .bin?
Ну по ходу дела наверно в любом случае появятся вопросы, буду пробовать, что ж еще делать. Вам спасибо большое еще раз!

Я вам отправил письмо, посмотрите в электронную почту, спасибо

[9285]

Совсем недавно в DMDE открыл для себя очень полезный функционал, который может тебе пригодится. Это возможность программно находить сигнатуру файла, у которого нет таковой в стандартном наборе.
Для этого желательно иметь как можно больше образцов таких файлов, чтобы было точное определение сигнатуры. Все образцы нужно скопировать в одну папку, причём не обязательно сами файлы так как они могут быть огромными - достаточно 8 начальных секторов.
Затем, в параметрах полного сканирования надо зайти в RAW: сигнатуры файлов.
В появившемся окне можно (чтобы результаты поиска известных типов файлов не путались под ногами) снять чекбоксы с "лишних" типов файлов или групп полностью, и выбрать Добавить.
В новом окне Задать название типа файлов чтобы было самому понятно, выбрать к какому типу их отнести и задать расширение - в принципе наверное лучше даже своё. Это нужно для того, чтобы потом найденные файлы при восстановлении получали указанное расширение. Нажать кнопку выделенную коричневым и указать в какой папке лежат образцы для анализа. Если программа найдёт сигнатуру (характерный набор байтов), то эта сигнатура будет в окошке выделенном синим. Нажимаем Ок, не забываем сохранить новый набор сигнатурного поиска - в дальнейшем, при последующих сканах можно будет просто загружать этот набор.
После окончания сканирования смотри найдено ли что нибудь но этой сигнатуре.

[9285]

alexjohn
Не надо делать новый контейнер.
Просто, в любом месте создаёшь новый файл, открываешь его как образ и выделяешь необходимый набор символов. После этого открываешь уже примонтированный логический диск (или те же цэашки) и ищешь в них.
PS. Не бзди, прорвёмся.
Тем более что тему читает мой виртуальный коллега с другого форума и возможно что у него будут какие то идеи, которые помогут в решении задачки.

PS. Ни в электронке, ни в ЛС не нашёл ничего. На случай если вдруг ошибки отправки в движке форума, моя электронка 9285-1@mail.ru

[alexjohn]

Цитата (9285) »

alexjohn
Не надо делать новый контейнер.
Просто, в любом месте создаёшь новый файл, открываешь его как образ и выделяешь необходимый набор символов. После этого открываешь уже примонтированный логический диск (или те же цэашки) и ищешь в них.
PS. Не бзди, прорвёмся.
Тем более что тему читает мой виртуальный коллега с другого форума и возможно что у него будут какие то идеи, которые помогут в решении задачки.

PS. Ни в электронке, ни в ЛС не нашёл ничего. На случай если вдруг ошибки отправки в движке форума, моя электронка 9285-1@mail.ru

Очень рад что в решении такого важного дела помогают настоящие профессионалы!
Сейчас минут через 10 сяду за пк и начну впитывать всю информацию. На лету с телефона тяжело понять, а там уже наверно полегче будет.

Письмо на почту тоже с пк отправлю в течении 10минут!

[9285]

alexjohn

СПОЙЛЕР »

Из меня профессионал как из Валуева балерина.
Просто, своеобразное хобби, в том числе позволяющее тренировать мозг.
А реальные профи практически не присутствуют в подобных темах. Точнее присутствуют, но в основном чтобы написать что надо обращаться к ним, покритиковать такую методику восстановления данных и назвать таких как ты лентяями и халявщиками - примеров такового предостаточно на руборде, но которой я вёл подобную тему в течении семи лет.
PS. Кстати, ты сам сюда пришёл или кто то подсказал на недофоруме начинающемся на cyber?
Если последнее, то не надо указывать имя советчика, а то там "админы" очень не любят таких и мстят им.

На время исчезаю.

[alexjohn]

Случилось чудо! Другими словами это не описать!
Ранее уже была запущено сканирование с помощью R-Studio, но результатов не дало, или же я просто не правильно ее использовал.
Выбрал логический диск, правая кнопка - сканировать. Первое сканирование не принесло результатов, затем снова пересканировал и тут я нашел вкладку *Дополнительно найденные файлы*. В нем вкладка text документ. 3 файла. 1. wallet.backup - старый кошелек. 2. файл без расширения(который chkdsk конвертировал из папки) 3. текстовый документ с именем 5(таких имен текстовиков точно не было).
Открыл текстовик и увидел длинную строчку и мне она показалась знакомой. Вспомнил! Вчерашним днем я открывал файл кошелька(default_wallet.backup) текстовым документом и там была похожая строчка.
Переименовываю этот файл в wallet.backup и открываю в Electrum - ошибка(что-то типа файл не поддерживается этой версией Electrum). Открываю Portable версию Electrum - ввожу пароль, 2фа и смотрю баланс... а дальше чуть ли не слезы на глазах, одни эмоции. Это то что нужно.
Что самое удивительное... Из всех (около 20 файлов) восстановилось только 2 - старый кошелек и новый кошелек(но в формате .txt). Ну не Чудо ли это? Думаю да!
Теперь уж точно я не буду откладывать создание копий в разных форматах, даже если диск лежит без делу несколько месяцев. Оказывается даже так на нем может что-то случится, в самый не подходящий вариант!
Я очень рад что есть такие люди как Вы, 9285! Я отпишу на почту!

[9285]

Поздравляю с удачным результатом.
Хотелось бы немного прокомментировать это чудо.
1. В дневной спешке как то забыл написать про то, что процессе моделирования ситуации у меня не было случая чтобы VeraCrypt сама предложила exFAT.
В принципе, это не сильно критично, потому что найденное R-studio это результат RAWсканирования, которое не работает с файловой системой. А если говорить о восстановлении по файловой, то очень важно правильно указывать тип файловой системы. А она у тебя была FAT32. И именно такую предлагает VeraCrypt в случае если не нужны файлы более 4гб.
2. С точки зрения устройства файловой системы FAT32 и exFAT не очень сильно отличаются, но exFAT заброшенная разработчиком ФС, не до конца изученная и не всякое ПО умеет работать с exFAT. И это лишний повод не использовать её.
Впрочем как и FAT32, если речь идёт о надёжности хранения. По этой части NTFS вне конкуренции. Это если речь идёт о поддерживаемых виндой.
Да, я в курсе о всяких ZFS и т.п., но это из другого мира и не до конца уверен что некоторые из ФС того мира настолько надёжны как это пишут их адепты.
В истории форумов можно найти немало случаев проблем с Ext разных версий и очень мало решений в таких случаях. Да ФС открытая, есть документация и т.п., но что есть то есть - как бы закрытая NTFS наиболее изучена и проблемы с ней решаемы, в том числе и нетрадиционными способами.
3. Что касается результата восстановления. Если несложно, напиши версию R-studio, попробую потестировать - возможно в новых версиях что то изменилось.
Но здесь есть несколько моментов. Как писал раньше, у текстовых файлов нет сигнатур, но насколько понимаю, их можно найти по тому признаку что они содержат только plain-text (возможно ошибаюсь в этом определении).
И в результаты такого поиска в список текстовых могут попасть файлы с другими расширениями если они содержат именно такой тип данных.
Что касается имён, то в случае сигнатурного поиска, привычных имён нет, потому как нет данных о них. И имена таким файлам даются по определённым правилам.
Например, в DMDE файлы именуются fххххх, где ххххх - номер сектора в котором найдено начало файла. Возможно что имя 5 из той же серии, но точнее скажу лишь проведя тестирование.
Конечно бы, было бы интересно провести сравнение в конкретном случае а не в смоделированном и, определив где записан этот файл посмотреть нашла ли DMDE что либо в этом секторе.
В любом случае я никогда не говорю что есть идеальные программы, надо пробовать разные, тем более что есть некоторые типы файлов, поиск которых возможен только в определённых программах.
А ту же DMDE я, и мой виртуальный коллега, используем потому что она позволяет смотреть то, что нужно для анализа ситуации и этого нет в каких то других известных мне программах. Да, есть в некоторых хекс-редактор но нет много каких ещё возможностей.
Вроде ничего не забыл.

[alexjohn]

Цитата (9285) »

Поздравляю с удачным результатом.
Хотелось бы немного прокомментировать это чудо.
1. В дневной спешке как то забыл написать про то, что процессе моделирования ситуации у меня не было случая чтобы VeraCrypt сама предложила exFAT.
В принципе, это не сильно критично, потому что найденное R-studio это результат RAWсканирования, которое не работает с файловой системой. А если говорить о восстановлении по файловой, то очень важно правильно указывать тип файловой системы. А она у тебя была FAT32. И именно такую предлагает VeraCrypt в случае если не нужны файлы более 4гб.
2. С точки зрения устройства файловой системы FAT32 и exFAT не очень сильно отличаются, но exFAT заброшенная разработчиком ФС, не до конца изученная и не всякое ПО умеет работать с exFAT. И это лишний повод не использовать её.
Впрочем как и FAT32, если речь идёт о надёжности хранения. По этой части NTFS вне конкуренции. Это если речь идёт о поддерживаемых виндой.
Да, я в курсе о всяких ZFS и т.п., но это из другого мира и не до конца уверен что некоторые из ФС того мира настолько надёжны как это пишут их адепты.
В истории форумов можно найти немало случаев проблем с Ext разных версий и очень мало решений в таких случаях. Да ФС открытая, есть документация и т.п., но что есть то есть - как бы закрытая NTFS наиболее изучена и проблемы с ней решаемы, в том числе и нетрадиционными способами.
3. Что касается результата восстановления. Если несложно, напиши версию R-studio, попробую потестировать - возможно в новых версиях что то изменилось.
Но здесь есть несколько моментов. Как писал раньше, у текстовых файлов нет сигнатур, но насколько понимаю, их можно найти по тому признаку что они содержат только plain-text (возможно ошибаюсь в этом определении).
И в результаты такого поиска в список текстовых могут попасть файлы с другими расширениями если они содержат именно такой тип данных.
Что касается имён, то в случае сигнатурного поиска, привычных имён нет, потому как нет данных о них. И имена таким файлам даются по определённым правилам.
Например, в DMDE файлы именуются fххххх, где ххххх - номер сектора в котором найдено начало файла. Возможно что имя 5 из той же серии, но точнее скажу лишь проведя тестирование.
Конечно бы, было бы интересно провести сравнение в конкретном случае а не в смоделированном и, определив где записан этот файл посмотреть нашла ли DMDE что либо в этом секторе.
В любом случае я никогда не говорю что есть идеальные программы, надо пробовать разные, тем более что есть некоторые типы файлов, поиск которых возможен только в определённых программах.
А ту же DMDE я, и мой виртуальный коллега, используем потому что она позволяет смотреть то, что нужно для анализа ситуации и этого нет в каких то других известных мне программах. Да, есть в некоторых хекс-редактор но нет много каких ещё возможностей.
Вроде ничего не забыл.

Спасибо! Чтобы он не нашел, удивило то, что восстановился именно нужный файл с кошельком! Пусть и в другом формате, но мы его вычислили!
Версия R-Studio Demo 9.1 (Сборка: 191060). До нее по разному пытался что-то найти с помощь DMDE, но вообще никак! А может и ошибаюсь...скриншот кидал с каким-то файлом, где он ошибку при восстановлении выкидывал..
Вот интересно, что делать теперь с ЖД. На нем лежит 600гб фото, очень не хочется заново их копировать. Возможно как-то исправить этот диск, не затронув фотки? Они если что в другом контейнере(тоже зашифрованные)

[9285]

alexjohn
Возможно что это можно обьяснить тем, что менее повредились более свежие файлы.

Цитата

.скриншот кидал с каким-то файлом, где он ошибку при восстановлении выкидывал.

На том скриншоте том с exFAT на 7хх гигабайт а в электронке ты присылал скриншот где раздел FA32 314мб. Это совершенно разные вещи.
Ты наверное думаешь что когда том монтируется, то он виден расшифрованный на диске - а это не так. Расшифровка идёт на лету и эти данные только на "виртуальном" логическом тому.
Что касается диска, то с учётом написанного выше, тебе, по хорошему сбросить с него данные, хорошо протестировать, после чего (если не будет проблем) сделать том NTFS и на нём создать по новой или зашифрованные тома или файлы-контейнеры тоже с NTFS.
Ну и, первое время, следить за SMART. Если не будет никаких проблем, контролировать, но не так усиленно.

[alexjohn]

Цитата (9285) »

alexjohn
Возможно что это можно обьяснить тем, что менее повредились более свежие файлы.
На том скриншоте том с exFAT на 7хх гигабайт а в электронке ты присылал скриншот где раздел FA32 314мб. Это совершенно разные вещи.
Ты наверное думаешь что когда том монтируется, то он виден расшифрованный на диске - а это не так. Расшифровка идёт на лету и эти данные только на "виртуальном" логическом тому.
Что касается диска, то с учётом написанного выше, тебе, по хорошему сбросить с него данные, хорошо протестировать, после чего (если не будет проблем) сделать том NTFS и на нём создать по новой или зашифрованные тома или файлы-контейнеры тоже с NTFS.
Ну и, первое время, следить за SMART. Если не будет никаких проблем, контролировать, но не так усиленно.

Да, перепроверил скрины. На том скриншоте 7гб это другая флешку, в ней тоже копии хранились, но старые кошельки. Значит точно DMDE не находили этого файла. Хотя пробовал по разному сканировать..
А так понял, все же придется перемещать все фото, а то и они могут все уплыть..

[9285]

Цитата (alexjohn) »

На том скриншоте 7г

Не 7 а 752

[9285]

Цитата (alexjohn) »

Версия R-Studio Demo 9.1

Провёл простое тестирование крайних версий R-studio и DMDE
Взял и переформатировал раздел с exFAT на котором было записана пара экзешников и один лог-файл (по сути текстовый).
Выяснилось что DMDE при RAW-сканировании не ищет txt-файлы.
Но, после полного скана раздела, она нашла старую структуру диска с файлами и они со своими именами.
R-studio в RAW-сканировании может искать текстовые файлы и нашла (имя файла не понял как она формирует), но не нашла вообще старой структуры данныых.

[alexjohn]

Цитата (9285) »

Провёл простое тестирование крайних версий R-studio и DMDE
Взял и переформатировал раздел с exFAT на котором было записана пара экзешников и один лог-файл (по сути текстовый).
Выяснилось что DMDE при RAW-сканировании не ищет txt-файлы.
Но, после полного скана раздела, она нашла старую структуру диска с файлами и они со своими именами.
R-studio в RAW-сканировании может искать текстовые файлы и нашла (имя файла не понял как она формирует), но не нашла вообще старой структуры данныых.

А другие версии DMDE ищут .txt файлы? По сути это был важным пунктом для сканирования, т.к в этих файлах и был доступ к кошельку..

[9285]

alexjohn

Цитата

А другие версии DMDE ищут .txt файлы?

Обычно, более новые версии поддерживают больше форматов и алгоритмов.
Поэтому логично что раз крайняя не может, то и более ранние тоже.

Цитата

По сути это был важным пунктом для сканирования

В общем то, да. Но представь что нужный файл был бы не текстового формата а какой то специфичный.
Что бы было тогда?