Forschungsfall #4 USB

Manchmal braucht es etwas länger, aber dafür wird es gut!

In einem neuen R&D Fall unser Veröffentlichungsreihe der Expertendatenbank, zeigt unser Stellar Lab, dass es keinen Aufwand scheut Ihre verlorenen Daten von einem USB-Stick zu retten.

Unsere  vierte Episode handelt von einer USB-Stick Datenrettung.
Der 16 GB USB-Stick wurde vom Hostcomputer erkannt, der Inhalt des Datenbereichs war jedoch nicht verfügbar.
Fehler Meldung: “NO MEDIA”

USB-Stick Datenrettung im Labor:
Beim Öffnen der Plastikabdeckung sahen wir eine traditionelle USB-Stick Konstruktion. Der getrennte Controller-Chip und der Speicher-Flash-Chip befinden sich hier auf der Leiterplatte. Es gibt einen allgemeinen Prozess, eine mehrfach erfolgreich verwendete Methode zur Datenrettung, welche wir anwendeten.

Auch in diesem Fall haben wir unseren konventionellen Datenrettung-Prozess gestartet. Wir testeten die Leiterplatte und die Funktionalität der implementierten Bauteile auf der Leiterplatte. Dazu gehört das Prüfen aller messbaren Parameter, wie z.B. Spannungspegel, Stromverbrauch und Leistungsaufnahme. Es wird immer nach sichtbaren Aberrationen gesucht. Jedoch konnten wir keine messbaren Probleme feststellen, die elektrischen Parameter waren gut. Daher kamen wir zu der Annahme, dass es sich um einen logischen Fehler handeln könnte, zum Beispiel dass der Controller seine Funktion nicht mehr erfüllt. Häufig sind dann auch Metadaten beschädigt, die zusammen mit Benutzerinhalten im Flash-Chip gespeichert werden.

Dann gibt es keine andere Möglichkeit, als direkt auf den Inhalt des Flash-Chips zuzugreifen. Wir entfernten die Chips von der Leiterplatte (Entlöten/ Chip-off Methode) brachten sie neu an und versuchten nach der Reinigung eine Kopie aus dem verschlüsselten Inhalt von dem Flash zu erstellen. Dann fuhren wir mit dem Wiederherstellungsprozess fort. Der Flash-Chip ist in einem genormten Design und der Gehäusetyp lautet hier TSOP-48.

Source of Image:

So ein Datenblatt ist öffentlich zugänglich, so dass es für spezielle, fehlertolerante Lesegeräte auch bei schwachen oder teilweise beschädigten Flash-Chips keine Unmöglichkeit mehr ist die Daten zu retten, solange die Funktionsweise des NAND Flash-Speichers einmal bekannt ist.

Nachdem wir den separierten und gesäuberten FLASH Chip an unseren Reader angeschlossen haben, stellten wir fest, dass nur die Hälfte der ursprünglich angegebenen Speicherkapazität zugänglich ist.
Also analysierten wir den Inhalt des kopierten Speichers nochmals. Wir konnten sehen, dass die angegebene Größe des USB-Sticks (von 16 GB) jedoch realistisch ist und irgendwo lesbar sein muss. Aus diesem Grund haben wir die Suche fortgesetzt.

Es gibt tatsächlich einige bekannte Fälle, in denen der Benutzer einer Täuschung unterlegen ist, den er nicht erkennen kann. Zum Beispiel ein ungerechtfertigter Flash-basierter Chip im USB-Gerät mit falscher Größenangabe!

Typ: PHISON PS2251-01.
Zwei implementierte Flash-Chips: TI56G1GAHA.

Source of Image: Stellar Datenrettung

Nach der Leiterplatten-Layout-Analyse haben wir festgestellt, dass es zusätzliche Anschlüsse des Flash-Chips gibt, deren Funktionen unbekannt sind. Wir führten eine Pin-Out-Suche durch.
Bei Verwendung des Flash-Chip-Interface Ersatzschaltbildes haben wir dann die passiven Parameter aller anderen verwendeten, und die bisher unbekannten Pins gemessen.
Diese sind nach Funktion gegliedert. Die Parameter werden im Anschluss zu deren mögliche Funktionen zugeordnet. Durch die Verwendung einiger bestimmten Regeln der FLASH-Chip-Bearbeitung, haben wir die möglichen Pinbelegungen abgeschlossen und ein Konvertierungsmodul erstellt. Damit war es uns letztlich möglich den fehlenden Inhalt zu lesen.

Source of Image: Stellar Datenrettung

Nach dem Lesen konnten wir die bereits begonnene Analyse fortsetzen, welche wir aufgrund fehlender Inhalte anhalten mussten. Wir analysierten den implementierten Algorithmus des Datenspeichers auf dem Flash-Chip, korrigierten die fehlenden/beschädigten Metadaten-Parameter und rekonstruierten die ursprüngliche Struktur des Datenbereichs des USB-Geräts so weit wie möglich.

Wegen einiger logischer Schäden, einige Bereiche eines Chips waren teilweise korrupt, haben wir die Methode angewendet, die im Falle einer logischen Beschädigung angemessen ist. Schließlich haben wir diesen unkonventionellen Fall abgeschlossen und der Kunde hatte seine Daten wieder.

Auftragsvergabe: 09/08/2017
Ende der Datenrettung: 23/10/2017

• Anzahl wiederhergestellter Dateien: 8669
• Anzahl wiederhergestellter Ordner: 598
• Gesamtgröße geretteter Dateien: 5.76 GB

Stellar Datenrettung empfiehlt bei jeglichen Beschädigungen oder Zugriffsproblemen, sofort einen Experten aufzusuchen. Jegliche Art der Selbsthilfe birgt Risiken und führt womöglich zu einem kompletten und unumkehrbaren Datenverlust.

Wir beraten Sie gern kostenlos und unverbindlich: 030/692 008 300