Datenrettung 2TB USB Festplatte

[team_snowden]

Liebe Forengemeinde,
ich brauche dringend Hilfe, sonst dreh ich hier noch durch

Problem:
Am Freitag Abend passierte das Malheur. Vermutlich ausgelöst durch einen schmorenden Kontakt zwischen +12V DC-Input Buchse und Netzteil hat meine externe USB-Festplatte (WD My Book 2 TB) eine Überspannung erwischt. Sofort zu erkennen am Gestank.

Nach Öffnen des Gehäuses stellte sich heraus, dass der USB-Controller Chip im Eimer ist (nicht weiter schlimm). Die HDD habe ich dann per SATA an meinen Tower-PC angeschlossen.
Sie wird ohne Probleme sowohl im BIOS als auch vom Betriebssystem (Win7) erkannt. Jedoch wird die Platte lediglich als physikalisches Laufwerk erkannt, und nicht als logisches Laufwerk unter "Computer" angezeigt. Auf die Daten habe ich keinen Zugang, da keine Partitionen gefunden werden ("unallocated").
Ursprünglich waren 2 Partitionen auf der Platte: eine kleine FAT32 (~50 GB) und eine große NTFS (der Rest).

Was ich bisher gemacht habe:
-Schreibenden Zugriff strikt vermieden

-Versuche, die Festplatte 1:1 als Image zu kopieren:
FileZilla, TrueImage, EaseUS ToDo Backup --> Kein Erfolg.
Restorer Ultimate erstellt mir eine komprimierte 'IMA'-Datei und eine unkomprimierte 'IMG'-Datei. Beide können unter Windows via ImDisk gemountet werden, dann jedoch nicht formatiert/partitioniert etc.
Paragon Partition Manager erstellt mir eine 'F00'-Datei

Auf was sollte man beim Image erstellen generell achten?
Wo es ging, habe ich , "Sektor für Sektor Kopie" und "unkomprimiert" ausgewählt.

-Linux Live CD (Knoppix)--> auch hier wird Festplatte nicht erkannt

-Diverse Wiederherstellungstools, um Partitionen wieder zu finden (PC Inspector,EaseUS Partition Master, EaseUS Data Recovery, GetDataBack, Recuva, Restorer Ultimate, Paragon Partition Manager )
--> mal mehr, mal weniger lange Suche. Am Ende aber keine Partition gefunden

- Oben genannte Tools, um die Daten wiederherzustellen
-->Erfolg nur bei EaseUS Data Recovery und Restorer Ultimate.
Hier wird sogar die schätzungsweise richtige Menge an Dateien (~700) mit dem richtigen Gesamt-Datenvolumen (~900 GB) gefunden, doch stimmen die Dateiformate überhaupt nicht.
Es sind ganz andere Dateien, überwiegend "ungewöhnliche" Dateiformate (z.B. 3ds, au, gzip,swf), wovon ich ganz sicher keine Dateien hatte. Nach Wiederherstellung lassen sich diese auch mit keinem einzigen Programm öffnen.

- testdisk: Stufe 1 (Analyse), Stufe 2 (Tiefere Suche)
->auch nicht wirklich ein Ergebnis. Screenshot angehängt.


Ich hoffe, meine Angaben sind nun ausreichend.
Wäre wirklich super nett, wenn sich jemand Zeit nehmen könnte, um mir bei der Datenrettung zu helfen.

Gruß

 

[computerbase107]

Versuche einmal "Raw Copy", was das Kopieren unterhalb des Filesystems vornimmt:
http://hddguru.com/software/HDD-Raw-Copy-Tool/

Eventuell die Festplatte hierzu per USB-Adapter anschließen, wenn es eingebaut nicht funktioniert.

 

[team_snowden]

Versuche einmal "Raw Copy", was das Kopieren unterhalb des Filesystems vornimmt:
http://hddguru.com/software/HDD-Raw-Copy-Tool/

Eventuell die Festplatte hierzu per USB-Adapter anschließen, wenn es eingebaut nicht funktioniert.

Danke für den Tipp.
Das Kopieren/Sichern ist das Eine, primär bräuchte ich aber vor allem Hilfe bei der Datenrettung.
Also wenn wer noch einen Rat hat, dann bitte melden

 

[Thuri]

Kauf dir ein externes USB-Gehäuse und steck die Platte rein.

 

[Fiona]

Hatte wohl einige Fälle mit WD My Book-Platten bei denen die Platte durch einen Verschlüsselungschip im Gehäuse (hardware encryption key chip) verschlüsselt waren.
Anwender bemerkten es oftmals nicht!
Im Fall bedeutet es, wenn du die Platte ausbaust, kommst du dann nicht mehr an die Daten.
Versuche es mal zu klären, ob du im Gheäuse einen Verschlüsselungschip hattest?

Viele Grüße

Fiona

 

[team_snowden]

Hatte wohl einige Fälle mit WD My Book-Platten bei denen die Platte durch einen Verschlüsselungschip im Gehäuse (hardware encryption key chip) verschlüsselt waren.
Anwender bemerkten es oftmals nicht!
Im Fall bedeutet es, wenn du die Platte ausbaust, kommst du dann nicht mehr an die Daten.
Versuche es mal zu klären, ob du im Gheäuse einen Verschlüsselungschip hattest?

Viele Grüße

Fiona

Es handelt sich um eine WD My Book Essential 2 TB (wdc wd20ears-00mvwb051).
Laut diversen Foren ist dieses Modell mit einer 256-Bit Verschlüsselung versehen.
Und zwar sind diese 32 Byte auf dem Flash-Speicher der Leiterplatine
Flash-Speicher (2 Mbit): Pm25LD020
Datenblatt hab ich auch schon gefunden.
Als Interface zum Auslesen steht SPI zur Verfügung.

Wie gehts nun weiter?
Soll ich den Speicher auslöten und an einen Microcontroller mit SPI-Schnittstelle ranhängen?

Gruß

 

[Simpson474]

Soll ich den Speicher auslöten und an einen Microcontroller mit SPI-Schnittstelle ranhängen?

Dann hast du die Daten des Chips und dann? Für die Verschlüsselung muss eigentlich fast irgendein Verschlüsselungsmodus verwendet werden, ansonsten würde jeder Sektor auf der HDD, der exakt die gleichen Daten enthält, auch nach der Verschlüsselung exakt gleich aussehen (Sicherheitsrisiko). Du müsstest dann wohl auf jeden Fall eine Software schreiben, die mit dem entsprechenden Verschlüsselungsverfahren und Key die Daten entschlüsselt - dürfte nicht ganz einfach sein.

Ich würde versuchen, den Flash-Chip auf eine baugleiche Platine umzulöten - falls der Flash-Chip die Überspannung überlebt hat (ist laut Datenblatt auch nur ein 3.3V Gerät, kann also gefährlich werden), dann sollten die Daten wieder korrekt entschlüsselt werden. Ansonsten kannst du auch einen Test machen, ob die Daten wirklich verschlüsselt sind: öffne mit HxD die betroffene Festplatte (Extras -> Open Disk) und mach einen Screenshot von Sektor 0, Sektor 63 und Sektor 2048.

 

[team_snowden]

Dann hast du die Daten des Chips und dann? Für die Verschlüsselung muss eigentlich fast irgendein Verschlüsselungsmodus verwendet werden, ansonsten würde jeder Sektor auf der HDD, der exakt die gleichen Daten enthält, auch nach der Verschlüsselung exakt gleich aussehen (Sicherheitsrisiko). Du müsstest dann wohl auf jeden Fall eine Software schreiben, die mit dem entsprechenden Verschlüsselungsverfahren und Key die Daten entschlüsselt - dürfte nicht ganz einfach sein.

Ich würde versuchen, den Flash-Chip auf eine baugleiche Platine umzulöten - falls der Flash-Chip die Überspannung überlebt hat (ist laut Datenblatt auch nur ein 3.3V Gerät, kann also gefährlich werden), dann sollten die Daten wieder korrekt entschlüsselt werden. Ansonsten kannst du auch einen Test machen, ob die Daten wirklich verschlüsselt sind: öffne mit HxD die betroffene Festplatte (Extras -> Open Disk) und mach einen Screenshot von Sektor 0, Sektor 63 und Sektor 2048.

 

[Simpson474]

Etwas komisch sieht das schon aus - außerdem scheint der MBR bereits von Windows überschrieben worden zu sein. Mach noch einen Screenshot von Sektor 16.384.

 

[team_snowden]

Etwas komisch sieht das schon aus - außerdem scheint der MBR bereits von Windows überschrieben worden zu sein. Mach noch einen Screenshot von Sektor 16.384.

 

[Simpson474]

Der Sektor sieht jetzt wirklich verschlüsselt aus - von daher wirst du wohl wirklich den Versuch mit dem Flash-Chip machen müssen.

 

[team_snowden]

Der Sektor sieht jetzt wirklich verschlüsselt aus - von daher wirst du wohl wirklich den Versuch mit dem Flash-Chip machen müssen.

Die Lötarbeiten werden wohl verdammt schwer.
Der IC ist 4x3 mm klein.
Entlöten könnte ich noch mit Heißluft (hoffentlich ohne Beschädigung des ICs) hinbekommen.
Aber das Umlöten auf eine andere (intakte) Platine dürfte echt heftig werden.

Tja, sonst hab' ich wohl keine Alternative.
Meinst du, dass dieses PCB vom exakt gleichen Festplatten-Typ sein muss, oder funktioniert evtl. auch ein Board einer anderen Version aus der "My Book"-Serie?

EDIT: das gute Teile (PCB Control Board 4060-705094) könnte ich auf ebay für ~50 Euro (inkl. Versand) aus den USA ordern

 

[kisser]

Mal ein Frage:

was spricht denn dagegen, den defekten (sofern von dir richtig diagnostiziert) USB-Controller Chip auszutauschen?

 

[Simpson474]

Zumindest der USB-Controller des Austausch PCB muss der gleiche sein. Heißluft ist eine Möglichkeit zum Entlöten, man muss jedoch etwas vorsichtig mit der Temperatur sein. Ansonsten funktioniert es auch mit dem Lötkolben (selbst schon gemacht und das mit relativ geringer Löterfahrung): ich hab mit einer kleinen Stecknadel jeweils einen Pin auf Spannung gesetzt und anschließend mit dem Lötkolben erhitzt. Am besten markierst du vorher, wie rum das Bauteil anschließend wieder eingesetzt werden muss. Am besten nach dem Einlöten noch mit dem Multimeter testen, ob die Verbindung richtig und kein Kurzschluss vorhanden ist.

 

[team_snowden]

Mal ein Frage:

was spricht denn dagegen, den defekten (sofern von dir richtig diagnostiziert) USB-Controller Chip auszutauschen?

Jede Festplatte dieser Serie hat auf eben diesem Chip einen Flash-Speicher mit einer individuellen Verschlüsselungsbitfolge.
Wenn ich also nur den Chip wechseln würde, hätte ich trotzdem keinen Zugriff auf die Daten.

 

[team_snowden]

Es gibt Neuigkeiten, und zwar sehr erfreuliche
Ich fand im Netz sowohl Aussagen, dass jede Controller-Leiterplatine mit einem individuellen Sicherheitsschlüssel ausgestattet ist, als auch (wenige) gegenteilige Meinungen.
Letztendlich hat mich ein User in einem englischsprachigen Forum überzeugt, der schrieb, dass die HDD komplett "unlocked" werden kann, wenn ich einen USB-Controller-Chip mit der exakt gleichen Seriennummer anschließe. Dies bedeutet also auch, dass der Sicherheitsschlüssel auf dem Flash-Speicher bei baugleichen Festplatten identisch ist, nicht wie angenommen individuell!

Ich bestellte mir sodann das besagte PCB aus den USA.
Heute angekommen, gleich angeschlossen... und...
EaseUS konnte in sekundenschnelle beide Partitionen wiederfinden und wiederherstellen.

Ich möchte mich noch recht herzlich beim User "Simpson474" für die tollen Tipps und vor allem bei "Fiona" für den äußerst wertvollen Hinweis auf eine mögliche Hardware-Verschlüsselung bedanken!

 

[Simpson474]

Vielen Dank für den Hinweis - hätte ich so nicht gedacht. Meinst du mit Seriennummer die Produktnummer? Normalerweise gibt es ja jede Seriennummer nur einmal.

 

[team_snowden]

Vielen Dank für den Hinweis - hätte ich so nicht gedacht. Meinst du mit Seriennummer die Produktnummer? Normalerweise gibt es ja jede Seriennummer nur einmal.

Die Produktnummer des USB Controller Chips ja.
In meinem Fall war das die "4060-705094-001 REV A".
Wichtig war, dass alle Ziffern und auch das "REV A" mit dem Ersatz-Bauteil übereinstimmen.

Gruß

Ergänzung (20. November 2013)

NACHTRAG: Falls jemand diesen Controller braucht, sei es zur Datenrettung oder als Ersatzteil, kann er/sie sich gerne an mich wenden. Ich brauche den Chip nicht mehr, da ich jetzt die HDD intern in meinen PC eingebaut habe...

 

[MZ77]

NACHTRAG: Falls jemand diesen Controller braucht, sei es zur Datenrettung oder als Ersatzteil, kann er/sie sich gerne an mich wenden. Ich brauche den Chip nicht mehr, da ich jetzt die HDD intern in meinen PC eingebaut habe...

Hallo team_snowden,

ich habe seit heute genau dasselbe Problem wie du es mit deiner 2TB-Platte hattest (USB-Controller-Chip "durchgebrannt") und würde auf das Angebot gerne zurückkommen, dir das Teil abzukaufen. Meine Festplatte ist (/war) eine WD MyBook 4TB mit genau der gleichen Produktnummer des Controller-Chip. Ich habe das Gehäuse, nachdem es nach dem Anschluss ans Netz ziemlich verkokelt gerochen hat geöffnet und eine kleine schwarze Stelle auf dem Controller gefunden, die da, glaube ich, nicht hingehört...

Wäre toll, wenn das klappen würde!

Sorry, ich bin, wenn überhaupt nur zum lesen in Foren unterwegs und kenne mich daher mit dem "in Kontakt treten" nicht wirklich aus... Du kannst ja kurz im Rahmen dieses Beitrages schreiben, wir wir das hinbekommen könnten. Danke vorab !!

Viele Grüße

 

[Rumo]

Der User war seit 1 Monat nicht hier! Schreib ihm eine private Nachricht.

Die Hexdumps in den Screenshots sehen aber mal gar nicht nach einer (sinnvollen) Verschlüsselung aus (auch nicht der letzte mit 16384, 16385 und 16383 haben da wieder die gleichen Folgen drin). Echte Verschlüsselung ist normalerweise reiner Zufall, hier sind ständig sich wiederholende Patterns. Wenn dann noch alle Platinen mit dem gleichen Verfahren u. Schlüssel arbeiten, spricht das um so mehr dafür daß das ein Murks ist. Hat das wirklich noch niemand geknackt? Müsste dann ja auch ohne Platinenkram gehen (natürlich schön, wenn so eine vergleichsweise unkomplizierte Lösung besteht).