Disk ADATA HV320 nefunguje a nezobrazuje data, systém žádal naformátování disku

Disk ADATA po restartu přestal zobrazovat data a žádá formátování

Zákazník používal externí disk ADATA HV320 jako primární zálohovací médium pro pracovní dokumenty, rodinné fotografie a firemní podklady. Disk byl připojen k notebooku prostřednictvím rozhraní USB 3.0 a sloužil denně bez jakýchkoliv problémů. Z bezpečnostních důvodů měl uživatel na tomto disku aktivováno softwarové šifrování Microsoft BitLocker, které zajišťovalo ochranu citlivých dat proti neoprávněnému přístupu.

Po zcela běžném restartu počítače se disk sice připojil a byl v systému detekován, ale namísto očekávaného obsahu se zobrazila výzva k naformátování jednotky. Windows vyžadovaly naformátovat disk a přístup k souborům nebyl možný. Ve správě disků se oddíl zobrazoval jako nepřidělené místo, bez přiřazeného písmene jednotky a bez rozpoznaného souborového systému.

Uživatel se pokusil disk připojit ke dvěma dalším počítačům, avšak výsledek byl totožný. Systém disk rozpoznal na úrovni USB zařízení, přidělil mu hardwarovou adresu, ale oddíl se nezobrazil správně. Protože byl disk šifrovaný pomocí BitLocker, nebyla automaticky vyvolána ani dialogová nabídka pro vložení obnovovacího klíče. Přenosný disk nereagoval na žádný standardní pokus o přístup a zákazník se rozhodl situaci dále neřešit vlastními silami.

Diagnostika externího disku ADATA HV320 s poškozenou oddílovou tabulkou

Po přijetí zařízení do laboratoře jsme provedli identifikaci a neinvazivní diagnostiku. Jedná se o externí disk ADATA HV320 s kapacitou 1 TB, v plastovém pouzdře s rozhraním USB 3.0 (Micro-B). Interní disk je 2,5" HDD s jednou datovou plotnou a dvěma čtecími hlavami, využívající technologii záznamu SMR (Shingled Magnetic Recording).

Diagnostika potvrdila, že hardwarová stránka disku je zcela v pořádku. Disk se bez problémů roztočil, správně se identifikoval a čtení po sektorech proběhlo bez chyb. Příčinou nedostupnosti dat byla logická závada, konkrétně poškozená oddílová tabulka v kombinaci s částečně poškozenými záznamy MFT (Master File Table). Právě tyto poškozené struktury způsobily, že operační systém nedokázal rozpoznat existující oddíl a místo toho nabídl formátování.

Zásadní komplikací celého případu bylo aktivní šifrování BitLocker. Poškozená tabulka oddílů vedla k tomu, že systém nedokázal identifikovat šifrovaný svazek, a tudíž ani nevyvolal nabídku pro zadání 48místného obnovovacího klíče. Disk se fakticky jevil jako šifrovaný disk bez možnosti dešifrování standardními prostředky.

Rekonstrukce oddílu a dešifrování externího disku ADATA

Vytvoření bitové kopie a analýza šifrovaného svazku

Prvním krokem bylo vytvoření kompletní bitové kopie disku v režimu pouze pro čtení. Tento postup je u případů s logickým poškozením nezbytný, protože jakýkoliv zápis na šifrovaný disk by mohl nevratně poškodit metadata potřebná pro dešifrování. Imaging proběhl pomocí profesionálního zařízení, které umožňuje čtení po sektorech s hardwarovým uzamčením zdroje proti zápisu. Celý proces kopírování 1 TB kapacity trval přibližně čtyři hodiny.

Na získané bitové kopii jsme provedli forenzní analýzu struktury disku. Potvrdilo se, že oddílová tabulka (GPT) obsahuje nekonzistentní záznamy, pravděpodobně v důsledku neúplného zápisu při předchozím neočekávaném odpojení nebo chybě při restartu systému. Záhlaví BitLocker svazku bylo naopak nepoškozené, což byl klíčový předpoklad pro úspěšné dešifrování.

Rekonstrukce oddílu a vynucené dešifrování

Na základě analýzy záložní kopie záhlaví GPT a detekce signatury BitLocker svazku jsme přistoupili k manuální rekonstrukci oddílové tabulky. Pomocí forenzních nástrojů jsme identifikovali přesné hranice šifrovaného oddílu, jeho počáteční sektor a délku. Po obnovení správných záznamů v tabulce oddílů jsme získali přístup k BitLocker metadata oblasti.

Zákazník disponoval platným obnovovacím klíčem, který si při aktivaci šifrování uložil do svého účtu Microsoft. S využitím tohoto klíče jsme pomocí specializovaného nástroje provedli vynucené dešifrování celého svazku mimo prostředí Windows. Tento postup obchází standardní mechanismus rozpoznávání svazku v operačním systému a pracuje přímo s binární strukturou šifrovaných dat.

Po úspěšném dešifrování jsme analyzovali souborový systém NTFS. Záznamy v MFT (Master File Table) vykazovaly částečné poškození v oblasti metadat adresářové struktury. Bylo nutné provést rekonstrukci stromové hierarchie složek a ověřit integritu jednotlivých souborů pomocí kontrolních součtů. Většina souborů zůstala díky nefragmentované podobě uložení na disku nepoškozena.

Výsledek obnovy dat ze šifrovaného disku ADATA HV320

Záchrana dat z externího disku ADATA HV320 byla úspěšná. Podařilo se obnovit naprostou většinu uložených souborů včetně pracovních dokumentů, fotografií a firemních podkladů. Pouze u minimálního množství souborů v oblasti poškozených MFT záznamů došlo ke ztrátě názvů a adresářové struktury, tyto soubory však byly zachráněny metodou file carving a přiřazeny do zvláštní složky podle datového typu.

Obnovená data byla zákazníkovi předána na novém externím disku. Před předáním proběhla společná kontrola obsahu, během které zákazník potvrdil kompletnost a čitelnost klíčových dokumentů. Tento případ potvrzuje, že pokud externí disk hlásí, že se musí naformátovat, je zásadní neprovádět formátování a kontaktovat specializované pracoviště. V kombinaci se šifrováním je jakýkoliv pokus o svépomocnou opravu mimořádně riskantní, protože může vést k nenávratnému poškození šifrovacích metadat.