Come recuperare dati cancellati da Notebook e Windows 10

In questo tutorial affrontiamo tutti i passaggi necessari per il recovery di dati cancellati da notebook con windows 10 installato.

I sistemi operativi moderni installati su laptop presentano numerose difficoltà per recuperare i dati come l'encryption di default gestita da bitlocker, il TPM presente nella maggior parte delle unità e non ultima la configurazione di windows 10 che abilita di default il trimming su unità SSD interne.

Introduzione: regole fondamentali per il recovery dei dati cancellati

Uno degli aspetti fondamentali in un processo di data recovery è garantire l'inalterabilità del sample che ha subito una cancellazione. Quando parliamo di cancellazione intendiamo ovviamente la cancellazione di file e cartelle e il successivo svuotamento del cestino di windows.

La regola più importante da seguire è quella di non alterare il supporto che ha subito perdita di dati

Mai utilizzare programmi per recuperare dati eseguiti sullo stesso disco coinvolto nella perdita di dati.
Tutte le attività svolte nel computer in seguito alla cancellazione potrebbero portare a sovrascrittura irreversibile dei file cancellati.

E' quindi importante analizzare il proprio hard drive in modalità off-line estraendo l'unità dal computer o in alternativa analizzare con un sistema esterno avviabile da porta USB.

Se nei vecchi computer per recuperare i dati era sufficiente l'estrazione del drive interno e leggerlo con un adattatore USB, le nuove tecnologie complicano e non di poco il processo, in quanto i drive moderni con windows vengono nativamente criptati e le chiavi rilasciate all'avvio del computer dal sistema di protezione TPM.

E' fondamentale, prima di estrarre il drive dal computer, verificare la presenza del bitlocker e l'estrazione della chiave di ripristino di 48 caratteri.

Alterazioni del layout hardware del computer, potrebbero bloccare il TPM e in questo caso la chiave non verrebbe più rilasciata.
Se per qualche ragione non l'avessimo memorizzata altrove ci troveremmo con un pc con dati cancellati ed una partizione inaccessibile.

Come Visualizzare la chiave di ripristino di Bitlocker su Windows 10/11

Con il sistema operativo avviato ed i permessi di amministratore disponibili:

Aprire una finestra terminale con permessi di amministratore e digitare il comando:

manage-bde -protectors C: -get

Il comando consentirà la visualizzazione della chiave di ripristino a 48 caratteri di bitlocker.

Fate una foto allo schermo e poi trascrivetela in una posizione sicura.

Il TPM ( Trusted Platform Module ) è una cassaforte ( quasi ) inviolabile

Estrazione del Drive SSD o SATA dal computer

Disassemblate il computer seguendo una guida specifica per il Vostro computer ed estraete l'hard drive dallo slot.

Per leggere il drive NVME o M2 sarà necessario un adattatore specifico dotato di controller USB o PCI Express.

Collegamento del Drive al computer per l'analisi

Il drive dovrà essere analizzato in modalità offline con software di data recovery specifici, in grado di ricostruire il file system e localizzare gli oggetti cancellati.

Per il recovery è possibile utilizzare qualsiasi tool per il recovery dei dati. Il risultato tra i vari software disponibili sul mercato sarà molto simile in quanto le informazioni di file system ricostruite vengono ottenute dalla stessa sorgente di base il FIle $MFT della partizione.

Creazione di una immagine del Drive in modalità on-line

Sebbene non possa essere accademicamente la scelta più forensic possibile, è possibile optare per una creazione di immagine disco in modalità live.

In questo caso abbiamo bisogno di un drive esterno USB dove salvare l'immagine raw della partizione del computer da recuperare.

Per la creazione della immagine raw è possibile utilizzare molti software gratuiti, ma suggeriamo l'utilizzo di Access Data FTK Imager, tool professionale scaricabile gratuitamente.

Con FTK Imager possiamo creare una immagine del sistema operativo in esercizio e posizionarla su una unità esterna per una analisi offline successiva.

Come fare Se i file recuperati risultano corrotti o illeggibili

E' possibile che dopo lo svuotamento del cestino i file siano localizzabili ma risultino danneggiati e/o corrotti.
La ragione puo' essere imputata alla sovrascrittura o ad una azione di trimming automatica.

In questo caso l'unica possibilità è verificare se sulla partizione sono presenti elementi VSS validi e precedenti la cancellazione dei dati.

E' possibile scaricare il software Shadow Copy View per la verifica di eventuali copie shadow presenti.
Le copie shadow possono essere una risorsa preziosa che puo' letteralmente salvarci nei casi di corruzione o danneggiamento dei file.

Se non abbiamo trovato i file che cerchiamo l'ultima Spiaggia è il file carving

Nessuno vorrebbe recuperare file cancellati senza nome e senza data, con il lavoro aggiuntivo di ricatalogare e rinominare i file perduti, tra centinaia di falsi positivi, ma in alcune situazioni è l'unica alternativa possibile.

Il file carving è un metodo efficace per localizzare elementi cancellati la cui catalogazione sia stata danneggiata o perduta.
E' basato sul riconoscimento per signature, ovvero pattern binari specifici comuni ad un certo tipo di file.

Dai nostri test, e statisticamente, la cancellazione su windows 10/11 e il successivo svuotamento del cestino, non sono generano la distruzione dei metadati, ma anche dei cluster associati ai file stessi e anche una analisi complessa come il file carving spesso risulta inefficace.

Conclusioni e Valutazioni finali

La cancellazione di dati ed il successivo svuotamento del cestino, provoca effetti devastanti negli ambienti Windows 10 dove sia stato installato un SSD ( solid state drive ).

Utilizzare un software di recovery è possibile a patto di eseguire l'analisi in modalità off-line o su una immagine creata dello stesso file system. E' tuttavia comune che i tool di analisi localizzino i file perduti ma in modo inconsistente o soggetto a corruzione.

La corruzione dei file recuperati è esclusivamente da imputarsi alle istruzioni di trimming ed alla operatività interna del drive ssd.

In questi casi, l'unica opzione è affidarsi alle shadow copies di windows, auspicando che esistano elementi VSS precedenti l'evento di cancellazione.

.