Recupero di un gestionale formattato e sovrascritto

Interveniamo su un dispositivo da cui andiamo a recuperare un gestionale formattato e sovrascritto.

Il dispositivo analizzato ha subito una formattazione e reinstallazione di sistema operativo NTFS.

Note sul file system NTFS

Un File System di tipo NTFS residente e funzionante è composto da diversi elementi:

• Boot Record di partizione
• Journal e Transaction Log
• Bitmap di allocazione
• Master File Table ( $MFT )

Note sulla formattazione semplice NTFS

Durante una formattazione tutti gli elementi preesistenti vengono letteralmente resettati, provocando una sovrascrittura tipica dei primi 10 record di base della $MFT ed i corrispondenti 10 record di $MFT MIRROR.

Tutti record appartenenti alla $MFT preesistente vengono lasciati inalterati.

Una semplice formattazione su file system NTFS non produce danni tali da precluderne il recupero, per cui con una scansione con un software professionale si possono ottenere eccellenti risultati in termini di recupero dei dati.

Formattazione e Reinstallazione di sistema operativo

Il file system analizzato dopo la formattazione ha subito un processo di reinstallazione con trasferimento di dati sul nuovo file system, con conseguente graduale sovrascrittura del file system preesistente causando il danneggiamento non solo delle dichiarazioni di file contenute nei RECORD MFT ma anche delle data runs, ossia le allocazioni dei files e la loro distribuzione in termini di frammenti nell'hard disk drive.

La nuova installazione di sistema operativo ha prodotto danni gravissimi al file system preesistente producendo una sovrascrittura letale per le definizioni dei file memorizzati precedentemente.

La sovrascrittura ha danneggiato la struttura gerarchica delle cartelle precedente, producendo una scrittura su cluster impegnati precedentemente indeterminabile.

Allo stato attuale non potranno essere ricostruite in modo congruo strutture complesse come database gestionali o installazioni di software complessi, in quanto probabilmente il nome del file originale oltre la sua classificazione di parentela ( il file system NTFS per ogni record file o cartella assegna un valore parent al record ) sarà stato distrutto e non potranno essere recuperati files ad accodamento sistematico come i file di posta elettronica, database o files in generale soggetti a frammentazione.

Saranno invece recuperabili tutti i files non sovrascritti che siano classificabili come comuni ( esempio jpg o documenti ) o che in generali vengano memorizzati in un unica istanza di allocazione cluster, come la copia di un file singolo di dimensioni contenute.