Recuperare database gestionale da pendrive con errata formattazione

Le pen drive USB, o usb stick vengono normalmente vendute ed utilizzate con il file system FAT32.

Il loro utilizzo è talmente tanto comune e flessibile, che molti professionisti che si muovono per lavoro le utilizzano per il trasporto del loro database gestionale.

Un esempio tipico di gestionali trasportabili, in quanto basato su Microsoft Access sono software gestionali per studi dentistici.

Abbiamo avuto molti casi in cui dentisti memorizzassero dati di pazienti comprese radiografie e agenda appuntamenti su pen drive USB.

Le pen drive usb sono dispositivi estremamente critici in quanto le memorie flash su cui vengono memorizzati i dati garantiscono una sopportazione notevole agli urti subiti durante il trasporto ma hanno una vita legata ai cicli di scrittura delle celle nand limitato.

Formattazione errata pendrive usb su cui è memorizzato il database gestionale

Il caso che vi presentiamo è legato ad un banale errore di formattazione commesso da un Medico Dentista che utilizzava la propria Pen Drive Kingston per memorizzare i dati del proprio achivio gestionale.

Il sistema gestionale del Dentista è basato su database di tipo access, un database progettato per essere trasportabile in un singolo file con estensione .mdb.

Il software gestionale, inoltre sfruttando al massimo le caratteristiche di trasportabilità di access stesso creava costantemente copie di backup della versione in esercizio nella propria cartella di lavoro, di conseguenza nel pendrive stesso in un folder dedicato.

Essendo la pen drive utilizzata esclusivamente per questo scopo la root della fat32 conteneva una singola sottocartella del software gestionale con un numero limitatissimo di elementi file.

Una semplice formattazione ( che può essere risolta con un comune software per il recupero dei dati cancellati ) del file system FAT32 ha prodotto un danneggiamento definitivo dei cluster di root e dei metadati dei pochissimi files utilizzati dal gestionale.

Da un'analisi software qualsiasi elemento, preesistente la formattazione, risulta essere scomparso.

Essendo il gestionale basato su singolo database access è stato possibile con una tecnica di file carving localizzare le signatures dei file di access per un recupero del database.

La grande sorpresa è stata che nessun software di data recovery utilizzato risultava essere in grado di recuperare database funzionanti.

La tecnica del data carving prevede infatti il recupero dei dati basato su localizzazione dello start del file riconoscibile utilizzando un pattern binario e la determinazione della fine del file basato su guessing, ovvero provare ad indovinare la fine del file basandosi sull'inizio di un nuovo file intercettato nella sequenza dei settori logici successivi.

Essendo il database memorizzato nella fat in numerosissime posizioni, in quanto il Dentista eseguiva molti backup, venivano a localizzarsi molti falsi positivi in conflitto rendendo impossibile per i software di analisi la posizione e la determinazione corretta della dimensione del file.

Da qui un semplice risultato: nessun file di access recuperato risultava essere funzionante.

Soluzione applicata per il recupero del gestionale dal pendrive: Data Carving a grandezza predeterminata

Essendo le occorrenze e gli start di database molti ed il file system FAT32 è stato assunto il fatto che ci dovessero essere database non frammentati.

Una scansione e memorizzazione degli start di database mdb e una successiva estrazione a dimensione predefinita ha avuto come risultato l'estrazione di 20 versioni di database di circa 40 MB.

Recupero dei dati basato su riparazione del file

Con software specializzati per il recupero di database access sono state selezionate 13 versioni di database dal set di dati recuperato per poi analizzarle visivamente.

Il database è stato recuperato con tabelle e struttura originale perfettamente integro.

Conclusioni

Se un dispositivo ha subito una formattazione accidentale e il danno subito dal file system non puo' essere risolto con tecniche di data recovery tradizionali, è possibile applicare strategie di ricerca dei files basata su signatures.

Tale ricerca per quanto efficace nella maggior parte dei casi, in quanto basata sulla semplice localizzazione dello start del file e la determinazione della presunta fine del file può portare a risultati errati anche se a controllare il processo viene posto uno specialista.

La comprensione ed l'analisi adeguata dello scenario complessivo di ogni singolo caso di perdita di dati sono la chiave del risultato finale.