Odzyskiwanie danych z dysku nadpisanego przez HFS+ i zabezpieczonego BitLockerem

Jak odzyskać pliki z szyfrowanego BitLockera po nadpisaniu?

Do naszego laboratorium trafił dysk, na którym Windows i BitLocker ustąpiły miejsca… Macowi i jego Time Machine. Właściciel był pewny, że to koniec — system HFS+ nadpisał tablicę partycji, a dostęp do plików zniknął bez śladu. Mimo to udowodniliśmy, że dane można jeszcze odzyskać.

 

Studium przypadku: Odzyskiwanie danych z dysku nadpisanego przez system HFS+

 

 

Tło – utrata danych po inicjalizacji w systemie HFS+

Do laboratorium DATA Lab trafił nośnik, na którym pierwotnie znajdował się system operacyjny Windows wraz z partycją chronioną szyfrowaniem BitLocker.
Dysk podłączono do komputera Apple i zainicjalizowano jako wolumen HFS+ w ramach Time Machine. W konsekwencji:

• zniknęła tablica partycji Windows,
• użytkownik utracił dostęp do zaszyfrowanych danych,
• nie było możliwości otwarcia woluminu w standardowym środowisku Windows.

Klient dysponował jednak kluczem odzyskiwania BitLocker.

Wyzwanie – odzyskiwanie danych z zaszyfrowanego woluminu BitLocker

Przede wszystkim musieliśmy rozwiązać następujące problemy:

1. nadpisanie MBR/GPT i początkowych sektorów dysku przez HFS+,
2. brak dostępu do systemu plików NTFS,
3. konieczność identyfikacji fragmentów metadanych FVE-FS (BitLocker Full Volume Encryption File System) wśród struktur HFS+,
4. ryzyko, że kopie zapasowe nagłówków BitLockera również zostały naruszone.

Dlatego z punktu widzenia klienta sytuacja wyglądała jak całkowita utrata danych.

 

Proces- odzyskiwanie danych krok po kroku

 

1. Wstępna analiza obrazu dysku (VHDX)

Najpierw utworzyliśmy pełny obraz dysku w formacie VHDX, aby wyeliminować ryzyko dalszych uszkodzeń. Następnie przeszukaliśmy obraz pod kątem sygnatur i zlokalizowaliśmy pięć sektorów zawierających nagłówki BitLockera.

2. Weryfikacja i identyfikacja metadanych BitLocker

Zidentyfikowane sektory odpowiadały nagłówkom i kopiom metadanych BitLockera. Co istotne, zawierały wystarczającą ilość informacji, aby rozpocząć odszyfrowywanie.

3. Odszyfrowanie woluminu przy użyciu klucza odzyskiwania

W kolejnym etapie wykorzystaliśmy specjalistyczne oprogramowanie, które:

• otworzył obraz VHDX bez konieczności konwersji do RAW,
• umożliwił ręczne wskazanie offsetu sektora z nagłówkiem FVE,
• przyjął klucz odzyskiwania BitLocker w formie 48‑cyfrowego identyfikatora.

4. Rekonstrukcja systemu plików NTFS

Po prawidłowej autoryzacji uzyskaliśmy dostęp do odszyfrowanego systemu plików NTFS. Następnie zweryfikowaliśmy integralność kluczowych danych i przywróciliśmy ich oryginalną strukturę katalogów.

Rezultat – pełne odzyskanie danych z dysku szyfrowanego BitLocker

W rezultacie odzyskaliśmy 100% danych z szyfrowanego woluminu BitLocker:

• 100% odzyskanych danych z szyfrowanego woluminu BitLocker.
• Czas realizacji: <48 godzin od przyjęcia zlecenia.
• Klient otrzymał pliki biznesowe, których utrata mogła spowodować poważne straty finansowe.

Ekspert DATA Lab: "Klient był przekonany, że po inicjalizacji w Time Machine stracił wszystko. Jednak dzięki analizie sektorowej i wykorzystaniu klucza BitLocker zidentyfikowaliśmy oraz odszyfrowaliśmy wolumen. Ten przypadek pokazuje, że nawet po pozornie nieodwracalnych zmianach struktury dysku dane można uratować — jeśli wie się, gdzie szukać.”

Wnioski – skuteczność profesjonalnego odzyskiwania danych BitLocker

1. Nadpisanie tablicy partycji nie oznacza końca – metadane FVE BitLockera można odnaleźć nawet po inicjalizacji innym systemem plików.
2. Klucz odzyskiwania BitLocker to ratunek – bez niego odszyfrowanie byłoby praktycznie niemożliwe.
3. Profesjonalne narzędzia forensic w połączeniu z wiedzą ekspercką pozwalają odzyskać dane w scenariuszach, które dla użytkownika wyglądają na beznadziejne.
4. Praca na obrazie dysku (VHDX) jest niezbędna, by wyeliminować ryzyko dalszego uszkodzenia danych.