Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
Die Parameter sollten passen, da es sich ebenfalls um eine 1TB HDD handelt. Nur beim Index der HDD musst du aufpassen, aber wenn das die einzige HDD im Rechner ist, so sollte "\\.\PhysicalDrive0" schon passen.
Vielleicht hast du Glück, dieser Block ist ziemlich exakt 500GB groß. Lass mal mit TestCrypt im "Custom Analyzer" folgende Bereiche scannen:
290852440-290872440
1339428443-1339448443
Irgendwie war meine FRITZ!Box vom letzten Gewitter nicht so begeistert
Beim "Partition Analyzer" brauchst du eigentlich gar nichts auswählen, der "Custom Analyzer" ist der untere Teil auf der nächsten Seite (also beim "Volume Analyzer").
Sieht sehr gut aus. Nimm einfach einen der beiden Header und binde diesen per Rechtsklick auf den Header ein. Danach solltest du mit ein bisschen Glück die Dateien des Volumes sichern können. Achtung, die Dateien unbedingt zunächst auf einer anderen HDD sichern, sonst überschreibst du dir diese während der Sicherung.
Jaaaaaaaaaa genial! Vielen Dank für die Hilfe Simpson474, es hat geklappt!!!
Ich hatte mit meinen wichtigen Dokumenten innerlich schon fast abgeschlossen.
Simpson hat ja echt Ahnung, klasse. Dann versuche ich auch mal mein Glück und ich wäre überaus glücklich wenn es klappt. Es ist auf jeden Fall, meiner Einschätzung nach, eine Herausforderung.
Folgende Situation:
Ich habe mir vor einigen Tagen ein NAS-System angeschafft und wollte alle meine auf externen USB-Platten liegenden Daten auf dieses kopieren. Obwohl ich es besser wissen müsste habe ich Trottel aber anstatt zu kopieren, die Daten mit "verschieben" auf das NAS geschoben. Aus welchen Grund auch immer ist mir während dieses Vorgangs mein Rechner abgeschmirt (wahrscheinlich weil ich alle USB-Platten auf einmal angeschlossen habe).
Just in diesem Augenblick wurde allerdings ein Truecrypt-Container, 10GB groß, übertragen. Nach dem Neustart des Rechners habe ich feststellen müssen, dass dieser Container NICHT mehr vorhanden ist und am NAS nur fehlerhaft, da nur teilweise übertragen (wieviel Daten weiß ich allerdings nicht).
Jetzt kommt die zusätzliche Herausforderung. Diese 10GB Containerdatei lag auf einer Partition mit 320 GB Größe, welche ebenfalls mit Truecrypt verschlüsselt wurde. Grund war, dass ich nicht als einziger auf diese Partition zugegriffen habe und in der Containerdatei wichtige Daten abgelegt habe, die höhere Sicherheitsanforderungen besaßen. Im Nachhinein eine doofe Idee, allerdings existiert diese Konstellation schon etwas länger.
Auf die Partition kann ich wie gewohnt zugreifen. Habe nach dem Mounten auch schon GetDataBack und andere Programme drüber laufen lassen, aber die 10GB Container Datei ist nicht mehr zu finden.
Hast du schon weitere Schreibzugriffe auf das TrueCrypt-Volume gemacht? Hast du die halb übertragene Datei auf dem NAS noch? Wenn ja, dann kann man diese zum Lokalisieren des TrueCrypt-Volumes verwenden. Öffne die halb übertragene Datei mal mit HxD und markier die ersten 64 Byte. Diese kopierst du in die Zwischenablage und öffnest anschließend das in TrueCrypt eingebundene Volume mit HxD (genau hier kann es Probleme geben, funktioniert nämlich nicht mit jedem Rechner - bei vielen erscheint das eingebundene Volume nicht unter "Extras" -> "Open Disk..."). Sollte das funktionieren, dann kannst du mit der Suchfunktion nach deinen 64 kopierten Bytes suchen (Achtung, "Datatype" im Suchfenster auf "Hex-values" umstellen).
Schreibzugriffe auf das Truecrypt-Volume sind danach nicht erfolgt. Die halb übertragene Datei habe ich noch und diese im HxD geöffnet, hier sieht man auch, dass die Datei nur zu ca. 1/5 übertragen wurde, der Rest sind Null-Bytes. Das eingebundene Volume lies sich ebenfalls ohne Probleme öffnen. Den Suchvorgang habe ich soeben gestartet, Restdauer beträgt 8 Std. =)
Was wären die nächsten Schritte, wenn ich die ursprüngliche Datei finde?
Ich würde einfach mal hoffen, dass die Datei nicht fragmentiert ist. Anschließend müsstest du die nachfolgenden 10 GB in eine neue Datei kopieren - und genau da hast du wohl ein Problem: HxD kann die Markierung nicht in eine neue Datei speichern (zumindest habe ich die Funktion noch nicht gefunden) und über den Arbeitsspeicher kannst du bei einer 32-Bit Anwendung maximal 2GB kopieren und einfügen. Wenn hier sonst niemand einen Hex-Editor kennt, der sowohl logische Laufwerke öffnen als auch einen markierten Block in eine Datei schreiben kann, so fällt mir momentan nur "dd" unter Linux ein - dein TrueCrypt-Container um den beschädigten TrueCrypt-Container macht die Sache mit "dd" aber auch nicht leichter
Ich habe gerade mal bei google nach einem Hex-Editor mit beschriebener Funktion gesucht. "FlexHex" scheint diese Funktion zu besitzen, sieht auch ganz ansprechend aus. Bei einer Testdatei hat es funktioniert, mal schauen ob es mit 10 GB auch hinhaut. Hoffentlich ist die Datei nicht fragmentiert.
Allerdings ist FlexHex kostenpflichtig, 30 Tage Testversion.
Ergänzung ()
Simpson, du bist einfach nur genial, WELTKLASSE.
Dank deiner Idee mit dem Hexeditor habe ich es tatsächlich geschafft die verloren gegangene Truecrypt Container Datei wiederherzustellen.
Anhand der ersten 64 Byte der nur halb übertragenen Datei die Anfangsposition der Datei auf dem ursprünglichen Laufwerk ermittelt. (Sektor: 112704840, Offset: D6F7A9000)
Die exakte Größe der Datei (10 GB, Offset: FEF7A9000) vom Hex-Programm in eine neue Datei geschrieben.
Datei mit Truecrypt eingebunden
LÄUFT
Gut, dass die Datei nicht fragmentiert war....
Ich habe es allerdings nicht mit FlexHEX sondern mit WinHex gemacht. FlexHEX konnte leider das logische Laufwerk nicht öffnen. Winhex ist zwar auch kostenpflichtig aber hat es in sich. Sogar eine Forensikfunktion mit Suche nach Dateien hat das Programm inne.
Schau sicherheitshalber noch, ob du wirklich auf alle Dateien zugreifen kannst. Wenn die Datei nämlich fragmentiert war, dann ist ab einem gewissen Punkt Schluss. Allerdings sind die Chancen gut, da bei einer 320 GB Partition doch 10GB unfragmentierter Speicher drin sein sollte.
Randomblocklocator blinkt kurz auf und verschwindet dann wieder. Win7 / 64
Woran kann das liegen? Ich will den randomblocklocator probieren für einen Truecryptcontainer.
Hat jemand eine Idee?
@martin567: Unter Win 7 muss man das über die cmd aufrufen. Siehe hier:
Simpson474 schrieb:
das Programm ist eine reine Kommandozeilenanwendung und muss mit Administratorrechten gestartet werden. Solltest du Windows Vista oder neuer verwenden, so muss die Eingabeaufforderung im Startmenü per Rechtsklick "Als Administrator ausführen" gestartet werden. Der Aufruf des Programms sieht wie folgt aus:
Dabei musst du das X durch die Nummer deiner HDD ersetzen (ist die gleiche Nummer, wie in TestCrypt angezeigt wird). Du solltest anschließend eine Fortschrittsanzeige in der Kommandozeile sehen - der Scan wird einige Stunden dauern
@All:
Ich habe nun auch einen 150GB großen Container versehenlich gelöscht.
Ich ließ bereits Recuva, EaseUS Data Recovery, DataRecovery und OnTrack Easy Recovery nach der Datei suchen, aber alle bis auf OnTrack Easy Recovery haben nichts gefunden. OnTrack Easy Recovery selbst hat nur eine Datei namens "$RIYJFL1.gcf" gefunden, die mit ca. 2,53 GB Größe zwar größer als als die größte Datei in dem betreffenden Ordner ist, aber eben keine 150GB des gelöschten Containers mit der Endung .gcf hat.
Letztendlich kann es sich bei diesem Fund also nur um den gelöschten Container handeln, da wie gesagt keine Datei in diesem Ordner größer ist als 2 GB, außer der gelöschte Container mit seinen 150 GB Größe.
Warum wird mir der nur mit 2,53 GB angezeigt? Wiederherstellung dieser Datei ist auch nicht möglich.
Ich ließ nun auch TestCrypt durchlaufen, aber dieses zeigt mir nur die intakten Header der verschlüsselten Platte (Plattengröße = 1,5 TB, davon ca. 1,3 TB Größe des Hidden Volume) an.
Es ist nämlich so, dass ich auf der verschlüsselten Platte diesen verschlüsselten Container anlegte.
Mit TestCrypt kann ich ja bloß die gesamte Platte scannen, ich weiß aber nicht, ob TestCrypt dann auch Container auf der verschlüsselten Platte entdecken kann, sofern ich die Platte dabei eingebunden habe.
Ich versuche es nun mit dem RandomBlockLocator, aber wie gehe ich da am besten vor? Soll ich die Platte dabei mit TrueCrypt eingebunden haben, oder findet das Tool auch Blöcke verschlüsselter Dateien, also dem verschlüsselten Containerfile?
Wäre für weiterführende Hilfe äußerst dankbar!
Schöne Grüße,
Mortifer
PS: Bevor ich versehentlich den Container löschte, hatte die eingebundene Platte noch ca. 280 GB frei, jetzt sind es ca. 430 GB. Zudem liegt der Container seit Inbetriebname der Festplatte auf dieser und wurde nie verschoben oder dergleichen.
EDIT:
OnTrack Easy Recovery sagt auch noch folgendes:
Eigenschaften von "$RIYJFL1.gcf"
Letzter Schreibzugriff (Datum/Zeit) 14.02.2015 05:12:30
Das dürfte so ziemlich der Zeitpunkt sein, wann ich diesen Container zuletzt eingebunden habe. Gelöscht habe ich den gestern.
Ergänzung ()
Ich habe gerade, während RandomBlockLocator die Platte scant, auf meiner Backup-Platte nachgesehen und dort entdeckt, dass sich in dem Ordner, wo sich auf der betroffenen Mainplatte der 150 GB Container befand, eine Datei mit gfc-Endung befindet, die genau 2,53 GB groß ist. Daher handelt es sich bei der von OnTrack Easy Recovery gefundenen 2,53 GB großen Datei nicht um den Container. Dieser Container ist also nicht auffindbar.
Da dieser Container sehr sicher fragmentiert ist und daher von Recovery-Software nicht entdeckt werden kann, hoffe ich nun, dass RandomBlockLocator bessere Ergebnisse liefert.
Was muss ich nun machen?
TestCrypt scant mir kein eingebundenes Laufwerk, sondern nur die ganze Festplatte.
Ergänzung ()
Ich habe den Container gerade mit GetDataBack gefunden. Die befindet sich im $RECYCLE.BIN Ordner. Ist jedoch nur 544 Bytes groß. Siehe Anhang!
Ich versuche gerade mit TestCrypt den MFT-Ort dieser Datei zu scannen, aber so ein Scan dauert allein für 13 MB 30 Minuten!!!
Für Tipps und Hilfen jeder Art wäre ich nach wie vor äußerst dankbar!
Ergänzung ()
Scanne nun mit TestCrypt seit gut 8 Stunden den Block 6391645 LBA bis 7401646 LBA. Obwohl ich nun schon 33% des Scans abgeschlossen habe, dauert das immer noch an die 15 Stunden. Zudem lastet es meine CPU in allen vier Kernen bis zu 99% aus. Das schafft nicht mal 7-Zip, wenn ich die Parameter für die Datenkomprimierug zu hoch für mein System einstelle. Außerdem beansprucht TestDisk 99% meines Arbeitsspeichers, was auch nur 7-Zip bislang schaffte, sofern ich die Parameter zu hoch einstelle.
TestCrypt legt dadurch leider mein System fast vollständig lahm. Die CPU kann nicht mal mehr die Bewegung des Mauscursors flüssig berechnen. Dazu hängen immer wieder Adobe Flashplayer und Javascript in Firefox, obgleich ich nur 2-3 Tabs offen habe. Darüber hinaus hängt auch der Explorer immer wieder.
Ich war kurz davor, den Scan mit TestCrypt abzubrechen, da sowas gar nicht geht, wenn man mit dem System noch nebenbei an einfachen Dingen (z.B. Daten verschieben) arbeiten will.
Aber ich lasse das alles dennoch geduldig durchlaufen.
An sich wäre es cool, wenn man in TestCrypt festlegen könnte, wieviel CPU-Leistung und Arbeitsspeicher es maximal verwenden darf, da man über den Taskmanager nichtmal die Priorität von TestCrypt verändern kann.
Sollte TestCrypt bis heute Abend keine brauchbaren Ergebnisse liefern, werde ich das Vorhaben abbrechen, auch wenn dies bedeutet, einige Gigabyte an wichtigen Daten zu verlieren. Den größten Teil (ca. 70 GB von einst 120 GB) kann ich zum Glück durch meine Backups wiederherstellen, und manches auch neu aus dem Netz laden, oder sonst wie wieder beschaffen, dennoch schmerzt der vorhanden tatsächliche Verlust nicht ohne.
Zuletzt bin ich auch sehr von diesem Forum hier enttäuscht, da ich ja bislang nicht die Spur irgendeiner Hilfe erhielt, obwohl ich vorbildlich alle bisherigen Ratschläge innerhalb dieses Threads auf mein spezielles Problem anwandte.
Jedenfalls lerne ich daraus, dass ich zukünftig meine Backups immer aktuell halten muss und Windows Kacke ist, da es Daten größer als 2-3 GB im Löschvorgang offenbar unwiederherstellbar macht.
Sorry, dass ich den Beitrag jetzt erst gesehen habe. TestCrypt kann grundsätzlich nicht innerhalb eines verschlüsselten Volumes suchen, von daher kann das so leider nicht funktionieren.
Siehst du noch irgendeine Möglichkeit der Rettung, oder soll ich das endgültig aufgeben?
Tatsache ist jedenfalls, dass Windows den Container vor der Löschung in den Recylce.Bin geschoben und auf 0kb gesetzt hat.
Zudem hat bei mir Steam in der Zeit ca 400 MB auf die Platte geschrieben, was die Chance einer Rettung zusätzlich etwas minimierte.
Ergänzung ()
Mir fiel noch eine Idee ein:
Ist es mit irgendeinem Tool möglich, eine bitgenaue Kopie des gemounteten Volumes (also den Inhalt des Volumes) auf eine unverschlüsselte Festplatte zu machen?
Dadurch könnte ich dann mit TestCrypt auf der unverschlüsselten Platte nach dem Container suchen.
Leider erkennen Acronis TrueImage und HD Clone nicht das gemountede Volume. Ich bräuchte also ein Clone-Tool, welches mit TrueCrypt kompatible ist.
Unter Linux mit "dd" müsste es funktionieren: einfach das TrueCrypt Volume einbinden und den Gerätenamen des gemounteten Volumes für "dd" bei "if=" benutzen. Pass aber auf, dass du die Ziel-HDD richtig auswählst, nicht das du die falsche HDD überschreibst.
,
