Truecrypt-Container wiederherstellen

[w00ter]

Hey Leute,
gestern wollte Windows partout meine externe Festplatte nicht mehr korrekt erkennen. Kein Problem dachte ich mir und habe direkt mal chksdsk drüber laufen lassen.
Das hat soweit auch ganz gut funktioniert, bis auf einen kleinen Makel - auf der Festplatte befand sich ein 70GB großer Truecrypt-Container, der nach dem Beenden von chksdsk nur noch eine Größe von 0 KB hat und sich dementsprechend auch nicht mehr mounten lässt (Error: incorrect filesize). Der Speicher, den der Container belegt hat, steht nun als freier Speicher auf der Festplatte zur Verfügung.
Alle anderen Dateien sind von diesem Problem übrigens nicht betroffen.

Bisher habe ich die üblichen Recovery-Programme durchlaufen lassen, aber leider ohne nennenswerte Erfolge, da die Datei in der Theorie noch auf der Festplatte existiert.

Lange Rede kurzer Sinn - gibt es eine Möglichkeit diesen Container wiederherzustellen?
Für Tipps und Anregungen wäre ich sehr dankbar.

 

[Madman1209]

Hi,

Bisher habe ich die üblichen Recovery-Programme durchlaufen lassen

...als da wären? Oder auf deutsch: Welche waren das?

Generell: Immer schlechte Idee ChkDsk bei TrueCrypt! Daher würde ich mir ehrlich gesagt nicht mehr allzu viel Hoffnung machen.

VG,
Mad

 

[miac]

Da gibt es eigentlich nur Testcrypt.

 

[BORG316]

Hi,

Generell: Immer schlechte Idee ChkDsk bei TrueCrypt!

Nur mal so interessehalber... Warum?

 

[w00ter]

...als da wären? Oder auf deutsch: Welche waren das?

Hey Mad,

das waren Easy Recovery, FileRecovery, Scavenger und Restorer Ultimate.

Aber bringen solche Programme denn überhaupt etwas bei einer Datei, die im Endeffekt noch auf der Platte ist - nur eben in veränderter Größe.
Wie gesagt, Erfolg hatte ich bisher nicht, aber vielleicht gehe ich auch einfach falsch an die Sache ran.

Da gibt es eigentlich nur Testcrypt.

Werde ich mir gleich mal anschauen.

 

[miac]

Wenn die Daten verschlüsselt sind, dann muß der Container erst eingebunden werden, um mit den anderen Programmen arbeiten zu können. Macht man das nicht, werden die Daten sehr wahrscheinlich zerstört, da ja das Dateisystem nicht erkannt werden kann.

 

[Simpson474]

Leider helfen in diesem Fall meist keine Datenrettungsprogramme mehr, da das Dateisystem dank "chkdsk" ja in Ordnung und die Datei vorhanden ist - es gibt aber keinen Verweis mehr auf die Originaldaten.

Mit TestCrypt allein wirst du bei einem Dateicontainer nicht weit kommen - irgendwo hier im Forum findest du auch meinen RandomBlockLocator. Allerdings sind auch hier die Chancen eher gering - ich glaube bis heute hat es maximal 2 mal funktioniert. Deine Chancen wären besser, wenn die HDD sehr groß ist und der TrueCrypt-Container schon sehr lange drauf liegt.

 

[w00ter]

Da gibt es eigentlich nur Testcrypt.

Es wurde kein Header gefunden.

Mit TestCrypt allein wirst du bei einem Dateicontainer nicht weit kommen - irgendwo hier im Forum findest du auch meinen RandomBlockLocator. Allerdings sind auch hier die Chancen eher gering - ich glaube bis heute hat es maximal 2 mal funktioniert. Deine Chancen wären besser, wenn die HDD sehr groß ist und der TrueCrypt-Container schon sehr lange drauf liegt.

Die Platte ist 320GB groß und der Truecrypt-Container ist seit ca. 1 1/2 Jahren drauf.
Werde mich morgen mal mit dem RandomBlockLocator beschäftigen.

Danke erstmal für eure Hilfe. Ich bin natürlich weiterhin für Vorschläge offen.

 

[Madman1209]

Hi,

@BORG316

Wie miac und Simpson474 schon geschrieben hatten: ChkDsk erkennt im ungemounteten Zustand die Daten nicht - und im schlimmsten Fall passiert genau das, was dem TE passiert ist.

Gibts da denn schon was Neues? Hat alles nichts gebracht? Wie "wichtig" waren denn die Daten?

VG,
Mad

 

[w00ter]

Heute leider zu nichts gekommen, aber morgen werde ich mich mal wieder dran setzen und halte euch natürlich auf dem Laufenden.

 

[Darlis]

ChkDsk erkennt im ungemounteten Zustand die Daten nicht

ChkDsk schaut sich doch nicht den Inhalt der Datei an, dann müsste es ja sämtliche Dateiformate kennen um die zu korrigieren. Ein TrueCrypt-Container ist auch nur eine Datei. Oder sehe ich das falsch?

 

[w00ter]

Mit TestCrypt allein wirst du bei einem Dateicontainer nicht weit kommen - irgendwo hier im Forum findest du auch meinen RandomBlockLocator. Allerdings sind auch hier die Chancen eher gering - ich glaube bis heute hat es maximal 2 mal funktioniert. Deine Chancen wären besser, wenn die HDD sehr groß ist und der TrueCrypt-Container schon sehr lange drauf liegt.

Habe jetzt mal dein kleines Programm durchlaufen lassen, mit folgenden Resultaten:

Block: 370016319 LBA - 373488662 LBA
Block: 378109061 LBA - 381827439 LBA
Block: 408915657 LBA - 411194476 LBA
Block: 420905719 LBA - 424551909 LBA
Block: 430571583 LBA - 433975056 LBA
Block: 448232680 LBA - 455790762 LBA
Block: 457342971 LBA - 465043986 LBA
Block: 474333257 LBA - 479888898 LBA
Block: 484625128 LBA - 505196715 LBA
Block: 505224912 LBA - 509052013 LBA
Block: 531970369 LBA - 538613459 LBA
Block: 592911340 LBA - 611027968 LBA

 

[Simpson474]

Die Erkennungsgenauigkeit ist leider mal wieder miserabel - sieht nicht wirklich gut aus. Pack mal folgende Bereiche in den "Custom Analyzer" von TestCrypt und lass das Teil durchlaufen:

370012319 - 370020319
373484662 - 373492662
378105061 - 378113061
381823439 - 381831439
408911657 - 408919657
411190476 - 411198476
420901719 - 420909719
424547909 - 424555909
430567583 - 430575583
433971056 - 433979056
448228680 - 448236680
455786762 - 455794762
457338971 - 457346971
465039986 - 465047986
474329257 - 474337257
479884898 - 479892898
484621128 - 484629128
505192715 - 505200715
505220912 - 505228912
509048013 - 509056013
531966369 - 531974369
538609459 - 538617459
592907340 - 592915340
611023968 - 611031968

 

[w00ter]

Erstmal vielen Dank für deine Mühe.
Habe direkt mal den Scan gestartet, wird wohl um die 4 Stunden dauern.

Ergänzung (3. September 2011)

Leider kein Erfolg.

 

[Simpson474]

Wenn du noch einen Versuch machen willst, probier mal beim Aufruf des RandomBlockLocator die 16 auf 32 zu ändern. Pass aber auf, dass du die richtige HDD beim Aufruf des RandomBlockLocator angibst.

 

[w00ter]

Ergebnis:

Block: 92917058 LBA - 95186686 LBA
Block: 206908103 LBA - 209046307 LBA
Block: 266329295 LBA - 268429605 LBA
Block: 354814591 LBA - 358676795 LBA
Block: 370016319 LBA - 373488662 LBA
Block: 378109061 LBA - 381827439 LBA
Block: 408915657 LBA - 411194476 LBA
Block: 420905719 LBA - 424551909 LBA
Block: 430571583 LBA - 433975056 LBA
Block: 448232680 LBA - 455790762 LBA
Block: 457342971 LBA - 465076294 LBA
Block: 474333210 LBA - 479888898 LBA
Block: 484625128 LBA - 505196715 LBA
Block: 505224912 LBA - 509052013 LBA
Block: 531970369 LBA - 538613459 LBA
Block: 563426960 LBA - 565945342 LBA
Block: 592911339 LBA - 611027968 LBA

 

[Madman1209]

Hi,

so traurig es ist, ich zitiere mal nochmal meinen ersten Post:

Daher würde ich mir ehrlich gesagt nicht mehr allzu viel Hoffnung machen.

Ich fürchte, dass sich das doch bewahrheitet.

VG,
Mad

 

[Simpson474]

Entweder wurde der Container beim Erstellen nicht vollständig formatiert (TrueCrypt erlaubt nach Warnung auch eine Schnellformatierung) oder der Container war heftig fragmentiert. Pack noch mal die folgenden Bereiche in den Custom Analyzer - aber Hoffnung habe ich eigentlich so gut wie keine mehr:

92913058 - 92921058
95182686 - 95190686
206904103 - 206912103
209042307 - 209050307
266325295 - 266333295
268425605 - 268433605
354810591 - 354818591
358672795 - 358680795
457338971 - 457346971
465072294 - 465080294
563422960 - 563430960
565941342 - 565949342

 

[w00ter]

Wieder nichts.
Hat wohl keinen Sinn mehr, trotzdem vielen Dank für deine Hilfe.