История о том, как трудно найти черную кошку в тёмной комнате, особенно если её там нет
Один из самых необычных случаев в этом году. У фотоаппарата Samsung L74 разбился сенсорный экран, а во внутренней памяти устройства остались нужные заказчику фотографии. Для подключения data-кабелем к компьютеру необходимо нажать комбинацию на экране, аппаратных кнопок нет. Обратиться в сервис по ремонту фотоаппаратов, чтобы заменить экран и скачать фотографии оказалось слишком сложно. Наш центр восстановления данных взялся решить задачу по спасению фотографий.
Вскрываем фотоаппарат, находим чип на котором размещается встроенная память – большая прямоугольная микросхема с наклейкой 7M81001A слева от объектива. Это Samsung K9F4G08U0M в корпусе TSOP-48 объемом 512 мегабайт. Выпаиваем, обязательно контролируя температуру, чтобы не перегреть. Помещаем в программатор, чип показал идентификатор $ECDC1095. Объем маленький, вычитывание не займет много времени. Расшифровать алгоритм по которому фотоаппарат кодирует информацию не составит труда, по сравнению с современными флешками он прост – нет ни ксора, ни перемешивания. Изменяем формат страницы, чтобы отделить пользовательские данные от служебной информации. Проверяем результат черновым восстановлением, для файлов типа jpg проверенный размер около 45 Кб. Результат характерен для случаев когда предварительные преобразования выполнены верно, но слишком много битовых ошибок. Возвращаемся к дампу с микросхемы, комплекс автоматически определил ECC, корректируем дамп и получаем печальный результат. Корректно меньше половины секторов. Многократное вычитывание не улучшает результат. Пробуем перечитать микросхему с увеличенными таймингами – бесполезно. Замораживаем чип, результат прежний. Микросхема памяти сопротивляется как советские войска под Сталинградом, число скорректированных секторов увеличить не удалось. После целого дня занятого бесплодными попытками приходит понимание: комплекс ошибся, никакого ECC нет. Проверяем служебную информацию:
10 01 FF FF FF 10 01 FF FF
10 01 FF FF FF 10 01 FF FF
10 01 FF FF FF 10 01 FF FF
10 01 FF FF FF 10 01 FF FF
Белого шума, на который похожи коды коррекции ошибок не видно. Типичный маркер номера блока.
Размер блока оказывается равен 256 секторам. Становится ясно почему был так мал проверенный размер фотографий: аппарат старый, маленький объем памяти и столь же маленькие блоки с которыми оперирует транслятор (около 131 Кб). Большие фотографии просто не умещаются в одном блоке. Собираем транслятор с параметрами:
Позиция маркера............ 512
Размер блока (в секторах).. 256
Смещение начала анализа.... 0
Маска...................... 0x0FFE
Структура идентификатора... 1234
Контроль целостности блока. NO
Блоки в пределах банка..... NO
Размер страницы............ 8
Номер сектора для получения маркера (Основной проход): 0
Номер сектора для получения маркера (Дополнительный проход): 0
Прямое построение образа NO
Пропускать блоки с пустой 0 страницей YES
Все фотографии и видео целы, остается сохранить и передать владельцу.