Odzyskiwanie usuniętych plików z pendrive – DMDE, Recuva, TestDisk, EaseUS, R‑Studio, chip-off

Pytanie

Jak przywrócić usunięte pliki z pendrive

Odpowiedź Sztucznej Inteligencji

Bezpośrednia odpowiedź na pytanie

• Tak, odzyskanie plików z pendrive’a jest możliwe, o ile nie zostały nadpisane.
• Natychmiast przestań używać nośnika, nadaj mu tryb tylko do odczytu, wykonaj kopię posektorową 1:1 (obraz), a dopiero potem skanuj obraz narzędziami do odzysku (DMDE, TestDisk/PhotoRec, Recuva, R‑Studio/Disk Drill/EaseUS). Nie zapisuj nic na źródłowym pendrive’ie. Gdy nośnik nie jest wykrywany lub ma pojemność 0 MB – rozważ serwis profesjonalny (chip‑off).

Kluczowe punkty:

• Zero zapisu na źródle, praca wyłącznie na obrazie.
• Najpierw odzysk logiczny (system plików/sygnatury), potem ewentualne naprawy.
• Unikaj chkdsk/formatowania przed sporządzeniem obrazu.
• Jeżeli dane były ukryte przez malware – przywróć atrybuty (attrib), nie myl z „trwale skasowanymi” plikami.

Szczegółowa analiza problemu

1. Zabezpieczenie nośnika (eliminuje ryzyko nadpisu)

• Windows: uruchom wiersz poleceń jako administrator:
  • diskpart → list disk → select disk <nr_pendrive’a> → attributes disk set readonly → exit.
• Alternatywy: przełącznik „read‑only” (jeśli obudowa go ma), sprzętowy write‑blocker USB, Linux: montowanie tylko do odczytu (ro), ewentualnie blokada zapisu w udev.
• Od tej chwili nie kopiuj na pendrive’a żadnych plików, nie uruchamiaj na nim defragmentacji, skanów antywirusowych „z naprawą” itp.

2. Wykonanie obrazu 1:1 (pracujemy na kopii, nie na oryginale)

• Windows: DMDE (Kopiuj sektory → Źródło: urządzenie fizyczne pendrive → Cel: plik .img na dysku). Alternatywnie HDD Raw Copy.
• Linux/macOS: ddrescue (zalecane na nośniki z błędami I/O):
  • sudo ddrescue -d -r3 /dev/sdX pendrive.img pendrive.log
• Zalety obrazu: powtarzalność, odporność na dalszą degradację nośnika, możliwość użycia wielu narzędzi bez ryzyka.

3. Odzysk logiczny z obrazu (najpierw łagodne metody)

• DMDE: otwórz obraz → przeglądaj drzewo katalogów; jeśli brak, uruchom pełny skan (szukanie struktur FS i RAW). Umożliwia odzysk z zachowaniem struktury, gdy MFT/FAT jest częściowo czytelne.
• Recuva: skuteczna przy świeżym usunięciu, szybka, prosta. Używaj na obrazie zamontowanym jako wirtualny dysk.
• PhotoRec (pakiet TestDisk): odzysk „po sygnaturach” (RAW), dobry po formacie/RAW, traci oryginalne nazwy/katalogi, ale wydobywa treści.
• TestDisk: gdy znikła partycja / wolumin stał się RAW – próba rekonstrukcji tablicy partycji/boot sektora (bez zapisu na źródle; zapis tylko, jeśli masz pewność i kopie zapasowe).

4. Scenariusze i właściwa ścieżka

• Zwykłe usunięcie, brak używania po fakcie:
  • DMDE/Recuva szybkie skanowanie → podgląd → odzysk na INNY dysk.
• Szybkie formatowanie/RAW:
  • DMDE pełny skan + PhotoRec (RAW) → selekcja wyników → odzysk na inny dysk.
• Pliki „zniknęły” po infekcji (ukryte):
  • Wiersz poleceń (zastąp E: swoją literą): attrib -h -r -s E:*.* /s /d
  • Następnie skopiuj widoczne pliki na inny nośnik i przeskanuj antywirusem (bez „naprawy” na źródle).
• Pendrive zgłasza błędy I/O, pojemność 0 MB, nie wykrywa się stabilnie:
  • Nie „męczyć” nośnika. Dalsze odczyty przyspieszają śmierć NAND/kontrolera. Tu wchodzi diagnostyka sprzętowa/laboratoryjna (naprawa złącza/zasilania, odczyt chip‑off i rekonstrukcja FTL/ECC/XOR).

5. Czego nie robić (typowe „miny”)

• Nie uruchamiaj chkdsk przed utworzeniem obrazu – narzędzie modyfikuje metadane, może przenosić fragmenty do FOUND.000 lub uciąć „osierocone” klastry, komplikując odzysk.
• Nie formatuj „żeby Windows widział” – to dodatkowe nadpisy nagłówków/struktur.
• Nie instaluj narzędzi na odzyskiwany pendrive; instaluj wyłącznie na dysku systemowym.
• Nie zapisuj odzyskanych plików na ten sam nośnik.

6. Weryfikacja i jakość odzysku

• Używaj podglądu (preview) dla zdjęć/dokumentów; w przypadku krytycznych plików włącz sumy kontrolne (MD5/SHA‑256) przed/po kopiowaniu.
• Dane aplikacyjne (np. bazy SQLite, PST) – po odzysku uruchom narzędzie do naprawy/konsekwencji logicznej pliku.

7. Gdy potrzebny serwis profesjonalny

• Objawy: brak detekcji, „0 MB”, losowe zawieszanie przy odczycie, ślady zalania/wyłamania złącza, istotny „bad block rate”.
• Procedury lab: reballing złącza/zasilania, klonowanie sprzętowe, chip‑off (wylut NAND, odczyt programatorem, rekonstrukcja translacji kontrolera, ECC).
• Koszty i czas: zależne od pojemności i kontrolera; przygotuj listę priorytetów plików i zgodę RODO/NDA (gdy dotyczą danych wrażliwych).

Teoretyczne podstawy

• Usunięcie w FAT32/exFAT/NTFS zwykle dotyka metadanych (znacznik skasowania, aktualizacja alokacji), treść bloków pozostaje, dopóki FTL nie przydzieli ich innym zapisom.
• Pamięci NAND używają warstwy translacji (FTL) i wear‑levelingu; stąd fragmentacja logiczna ≠ fizyczna, a odzysk często wymaga heurystyk/RAW‑scan.
• TRIM/UNMAP: klasyczne pendrive’y rzadko propagują te komendy; częściej spotkasz je w SSD w obudowach USB/UASP. Dlatego skasowane dane na typowych pendrive’ach zwykle da się odczytać do czasu nadpisu, choć kontrolery mogą wykonywać własne „sprzątanie” w tle.

Aktualne informacje i trendy

• Narzędzia konsumenckie (2024–2025) usprawniły głębokie skanowanie exFAT i podglądy: EaseUS, Disk Drill, R‑Studio poprawiły rekonstrukcję po szybkim formacie i odzysk z dużych pendrive’ów USB 3.x.
• Rosnący udział tańszej NAND (TLC/QLC) zwiększa prawdopodobieństwo błędów bitowych i awarii kontrolera; priorytetem staje się szybkie obrazowanie (ddrescue z mapą błędów) i ograniczanie liczby prób odczytu.
• Wzrost przypadków „zniknięcia” plików przez malware: częściej wystarcza przywrócenie atrybutów i potem klasyczny odzysk, bez ingerencji w strukturę partycji.

Wspierające wyjaśnienia i detale

• Dlaczego obraz przed skanem? Każde skanowanie „żywego” pendrive’a powoduje cykle odczytu, które na zużytej NAND mogą indukować błędy odczytu lub korekcji ECC. Obraz pozwala na wielokrotne analizy bez ryzyka eskalacji uszkodzeń.
• Dlaczego nie chkdsk na starcie? To narzędzie porządkuje spójność systemu plików z punktu widzenia OS, a nie odzysku – może usuwać ślady potrzebne do rekonstrukcji.
• RAW recovery vs. struktura katalogów: RAW znajdzie treści po sygnaturach (JPG/ZIP/DOCX/MP4), ale zgubi nazwy i foldery; gdy zależy Ci na strukturze – DMDE/TestDisk najpierw.

Aspekty etyczne i prawne

• Odzyskuj wyłącznie dane, do których masz prawo. Nie przeglądaj cudzych pendrive’ów bez zgody właściciela.
• W środowisku firmowym przestrzegaj polityk bezpieczeństwa i przepisów o ochronie danych (np. dane osobowe, tajemnice przedsiębiorstwa). Zapewnij bezpieczne przechowywanie kopii obrazu i kasowanie po zakończeniu (wipe z weryfikacją).

Praktyczne wskazówki

• Plan minimum (samodzielnie, Windows):
  1. attributes disk set readonly w diskpart
  2. Obraz .img w DMDE
  3. Skan obrazu: DMDE (pełny), następnie PhotoRec, na końcu Recuva dla „świeżych” skasowań
  4. Zapis wyłącznie na inny dysk
• Plan „szybka próba” dla ukrytych plików: attrib -h -r -s E:*.* /s /d → natychmiastowa kopia na HDD/SSD.
• Organizacja wyników: filtruj po typie/rozmiarze/czasie modyfikacji; dla dużych zbiorów zdjęć użyj narzędzi do wyszukiwania duplikatów i wsadowych podglądów.
• Na przyszłość: reguła kopii 3‑2‑1, bezpieczne wysuwanie, okresowe testy odczytu pendrive’ów archiwalnych.

Ewentualne zastrzeżenia lub uwagi dodatkowe

• Jeśli sektory z Twoimi plikami zostały realnie nadpisane – odzysk treści nie będzie możliwy metodami logicznymi ani laboratoryjnymi.
• Tanie/„no‑name” pendrive’y mogą raportować zawyżoną pojemność (tzw. fake capacity) – dane „znikają” po przekroczeniu realnej pojemności; tu konieczna jest natychmiastowa kopia i weryfikacja mapy błędów.
• Bardzo długie działanie PhotoRec/pełnych skanów na dużych nośnikach (128–512 GB) jest normalne – licz godziny, czasem doby.

Sugestie dalszych badań

• Dokumentacja: DMDE (procedury kopii sektorów i pełnego skanowania), TestDisk/PhotoRec (rekonstrukcja/RAW), ddrescue (strategie retry i mapy log).
• Praktyka: przygotuj bootowalny Linux Live z ddrescue i narzędziami forensic na wypadek przyszłych incydentów.
• Prewencja: wdrożenie automatycznych kopii (3‑2‑1), kontrola stanu nośników, polityka pracy na kopiach, a nie oryginałach.

Krótkie podsumowanie

• Zatrzymaj używanie pendrive’a, ustaw „read‑only”, zrób obraz 1:1, odzyskuj z obrazu narzędziami (DMDE/TestDisk/PhotoRec/Recuva/R‑Studio/EaseUS), zapisuj wyniki na innym dysku. Unikaj chkdsk i formatowania do czasu zakończenia odzysku. Przy braku detekcji lub objawach sprzętowych – rozważ serwis chip‑off.

Jeśli podasz szczegóły:

• system (Windows/Linux/macOS),
• typ zdarzenia (usunięcie, format, RAW, ukrycie przez wirus),
• objawy (błędy I/O, 0 MB, brak litery),
• rozmiar i typy plików,

to przygotuję precyzyjną, krok‑po‑kroku procedurę dopasowaną do Twojego przypadku.