Mesmo que você apague arquivos ou formate um drive, as informações ainda pode estar lá e pode ser possível recuperá-las.
Neste post, vou mostrar como recuperar uma grande quantidade de informações de um drive formatado, usando o comando dd, no GNU/Linux.
O procedimento pode ser usado para reaver dados de qualquer tipo de mídia, como cartão de memória, SSD, HD, pendrives etc. — sejam eles formatados acidentalmente ou corrompidos, com defeitos.
Eu uso o GNU/Linux, mas se você usa Windows ou Mac, fique tranquilo: tudo o que disser aqui, vale pra você também. O software usado é o mesmo.
O que você precisa ter
Antes de começar, vale a pena deixar à mão alguns recursos de que você vai precisar.
Alguns cuidados preliminares também são fundamentais, para maximizar suas chances de sucesso e melhorar suas probabilidades de recuperar seus dados.
Congele todas as suas ações
É fundamental isolar o drive do sistema e parar imediatamente de usá-lo. Qualquer alteração ou escrita feita na mídia, a ser recuperada, vai diminuir substancialmente as chances de recuperação ou a quantidade de arquivos passíveis de resgatar.
Se puder remover o drive de dentro do computador/notebook e conectá-lo via USB, tanto melhor.
Esta é a regra número 1: no momento em que você se deu conta do acidente, desligue o computador e isole o drive. Quanto mais cedo você fizer isso, melhores serão as suas chances.
Prepare o seu espírito
Diminua as suas expectativas.
As chances são muitas boas de recuperação, mas há uma série de ações que as pessoas tomam, no desespero, que podem piorar sensivelmente a situação.
Se você vai recuperar as informações de um cliente ou amigo, fale para ele se acalmar e reduzir suas expectativas.
Além disso, a operação leva um tempo para ser concluída — pode demorar algumas ou várias horas. Isso vai depender do poder de processamento do seu computador, da quantidade de dados a restaurar, da extensão dos danos etc.
Tenha paciência e aja com calma.
Prepare um espaço para receber os dados recuperados
O programa que vamos usar, neste post, vai recuperar os dados “perdidos” e armazená-los em segurança em outro local.
Portanto, certifique-se de ter um segundo drive ou qualquer outro local, com espaço suficiente para guardar os arquivos resgatados.
Instale o photorec
O aplicativo photorec está disponível para as plataformas Windows, Mac e GNU/Linux.
Você pode baixar e instalar a versão mais atual direto do site dos desenvolvedores: https://www.cgsecurity.org/wiki/TestDisk_Download
Pra quem usa o GNU/Linux, faça a instalação segura direto dos repositórios oficiais da sua distro, como de costume. Neste caso, o photorec, está dentro do pacote do testdisk.
No meu caso (Debian), usei a linha de comando:
sudo apt install testdisk
A instalação é a única diferença no uso do photorec, nas diferentes plataformas. Daqui pra frente, tudo é igual.
A interface do photorec
O nome do aplicativo é uma junção de photography recover, ou seja, recuperação de fotos. E essa pode ter sido a sua principal função, no começo.
As versões atuais do programa conseguem recuperar mais de 300 tipos de arquivos — de texto, de imagens, de vídeos, de áudio, do office etc.
A interface do photorec é em texto ou CLI (Command Line Interface). A minha versão é em inglês e é provável que a sua também seja.
Mas, não se preocupe: boa parte do trabalho do aplicativo é automática, a menos que você peça para confirmar passo a passo — o que não é recomendável, se você tiver milhares de arquivos para recuperar.
Nota: No Linux, o Photorec precisa ser executado com permissões de root (sudo ou su).
Após escolher o drive a ser recuperado, selecione Proceed e tecle Enter.
As opções do Photorec
Como eu disse, o Photorec é quase 100% automatizado. Mas, se você quiser conhecer, segue algumas das suas principais opções.
- Paranoid : yes (Brute force disabled) – como ação padrão, o programa verifica a qualidade dos arquivos e, se não for possível fazer a recuperação ele os descarta. Esta é a opção mais segura e eficiente de fazer o trabalho. Se souber o que está fazendo, você pode optar por ativar a força bruta (Brute force enable), para tentar obter mais informações entre os arquivos JPEG fragmentados, mas isso pode ter um impacto brutal no uso da CPU do sistema, sem falar que vai demorar mais ainda para concluir o trabalho
- Allow partial last cylinder, modifica o modo como a geometria da mídia é determinada e só afeta as áreas não-particionadas.
- Expert mode, permite forçar o tamanho dos blocos do sistema de arquivos. Os valores possíveis variam de acordo com o file system.
- Keep corrupt files, pode ser usado para resgatar até mesmo os arquivos considerados inválidos. Pode ser usado no caso de se ter esperança de recuperá-los depois, usando outras ferramentas.
- Low memory, se você tiver pouca memória no seu sistema, se o photorec estiver travando e/ou o seu sistema de arquivos estiver muito fragmentado, esta opção pode ajudar. O manual recomenda usar apenas se for absolutamente necessário.
Seleção de tipos de arquivos
Se estiver a procura de algo muito específico, pode ser interessante percorrer este menu, com centenas de opções de tipos e categorias de arquivos. Senão, apenas ignore e siga em frente.
Se você estiver trabalhando na mídia de um cliente e ele não tiver dado qualquer instrução, detalhando o tipo de arquivo que deseja obter de volta, não gaste seu tempo neste menu.
Apenas restaure tudo e entregue pra ele.
Aonde armazenar os arquivos recuperados
Como eu disse, lá no começo, você precisa ter um segundo drive do tamanho do drive “danificado” ou formatado. Dentro deste segundo drive, serão lançados os arquivos.
Verifique se o seu tamanho é suficiente para caber todo o conteúdo restaurado, para evitar interrupções no seu trabalho.
Acompanhe o progresso do Photorec
Se você puder evitar usar o computador durante o trabalho do Photorec, melhor será o desempenho do programa.
O meu HDD externo (1 TB) demorou aproximadamente 20h para ser totalmente “escaneado”. Um SSD ou cartão de memória, da mesma capacidade, certamente vai demorar bem menos.
A tela de progresso exibe quanto tempo já passou, desde o início do processo (Elapsed time) e o tempo estimado para a conclusão (Estimated time).
Enquanto isso, ele exibe os tipos de arquivos e as quantidades que foram resgatadas e gravadas na mídia secundária.
Você pode interromper o procedimento, a qualquer momento, teclando Enter.
Conclusão
Se você está prestando um serviço a um cliente, pode-se dizer que o seu trabalho ja terminou. Você pode entregar os arquivos e as mídias ao cliente.
O que resta agora, é um trabalho de reorganização dos arquivos.
Os arquivos restaurados são guardados em várias pastas ou diretórios e não retém mais os seus nomes originais. Cada um terá que ser aberto, individualmente, para saber do que se trata. Se for útil e estiver em boas condições, pode ser renomeado e guardado em local adequado.
Novamente, se estiver prestando um serviço, respeite a privacidade do cliente e entregue o que tem em mãos, sem olhar o conteúdo.
Avise que alguns dos arquivos podem ainda estar com problemas e sem chance de recuperação. Com sorte, os mais importantes podem estar inteiros ainda.
