Статья Comparison of file recovery programs usb mass storage device (Windows)

При расследовании инцидентов часто на экспертизу попадают usb накопители, но методы изъятия из ПК или ноутбуков делают эти устройства потом не читаемыми, как пример такого устройства pqi usb flash 256 мб, при подключении в систему выдает "форматировать диск"

error

Мы рассмотрим такие программы:

• GetDataBack Simple
• R-Studio
• BlackLight 2018 Release 2
• AccessData Forensic Toolkit FTK
• X-Ways Forensics
• Recovery Explorer Professional
• 7-Data_Recovery
• MiniToolPowerDataRecovery
• OntrackEasyRecovery
• Recover My Files
• ForensicsMaster
• DMDE - DM Disk Editor and Data Recovery Software

GetDataBack Simple программа нормально отобразила файлы и папки и была запущена

GetDataBack Simple

GetDataBack Simple view del files

R-Studio программа вообще не смогла отобразить хоть какую то информацию, но дала возможность запустить восстановление

R-Studio

BlackLight 2018 Release 2 программа вообще не смогла отобразить хоть какую то информацию

BlackLight 2018 Release 2

AccessData Forensic Toolkit FTK программа вообще не смогла отобразить хоть какую то информацию

AccessData Forensic Toolkit FTK

X-Ways Forensics программа отработала так же как R-Studio

X-Ways Forensics

Recovery Explorer Professional программа нормально отобразила файлы и папки и была запущена

Recovery Explorer Professional

Recovery Explorer Professional scan

7-Data Recovery программа нормально отобразила файлы и папки и была запущена

7-Data_Recovery start&select

7-Data_Recovery files

MiniToolPowerDataRecovery программа нормально отобразила файлы и папки и была запущена

MiniToolPowerDataRecovery

OntrackEasyRecovery программа после определения раздела и дальнейшего сканирования увидела все файлы и папки (доступен пред просмотр)

OntrackEasyRecovery scans

OntrackEasyRecovery files

Recover My Files программа нормально отобразила файлы и папки и была запущена (доступен пред просмотр),
обратите внимание на выделенный файл и ниже окно "Display", она даже увидела и восстановила файл альтернативного потока данных (Zone.Identifier) в NTFS

Recover My Files даже увидела файл альтернативного потока

Forensics Master

Ссылка скрыта от гостей

нормально отобразила файлы и папки и была запущена

Forensics Master New Case -> Add device

Data Recovery -> Recover

Forensics Master результат

Выводы пока что не окончательны, так как есть еще программы с которыми я буду сравнивать, ниже картинка с объемами восстановленных данных

объем данных и качество данных не всегда совпадают

DMDE - DM Disk Editor and Data Recovery Software программа нормально отобразила файлы и папки и была запущена

DMDE

DMDE возможные настройки

DMDE объем восстановленной информации

GetDataBack Simple если не выбирать пункт отображения удаленных файлов все восстановила в изначальное состояние.
R-Studio, BlackLight 2018 Release 2, AccessData Forensic Toolkit FTK, X-Ways Forensics разочаровали, для такой операции, она R-Studio восстановила названия папок и файлов, все что находилось в корневом каталоге (файлы) все поврежденные, папки все пустые т.е она полностью не справилась с задачей (ожиданий от нее было больше, так как часто её использую).
Recovery Explorer Professional не восстановила некоторые папки которые на ура восстановила GetDataBack Simple.
Recover My Files удивила восстановлением файла альтернативного потока данных (Zone.Identifier) в NTFS.
DMDE - DM Disk Editor and Data Recovery Software результат и другие возможности обошла выше указанные программы

оставшиеся программы 7-Data Recovery, MiniToolPowerDataRecovery, OntrackEasyRecovery, Forensics Master не подвели, но есть маленькое примечание, найденные и восстановленные файлы датированные 2012 годом всеми программами были восстановлены битыми.
Но однозначно что именно для сбойной флешки я R-Studio использовать не буду, и первым делом воспользуюсь -> DMDE и Recover My Files, а следующие будут
7-Data Recovery, MiniToolPowerDataRecovery, GetDataBack Simple.

 

[forgot]

можно дополнить еще программой dmde - показывает хорошие результаты восстановления файлов с сбойных флешек. По личному рейтингу стоит на первом месте. Рекомендую протестировать ее.
Так же столкнувшись с проблемой замены файла(то есть человек работал с документом excel, случайно удалил нужную информацию и сохранил изменения) помогла программа winhex, с помощью ее получилось восстановить все редакции документа.

 

[Sunnych]

можно дополнить еще программой dmde - показывает хорошие

Про winhex если напишите статью с скринами и пояснениями то это будет супер. Жду и надеюсь на Вас о winhex

 

[Sunnych]

можно дополнить еще программой dmde

Очень помог Дмитрий Сидоров автор программы DMDE
В статью добавлено сравнение и пример его программы DMDE 3.6.1.775 Beta Professional Edition x64