如何修复解密驱动器中可能损坏的文件？

Question

我最近将我的外置硬盘交给 Seagate 进行数据恢复，他们给我寄回了一个内容已加密（Bitlocker）的硬盘。我解密了内容，但似乎所有文件都已损坏 - 或者至少看起来已损坏。我在文本编辑器中打开了一个 Word 文档，其中包含（仅发布一段）：

Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????‚‡\‚‡\ 6086882MltCpy2.19 FILL FILLed Sector; ST2000NM001A-2J2101 (SN01) WJC05WBSa Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????„‡\„‡\ 6086883MltCpy2.19 FILL FILLed Sector; ST2000NM001A-2J2101 (SN01) WJC05WBSa Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????‰‡\‰‡\ 6086884MltCpy2.19 FILL FILLed Sector; ST2000NM001A-2J2101 (SN01) WJC05WBSa Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????

我在文本编辑器中检查了一个图像文件，发现了类似的内容：

Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????Data Recovery Labs??????????????¯fin„¯fin„ 3815694072MltCpy2.19 FILL FILLed Sector; ST2000NM001A-2J2101 (SN01) WJC05WBSa Recovery Labs??????????????Data Recovery

如果有任何关于我应该如何进行的建议我将非常感激。

我尝试chkdsk在驱动器上运行以修复可能存在的 HDD 损坏，但没有效果。

Answer 1

我所知道的从加密驱动器恢复文件的唯一方法是使用repair-bde例如：

repair-bde C: D: -force -rp 111111-222222-333333-444444-555555-666666-777777-888888

这将使用恢复密钥从 C 恢复到 D（请相应调整）。常规命令（例如）chkdsk不起作用。这就是我在遇到损坏和加密的驱动器时解决问题的方法。

不过我不确定解密驱动器后这是否可行。祝你好运！

Answer 2

这不是加密数据，而是无法读取的数据/扇区的占位符。6086882、6086883、6086884 是 LBA 地址。它实际上表示“已填充扇区”。

数据恢复实验室一有机会就会尝试对驱动器进行映像/克隆。在许多专业数据恢复工具中，人们可以配置在不可读扇区中写入的内容，而这个实验室似乎借此机会做了广告。似乎使用的工具称为 MltCpy2.19（可能是 MultiCopy？），我从未听说过。这可能是他们内部开发的工具。

任何一家还算不错的数据恢复实验室都应该能够告诉您，并且应该告诉您，我们恢复了数据，但未能成功复制 x 个扇区。如果文件系统元数据（允许将准确的 LBA 地址绑定到单个文件）也可以恢复，那么专业的磁盘映像程序通常能够精确地定位可能由于坏扇区而损坏的文件。

本周我在 Reddit 上看到了类似的案例，或者这是一起案例？说实话，这听起来像是一个马虎的实验室。

编辑：与一些见过类似情况的同事交谈过。据说所有这些情况都有一个共同点，它们都被送到了 Seagate 进行数据恢复。