Ronin Perito Digital - Recuperação De Dados Hd

O que acontece quando um HD para de funcionar

A maioria das pessoas acha que recuperação de dados é magia. Não é. É física aplicada com muito tempo de tela. Quando um disco rígido trava, o primeiro impulso é desligar tudo e chamar alguém. Às vezes isso faz sentido. Na maior parte das vezes, você só piorou a situação abrindo a tampa no escritório.

ronin perito digital - recuperação de dados hd

Trabalho com isso há anos e posso dizer que 70% dos casos que chegam já estão comprometidos pela intervenção do usuário. O problema não é o software. É a ansiedade. Você vê um arquivo importante sumido e começa a tentar tudo: testdisk, recuva, clonezilla, o que aparecer no google. Dois dias depois, o disco tem setores reatribuídos por toda a partição e a chance real de recuperação cai pela metade. O caminho certo é mais chato. Primeiro, avaliar se o defeito é lógico ou físico. Defeito lógico significa que o hardware gira normalmente, mas o sistema de arquivos está corrompido. Nesse caso, imagens bit a bit com ddrescue resolvem a maior parte dos problemas. Defeito físico é outra história. Faz um barulho de clique? O disco não reconhece na BIOS? Aí você para. Não tenta nada. Leva para laboratório.

Eu tive um caso mês passado com um WD Black de 4 terabytes que fazia um tic-tic rítmico a cada três segundos. O cliente tinha rodadochkdsk duas vezes antes de ligar. Executei uma leitura com ddrescue usando a opção -n para pular os setores danificados e fazer uma primeira varredura rápida. Em seguida, parti o trabalho em sessões de duas horas com retries limitados. Sete dias depois, recuperei 87% dos dados. Os setores problemáticos ficavam concentrados em uma faixa específica do HD, então foquei a rebuild do sistema de arquivos nessa área. O restante ficou íntegro. A ferramenta que uso como base é o ddrescue, rodando em Linux. Se quiser testar, o pacote está nos repositórios padrão: sudo apt install gddrescue no Debian e Ubuntu. No Arch, é ddrescue. Já no Windows, existe uma versão portável do GNU ddrescue que funciona se você tiver o WSL configurado. Não recomendo usar ferramentas gráficas como Disk Drill ou EaseUS para recuperação séria. Elas fazem varreduras superficiais e podem sobrescrever dados na zona de cabeçalho se você salvar a imagem no mesmo disco que está tentando recuperar.

O processo real de forense digital segue uma ordem específica. Você começa pela análise externa: conectar o HD via adaptador SATA-USB com bloqueio de escrita, se possível. Adaptadores sem write-blocker são risco real. Depois, roda smartctl para ler os atributos S.M.A.R.T. Atributos como 5 (reallocated sector count), 197 (current pending sector) e 198 (uncorrectable sector count) acima de zero já indicam problema. Se o número for baixo e estiver crescendo, o disco está se deteriorando ativamente. Em seguida, faz-se a imagem. Aqui entra o ponto que poucos entendem: nunca trabalhe no disco original. Sempre na imagem. O comando básico é:

ddrescue -f -n /dev/sdb imagem.dd imagem.log O parâmetro -f força a sobrescrita do arquivo de saída se ele existir. O -n pula a fase de retry inicial, acelerando a coleta dos setores bons. Depois que a primeira passagem termina, roda-se uma segunda passagem sem o -n para tentar recuperar os setores problemáticos. Isso pode levar horas ou dias, dependendo da saúde do disco.

Quando a imagem está pronta, parte para a recuperação propriamente dita. Para sistemas de arquivos ext4, uso o scalpel ou o foremost para carving de arquivos baseado em headers e footers. Para NTFS, o photorec funciona, mas perde metadados importantes. Se precisar preservar estrutura de diretórios e timestamps, o autopsy ou o binwalk com scripts personalizados são mais indicados. Para caso forense formal, o hash SHA256 da imagem deve ser calculado antes de qualquer manipulação, para garantir a cadeia de custódia. Um erro comum é acreditar que recuperar o arquivo é o final. A verdade é que a integridade do dado precisa ser comprovada. No meu último caso, o cliente precisava dos arquivos para um processo judicial. Além de recuperar as fotos e documentos, gerei um relatório técnico com os hashes, o log completo do ddrescue, e a lista de setores não recuperáveis. Sem isso, a prova não tem validade.

Sobre custo e tempo: uma recuperação lógica simples, onde o disco gira bem e o dano é apenas no sistema de arquivos, leva de 3 a 8 horas de trabalho e custa em média entre 300 e 800 reais, dependendo da complexidade. Recuperação física, com troca de cabeça de leitura ou placa controladora, varia de 1500 a 5000 reais. Discos com danos severos em múltiplas trilhas podem ser inviáveis. Nesses casos, o mais honesto é informar desde o início que a taxa de sucesso é abaixo de 20 por cento e evitar cobrariança adiantada. Se você quer tentar por conta própria, o caminho mínimo viável é: parar de usar o disco, criar uma imagem com ddrescue em outro computador, e executar carving na imagem. Use um HD externo com espaço suficiente, de preferência o dobro do tamanho do disco fonte. Se o disco fizer barulhos estranhos, não insista. Cada girada desnecessária desgasta os pratos e aumenta o risco de perda total.

Existem serviços especializados que oferecem avaliação gratuita inicial. Antes de entregar qualquer coisa, peça o diagnóstico por escrito. Um técnico honesto vai dizer o que pode ser feito, o que não pode, e quanto custa. Se a resposta for "temos tecnologia proprietária que resolve tudo", desconfie. Essa tecnologia não existe. O que existe é experiência, equipamento adequado, e paciência. Para quem busca referências sobre o assunto, o livro Data Recovery with PhotoRec and TestDisk do mesmo autor do TestDisk é a base mais prática. Também recomendo o site oficial do projeto testdisk.org, onde toda a documentação técnica está disponível, incluindo guias de recuperação para diferentes sistemas de arquivos e cenários de falha. Nada substitui a leitura direta da documentação antes de mexer em disco danificado.