MBR, Partitionstabelle und Bootsektor der Speicherkarte ohne Datenverlust wiederherstellen ("USBC")

23321
Synetech

Abstrakt

Ich habe eine FAT32-Speicherkarte, die beim Einsetzen in einen Computer dazu führt, dass Windows zum Formatieren auffordert. Die Karte sollte definitiv nicht leer sein und enthält eine Reihe von Dateien.

Symptome

Mit einem Hex-Editor / Disk-Viewer habe ich die Karte untersucht und festgestellt, dass mehrere Sektoren / Cluster mit etwas überschrieben wurden, dessen Signatur USBCam Anfang des Sektors steht. Insbesondere ist der Master-Boot-Datensatz (und die Partitionstabelle) nicht mehr vorhanden (Windows ist daher der Meinung, dass die Karte leer ist und formatiert werden muss), ebenso wie die Boot-Sektoren (sie haben die USBCSignatur und ein Datenträgerkennzeichen NO NAMEund einen Partitionstyp FAT32).

Glücklicherweise scheinen beide Kopien der FAT fast vollständig intakt zu sein (einige FAT-Einträge zu Beginn eines Clusters hier und dort werden scheinbar überschrieben USBC). Das Stammverzeichnis ist ebenfalls nahezu intakt. Ich kann den Eintrag und die Unterverzeichnislisten des Datenträgerlabels sehen, aber ein Sektor wird überschrieben. (Es gibt keine Fälle mehr USBCnach dem letzten in FAT2.)

Hypothese

Diese Beobachtungen deuten auf eine Art Virus hin, der einige wichtige Dateisystemstrukturen löscht und hier und dort einige zusätzliche Sektoren überschreibt. Googeln scheint die Idee eines Virus zu untermauern, mit der Ausnahme, dass andere berichten über eine Datei namens, USBCdie hier nicht gilt, und in der Tat konnte nicht möglich sein, da kein Dateisystem gibt es sogar zu sehen Dateien. Ich kann keine Informationen über einen Virus mit diesen Symptomen oder ein Entfernungsprogramm finden. (Ich kann nicht helfen, aber frage mich, ob es tatsächlich aufgrund eines Autorun - Virus ist Prävention Werkzeug.)

Frage

Ich kann die FAT-Beschädigung wahrscheinlich beheben, da es sich meistens um zusammenhängende Ketten und möglicherweise sogar um den verlorenen Sektor des Stammverzeichnisses handelt, aber weiß jemand, ob es eine bequeme Möglichkeit ist, die MBR / Partitionstabelle und die Bootsektoren (ohne Formatierung) wiederherzustellen oder (neu) zu erstellen oder die Daten überschreiben)?

4
Erfahrung in https://bugs.gentoo.org/show_bug.cgi?id=409565. Tom Wijsman vor 11 Jahren 0
Vielen Dank für den Link (insbesondere [der entsprechende Kommentar] (https://bugs.gentoo.org/show_bug.cgi?id=409565#c4)). Meines war eine Speicherkarte, kein Flash-Laufwerk, aber sie sind tatsächlich gleich. Auch wenn ich mich nicht genau erinnere, wäre ich nicht überrascht, wenn die in diesem Thread erwähnten Umstände (Entfernen einer Karte / eines Laufwerks, während der Laptop schläft) tatsächlich für mich irgendwann eintreten. Diese neuen Informationen machen [diese Frage] (http://superuser.com/questions/453453/does-windows-flush-drive-caches-on-standby) umso wichtiger. Synetech vor 11 Jahren 0
Seltsam, dass diese Frage diese Woche erneut angehoben wurde, da sie mir in letzter Zeit wieder passiert ist. Ich habe eine 2-GB-SD-Karte in einen Kartenleser (einen billigen chinesischen Speicher, den ich für ein paar Cent bei eBay gekauft habe und seit einigen Jahren ohne Probleme verwendet habe) eingesteckt, und steckte dies in den Laptop ein, wie ich es schon oft getan hatte . Letzte Woche konnte ich nur daraus lesen; Die Schreibfunktion war fehlerhaft und alle Karten sind schreibgeschützt. In der anderen Nacht würde die LED nicht leuchten oder das Wechsellaufwerk in Windows registrieren, bis ich die Karte entfernt habe. Offensichtlich hat es Probleme mit dem Kartenstecker. Synetech vor 11 Jahren 0
Dann probierte ich einen anderen, ähnlichen Kartenleser aus, der die LED anzündete, mich die Karte lesen ließ und mich dazu schreiben ließ. Unglücklicherweise zeigte es nicht lange danach ein paar sehr große Junk-Dateien, die nicht existieren konnten / sollten (sie haben sich nicht einmal registriert, als ich die Festplattenbenutzung überprüfte). Ich habe die Funktion zum sicheren Entfernen von Geräten verwendet, um die Karte (Lesegerät) auszuwerfen, und die Verbindung mit dem Plug-in-Plug-In wurde aufgehoben. Windows informiert mich jetzt, dass die Karte nicht formatiert ist. Ich habe es in einem Disk-Editor geöffnet und der MBR ist weg und überschrieben von Kauderwelsch, der mit der Zeichenfolge `USBC` beginnt. Synetech vor 11 Jahren 0
Ich habe einen Sektor-Dump der Karte erstellt (glücklicherweise nur 2 GB) und PhotoRec zum Extrahieren der Dateien und einen Hex-Editor zum Extrahieren der Verzeichniseinträge verwendet. Ich * kann * vielleicht * die meisten Karten nach einem Haufen Arbeit wie beim letzten Mal "wiederherstellen", aber glücklicherweise hatte diese nur wenige, großformatige, reproduzierbare / herunterladbare Dateien (noch Stunden der Arbeit). Offensichtlich sind diese billigen, chinesischen Leser ** Mist ** und unzuverlässig (gleicher Fehler bei 2-3 Lesern und 2-3 Karten). Sie können Ihre Daten beschädigen. Ich empfehle dringend, sie nicht zu verwenden (außer, den Stecker für Elektronikprojekte auszureißen). Synetech vor 11 Jahren 0
Es ist vor kurzem wieder passiert; Eine andere Karte hatte die "USBC" -Korrektur. Ich hatte mich besonders bemüht, die Karte nicht zu modifizieren, weil ich versehentlich einige Dateien gelöscht hatte und wollte, dass nichts auf der Karte überschrieben wurde. Aber irgendwie wurde die Karte plötzlich beschädigt (zum Glück hatte ich sie zuerst geklont). Der Schreibschutzschalter war unbrauchbar, weil der Leser, den ich verwendete, ein weiterer billiger chinesischer Leser von eBay war, der * gut * schien (sicherlich viel besser als der zuvor verwendete Müll), aber er tat dasselbe. Billige chinesische Kartenleser sind *** Müll und sollten vermieden werden !!! Synetech vor 9 Jahren 0

3 Antworten auf die Frage

2
speakr

Das erste Tool, das Sie für die Wiederherstellung von MBR / Partitionstabellen ausprobieren sollten, ist testdisk, das über eine gute Dokumentation verfügt und einfach zu bedienen ist. Ich schlage vor, diesen Leitfaden zu lesen .

Ich habe es schon probiert, konnte aber keine Partitionen finden. Ich bin nicht einverstanden mit dem einfach zu verwendenden Kommentar, aber das Beispiel in der Dokumentation sieht vielversprechend aus (es scheint sich mehr auf NTFS-Partitionen auf einer Festplatte zu konzentrieren). Ich werde es noch einmal versuchen. Synetech vor 12 Jahren 0
1
Ryan

Ich habe das gleiche Problem erlebt. Dies ist kein Virus. Es ist ein elektronischer Fehler im Speicherkartenleser (zumindest in meinem Fall).

Nach dem Formatieren habe ich versucht, eine andere Karte auf diesem Computer mit einem anderen Speicherkartenleser problemlos zu verwenden. Wenn ich jedoch eine andere Speicherkarte mit dem verdächtigen Speicherkartenleser einsetze, wurde sie sofort beschädigt.

Bitte geben Sie Schritt für Schritt an, wie Sie meine 32 GB-Partition wiederherstellen können. Der Boot-Sektor wurde durch diesen Fehler überschrieben. Ryan vor 11 Jahren 2
Es könnte tatsächlich ein schlechter Kartenleser sein. Ich habe einen billigen chinesischen, den ich bei eBay gekauft habe, und während sie im Allgemeinen gut funktionieren, tut dies auch den Großteil des billigen chinesischen Mülls, den ich bei eBay kaufe (zumindest für eine Weile, bis sie anfangen zu scheißen). In meinem Fall habe ich mit einem Hex-Editor die Karten manuell bearbeitet. Die meisten Informationen zu den Partitionsdaten waren noch vorhanden (aus irgendeinem Grund wurden nur ein oder zwei Sektoren verschoben). Also habe ich es dahin kopiert, wo es hingehört. Das Problem ist, dass die fehlerhaften Daten auch in ein paar scheinbar zufällige Sektoren kopiert wurden (Virenverhalten), wodurch einige Dateien beschädigt wurden. Synetech vor 11 Jahren 0
Ich denke darüber nach, einen ausführlichen How-To-Artikel darüber zu schreiben, aber diese Karte wurde inzwischen gelöscht und die wiederhergestellten Dateien wurden zurückkopiert. Ich weiß nicht, ob ich mich an die technischen Details erinnern kann, die dafür notwendig sind. Synetech vor 11 Jahren 0
1
Michal

Ich hatte und ich habe wieder das gleiche Problem.

Ich habe eine externe USB-Festplatte vom ADATA-Typ NH92. Es ist als NTFS formatiert. Als ich herausfand, dass einige Dateien fehlen, wurden später immer mehr Dateien verloren. Schließlich wurde die Festplatte beschädigt und Windows wurde aufgefordert, sie zu formatieren. Ich habe HDD 2 oder 3 Mal neu formatiert, aufgrund von Problemen wiederholt und dann die Festplatte beansprucht.

Die neue Festplatte arbeitete ein halbes Jahr ohne Probleme. Dann fingen die Probleme wieder an. Ich habe mit dem WinHex-Festplatten-Editor festgestellt, dass der Master-Boot-Datensatz beschädigt ist. Ich habe NTFS studiert. Ich habe den Boot-Record wiederhergestellt, indem ich von der anderen Festplatte mit derselben Kapazität, Partitionen und NTFS kopiert habe. Ich habe den MFT-Standort überprüft. Ich sah, dass der erste Sektor der Tabelle mit der USBC-Signatur beginnt. Andere MFT-Dateidatensätze hatten dieselbe erste Sektorsignatur und der Rest des Sektors hat einige andere Bytes und setzt dann mit Nullen fort. Ich fand heraus, dass jeder Sektor mit Signatur Daten in die zweite Hälfte des Sektors verschoben hat. Also habe ich diese Daten wieder an den ursprünglichen Speicherort verschoben und die Festplatte überprüft. HDD wurde wiederhergestellt. Zwei Wochen später passierte dasselbe. Ich habe den PC per Antivirus ohne Ergebnis überprüft. Ich habe 3 verschiedene Programme verwendet, darunter McAfee. Kein Ergebnis. Virus wurde nicht gefunden.

Ich nehme an, dass sich der Virus auf NTFS konzentriert, also habe ich die Festplatte auf FAT32 umformatiert. Nach einiger Zeit wurden einige Sektoren erneut durch die USBC-Signatur überschrieben und das HDD-Dateisystem wurde zerstört. Ich habe den PC an den Hersteller geschickt, er wurde komplett neu formatiert und Windows wurde neu installiert. Außerdem habe ich die Festplatte neu formatiert und zwei logische Partitionen mit denselben Daten erstellt, um eine Sicherung zu ermöglichen.

Heute habe ich wieder Probleme. Ich entdeckte, dass die zweite logische Festplatte zerstört wurde. Ich habe HDD von winHex überprüft und habe herausgefunden, dass auch eine logische Festplatte, die in Ordnung ist, mehr als 100 Sektoren mit USBC-Signatur hat, aber alle Datensätze in MFT noch OK sind. Ich vermute, auch diese logische Platte wird bald zerstört.

Interessant ist, dass die ADATA NH92 HDD nur und nur auf diesem PC Probleme hat. Ich habe ADATA NH92 problemlos auf einem anderen PC verwendet. Ich habe auch andere Festplatten ohne Probleme auf diesem PC verwendet. Ich werde eine Langzeitbeobachtung durchführen, um auf diesem PC dauerhaft andere Festplatten zu verwenden und ADATA NH92 nur auf anderen PCs zu verwenden.

Von Zeit zu Zeit werde ich beide Festplatten nach Sektorsignatur durchsuchen. Also werde ich sehen.

Grüße, Michal

Hallo und Willkommen bei Super User! Bitte lesen Sie den [Wie beantworte ich eine Frage?] (Http://superuser.com/questions/how-to-answer). Diese Site ist eine Q & A-Site, kein Forum. slm vor 11 Jahren 1
Hallo. Ein Freund von mir hat genau das gleiche ADATA NH92-Laufwerk mit dem gleichen Problem: Nach einiger Zeit wird sein Laufwerk "beschädigt" und das Betriebssystem weigert sich, die Partitionen zu sehen. Der Schaden ist immer gleich: Der MBR ist beschädigt. Die Lösung ist immer die gleiche: Führen Sie TestDisk aus und stellen Sie den MBR von der Sicherungskopie wieder her. Bei den von Ihnen beobachteten "verschobenen Sektoren" handelt es sich eigentlich um ein ** Backup ** des MBR, das jede Festplatte "nur für den Fall" enthält. Nach mehreren derartigen Fehlfunktionen habe ich begonnen, Bilder zu sammeln und zu untersuchen. Wie in Ihrem Fall wurde der MBR mit einem fast leeren Block mit "USBC" sig überschrieben. quetzalcoatl vor 11 Jahren 0
Sein Laufwerk ist in FAT32. Vielen Dank für den Hinweis zu NTFS. Ich wollte ihm vorschlagen, auf dieses System umzustellen, aber aus Ihren Notizen ist klar, dass es nicht helfen wird. Nach meinen Beobachtungen schien es ein Virus zu sein (genau geprüft mit 3 a-virs, nichts gefunden), aber wenn man das Problem mit demselben HDD-Modell sieht, sieht es aus wie ein Windows-Treiberfehler oder ein Hardware-Controller. Firmware-Fehler. BTW. Mein Freund, der die Festplatte besitzt, verwendet WinXP. Leider ist die Maschine mehrere Städte entfernt, daher kann ich sie nicht so leicht untersuchen: / Haben Sie in letzter Zeit etwas Neues gefunden? quetzalcoatl vor 11 Jahren 0
Ich habe die Akronyme falsch verstanden. Nicht der MBR wurde beschädigt, sondern BootSector (BS). Hier ist ein ähnliches Thema, auch zu NH92: http://www.elektroda.pl/rtvforum/viewtopic.php?p=12450122#12450122 Diese Laufwerke scheinen ein Problem zu haben. quetzalcoatl vor 11 Jahren 0
Ich habe mich ein bisschen umgesehen und herausgefunden, was der USBC-Marker ist: Es handelt sich um einen Header aus dem SCSI-over-USB-Protokoll. Es gibt nicht viel mehr zu sagen, aber Sie möchten vielleicht lesen: http://quetzalcoatl-pl.blogspot.com/2013/06/adata-nh92-recurring-malfunction.html quetzalcoatl vor 11 Jahren 0

Verwandte Probleme