REPORTAGE  
New Security Magazine 162 – juni 2022

Verloren data terug ophalen: wat zijn de mogelijkheden?

Er zijn wel wat redenen te bedenken waarom geheugenkaartjes van laptop, gsm en fototoestel beter niet stuk kunnen gaan. Voor de ene onvervangbare familiefoto’s, voor een ander bedrijfsinformatie van onschatbare waarde. Voor politiediensten is data uit toestellen van criminelen dan weer van goudwaarde om hun onderzoek in goede banen te leiden. Maar hoe kunnen defecte of onklaar gemaakte informatiedragers terug tot leven gewekt worden?

Reddeloos verloren? Niet noodzakelijk.

Daar waar het bij bedrijven meestal louter om persoonlijke data gaat met een emotionele waarde, ligt dit in de bedrijfswereld iets moeilijker. Specifiek in onze sector hoeft u maar de dagelijkse taken te overlopen om te beseffen wat een vastgelopen gegevensdrager kan aanrichten. Boekhoudgegevens zijn niet meer raadpleegbaar, productdata en parameters kunnen niet opgehaald worden, klantgegevens zijn niet beschikbaar, offertes kunnen niet uitgestuurd worden, personeel niet gebriefd en noem maar op. Gelukkig zijn bedrijven vandaag al alert voor dit soort problemen en voorzien ze de nodige back-up. Maar zelfs dan kan een vastgelopen drager nog aanzienlijke schade aanrichten.

Ook voor misdaadbestrijding

Een andere toepassing van datarecuperatie vinden we in de criminele sfeer. Misdadigers zijn (meestal) niet van gisteren en zullen er alles aan doen om te verhinderen dat bezwarend materiaal in de handen van de politiediensten valt. Ze bewandelen daarbij meerdere paden. Eén manier is het gebruik van versleutelde toestellen, wat het moeilijker maakt om de gegevens te bemachtigen. Gelukkig beschikken onze diensten over evenwaardige tools om deze werkwijze toch te kraken. Het recente voorbeeld van de versleutelde SKY ECC telefoons is hiervoor tekenend: de politie slaagde erin miljoenen versleutelde berichten van criminelen te onderscheppen. Het resultaat is dat er sindsdien liefst 888 verdachten opgepakt werden en dat voor 4,5 miljard € aan drugs, wapens en voertuigen in beslag werd genomen.

Een andere type criminelen maakt gebruik van een eigen pc of laptop voor de criminele activiteiten. Denk aan pedofielen die online verboden beeldmateriaal verhandelen en/of downloaden naar de harde schijf. Als het vuur te heet onder de voeten wordt, kunnen zij al hun materiaal wissen en wordt het onvindbaar voor de politie... denken ze. Via speciale software lukt het in vele gevallen om dergelijk materiaal toch terug te halen. Sterker nog: gespecialiseerde software kan zelfs de exacte duur bepalen van hoe lang een bestand op de computer van een verdachte heeft gestaan. Het typische excuus in die sector -ik downloadde het per ongeluk en gooide het onmiddellijk weg- kan zo makkelijker weerlegd worden.

Maar verdachten kunnen nog een stap verder gaan en hun toestel onklaar proberen te maken. In vele gevallen kunnen deze gegevensdragers toch nog aan de praat gekregen worden.

Diverse gegevensdragers

In Hollywoodfilms verbranden criminelen belastende papieren nog vlug in de open haard net voor de politie binnenvalt, of ze draaien net voor hun arrestatie hun documenten snel door een papiershredder. Het equivalent in digitale tijden is het stuk maken van SIM-kaarten, geheugenkaarten of harde schijven.

Over de mogelijkheden om deze verloren gewaande data te recupereren komen we zo meteen terug, maar het loont eerst de moeite om een kort overzicht te geven van de gegevensdragers die belangrijk kunnen zijn in dit opzicht, want vandaag vinden we onze data over meerdere types terug:

*Harde schijven

*SSD (Solid State Disk)

*Flash kaarten

*USB memory sticks

*CD’s en DVD’s

*RAID systemen (combinatie van harde schijven)

*NAS systemen (additionele draadloos verbonden harde schijf)

*GSM

*Tablets

Wat komt daar voor in aanmerking?

In principe komt elk type harde schijf in aanmerking voor datarecuperatie: we vinden bedrijven die MFM, RLL, ESDI, SCSI, SAS, IDE, Serial ATA en Fibre Channel vermelden. Ook andere technologieën zoals floppy’s, ZIP-drives, cd’s, dvd’s en tapes kunnen gerecupereerd worden. Hetzelfde geldt voor fotokaarten -zelfs gebroken- die gerecupereerd kunnen worden zolang de geheugenchip intact is. Ook ontoegankelijk geworden USB-sticks kunnen in vele gevallen nog uitgelezen worden. Zelfs als deze niet meer herkend wordt door een PC, kan men via speciale software deze toch openen.

Toegang herstellen en/of forensisch onderzoek

Specialist Pieter Marchand werkt voor Datarecuperatie, een bedrijf gespecialiseerd in deze materie. Hij vertelt ons wat meer over de mogelijkheden: ’Als ik eerst even onze taken in de criminele sfeer ontleed, dan doet de politie voor twee types activiteiten een beroep op ons. Bij de eerste groep gaat het louter om het weer toegang krijgen tot de data. Eens die toegang hersteld is, is onze job in dat geval gedaan. In de tweede activiteit voeren we ook forensisch onderzoek uit op de informatie. Bij dergelijke forensische analyse van de harde schijf kunnen meerdere zaken uitgespit worden. Enkele voorbeelden:

*Wie had er allemaal toegang tot de informatie?

*Welke gegevens werden door wie gekopieerd?

*Welke e-mail uitwisseling is er geweest?

*Welke e-mails zijn er gewist?

*Welke data is door wie (en wanneer) gewist?

*Wat voor informatie is door wie (en wanneer) geprint?

*Hebben gebruikers van buiten de organisatie zich toegang verschaft?

*Hebben gebruikers password cracker software of “data shredders” gebruikt om sporen uit te wissen?

*Welke internet sites zijn bezocht?’

Hoge recoveryrate

‘Bij ontoegankelijk geworden harde schijven kunnen we in veel gevallen nog data recupereren, al is het moeilijk daar een percentage op te kleven. Het slaagpercentage hangt vooral af van de gebruikte technologie. De meeste harde schijven werken op basis van magnetisme, andere werken met andere technologie zoals helium of nog andere technieken. Bij de harde schijven die op basis van magnetisme werken kunnen we tot in 95 % van de gevallen de data recupereren in geval van fysiek falen. Bij solid state drives zijn de recoverykansen kleiner omdat daar wel eens sprake is van een defecte controller, waarbij bovendien de key soms op dezelfde controller staat. In dat geval kunnen we enkel onleesbare versleutelde data aanleveren die op de chips staat. Daarom klokken we daar af op een succesratio van ongeveer 60 %.’

‘We moeten elke case apart bekijken. Brand betekent bijvoorbeeld niet a priori dat alle data verloren is. We hebben een case gehad waar de serverkast volledig uitbrandde, maar waar we alle data uit de UPS konden recupereren. Het hangt vooral van af of de schijf zelf de maximale temperatuur heeft bereikt. Als dat het geval is, is alle magnetisme verloren en is het definitief.’

‘Wat we wel eens zien is dat organisaties bij een calamiteit zelf eerst de data proberen te recupereren, waarbij ze de targetschijf ook als bronschijf inzetten. Het gevolg is dat ze hun kostbare data zelf ongewild overschrijven met recoverdata. In dat geval kunnen wij niet veel meer doen.’

Dank aan datarecuperatie.be