Problem mit verschiedenen Partionen/TrueCrypt Partition

[moc1000]

Hallo Fiona, hallo Forum Member,
vielleicht kann mir einer weiterhelfen?
Ich möchte die Festplatte wieder komplett entschlüsseln unter dem neuen System oder wenigstens die Daten retten.

Festplatte:
2 TB extern von Seagate
Betriebssystem:
Windows 7 64 bit Windows Professional
TrueCrypt 7.1a

Die Festplatte wurde verschlüsselt unter Windows 7 Home 32bit auf einem alten Rechner, auch mit TrueCrypt 7.1a.
Nun erhalte ich auf beiden Rechnern die Fehlermeldung, ich soll die Festplatte formatieren.

Das "Mounten" klappt noch.

TrueCrypt mounten

Bild5.PNG (59.92 KiB) Viewed 4753 times

Das "Mounten" auch unter TestCrypt 0.5.1 funktioniert, nur der Laufwerksbuchstabe ist anders.
Anstatt Laufwerk O, ist das Laufwerk K.

TestCrypt (2)

Bild8_K.PNG (67.65 KiB) Viewed 4753 times

Alle weiteren Untersuchungen habe ich dann auf Laufwerk K gemacht.

Mit TestDisk 7.0 erhalte ich leider verschiedene Partitions Formate im Deep Search Modus:

Drive K: - 2000 GB / 1863 GiB - CHS 3907023553 1 1
NTFS at 3907023551/0/1
heads/cylinder 255 (NTFS) != 1 (HD)
sect/track 63 (NTFS) != 1 (HD)
filesystem size 3907023552
sectors_per_cluster 8
mft_lcn 786432
mftmirr_lcn 244189004
clusters_per_mft_record -10
clusters_per_index_record 1
HPFS - NTFS 0 3907023551 3907023552
NTFS found using backup sector, blocksize=4096, 2000 GB / 1863 GiB
Partition not added.

NTFS:
Current partition structure:
Invalid NTFS or EXFAT boot
1 * HPFS - NTFS 0 1 1 243201 0 63 3907024065
1 * HPFS - NTFS 0 1 1 243201 0 63 3907024065

Bad relative sector.

FAT 32:
isk /dev/sde - 2000 GB / 1863 GiB - CHS 243201 255 63
Check the harddisk size: HD jumpers settings, BIOS detection...
The harddisk (2000 GB / 1863 GiB) seems too small! (< 4157 GB / 3871 GiB)
The following partition can't be recovered:
FAT32 LBA 264416 122 50 505410 226 5 3871575118

Partition sector doesn't have the endmark 0xAA55

FAT 32/FAT 12:
The following partitions can't be recovered:
FAT32 LBA 264416 122 50 505410 226 5 3871575118
FAT12 346506 82 37 478252 254 6 2116510296

Danach kann ich nur noch auswählen add partition, load backup oder to continue

Wenn gewünscht, kann ich auch das komplette Log file mit allen Untersuchungen posten.
Laut Notepad ++ sind es 402 Zeilen.

Hier noch ein Screenshot, was GetBack NTFS Explorer anzeigt:

GetBack

Bild15.PNG (138.54 KiB) Viewed 4753 times

Ich weiß leider nicht mehr weiter, wie ich weiter verfahren soll oder die nächsten Schritte zur Wiederherstellung der Daten oder Partition.
MBR Code benutzen? Wenn ja, wie?
Repair MFT? Wenn ja, wie=
Restore Partition?
Partition reparieren zum Beispiel mit Easeus Partition Manager?
Image File erstellen und alles nochmal neu aufspielen?

Falls noch zusätzliche Infos benötigt werden, würde ich die sofort posten.
Vielen Dank schon mal für jede erdenkliche Hilfe oder Tipps.

moc1000

[Fiona]

Drive K: - 2000 GB / 1863 GiB - CHS 3907023553 1 1

Du solltest in TestDisk nicht Drive sondern Disk bei der Plattenauswahl auswählen.
Nehme mal die Version 7.1WIP 32bit.
Verschlüsselte Pasrtition sind nicht Standard wie Intel MBR oder GPT, daher sollte vorher die Verschlüsselung aufgehoben werden.
Konntest du die Partition entschlüsseln auch anhand des Backups vom Header oder mithilfe von Testcrypt?
Wenn die Partition als NTFS gelistet wird aber als RAW oder unformatiert erscheint, könnte eine Diagnose des Bootsektors erfolgen um Daten wieder verfügbar zu machen.
Vorraussetzung ist das die Verschlüsselung aufgehoben ist.

Fiona

[moc1000]

Fiona, danke erstmal für deinen Postt.
Ok. Dann probiere die Version 7.1WIP 64 bit Version, da der neue Rechner schneller ist und Windows unter 64 bit läuft.
Oder hat das einen Einfluss, ob ich die 32 bit oder 64 bit Version benutzte?

Mounten (Einbinden) geht, aber das Entschlüsseln (auch mit Hilfe des Backup Headers) ging nicht. Auch nicht mit der TrueCrypt Rescue CD.

Mounten geht auch mit der TestCrypt, sowohl mit dem Normal, als auch mit dem Backup Header.
Aber ich habe noch nicht die Funktion gefunden, wie man nach dem "Mounten" mit TestCrypt die Festplatte entschlüsselt. Siehe auch den Screenshot von TestCrypt.

Außerdem bin ich noch immer ein bisschen ratlos, wieso mir Testdisk verschiedene Partitionen anzeigt.

Ich möchte auch noch hinzufügen, das ich bei jedem neuen Start das USB Kabel erst wieder ein- und ausstecken muss, das die Festplatte überhaupt im RAW Modus erkannt wird.
Vielleicht hilft diese Info für die Fehlersuche.

[moc1000]

Ich habe nun die Version 7.1 benutzt und im Disk Modus.
Dabei erhalte ich folgende Angaben:

NTFS:
Current partition structure:
Invalid NTFS or EXFAT boot
1 * HPFS - NTFS 0 1 1 243201 0 63 3907024065
1 * HPFS - NTFS 0 1 1 243201 0 63 3907024065

Bad relative sector.
Also hatte ich das Ganze schon im Disk Modus gestartet.
Ich mache nun einen Quick Search.

[moc1000]

Nach der Quick Search Methode erhalte ich folgende Ergebnisse:

Nach 1% Prozent von der gesamten Festplatte:

Bild_1Prozent.PNG (47.58 KiB) Viewed 4724 times

Nach 100% von der gesamten Festplatte:

Bild_100Prozent.PNG (64.63 KiB) Viewed 4724 times

Auswahlmöglichkeiten nach der Untersuchung:

Bild_100Prozent_2.PNG (45.69 KiB) Viewed 4724 times

[Fiona]

Ich sehe immer noch PhysicalDrive und sollter Disk sein?
Disk sieht ungefähr so aus:

Disk /dev/sdc - 3000 GB / 2794 GiB - CHS 45600 255 63, sector size=4096

Ich hatte auch darauf hingewiesen TestDisk 32bit zu nehmen.
Hast du sicher TestDisk 32bit?
Weil die 64bit-version ist unterschiedlich und nur für reine 64bit-Umgebung auf zum Beispiel einer Itanium-Machine vorgesehen und hat auch nicht alle Features.
Konntest du das Backup vom Volume Header wiederherstellen?
Gibt auch eine Prozedur am Ende des Volumes oder TestCrypt?
Auf jeden Fall wird eine NTFS-Partition erkannt.
Ich möchte vorher sicherstellen das deine ASektoren nicht mehr verschüsselt sind, bevor wir versuchen deine Daten wiederherzustellen.

Fiona

[moc1000]

Halllo Fiona,
mein Verständnis war bisher, das die 32 bit Version unter Windows 64 bit nicht funktioniert.
Ich habe vorher die 64 bit Version benutzt.

Hier die Ergebnisse mit der 32 bit Version von TestDisk 7.1:
Anfang:

Bild_Anfang_32bit.PNG (50.78 KiB) Viewed 4704 times

Nach Quick Search:

Bild_Ende_32bit.PNG (54.2 KiB) Viewed 4704 times

Konntest du das Backup vom Volume Header wiederherstellen?
Fiona

Also über TrueCrypt konnte ich den jetzigen Zustand sichern.
Das geht glaub ich nur über die Rescue CD. Oder?
Gibt es eventuell eine Anleitung dazu?

Gibt auch eine Prozedur am Ende des Volumes oder TestCrypt?
Fiona

TestCrypt.PNG (57.85 KiB) Viewed 4704 times

Ich erhalte am Ende nur diesen Screenshot. Ich kann den Normal und Backup Header mounten.
Wenn ich auf "Finish" drücke, wird TestCrypt verlassen.
Ich benutze hier auch die 64 bit Version. Die digitale Signatur ist ausgeschaltet.

[Fiona]

http://forum.cgsecurity.org/phpBB3/down ... hp?id=3187

Sry for late!
Du kannst auf der Platte eine Diagnose des Bootsektors machen.
Dazu gehe bitte in TestDisk auf das Mneü Advanced / Boot.
Setze mir einen Screenshot.
Gehe auch auf das Menü List.
Ansonsten kannst du auf RebuildBS laufen lassen und wenn es erfolgreich war auch deine Daten über das Menü List anzeigen lassen.
Teile es mit.

Fiona

[moc1000]

Fiona,
danke das du dich nochmal sich diesen Post angenommen hast.

Dazu gehe bitte in TestDisk auf das Mneü Advanced / Boot.
Setze mir einen Screenshot.

Boot

Bild_Boot.PNG (82.22 KiB) Viewed 4607 times

Soll ich nun den Rebuild RS auch noch durchführen?

Noch eine Info:
Wenn ich versuche die Platte zu entschlüsseln, erhalte ich folgende Fehlermeldung.
Das Mounten funktioniert aber. Siehe auch Screenshot im ersten Post.

Bild_Decrypt.PNG (26.98 KiB) Viewed 4607 times

[moc1000]

Ich habe auch schon zwischenzeitlich versucht, die Festplatte zu kopieren/Image zu ziehen/zu klonen mit diversen Tools wie MiniTool Partition Wizard/Copy Disk Wizard oder EASIS Cloning.
Das hat leider nichts gebracht.
Aber vielleicht helfen die Ergebnisse weiter.

Hier ein Screenshots, was die "Computerverwaltung" anzeigt.

Vorher

Bild_Computerverwaltung.PNG (8.42 KiB) Viewed 4607 times

Nach dem kopieren/klonen auf eine andere Festplatte

Bild_Computerverwaltung_copy.PNG (9.14 KiB) Viewed 4607 times