Partition de disque vide

[wpaille]

Bonsoir,

En allumant l'ordi du fils, j'ai découvert que la partition de stockage que j'avais créée est vide, et qu'on n'avait donc plus accès à rien -- sauf le bureau, que j'avais laissé sur la partition C (j'avais dû sentir le truc).

Je soupçonne le fils d'avoir voulu joué l'apprenti sorcier avec un package de logiciels (Open Cloner) il y a une dizaine de jours, soi-disant pour lire un DVD. Quoi qu'il en soit, la partition est vide, comme si elle avait été formatée...

J'ai essayé de récupérer les données avec Photorec et EaseUS Data Recovery, mais rien...

Je pense qu'il n'y a rien à récupérer dans la partition, mais j'aurais voulu savoir si je peux connaître la raison de la suppression des données, via l'Observateur d'événements par exemple, qui n'est pas simple à utiliser.

Par avance, merci, WP

[Parisien_entraide]

Bonjour,

Vu que https://www.opencloner.com/products.html il y a 2 tonnes de progs mais quel le package est à 199 $ je doute d'un programme légit... Ensuite certains des progs font une copie miroir pour un autre Blu ray et il suffit de se tromper de destination en désignant une partition du disque dur pour que tout disparaisse
Que raconte le fils ?

Si tu trouves l'observateur d événements compliqué, ce n'est rien par rapport à l'analyse forensique pour savoir ce qui s'est passé
https://www.clubic.com/telecharger-fich ... nsics.html

En plus simple et abordable les outils sysinternal, , Nirsoft, .. au sein d'une même interface peuvent aider
viewtopic.php?t=57147

Néanmoins une analyse poussée peut se faire avec l'analyse de certains logs etc en mettant le disque en esclave sur un autre PC
Par ex pour une amie dont le PC refusait de démarrer, cela m'a permis de voir que son ex était venue en journée tel jour à telle heure, avait lancé telle application, ouvert des fichiers .doc et la messagerie, et avait copié le tout sur une clé USB. Ensuite il avait tenté de détruire le MBR et initialiser le disque... Windows conserve tout en mémoire
Ce genre d'analyse nécessite pas mal de temps... (surtout si le disque est initialisé, formaté)

[wpaille]

Le fils raconte qu'il a voulu lire le DVD ; qu'il a vu DVD sur le pack de logiciels dans l'ordi ; qu'il s'est laissé guider pour installer et lancer le logiciel ; après il ne sait pas dire. J'avoue qu'il est plus que probable que je me sois moi-même procuré la chose illég..., sans avoir testé, avant de l'oublier et de laisser tout en copie dans l'ordi. N'empêche que pour installer les logiciels, il fallait bien se promener dans les Téléchargements ; ce n'était pas du tout sur son bureau, ni accessible facilement par l'explorateur de fichiers... -- Bref, ça m'apprendra aussi à laisser traîner mes copies de logiciels (heureusement, je ne suis pas chasseur).

Pour le reste, je teste les logiciels en lien. L'analyse approfondie avec le disque dur en esclave (ça je sais faire), c'est avec les mêmes logiciels sur un autre ordi ?

Merci, WP

[Parisien_entraide]

Non ca ne sera pas avec les memes logiciels puisque la majorité ne peuvent qu'analyser le disque de boot
Par contre pour des recherches de fichiers logs etc, tu peux t'aider d Everything

https://www.malekal.com/everything-rech ... s-windows/

En tous les cas ce qui est curieux, c'est que les progs de récup ne voient rien
Tu peux en tester d'autres :

https://www.malekal.com/les-meilleurs-l ... n-donnees/

Ce qui peut sembler paradoxal c'est que certains sont très doués suivant les cas de figure parfois complexes et à la ramasse sur du très simple
Certains sont payants mais on peut tester avant (Disk Drill, DiskGenieus, Zar, ...)

[wpaille]

Bon, j'ai passé la partition vidée à la moulinette de Disk Genius, Disk Drill, Zar, Easeus data recovery, et rien n'y fait : pas un seul fichier !

Ne reste qu'une poignée d'éléments qui semblent liés au moment même de l'effacement ou écrasement, ou formatage, ou je ne sais quoi.
Soit trois petits dossiers (et quelques sous-dossiers) : $Extend ; $RECYCLE.BIN ; et System Volume Information -- contenant deux ou trois (selon le logiciel qui a scanné) fichiers datés de l'événement : IndexerVolumeGuid ; WPSettings.dat ; tracking.log.

Je ne sais si cela peut aider soit à retrouver ce qui a disparu (mais là-dessus, je me suis fait une raison), soit à comprendre ce qui s'est passé (je n'ai pas encore testé Forensics et Cie, ni essayé en mode esclave).

Merci, WP

[Parisien_entraide]

Il reste une possibilité... Je pense qu'il y a eu création de partition, modification car il devrait y avoir une trace avec les logiciels de récupération, car même avec une partition en RAW, parfois en la formatant on arrive à retrouver en majorité les données effacées (sinon le problème est mécanique)

Tu as regardé dans le gestionnaire de disque si la partition avait la même taille qu'auparavant ou si il n'y avait pas eu une modification comme étendre la partiion principale, ce qui a pu affecter l'autre partition ? (car j'ai un doute sur le $Extend)

[wpaille]

Non, pas de création de partition : il n'y a qu'un disque dur, deux partitions que j'ai créées, les noms et les tailles n'ont pas changé...
Qu'appelles-tu un "problème mécanique" ? Le disque est de type SSD, donc électronique.

J'ai installé le disque en esclave sur ma machine, je viens de l'explorer avec Everything : je ne trouve rien d'autre que les fichiers déjà mentionnés. Pour rappel (et quelques suppléments) : WPSettings.dat -- tracking.log -- IndexerVolumeGuid -- desktop.ini (2 fois) -- $IZS4XVT -- $IFLINNO.

Mais je n'utilise certainement pas pleinement les fonctionnalités du logiciel.

Merci, WP

[Parisien_entraide]

En parlant d'Everything, il y a une astuce qui parfois fonctionne lors du recouvrement de données
On a la possibilité de faire une sauvegarde en local ou sur une unité externe, de l'index (c'est une copie de la table NTFS en fait) et celle ci a pu dépanner certaines personnes (si l'index est à jour évidemment et que le programme est lancé au démarrage de Windows
A faire AVANT évidemment le crash

Les SSD peuvent avoir des problèmes électroniques (hors puces) mais il est vrai que le terme 'mécanique" n'est pas adapté (sauf disque dur)

Néanmoins ca n'explique pas que RIEN n'apparaisse avec DES programmes de recouvrement de données, c'est comme si cela avait été formaté et qu'on 'avait effectué un secure erase en X passage etc
Le disque n'est pas passé en dynamique sinon cela se verrait

Par contre c'est un SSD, donc la récup surtout si le TRIM a été effectué et autres, sans compter que plus on attend plus il y a des chances que les optimisations s'effectuent (y a pas que le TRIM) vont empêcher les outils de travailler donc de voir quelque chose
C'est le gros soucis des SSD

[wpaille]

Aïe ! Ca fait maintenant deux semaines que le problème est arrivé.
Et j'avais bien suivi le tuto Malekal pour optimiser le SSD avant de tout installer.
Je prends bien note de l'astuce avec Everything. Mais je dois l'installer alors ; là, j'ai utilisé la version portable (une habitude).

Bon, on peut en rester là. Le fils va avoir tout l'espace qu'il veut pour faire ce qu'il veut maintenant. Tant pis pour mes quelques données qui dormaient là et ne servaient à rien. Je dois avoir des doublons ailleurs.

Merci. A une prochaine (boulette), WP

[Parisien_entraide]

Everything est rempli d'astuces méconnues

l'article donne une présentation des fonctions les plus connues et cela aurait été imbuvable si tout avait été inséré (faut lire la doc de l'auteur)
https://www.malekal.com/everything-rech ... s-windows/

On peut meme (mais on perd en rapidité) indexer le contenu de fichiers
http://www.voidtools.com/forum/viewtopic.php?f=5&t=5121

En fait pour les histoires de disque en RAW et Everything , concrètement (j'ai vu d'autres exemples)

______
Hasard, en faisant une recherche de fichiers sur mon PC, il me trouve des fichiers....sur le HDD USB qui n'est plus en RAW mais en "NTFS" mais sans lecture possible par Windows.
=> en passant par everything, je suis en train de faire une copie des fichiers par glisser déposer qui sont OK même si "inaccessibles".
Bon c'est vraiment un cas extrêmement particulier, mais l'accès direct de Everything à la MFT sauve la donne
_________

[wpaille]

Bonsoir,

Petit retour sur le forum pour un mystère qui s'agrandit...
En effet, sur la partition, qui était vide hier encore, est réapparu le dossier à mon nom qu'elle contenait (pas celui de mon fils à côté), et le sous-dossier des Vidéos (avec le Capture dedans), mais vide, et pas les autres sous-dossiers (Documents, Musique, Téléchargements, etc.).

J'y comprends rien ! Les logiciels de récupération n'avaient rien trouvé. Serait-il possible qu'un virus soit de la partie ?
Pas de chance, j'ai voulu installer Malwarebytes, mais la connexion Internet (Ethernet) a disparu : "Ethernet n'a pas de configuration IP valide".
J'ai réinitialisé le réseau, mais rien. Je lancerai Malwarebytes demain, avec le disque en esclave.

Un avis sur la chose (avant que je redémarre Win10 à zéro, ou que j'installe Win11, de colère) ? Merci, WP

[Parisien_entraide]

Rien ne s'explique par la logique dans ton histoire

En tous les cas si tu réinstalles, fais le avec Win 10.. Win11, mais ce n'est que mon avis, n'atteindra la maturité qu'à sa prochaine releease c'est à dire à partir de mi 2022 (en Septembre probablement)

[wpaille]

En effet, pas de logique dans tout ça. Et Malwarebytes n'a rien trouvé de substantiel (hormis 4 éléments liés à l'imprimante, a priori, des spoolsv.exe).
Je n'ai pas réinstallé, j'ai changé de compte pour retrouver les dossiers Documents, Vidéos, etc. et les déplacer, comme avant, dans la partition vide (que j'ai reformatée, comme ça je sais pourquoi c'est vide).
Voilà, merci. WP