Recuperando fotografias deletadas

Uma colega de trabalho me mandou uma mensagem por SMS me perguntando como se recuperava fotos apagadas em um cartão. Eu disse que existiam vários programas para isto, mas como não uso windows, eu não conhecia.

Depois dela pesquisar um pouco, ela perguntou se eu podia resolver isto para ela.

Como basicamente eu só uso programas Open Source, resolvi dar uma pesquisada. Achei algumas coisas interessantes no Ports Tree do FreeBSD, então eu disse que seria possível tentar recuperar os arquivos deletados.

Em casa, a primeira coisa que eu fiz foi fazer um backup do cartão usando o programa dd:

dd if=/dev/da1 of=cartao_colega.dsk bs=1048576

E depois fiz o backup do backup:

cp cartao_colega.dsk cartao_colega.dsk_bkp

Na realidade eu não queria trabalhar com o cartão dela, e sim, com o backup. Se eu tentasse alguma coisa no cartão dela e fracassasse, eu poderia danificar o original. O backup do backup era para poder restaurar o backup em caso de fracasso.

Tentativa 1: fatback

O fatback é um programa destinado ao uso em trabalhos de perícia, recuperando arquivos deletados. Não era caso de perícia, mas era caso de arquivos deletados.

Aparentemente cartão estava com danos no sistema de arquivos, e deu pane no fatback antes que ele pudesse recuperar qualquer arquivo. (Quando devolvi o cartão sugeri que ele fosse reformatado, e contei que tive este problema.)

Tentativa 2: mmrecover

Resolvi apelar para uma ferramenta de nível mais baixo. O mmrecover ignora completamente sistemas de arquivos, e é para ser usado em qualquer formato de sistema de arquivos. Na realidade ele varre um arquivo, um dump (como o meu backup acima), em busca de assinaturas de imagens JPEG, e uma vez que acha, ele recupera uma sequência de blocos que façam sentido.

O mmrecover funcionou, e até bem demais. Ele recuperou as fotos do passeio que foram apagadas, e as fotos de uma outra vez, que também tinham sido apagadas, mas estas intencionalmente. Muitas fotos antigas ficaram truncadas, danificadas, salvando somente o preview (outras nem isto), pois tinham sido parcialmente sobrescritas pelas fotos novas (que tinham que ser recuperadas, e também foram).

Mais arsenal

Como a segunda tentativa funcionou, eu não precisei apelar para outras "armas do arsenal", como o recoverjpeg, o foremost etc.

Nota MUITO importante

Se apagar as fotos de um cartão e quiser recuperá-las, retire o cartão da máquina IMEDIATAMENTE, e não o use.