Harddisk - hapus area tersembunyi seperti HPA dan DCO setelah infeksi malware

Jadi, bersihkan drive dengan DBAN dengan bodohnya (PRNG, 8 pass). Belakangan diketahui bahwa DBAN tidak mematikan HPA (host protected area) dan DCO (Drive konfigurasi overlay)

Jadi kami memiliki pengakuan dasar di sini drive telah dihapus sehingga tidak ada tabel partisi, sistem file atau data pada drive. Jadi, tidak boleh ada kerusakan data atau kerusakan sistem file karena keduanya tidak ada, DBAN telah memastikan hal ini sehingga peringatan HDPARM berikut tidak berlaku.

hdparm memiliki kelemahan yang lebih serius:dapat merusak komputer dan membuat data pada disk tidak dapat diakses jika parameter tertentu disalahgunakan. Dari sekitar enam puluh tujuh parameter, beberapa di antaranya berbahaya dan dapat mengakibatkan "kerusakan sistem file besar-besaran" jika digunakan sembarangan.

Jalankan boot disk Linux Anda dan jalankan hdparm

Untuk menggunakan HDPARM untuk menghapus HPA

Untuk x =perangkat yang Anda targetkan, gunakan perintah HDPARM berikut untuk menunjukkan apakah Anda mengaktifkan HPA.

# hdparm -N /dev/sdx

Itu akan memuntahkan sesuatu seperti berikut jika Anda memiliki HPA yang ditentukan:

/dev/sdx:
max sectors   = 78125000/78165360, HPA is enabled

Untuk menghapus HPA dan memperluas area yang terlihat hingga ukuran penuh drive, gunakan penyebut dalam laporan di atas (area terlihat/sektor maks):

# hdparm -N p78165360 /dev/sdx

Ini akan mengembalikan laporan bahwa area yang terlihat sama dengan sektor maks dan HPA dinonaktifkan.

/dev/sdx:
setting max visible sectors to 78165360 (permanent)
max sectors   = 78165360/78165360, HPA is disabled

Untuk menggunakan HDPARM untuk memeriksa apakah DCO sudah terpasang dan menyetelnya kembali ke default pabrik

Karena DCO diatur oleh pabrikan, Anda harus menerima bahwa mengotak-atiknya mungkin akan merusak drive. Tapi itu masalah Anda yang paling kecil jika Anda merasa memiliki malware canggih yang benar-benar dapat mengacaukannya. Untuk melihat DCO, gunakan perintah HDPARM berikut.

# hdparm --dco-identify /dev/sdx

Dalam contoh Anda, itu memberi Anda:

/dev/sda:
DCO Revision: 0x0001
The following features can be selectively disabled via DCO:
    Transfer modes:
         mdma0 mdma1 mdma2
         udma0 udma1 udma2 udma3 udma4 udma5 udma6(?)
    Real max sectors: 625142448
    ATA command/feature sets:
         SMART self_test error_log security HPA 48_bit
         (?): selective_test conveyance_test write_read_verify
         (?): WRITE_UNC_EXT
    SATA command/feature sets:
         (?): NCQ interface_power_management SSP

Jadi, produsen drive Anda menggunakan DCO untuk menentukan mode transfer data yang diizinkan (MDMA, UDMA), ukuran sebenarnya dari drive (sektor maks), dan perintah ATA/SATA yang dapat dinonaktifkan.

Jika Anda ingin mencoba mengembalikan DCO kembali ke default pabrik, Anda dapat menggunakan perintah HDPARM berikut:

# hdparm --dco-restore /dev/sdx

Ini akan memberi Anda peringatan berikut bahwa mengubah DCO akan menyebabkan kehilangan data total. Anggap saja sebagai mengubah ukuran partisi atau menghapus tabel partisi dan mengembalikannya dengan parameter yang salah. Di disk yang dihapus, Anda sudah kehilangan datanya, ya? Pada dasarnya Maaf Anda tidak mencadangkan data Anda sebelum melanjutkan, Anda SOL jika DCO tidak cocok setelah perintah dijalankan dan menurut Anda semuanya dapat dipulihkan dari drive karena penugasan ulang ukuran.

/dev/sdx:
Use of --dco-restore is VERY DANGEROUS.
You are trying to deliberately reset your drive configuration back to
the factory defaults.
This may change the apparent capacity and feature set of the drive,
making all data on it inaccessible.
You could lose *everything*.
Please supply the --yes-i-know-what-i-am-doing flag if you really want this.
Program aborted.

Sesuai petunjuk, Anda menambahkan sakelar "Saya menerima konsekuensi" berikut:

# hdparm --yes-i-know-what-i-am-doing --dco-restore /dev/sdx

Dan itu memberi tahu Anda:

/dev/sdx:
issuing DCO restore command

Saya mengalami masalah baru-baru ini dengan drive 1TB yang dilaporkan sebagai 1KB dan Pengelola Disk melaporkan tidak ada media. Saya menggunakan program gratis bernama DiskCheckup dari Passmark.com.

Setelah menjalankan program dan memilih disk yang terpengaruh, saya mengklik tab 'tersembunyi' untuk menemukan 3 kotak masukan. 'Max User LBA' pertama hanya menampilkan 1:yang kedua dan ketiga (Native dan Disk) menunjukkan angka yang benar. Saya mencentang kotak centang untuk memungkinkan perubahan dan mengetikkan nomor yang benar ke kotak pertama sehingga ketiganya menunjukkan jumlah LBA yang sama. Kemudian, klik tombol 'Terapkan':semua selesai.

Kembali ke Disk Manager, saya mengklik 'pindai ulang' di menu Tindakan dan informasi partisi lengkap saya kembali dengan akses penuh ke drive. Mungkin Anda harus mengganti MBR jika itu adalah drive yang dapat di-boot menggunakan sesuatu seperti EasyRE.

Maaf, sebelumnya saya mencari jawaban dan tidak menyadari bahwa ini adalah situs Linux dan jawaban saya hanya berlaku untuk Windows.