1

I'm helping a friend attempt to recover 250 GB of pictures from an external drive. The drive originally was a Western Digital "My Book" The drive just stopped. Push the power button, nothing happens. have an external drive that has lost it's partition table. I've removed the drive from it's case, mounted it on a sled, and put it in my MacPro. It spins up just fine here.

There was a small daughter card on the drive that handled the power cord input and the USB output. Did it do more?

Drive info: Intel WDC WD10EZRX-00A8LB0 Firmware 01.01A01 931.51 GB (1953525168 Sectors)

I don't know if the partition type was GUID, APS, or MBR.

I have tried testdisk, gpt, pdisk, and fdisk. (Testdisk is still looking for partitions, but has scanned 4% of the disk so far.)

Fdisk sees a partition, but it doesn't make sense.

bash-3.2# fdisk /dev/disk4
Disk: /dev/disk4    geometry: 121601/255/63 [1953525168 sectors]
Signature: 0x9C96
         Starting       Ending
 #: id  cyl  hd sec -  cyl  hd sec [     start -       size]
------------------------------------------------------------------------
 1: 0C  875 249  26 -  829 138  25 [2386018869 - 1908812680] Win95 FAT32L
 2: 23  151   3  41 -  679 211   1 [2377135101 -   28104983] <Unknown ID>
 3: 23  151  27  41 -  679 211   1 [2377135101 -   28104983] <Unknown ID>
 4: 45   66  27  16 -  617 100  23 [1197935915 - 2341072994] <Unknown ID>

I'm in the process of copying the device to a file so I can experiment on the file.

How do I reverse engineer the contents of the partition table?
How do I figure out what the original type of the table.

Doing a sector by sector dump:

I have zero fills from sector 488416167 to the end of the disk. This is how I deduced 250 GB. I have largely binary data from around 59500 to the sector above.

The first hundred blocks have a lot of repetition:

bash-3.2# dd count=100 if=/dev/disk4 | hexdump -c
0000000   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
00001b0   Z 035   ?   ? 177  \n   K 002   ? 215     032 210   B   4   ?
00001c0   ?   k  \f 212   ?   =   5   ?   7 216 210   +   ?   q  \v 003
00001d0   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
00001f0 020   B   E   d 227   i   +  \r   g   G   b   ? 211 213 226 234
0000200   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
0000800   ?   ?   & 220   ? 233   |   ?   ?   8 001   m   ?   L   ?   ?
0000810   "   ?   ? 204  \v   ?   !   , 205   $   3   ?   ?   ? 231  \0
0000820 177   8   '   ?   ?   y   ? 022  \v   ? 217   ?   ?   Q       ?
0000830 211 220 037   1   ? 205   ?   :   ?   `   *   E 237   ?   ?   ?
0000840 221   ?   ? 233 020   D   v   ?   A   g   4   ?   ?   ?   ?   ?
0000850   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
0000860   ? 202   ? 006   m 233   ?   r 204   F   ?   ?   ?   :   Q   ?
0000870   ?   0   r   Q   ?   5   ?   r   ?   $   ?   6   ?   ?   H   ?
0000880   ?   o   ?   ?   ?   =   ?   ? 202   }   D   ?  \b   {   ? 200
0000890   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
00008c0 003   V   ?   ? 033   ?   @   : 235   ?   ? 001 021   ? 223 214
00008d0 213 222   V   t  \r   s 006 033   ^   C 022   ?   @   ?   8   ?
00008e0   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
0000910   > 216   '   Z   ? 020   6   ]   @   ? 005 220   /   ? 016   $
0000920   ? 003 023   ?   D   ?   \   i   ?   :   r 224   > 226   ?   B
0000930   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
0000960   > 216   '   Z   ? 020   6   ]   @   ? 005 220   /   ? 016   $
0000970   k 037   ?   W   ?   [   ?   U   o   ? 020   t   4 033   ?   M
0000980   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
0001400 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
*
0004300   ?   V 027   u  \b 226   = 221 226   z   4 211 177   ?   6   ?
0004310   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
100+0 records in
100+0 records out
51200 bytes transferred in 0.106104 secs (482545 bytes/sec)
000c800

A similar first hundred blocks from a working disk look quite different.

Taking 100 block samples from the start, I get lots more lines like 4310 above. The hundred blocks starting at 59500 starts to have more random looking data.

bash-3.2# ^94^95
dd skip=59500 count=100 if=/dev/disk4 | hexdump -c
0000000   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
100+0 records in
100+0 records out
51200 bytes transferred in 0.061024 secs (839015 bytes/sec)
000c800
bash-3.2# dd skip=59550 count=100 if=/dev/disk4 | hexdump -c
0000000   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
0009590 211  \r   ?   t   ?   ?   ?   ?   k   w   >   ?   e   ?   M   Q
00095a0   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
0009800 205   ?   w  \r   ?   ?   ?   ? 004  \n  \t   }  \t   ?   ?   ?
0009810   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
0009820   P   ?   \   ? 023   ? 232 020  \t   |   ?   ? 224   { 213   8
0009830   .   ? 200   f   ?   C   ?   N 034   V   f 227 026 232   ?   ?
0009840   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
00098b0   ?  \0   O   F   7 022   S   ?   >   G   ? 223 022   ? 214   ?
00098c0 033   `   T   V   [   )   Z 214 026   $   D   ? 017   X   w   e
*
0009a00   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000a800   ?   : 237   8   ?  \v   ?   t   ~   a   d   ?   ?   a   ?   ?
000a810   ]   ? 210   R   v 214   !   6   ) 230 020 016   ? 204 022   ?
000a820   ?   |   ?   7 233   ?   ? 207 205   7 226   ?   ?   ?   ,   Q
000a830   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000aa00 200   ?   ?   ?   A   ?   ?   v 016   ?   ?   q   ?   1   f 236
*
000b600   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000b9e0   z   ?   ?  \r 027   ?   '  \v   *   i   ?   ?   ? 216   ?   z
000b9f0 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
000ba00   A   Z  \0  \r   C 032   ?   ,   ? 032   ?   ? 027   W   ?   i
000ba10   V   q   ?   ?   P 031   j   ? 024   ?   ?   (   6   ?   ?   N
000ba20   z   o   V   (   n 005 027   ? 225   2   "   ?   ? 227   ? 217
000ba30   ?   ?   ?   ,   ?   ?   u   <   } 202 023 035   ?   ,   ? 205
000ba40   ?   ?   ?   ?   {   ? 001   ?   $ 231   _ 021   ?   ?   ?   /
000ba50 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
*
000bae0   I   j   c 021   ?   ?   ?   ?   ? 032   a 213   ? 033 201   ?
000baf0   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000bb20   ?   ?   ?   ? 017   ?   (   + 001   ?   ? 216   k   Y   ? 221
000bb30 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
*
000bba0   Y  \r   ? 213   H 220   r 232   ?   ? 213   0   :   " 227   ?
100+0 records in
100+0 records out
000bbb0   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000bcf0 027   9   ?   ?   ?   _ 202   ? 016   ?   N   w   ! 001   x   #
51200 bytes transferred in 0.038745 secs (1321455 bytes/sec)
000bd00 207   ?   ? 034 226 005  \f 216   d 036   ?   h   m   x 036   ?
000bd10   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000bd50   %   R   ?   ?   ?  \a   ?   D   ?   p 233   p   P   "   ?   9
000bd60   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c000   ?  \t   ?   ?   K   ~   4   ?   ? 027   ?   *   r   ?   ?   ~
000c010   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c120   ?   ?   ? 223   T   ? 036   ?   ? 006   ? 235   ?   `   6 233
000c130   =   J   %   ^   ? 202   d   \       ?   '   ?   ? 230   V   ?
000c140 202   ?   ?   ,   ?   ?   ?   ?   l   ?   I   ?   ?   ? 216 034
000c150   K 002 200   ?   1   ?   W 204   U   [   ? 204   ?   )   ?   ?
000c160 201   ?   ? 204 001   j 232   *   &   ?   U 016   C   @   ?   R
000c170   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c190   ?   O   p   O   X   A 222   x   ? 016       B 216   k   d 023
000c1a0 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
*
000c1e0 033   ?   ?   ?   ? 006 032   1   ?   ?   ? 215   V 214   E 023
000c1f0 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
*
000c240   :   4   t   a 004   b   ?   ?   ?   H 214 232   D   & 207   ?
000c250   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c280 004   w 237  \n   {   V 002   ?   ?   ?   ?   ?   9 216   e   ?
000c290   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c440 226   ?   + 212   ?   ?   ?   W 030   j 020   !   j   ?   o   T
000c450 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
*
000c510   F   ? 222   ?   ! 006 005   ?   ?   ?   H   f   ?   ?   0 220
000c520 025   I 004   ?   ?   y 001   ?   ?   N   O 221   u   ~   ? 216
000c530   Y   R   i   z   ?  \v   ?   ? 035   + 216   Y   ?   ?   ? 006
000c540   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c600   D   ?   M   a 003   +   ?   4 213   ? 201   6   ^ 223   ?   ?
000c610   H 230   S   0   ?   ?   Z   ? 030  \b   j 035 020 212 005   ?
000c620   2   ?   ?   ?   x   ' 233   q   ?  \n   C   >   ?   \   ?   ?
000c630 001   )   F   %   ?   ?   r 231 032   ?   ?   _   ?   )   ?   0
000c640       &   ? 036   '   ?   i   }  \t   ?   k   8   Z   ?   ]   ?
000c650 224   *   U   ? 236   ?   )   ? 031 212   7   g   ?   U 210   ?
000c660   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
000c670 022   \   *   ? 235   ?  \n   ?  \r 026 215   ?   T 211   ?   ?
000c680   ?   ?   ?   n 006 202   ?   d   ? 025   %  \r 002   a   ?   "
000c690   l 206   ?  \f   5   ?   6   ;   n   v   O   Y 211   ?   p   (
000c6a0   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c720  \r   ?  \f   ?   3   C   ?   ? 027   ?   ? 233   K 026   >   ?
000c730 001   ?   ? 005   ? 232   A   l   F   ?   ? 034   V 204   1   ?
000c740   U   ? 004   ? 200   2   ?   ?   ?  \b   '   ?   ?   A   c   ?
000c750   ?   ?   y   > 235 017 211 202   <   ?   )   2   ?   9 034 021
000c760   ?  \n   S   j   ?   ?   c  \f   5   ?   o 210   "   W   D 212
000c770   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
000c780 211   a   ?   g   a       ?   (   E   #   ?  \0   _ 204   & 211
000c790   ? 204 031   ! 002   ?   ?   G   ?   7   8   W   ? 031   ?   ?
000c7a0   ? 237   i 027 030   6  \a 021 023   ?   Q 215 202   A   I   6
000c7b0   ?   ?   p   ?   ?   ? 211   ?  \n  \b 030   ?   H 200   ?   k
000c7c0   ?   ? 005   "   ?   ? 022   ?   ?   I   ?   ?   ?   > 216   ?
000c7d0   ) 227   #   ? 201   ?   ?   3   ? 215 027   ?   ? 001   ? 033
*
000c800

Additional information.

I'm now wondering on what happened to this disk:

I have run several recovery programs (Data Rescue 4, photorec, DDRescue_GUI) and while I've found remnants of the software that came on the disk, I have found NO usable files. At this point I'm thinking some form of malware.

  • 1
    Sounds like it would be a whole lot simpler to just replace the drive & recover from backup. – Tetsujin Jul 29 '18 at 20:37
  • Agreed: If there was a backup. This was the backup until the primary failed. Then it was discovered that backups hadn't been happening. – Sherwood Botsford Jul 30 '18 at 12:59

You must log in to answer this question.

Browse other questions tagged .