Datarecovery van mobile devices; in casu Trimble Ranger TSC3CN

We kregen de vraag van een landmeter of we de data van zijn defecte Trimble Ranger konden recoveren. Deze toestellen werken met flashgeheugen en windows Mobile. Geen enkele datarecovery firma bleek dit te ondersteunen. Voor ons terug een leuke uitdaging. Probleem was ook dat het toestel moest blijven werken, want het probleem was te verhelpen met een software upgrade (die evenwel alle data wist). We moesten dus delicaat te werk gaan.

We begonnen met het uitlezen van het flashgeheugen van de Trimble. Daarvoor werden de geheugenchips fysiek verwijderd en uitgelezen met een externe lezer. Daarna werden ze teruggesoldeerd zodat het toestel terug werkte. Na analyse van het flashgeheugen blijkt dit te werken met het bestandssysteem YAFFS2 (yet another flash file system). Een vrij ongewoon bestandssysteem met vrijwel geen ondersteuning.

Daarenboven blijkt dat Microsoft het niet zo nauw neemt met de YAFFS2 standaard en er zijn eigen modificaties aan toegevoegd heeft. In samenspraak met een collega werd deze versie van YAFFS2 ontleed via reverse engineering en er werd een programma geschreven om de bestanden te extraheren uit de flash dumps. Speciaal is hier ook dat zoals voor alle flash file systems er om de zoveel kilobyte een stuk ECC code is.

Ook hier moet rekening mee gehouden worden wil men geen corrupte data hebben. Uiteindelijk hebben we na weken geduldig programmeren de data kunnen terughalen die mijn klant nodig had. Benieuwd of we dit YAFFS2 bestandssysteem nog gaan tegenkomen. Het zou onder andere ook in sommige Android toestellen gebruikt worden.