Harddrive - elimine “áreas ocultas” como HPA e DCO também após a infecção por malware

8

Plano de fundo -

Malware no Windows (sim), possivelmente rootkit / bootkit. Não quero arriscar. Então, limpou a unidade com DBAN tolamente (PRNG, 8 pass). Mais tarde, soube que o DBAN não mata HPA (host protected area) e DCO (Drive configuration overlay), que são "áreas ocultas" (se houver) em um disco rígido. Vi que o HDDErase feito pelo CMRR pode remover o DCO e o HPA, se presentes. Mas o projeto foi interrompido em 2005 ou 7. Então, eu vim para o HDPARM do linux na esperança de que ele limpe meu HDD 100% limpo para que eu possa instalar janelas de baixa qualidade novamente em um disco rígido 100% limpo . Como um aparte, eu também olhei para "BC Wipe Total Wipeout", que faz a remoção de HPA e DCO em $ 50.

Configuração atual - Ubuntu 11 na unidade flash / stick USB de 3,6 GB. Meu disco rígido não tem sistema operacional.

Me - Usuário médio de computador com pouca habilidade bash, por exemplo, não sei exatamente o que estou fazendo.

Perguntas -

  • Se você quiser ver a presença do HPA, use hdparm -N /dev/sda . Isto mostra me o número de setores e que o HPA está desativado.

    • O que é isso / dev / sda? É o meu disco rígido ou pen drive USB no qual eu tenho o Ubuntu? Eu acho que é o disco rígido porque eu tentei um comando e vi a descrição de um disco rígido nos resultados. Eu tentei sudo hdpamr -I /dev/sda . Aqui está um pouco da saída -

      Dispositivo ATA, com mídia não removível Número do Modelo: ST320LT007-9ZV142

É uma unidade Seagate de 320 GB e 7200 RPM.

Saída de sudo hdparm --dco-identify /dev/sda

/dev/sda:
DCO Revision: 0x0001
The following features can be selectively disabled via DCO:
    Transfer modes:
         mdma0 mdma1 mdma2
         udma0 udma1 udma2 udma3 udma4 udma5 udma6(?)
    Real max sectors: 625142448
    ATA command/feature sets:
         SMART self_test error_log security HPA 48_bit
         (?): selective_test conveyance_test write_read_verify
         (?): WRITE_UNC_EXT
    SATA command/feature sets:
         (?): NCQ interface_power_management SSP
  • O que essa saída de DCO significa? Como posso garantir que não há possibilidade de malware no DCO?

  • Existe uma maneira de descobrir o tamanho em termos de GB em vez de setores?

  • O hdparm fará um apagamento de 100% do disco rígido para eliminar malware que residem no HPA e no DCO? Eu vi isso na página wiki e fiquei um pouco preocupado -

hdparm has a more serious drawback: it can crash a computer and make data on its disk inaccessible if certain parameters are misused. Out of approximately sixty-seven parameters, several are dangerous and could result in "massive filesystem corruption" when used indiscriminately.

    
por Deen 08.09.2013 / 21:00

3 respostas

8

So, wiped drive with DBAN foolishly (PRNG, 8 pass). Later came to know that DBAN does not kill HPA (host protected area) and DCO (Drive configuration overlay)

Portanto, temos uma admissão básica aqui que a unidade foi apagada, portanto, não há tabela de partição, sistema de arquivos ou dados na unidade. Portanto, não pode haver corrupção de dados ou corrupção do sistema de arquivos, já que o DBAN assegurou isso e, portanto, o aviso HDPARM a seguir não é aplicável.

hdparm has a more serious drawback: it can crash a computer and make data on its disk inaccessible if certain parameters are misused. Out of approximately sixty-seven parameters, several are dangerous and could result in "massive filesystem corruption" when used indiscriminately.

Abra seu disco de inicialização do Linux e execute hdparm

Para usar o HDPARM para limpar o HPA

Para x = dispositivo que você está segmentando, use o seguinte comando HDPARM para mostrar se você tem um HPA ativado.

# hdparm -N /dev/sdx

Ele irá retornar algo como o seguinte se você tiver um HPA definido:

/dev/sdx:
max sectors   = 78125000/78165360, HPA is enabled

Para remover o HPA e expandir a área visível para o tamanho total do disco, use o denominador no relatório acima (área visível / setores máximos):

# hdparm -N p78165360 /dev/sdx

Ele retornará um relatório informando que a área visível é igual aos setores máximos e que o HPA está desativado.

/dev/sdx:
setting max visible sectors to 78165360 (permanent)
max sectors   = 78165360/78165360, HPA is disabled

Para usar o HDPARM para verificar se um DCO está em vigor e defini-lo de volta para os padrões de fábrica

Como o DCO é configurado pelo fabricante, você deve aceitar que mexer nele possivelmente danificará a unidade. Mas então esse é o menor dos seus problemas, se você acha que tem algum malware sofisticado que pode realmente mexer com ele. Para ver o DCO, use o seguinte comando HDPARM.

# hdparm --dco-identify /dev/sdx

No seu exemplo, deu-lhe:

/dev/sda:
DCO Revision: 0x0001
The following features can be selectively disabled via DCO:
    Transfer modes:
         mdma0 mdma1 mdma2
         udma0 udma1 udma2 udma3 udma4 udma5 udma6(?)
    Real max sectors: 625142448
    ATA command/feature sets:
         SMART self_test error_log security HPA 48_bit
         (?): selective_test conveyance_test write_read_verify
         (?): WRITE_UNC_EXT
    SATA command/feature sets:
         (?): NCQ interface_power_management SSP

Assim, o fabricante da unidade usa o DCO para definir os modos de transferência de dados permitidos (MDMA, UDMA), o tamanho real dos comandos (máximos) e os comandos ATA / SATA que podem ser desativados.

Se você quiser tentar reverter o DCO aos padrões de fábrica, use o seguinte comando HDPARM:

# hdparm --dco-restore /dev/sdx

Ele irá lhe enviar o seguinte aviso de que a alteração do DCO causará perda total de dados. Pense nisso como alterar o tamanho da partição ou eliminar a tabela de partição e restaurá-la com parâmetros incorretos. Em um disco limpo, você já perdeu os dados, hein? Basicamente, um Lamentamos que você não tenha feito backup de seus dados antes de prosseguir, você é SOL se o DCO não corresponder após a execução do comando e você acha que qualquer coisa será recuperável da unidade devido à reatribuição de tamanho.

/dev/sdx:
Use of --dco-restore is VERY DANGEROUS.
You are trying to deliberately reset your drive configuration back to
the factory defaults.
This may change the apparent capacity and feature set of the drive,
making all data on it inaccessible.
You could lose *everything*.
Please supply the --yes-i-know-what-i-am-doing flag if you really want this.
Program aborted.

De acordo com as instruções, você adiciona a seguinte opção "Aceito as consequências":

# hdparm --yes-i-know-what-i-am-doing --dco-restore /dev/sdx

E isso diz a você:

/dev/sdx:
issuing DCO restore command
    
por 09.09.2013 / 04:16
2

Eu tive um problema recente com uma unidade de 1 TB relatada como 1 KB e o Gerenciador de Disco não relatou nenhuma mídia. Eu usei um programa gratuito chamado DiskCheckup do Passmark.com.

Depois de executar o programa e selecionar o disco afetado, cliquei na guia "oculto" para encontrar 3 caixas de entrada. O primeiro 'Max User LBA' mostrou apenas 1: o segundo e o terceiro (Native e Disk) mostraram o número correto. Marquei a caixa de seleção para permitir alteração e digitei o número correto na primeira caixa para que todos os três mostrassem o mesmo número de LBA. Em seguida, clique no botão "Aplicar": tudo concluído.

De volta ao Gerenciador de discos, cliquei em 'reexaminar' no menu Ações e minhas informações completas de partições estavam de volta com acesso total à unidade. Pode ser que você tenha que substituir o MBR se ele for uma unidade inicializável usando algo como o EasyRE.

Desculpe, estava procurando uma resposta antes e não tinha percebido que esse era um site Linux e minha resposta só se aplica ao Windows.

    
por 29.06.2015 / 04:09
0

Eu tenho algumas sugestões sobre como limpar seu disco rígido. Você pode ver minha resposta aqui -

link

Parece que o código aberto não é tão cor-de-rosa quanto parece. Uma ferramenta de código fechado de US $ 50 pode fazer o trabalho para mim, mas eu não comprei porque é muito caro.

    
por 15.09.2013 / 01:18