Fai una scansione completa in R-Studio, al termine potrai effettuare un recupero RAW dei files (almeno di quelli non crittografati).
Scaricare Demo di recupero dati e versione di valutazione del software di Ripristino File.
Con la demo del programma puoi fare la scansione del disco e verificare cosa è recuperabile, ma per il recupero effettivo dei files (ammesso che sia possibile) ti servirà la versione completa da acquistare.
In pratica funziona così...
In modalità RAW vengono ricercati gli indici di apertura e di chiusura di ogni tipo di file noto presente fisicamente sul disco, anche di quelli che hai eliminato in passato.
In modalità normale invece, la ricerca di ogni singolo file avviene tramite lettura del filesystem.
Quando cancelliamo un files in realtà questo non viene immediatamente eliminato, in pratica viene semplicemente data l'istruzione al filesystem di non mostrare più quel file cancellato e di usare in futuro i settori su cui risiedeva per salvare nuovi files quando lo ritiene opportuno.
Inoltre, quando si deframmenta il disco, i files vengono spostati di posizione ma questo non significa per forza che i settori sui quali si trovava in origine un certo file siano stati sovrascritti, quindi nella posizione originale è possibile che ci sia ancora una copia di quel file solo che il filesystem non tiene più conto della posizione in cui risiedeva precedentemente.
I Cryptolocker, che io sappia, può crittografare solo i files che sono registrati nel filesystem, quindi se hai delle copie residue di tali files (che quindi non erano più catalogati nel filesystem al momento dell'infezione del CTB) allora potrai recuperarli.
P.S.
L'hdd da scansionare dovrai impostarlo come secondario, cioè non caricare il suo sistema operativo se ne ha uno.
La modalità RAW funziona meglio con i file piccoli come i documenti office e le foto, le probabilità di recuperare i video ad esempio sono molto più basse.
