Вытащить кешированные картинки из Thumbs.db

Однажды ко мне обратился знакомый с интересным кейсом – удалил все файлы с флешки, а там среди прочего был скриншот с кое-какой важной информацией, что-то вроде ключа для восстановления криптоконтейнера. не знаю, зачем этот ключ хранился в виде картинки, но случилось то, что случилось – файл был стёрт с флешки… Причём достаточно давно.

После непродолжительной консультации по Skype (кстати, на сайте skype-messengers.ru скачал старую версию, она мне больше нравится) мы решили, что он будет моими “руками”, т.е. я буду работать с его компьютером посредством утилиты удалённого администрирования.

Программы для восстановления данных

Первым делом, разумеется, я решил воспользоваться программами для восстановления данных. Флешка была отформатирована в NTFS, что позволяло предположить высокие шансы на успех.

Снял образ флешки при помощи R-Studio, ей же и начал сканировать на предмет поиска остаточной информации. Каково же было моё удивление, когда ничего приемлемого R-Studio не смогла найти. Точнее как, удалёнка была, но найти и восстановить конкретный файл с ключами не представлялось возможным.

Я испробовал несколько программ: Handy Recovery, PhotoRec, Easy Recovery – всё +/- с тем же успехом. Файлы то ли были уже затёрты, то ли меня изначально вводили в заблуждение и никакого снимка с паролем там не было.

Решние в кеше

Решение пришло. И пришло оно откуда не ждали. Я заметил, что файл Thumbs.db в корне довольно большого размера. Напомню, этот файл содержит кешированные миниатюры изображений для их отображения в каталоге в некоторых режимах.

Воспользовался программкой Thumbs Viewer и увидел.. Узрел!

Картинка конечно низкого разрешения, но текст при должной сноровке вполне читаем.