Accidental file deletion, formatted SD card, and photo recovery¶

Realizing that you just formatted the wrong camera SD card, emptied the Recycle Bin or Trash on an external work drive, or accidentally wiped an entire partition of irreplaceable family photos is an acute technical crisis. When a file is deleted or a storage medium is quick-formatted, the operating system rarely erases the raw binary data inside the memory cells right away. Instead, it removes the file system directory pointer and marks those logical block addresses as "free space" available to be overwritten. Whether you recover 100 percent of your data or lose it forever depends entirely on what happens during the first 60 seconds after deletion. Every single second the drive remains mounted in read-write mode, background operating system indexing, swap files, browser caches, and Solid State Drive (SSD) garbage collection routines (TRIM / UNMAP) can permanently zero out the underlying sectors.

If the accidental deletion or formatting involves medical telemetry, legal evidence in an active crime, or a life-safety system failure, call your local emergency number (911 အမေရိကန်နှင့် ကနေဒါ၊ 112 ဥရောပသမဂ္ဂတလွှား၊ 999 United Kingdom တွင်) သို့မဟုတ် ကျွန်ုပ်တို့၏ နိုင်ငံတကာလမ်းညွှန်ကို တိုင်ပင်ပါ။ အရေးပေါ်နံပါတ်များ before touching the hardware. For all consumer, photographic, academic, and enterprise data loss incidents, halt all disk activity immediately and follow the forensic recovery workflow below.

ယခုလုပ်ပါ။¶

1. Pull out the removable SD card, CFexpress card, or USB drive immediately: If you just formatted a camera memory card or deleted files on an external USB drive, turn off the camera power switch immediately or unplug the external USB cable from the computer. Do not take "one test photo" to see if the card works, and do not allow Windows (chkdsk) or macOS (fsck_apfs) to "scan and repair" the drive.
2. If you deleted files from your computer's internal system drive (C: drive or macOS Macintosh HD), yank the power or force an hard power-off: Do not close apps normally, do not download data recovery software onto the affected computer, and do not click "Shut Down" (which writes gigabytes of hibernation files, registry hives, and session logs over your deleted blocks). Hold the physical power button for 5 to 10 seconds until the machine powers off completely, or unplug the desktop power cord if it is a non-battery system.
3. Slide the physical write-protect switch on full-size SDHC/SDXC cards to the LOCK position: Look at the left edge of a standard 32 millimeter by 24 millimeter (1.26 inch by 0.94 inch) SD card and push the tiny plastic tab down toward the bottom edge (away from the gold contact pins) so no reader can accidentally write .DS_Store၊ System Volume Information, or Spotlight index files when you plug it in later.
4. Understand the SSD TRIM trap before powering an internal SSD back on: Modern NVMe and SATA Solid State Drives execute hardware-level TRIM (ATA) or Deallocate (NVMe) commands within seconds to minutes of file deletion or formatting. Once the SSD controller runs background garbage collection on trimmed pages, raw carving software will read only zeros (0x00). Keeping power off stops the internal SSD microprocessor from finishing background garbage collection.
5. Prepare a separate, clean secondary computer and a larger destination drive: Never install recovery tools onto the drive that lost data, and never restore recovered files back onto the same source drive during the scan. Use a second computer (or boot the affected PC from an external Ubuntu Linux Live USB flash drive) and attach a blank external hard drive with at least twice the storage capacity of the affected drive.
6. Create a sector-by-sector raw binary image (.img သို့မဟုတ် .dd) before running any file recovery parser: Before running PhotoRec, R-Studio, DMDE, or UFS Explorer, use ddrescue or HDDSuperClone to clone every sector of the SD card or drive into a single image file on your backup drive. You can then run multiple recovery algorithms safely against the image file without ever risking further wear or accidental writes on the original media.

Decision tree: choosing the right recovery strategy by storage media and file system¶

Use this forensic triage flowchart to determine whether your deleted data can be recovered via logical file-table reconstruction, raw file signature carving, or specialized chip-off analysis:

flowchart TD
    A["Accidental File Deletion or Drive Format Detected"] --> B["Immediately Power Off Device or Eject Removable Media"]
    B --> C{"What type of physical storage hardware is affected?"}
    C -->|"Camera SD / MicroSD / CFexpress / USB Flash"| D["Engage Physical Write-Protect Switch or Use Read-Only USB Blocker"]
    C -->|"External or Internal Mechanical Hard Drive (HDD)"| E["No TRIM Risk: High Recovery Probability if Zero New Writes Occurred"]
    C -->|"Internal or External SSD / NVMe / Mac / Smartphone"| F{"What File System and OS Connection Was Used?"}
    F -->|"NTFS, APFS, or ext4 on Internal NVMe/SATA SSD"| G["High TRIM Risk: Boot via Linux Live USB with libata.force=noncqtrim"]
    F -->|"exFAT or FAT32 over Standard USB Mass Storage"| H["Moderate/Low TRIM Risk: Many USB Bridges Do Not Pass TRIM on exFAT"]
    F -->|"iOS / Android Internal Storage"| I["Hardware File-Based Encryption (FBE): Keys Destroyed on Deletion, Check Cloud/Local Backups Immediately"]
    D --> J["Create Full Bitstream Clone (.img) Using GNU ddrescue onto Separate Drive"]
    E --> J
    G --> J
    H --> J
    J --> K{"Were Files Deleted Individually or Was the Drive Formatted?"}
    K -->|"Individual Deletion / Quick Format (Metadata Intact)"| L["Run Logical Metadata Reconstruction (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Overwritten File Table / Camera In-Body Format"| M["Run Raw File Signature Carving + Fragmented Video Rebuilder (PhotoRec, GoPro/MP4 Repair)"]

The physics of deletion: HDD magnetic platters vs. SSD NAND flash and Camera SD cards¶

To avoid destroying recoverable data, you must understand how different storage architectures handle deletion and formatting under the hood.

1. Mechanical Hard Disk Drives (HDD) and Shingled Magnetic Recording (SMR)¶

On a traditional conventional magnetic recording (CMR) spinning hard drive, deleting a file or running a "Quick Format" takes less than two seconds because the read/write heads only modify the master directory index, such as the $MFT (Master File Table) on NTFS, the Allocation Bitmap and Catalog B-Tree on HFS+/APFS, or the File Allocation Table on FAT32/exFAT. The actual magnetic flux reversals representing your JPEGs, PDFs, and spreadsheets remain untouched on the cobalt-alloy platters until the operating system chooses to write a brand-new file over those exact Logical Block Addresses (LBAs).

However, many modern high-capacity consumer external hard drives (typically 2 terabytes to 5 terabytes in 2.5-inch portable enclosures) use Shingled Magnetic Recording (SMR) alongside an internal firmware translation layer called a Media Cache. Some modern SMR hard drives actually support the TRIM command just like an SSD. If you delete a large folder on a TRIM-enabled SMR hard drive and leave it plugged in idle for 20 minutes, the drive's internal firmware may reorganize its shingled bands and permanently zero out the unallocated sectors in the background. Unplugging the drive immediately prevents this internal housekeeping cycle.

2. Solid State Drives (SSD), NVMe, and the TRIM / Deallocate Execution Window¶

NAND flash memory inside SSDs cannot overwrite existing data directly in place. Before a NAND flash cell can accept new data, an entire flash block (typically 4 megabytes to 16 megabytes in size) must first undergo a slow electrical Program/Erase (P/E) cycle. If the SSD waited until you saved a new file to erase old blocks, write speeds would plummet.

To keep SSDs fast, modern operating systems (Windows 7 through Windows 11, macOS 10.10+, and Linux kernels with fstrim သို့မဟုတ် discard) send an immediate TRIM (SATA) or Dataset Management: Deallocate (NVMe) command to the SSD controller the moment you empty the Recycle Bin/Trash or execute a Quick Format:

1. Deterministic Read Zero after TRIM (DZAT / DRAT): Almost all modern consumer NVMe and SATA SSDs enforce Deterministic Zeroing after TRIM. The exact millisecond the SSD controller receives the TRIM command for a range of sectors, its internal Flash Translation Layer (FTL) unmaps those logical addresses from the physical NAND pages.
2. Immediate Zero Return: Even before the physical electrical charge is erased from the silicon cells, if any software (including ddrescue, PhotoRec, or R-Studio) asks the SSD to read those trimmed sectors via standard SATA or NVMe commands, the SSD controller intercepts the request and returns pure hexadecimal zeros (00 00 00 00) without even checking the physical NAND chips.
3. When SSD Recovery IS Still Possible:
   • External USB Enclosures without UASP/TRIM pass-through: Older USB 3.0 bridge chips using the legacy BOT (Bulk-Only Transport) protocol rather than UASP (USB Attached SCSI Protocol) cannot translate operating system TRIM commands across the USB cable.
   • FAT32 and exFAT Volumes on Certain OS Versions: Historically, several operating system builds only sent automatic real-time TRIM commands on native journaled file systems (NTFS၊ APFS၊ ext4) and did not issue immediate real-time TRIM on removable FAT32 သို့မဟုတ် exFAT partitions.
   • Partition Table Wipe (diskpart clean or accidental partition deletion) without Formatting: Deleting a partition entry from the GUID Partition Table (GPT) or Master Boot Record (MBR) sometimes leaves the underlying sectors un-trimmed until a new file system is formatted on top of it.

3. Camera In-Body Formatting and the Sony / Canon / Nikon SD_ERASE Trap¶

Photographers and videographers frequently assume that formatting an SD, microSD, or CFexpress card inside a digital camera is identical to a "Quick Format" on a desktop computer. While that was true ten years ago, modern mirrorless cameras behave very differently depending on the manufacturer:

အဆင့် 1- ချက်ချင်း OS ထိန်းချုပ်ခြင်းနှင့် အလိုအလျောက် ရေးသားမှုများကို ပိတ်ဆို့ခြင်း။¶

စက်တွင်းဒရိုက်ဗ်မှ ဖိုင်များကို ပြန်လည်ရယူရန် သို့မဟုတ် ပြင်ပဒရိုက်ကို ကွန်ပျူတာသို့ ချိတ်ဆက်ရန် မကြိုးစားမီ၊ ဖျက်လိုက်သည့်နေရာကို တိတ်တဆိတ် ထပ်ရေးသည့် လည်ပတ်မှုစနစ် ယန္တရားများကို ဖျက်ပစ်ရပါမည်။

1. Internal Windows Drive (C: Drive) မှ ပြန်လည်ရယူခြင်း¶

အကယ်၍ သင်သည် သင်၏ Windows Desktop၊ Documents သို့မဟုတ် Downloads ဖိုင်တွဲမှ အရေးကြီးသော ဖိုင်တွဲတစ်ခုကို ဖျက်လိုက်ပြီး Recycle Bin ကို ရှင်းပစ်လိုက်ပါက-

1. ထို drive တွင် Windows ကို ဆက်လက်အသုံးမပြုပါနှင့်- Desktop တွင် Windows မထိုင်ဘဲ ထားလိုက်လျှင်ပင် ခွင့်ပြုနိုင်သည်။ SearchIndexer.exe၊ Windows Defender နောက်ခံစကင်ဖတ်စစ်ဆေးမှုများ၊ Chrome/Edge cache အပ်ဒိတ်များ၊ Volume Shadow Copy rotation နှင့် Windows Pagefile (pagefile.sys) သင်၏အသစ်ထွက်ရှိထားသောအစုအဝေးများပေါ်တွင် တစ်မိနစ်လျှင် မီဂါဘိုက်ရာပေါင်းများစွာကို တိုက်ရိုက်ရေးသားရန်။
2. ** သင်ချက်ချင်းပါဝါမပိတ်နိုင်ပါက (ဥပမာ၊ ရုပ်ပိုင်းဆိုင်ရာအသုံးပြုခွင့်မရှိသော အဝေးထိန်းအလုပ်ရုံတွင်) ကိုပိတ်ပါ။ TRIM Administrator Command Prompt** မှတဆင့်ချက်ချင်း၊
   • စာနယ်ဇင်း Win + XTerminal (Admin) သို့မဟုတ် Command Prompt (Admin) ကိုနှိပ်ပြီး လုပ်ဆောင်ပါ-

     fsutil behavior set DisableDeleteNotify 1
     

   • ၎င်းသည် Windows ကို နောက်ထပ် ပေးပို့ခြင်းမှ ရပ်တန့်စေသည် TRIM ပြန်ပြင်၍မရသော်လည်း NTFS နှင့် ReFS volumes အတွက် အသိပေးချက်များ TRIM စက္ကန့်ပိုင်းစောပြီး ပို့လိုက်တဲ့ command တွေ။
3. ** Volume Shadow Copy ရှိမရှိ စစ်ဆေးပါ (Previous Versions) already exists before shutting down (takes 15 seconds)**:
   • Right-click the parent folder that held your deleted files, click Properties -> Previous Versions.
   • Or run vssadmin list shadows in an Administrator Command Prompt. If a shadow snapshot exists from earlier today or yesterday, you can mount that shadow copy read-only (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) and copy your intact files directly to an external USB thumb drive.
4. If no Shadow Copy exists, shut down hard and boot from a Linux Live USB: Create an Ubuntu or SystemRescue USB flash drive on a different computer, boot the affected PC from that USB drive in Try Ubuntu (Live RAM mode) without mounting the internal drive rw, and image or extract the files from outside Windows.

2. Recovering from a macOS System Drive (Apple Silicon M1/M2/M3/M4 & T2 Macs)¶

Modern Apple computers running macOS on APFS (Apple File System) present two strict architectural hurdles:

1. Aggressive APFS TRIM: macOS sends TRIM commands immediately upon emptying the Trash on internal Apple SSDs.
2. Hardware FileVault / Secure Enclave Encryption: On all Macs with an Apple T2 chip or Apple Silicon (M1, M2, M3, M4), the internal SSD is hardware-encrypted at rest by default using keys tied to the Secure Enclave, even if FileVault is turned "Off" in System Settings.
   • Immediate Check 1: Local Time Machine Snapshots (tmutil): Even if your external Time Machine backup drive was unplugged at the time of deletion, macOS automatically creates hidden hourly APFS Local Snapshots on the internal SSD if Time Machine is configured. Open Terminal immediately and run:

     tmutil listlocalsnapshots /
     

     If you see snapshots listed (such as com.apple.TimeMachine.2026-10-31-091522.local), open the folder where the file lived and launch the Time Machine app from Applications to restore the file in seconds.
   • Immediate Check 2: Cloud Sync Trash Bins (iCloud Drive, OneDrive, Dropbox, Google Drive): Because macOS Desktop and Documents folders are frequently synced to iCloud Drive, deleting a file from your Mac Desktop deletes it via iCloud sync rather than just locally. Open a browser on your phone or another PC, log into icloud.com -> Drive -> Recently Deleted (bottom right corner), where deleted files are retained for 30 days completely untouched by local SSD TRIM.

3. Blocking macOS and Windows from Polluting a Plugged-in SD Card or External Drive¶

When you plug a camera SD card or external USB drive into a computer to recover files, the host operating system immediately tries to write hidden metadata files onto the root of the drive (.DS_Store၊ .Spotlight-V100၊ .fseventsd၊ .Trashes on macOS; System Volume Information နှင့် $Recycle.Bin on Windows). Those tiny writes land right at the beginning of the free space bitmap, often corrupting the exact directory headers you are trying to recover.

• On Linux (Safest Forensic Method): Linux does not auto-write hidden index folders if you disable auto-mounting or mount the block device strictly read-only (ro,noload)
• On Windows (Enable Read-Only Disk Attribute via DiskPart BEFORE inserting the drive, or use Registry WriteBlocker):
  • Open regedit.exe as Administrator, navigate to HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (create the StorageDevicePolicies သော့မရှိလျှင်) နှင့်ဖန်တီးပါ။ DWORD (32-bit) တန်ဖိုးဟု အမည်ပေးထားသည်။ WriteProtect သတ်မှတ်ထားသည်။ 1. ထို့နောက် သင်၏ USB ကတ်ဖတ်စက်ကို ပလပ်ထိုးပါ၊ ထို့နောက် Windows သည် ဖြုတ်တပ်နိုင်သော USB သိုလှောင်မှုအားလုံးကို ဟာ့ဒ်ဝဲရေးခြင်း-ကာကွယ်မှုအဖြစ် ဆက်ဆံမည်ဖြစ်သည်။
• ** macOS တွင် (Disk Arbitrator မှတစ်ဆင့် Mount)**- သင်၏ SD ကတ်စာဖတ်သူ သို့မဟုတ် ပြင်ပဒရိုက်ကို ပလပ်မသွင်းမီ open-source utility Disk Arbitrator ကို ဒေါင်းလုဒ်လုပ်ပြီး ဖွင့်ပါ။ Disk Arbitrator ကို Block Mounts သို့မဟုတ် Mount Read-Only သို့ သတ်မှတ်ပါ၊ ထို့ကြောင့် macOS သည် စာမရေးနိုင်ပါ။ .DS_Store သို့မဟုတ် ပျက်စီးနေသော အခန်းကန့်သို့ Spotlight အညွှန်းကိန်းများ။

အဆင့် 2- မှုခင်းဆေးပညာကဏ္ဍအလိုက် ကဏ္ဍအလိုက် ကိုယ်ပွားဖန်တီးခြင်း (ddrescue)¶

ပျက်သွားသော hard drive၊ ဟောင်းနွမ်းနေသော microSD ကတ် သို့မဟုတ် ဖော်မတ်လုပ်ထားသော အခန်းကန့်၏ တစ်ဦးတည်းသော ကော်ပီပေါ်တွင် ဖိုင်ပြန်လည်ရယူခြင်းစကင်န်များကို တိုက်ရိုက်မလုပ်ဆောင်ပါနှင့်။ အကြမ်း binary ပုံဖိုင်ကို ဖန်တီးခြင်း (.img သို့မဟုတ် .dd) guarantees that you have a frozen, bit-for-bit snapshot of every sector as it existed the moment you unplugged the drive.

Step-by-Step Cloning with GNU ddrescue (Linux / macOS) or HDDSuperClone¶

1. Identify the exact device identifier of your source card or drive:
   • On Linux, run lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT before and after plugging in the card reader. Suppose your 64 gigabyte (59.6 gibibyte) camera SD card appears as /dev/sdc (make sure it is not mounted; if mounted, run sudo umount /dev/sdc1)
   • On macOS, run diskutil list to find the disk number (for example, /dev/disk4), then unmount its volumes without ejecting the hardware: diskutil unmountDisk /dev/disk4.
2. Mount your large destination storage drive: Suppose your external 2 terabyte backup drive is mounted at /mnt/backup (or /Volumes/BackupDrive on macOS). Verify it has enough free space to hold the entire raw capacity of the source drive (a 64 gigabyte SD card produces a 64 gigabyte .img file, even if only 10 gigabytes of photos were on it).
3. Execute ddrescue with a mapfile (log file):

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d uses direct disk access (bypassing the operating system kernel page cache for accurate sector reads; on macOS use /dev/rdisk4 instead of -d)
   • -r3 tells ddrescue to copy all healthy sectors across the entire drive on the first fast pass, skip over any slow or damaged flash blocks immediately so the card does not overheat or lock up, and then retry bad sectors up to 3 times at the end.
   • sdcard_rescue.map saves your exact progress every few seconds. If the USB reader disconnects or the power goes out, running the exact same command resumes seamlessly from where it stopped without re-reading already rescued sectors.
4. Make a working copy or mount the .img file read-only: Once sdcard_raw_clone.img finishes at 100.00% rescued, eject your physical SD card and store it in a safe drawer. You will perform 100 percent of your recovery work on sdcard_raw_clone.img.

Phase 3: Executing file recovery (Logical Metadata Reconstruction vs. Raw Carving)¶

Once you have a safe .img file (or a hardware write-blocked drive), there are two completely different technical methods to extract your deleted data. You should always attempt Method A (Logical File System Reconstruction) first before falling back to Method B (Raw Signature Carving).

အဆင့် 1- ဖျက်လိုက်သော အပိုင်းကို ပြန်လည်ရယူခြင်း သို့မဟုတ် ပျက်စီးနေသော Boot ကဏ္ဍကို ပြန်လည်ရယူခြင်း။ TestDisk¶

အကယ်၍ သင်၏ ပြင်ပ drive သို့မဟုတ် SD ကတ်မှ ရုတ်တရက် "Disk E တွင် disk ကို format လုပ်ရန် လိုအပ်သည်" သို့မဟုတ် လုံခြုံစွာ ထုတ်မပစ်ဘဲ Disk Management တွင် RAW/Unallocated အဖြစ် ပေါ်လာပါက၊ သင့်ဖိုင်များကို လုံးဝဖျက်မည်မဟုတ်ပါ။ ယင်းအစား Master Boot Record (MBR)၊ GUID Partition Table (GPT) သို့မဟုတ် Boot Sector (BPB) ပျက်စီးခဲ့သည်။

1. သင်၏ cloned image file ကို TestDisk ကို run ပါ။

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Proceed ကိုရွေးပါ -> partition table အမျိုးအစားကို အတည်ပြုပါ (Intel/PC 2 terabytes အောက် MBR SD ကတ်များအတွက် သို့မဟုတ် EFI GPT ခေတ်မီကြီးမားသော drives များအတွက်) ။
3. Analyse -> Quick Search ကို ရွေးပါ။
4. TestDisk သည် အရန်ခွဲခန်းခေါင်းစီးများကို စကင်န်ဖတ်မည် (ဥပမာ NTFS အသံအတိုးအကျယ်၏ နောက်ဆုံးကဏ္ဍတွင် သိမ်းဆည်းထားသော အလိုအလျောက် အရန်ကူးယူထားသော NTFS bootကဏ္ဍ၊ သို့မဟုတ် ကဏ္ဍ 6 တွင် အရန်သိမ်းထားသော FAT32 boot sector ကဲ့သို့)။
5. ရှာဖွေတွေ့ရှိထားသော partition ကို အသားပေး၍ နှိပ်ပါ P (ဖိုင်များစာရင်း)။ terminal ဝင်းဒိုးအတွင်းတွင် သင်၏ ဖိုင်တွဲများနှင့် ဖိုင်များအားလုံးကို နဂိုအတိုင်းဖော်ပြထားသည်ကို သင်ချက်ချင်းမြင်ရပါက၊
   • ဖိုင်တွေကိုသာ လိုချင်ရင် partition table ကို ပြန်ရေးဖို့တောင် မနှောက်ယှက်ပါနဲ့။ နှိပ်လိုက်ရုံပါပဲ C သင်လိုချင်သောဖိုင်တွဲများပေါ်တွင် 100 ရာခိုင်နှုန်း မူရင်းဖိုင်အမည်များနှင့် ဖိုင်တွဲဖွဲ့စည်းပုံများဖြင့် ၎င်းတို့ကို သင့်ကျန်းမာသော ဦးတည်ရာဒရိုက်သို့ တိုက်ရိုက်ကူးယူပါ။

အဆင့် 2- DMDE၊ R-Studio သို့မဟုတ် UFS Explorer ကို အသုံးပြု၍ ယုတ္တိတန်သော မက်တာဒေတာကို စကန်ဖတ်ပါ¶

ဖိုင်တွေကို ဖျက်လိုက်တာနဲ့ တစ်ဆင့်ချင်း ဖျက်ပစ်လိုက်တယ်။ Shift + Delete၊ Recycle Bin မှ ရှင်းထုတ်သည် သို့မဟုတ် ပုံမှန် အမြန်ဖော်မတ်ဖြင့် ရှင်းထားသည်-

1. သင့်အားဖွင့်ပါ။ .img DMDE အတွင်းရှိ ဖိုင် (အခမဲ့တည်းဖြတ်မှုတွင် ဖိုင်ပေါင်း 4,000 အထိ ပြန်လည်ရယူသည်၊ လိုင်စင်အပြည့်အစုံသည် စျေးမကြီးသော)၊ R-Studio သို့မဟုတ် UFS Explorer Standard Recovery။
2. ** ရှိပြီးသား Virtual File System Tree ကို အရင်စစ်ဆေးပါ **
   • NTFS drives တွင်၊ ဖိုင်တစ်ခုစီတွင် Master File Table (1,024-byte) (1 ကီလိုဘိုက်) မှတ်တမ်း ($MFT) ဖိုင်ကိုဖျက်လိုက်ရင်တောင်၊ $MFT အထိုင်အား မလှုပ်ရှားနိုင်သော အလံဖြင့် အမှတ်အသားပြုထားဆဲဖြစ်သည် (0x00 instead of 0x01ဖိုင်အမည် အတိအကျ၊ ပင်မလမ်းညွှန် ID နှင့် ဖိုင်အသစ်တစ်ခု ပြန်သုံးသည်အထိ အတိအကျ စတင်သည့်အစုအဝေးနှင့် အရှည်တို့ ပါဝင်သော)၊ $MFT အထိုင်။ ထို့အပြင်၊ ~700 bytes ထက်သေးငယ်သောဖိုင်များ (ဥပမာအတိုချုံးမှတ်စုများ၊ crypto သော့များ၊ သို့မဟုတ် သေးငယ်သော scripts များ) သည် resident အတွင်းသို့ လုံးလုံးလျားလျား သိမ်းဆည်းထားသည်။ $MFT သူ့ဟာသူ မှတ်တမ်းတင်ပြီး မြန်မြန်ဆန်ဆန်ရေးရတာ ရှားပါတယ်။
   • မှာကြည့်ပါ$Root သို့မဟုတ် Deleted / Found partition ကိုဖွင့်ပြီးပထမ 5 စက္ကန့်အတွင်း virtual folder ကိုထုတ်ပေးသည်။ သင့်ဖိုင်များသည် အနီရောင်ဖြင့် ပေါ်လာပါက၊ x သို့မဟုတ် အမှိုက်ပုံသဏ္ဍာန်နှင့် ကျန်းမာသောအရွယ်အစားကိုပြသပါ၊ ၎င်းတို့ကိုရွေးချယ်ပြီး သင်၏သီးခြားသွားမည့်နေရာသို့ ချက်ခြင်းပြန်ယူရန် **ကိုနှိပ်ပါ။
3. ** Directory Header ကို Overwrite ဖြစ်ပါက Full Volume Scan ကို Run ပါ**:
   • အမြန်ဖော်မတ်တစ်ခုသည် root directory သို့မဟုတ် ပထမဆုံး megabytes အနည်းငယ်ကို ရေးနေပါက $MFT, run a Full Volume Scan. The software will scan the entire image for surviving subdirectory index nodes (INDX NTFS တွင် ကြားခံများ၊ FAT32/exFAT ရှိ လမ်းကြောင်းခွဲများ အစုအဝေးများ သို့မဟုတ် APFS/ext4 ရှိ ငွေပေးငွေယူ စစ်ဆေးရေးဂိတ်များ) နှင့် ယုတ္တိဗေဒ မက်တာဒေတာကို ဖိုင်ကြမ်းလက်မှတ်ရှာဖွေခြင်းနှင့်အတူ ပေါင်းစပ်ပါ။

Step-by-Step 3: Raw File Carving with PhotoRec (When Metadata Is Completely Destroyed)¶

When the File Allocation Table (FAT) or $MFT has been completely zeroed out by a format, logical directory pointers are gone, leaving only the raw file contents sitting in unallocated data clusters. PhotoRec (bundled alongside TestDisk, completely free, open-source, and available for Windows, macOS, and Linux) excels at carving over 480 file formats (including Canon .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD၊ .JPG၊ .PNG၊ .PDF၊ .DOCX/.XLSX zip containers, and .SQLITE databases):

1. Launch PhotoRec against your disk image:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Select the target partition (or Whole disk if the partition table was wiped).
3. Before starting, go to [File Opt] at the bottom of the screen:
   • စာနယ်ဇင်း s to deselect all 480 file types if you only care about specific files (for example, check only jpg၊ cr2/cr3၊ tif for raw photos, mov/mp4, နှင့် zip/docx), which drastically speeds up recovery and prevents false-positive garbage fragments.
4. Select [Options] -> keep Keep corrupted files : No unless recovering damaged video streams.
5. Select [Search], choose file system type [Other] (for FAT/exFAT/NTFS/HFS+), and select [Free] (if you only deleted files on an active partition) or [Whole] (if the partition was formatted).
6. Choose a destination folder on your separate large backup drive and press C to begin carving.
7. Post-Recovery Sorting for PhotoRec Output: Because PhotoRec saves files as f123456.jpg across dozens of recup_dir folders, you can automatically reorganize all recovered photos into clean YYYY/MM-Month/ folders with their exact camera timestamp filenames using the free command-line tool ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Specialized recovery: fragmented camera MP4/MOV videos (GoPro, DJI Drones, Sony, Canon)¶

PhotoRec သို့မဟုတ် ဖော်မတ်လုပ်ထားသော ကင်မရာကတ်တစ်ခုတွင် စံဖိုင်ပြန်လည်ရယူခြင်းဆော့ဖ်ဝဲကို အသုံးပြုပြီးနောက် မကြာခဏစိတ်ပျက်စရာများထဲမှ တစ်ခုသည် ပြန်လည်ရယူထားသော ** 100 ရာခိုင်နှုန်းကို ရှာဖွေတွေ့ရှိခြင်းဖြစ်သည်။ .JPG နှင့် .RAW ဓာတ်ပုံများကို စုံလင်စွာဖွင့်ထားသော်လည်း တစ်ခုစီတိုင်း ပြန်လည်ကောင်းမွန်လာသည်။ .MP4 သို့မဟုတ် .MOV ဗီဒီယိုဖိုင်ကို ဖွင့်ရန် ငြင်းဆိုသည် (0:00 ကြာချိန် သို့မဟုတ် မျက်နှာပြင် အနက်ရောင်)**။

အဘယ်ကြောင့်ဆိုသော် Standard Recovery Software သည် ခေတ်မီကင်မရာဗီဒီယိုများကို ပျက်ပြယ်စေသည်။¶

1. Interleaved Stream Recording- ခေတ်မီ အက်ရှင်ကင်မရာများ (GoPro Hero စီးရီး၊ DJI Air/Mavic/Mini ဒရုန်းများ၊ Insta360) နှင့် ရုပ်ရှင်ရုံ mirrorless ကင်မရာများ တစ်ခုတည်းကို မရေးပါ .MP4 ဖိုင်ကို အစမှ အဆုံး ဆက်တိုက်လုပ်ပါ။ 4K သို့မဟုတ် 5.3K ဗီဒီယိုကို ရိုက်ကူးနေစဉ်တွင် ကင်မရာသည် ကြည်လင်ပြတ်သားမှု မြင့်မားစွာ ရေးသားသည် .MP4 ထုတ်လွှင့်မှု၊ ကြည်လင်ပြတ်သားမှုနည်းသော အစမ်းကြည့်ရှုမှု .LRV exFAT/FAT32 ကတ်ရှိ အလှည့်ကျ အစုအဝေးများအဖြစ် အသံဖိုင်ကြားခံတစ်ခုနှင့် တယ်လီမီတာဒေတာကို ထုတ်လွှင့်ခြင်း (ဥပမာ- Res မြင့်မားသော ဗီဒီယို၏ 4 မီဂါဗိုက်၊ နောက်တွင် 512 ကီလိုဘိုက် .LRV preview, followed by 4 megabytes of high-res video).
2. Missing moov Atom in Unfinalized Recordings: If your drone crashed into water, your camera battery died mid-recording, or the SD card disconnected before you pressed the Stop Record button, the camera never wrote the moov atom (the master index table written at the very end of an MP4/MOV file that tells media players where every video frame and audio chunk sits).

ဖွင့်မရသော သို့မဟုတ် အကွဲကွဲအပြားပြားရှိသော ကင်မရာဗီဒီယိုများကို ပြန်လည်တည်ဆောက်နည်း¶

1. Case A- Battery ဆုံးရှုံးခြင်း သို့မဟုတ် ပျက်စီးသွားပြီးနောက် အပြီးသတ်မရသေးသော ဗီဒီယို (ဖိုင်သည် ကတ်တွင်ရှိပြီး၊ Multi-GB အရွယ်အစားကို ပြသသည်၊ ဖွင့်မည်မဟုတ်ပါ):
   • ဖိုင်စနစ်တွင် အစုအဝေးများသည် နဂိုအတိုင်းသာဖြစ်သည်။ moov အညွှန်းခေါင်းစီး ပျောက်ဆုံးနေပါသည်။
   • အခမဲ့ open-source tool ကိုသုံးပါ untrunc (အထူးသဖြင့် anthwlock/untrunc လမ်းဆုံလမ်းခွ သို့မဟုတ် recover_mp4 (slydiman)။ ပေးသည်။ untrunc ကျန်းမာသော၊ ကစားနိုင်သော ရည်ညွှန်းချက်တစ်ခုနှင့် .MP4 သင်၏ပျက်စီးနေသောပုံနှင့်အတူ ** တူညီသော resolution နှင့် framerate ဆက်တင်များ ** အတိအကျတူညီသောကင်မရာတွင်မှတ်တမ်းတင်ထားသည်။ .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc reads the codec parameters (avcC/hvcC နှင့် အသံလမ်းကြောင်း အပြင်အဆင်များ) အလုပ်လုပ်သော အကိုးအကား ဗီဒီယိုမှ၊ သင်၏ ပျက်စီးနေသော ဖိုင်ထဲတွင် H.264/H.265/HEVC NAL ယူနစ်များကို စကင်န်ဖတ်ပြီး အသစ်စက်စက် အသစ်တစ်ခုကို ပေါင်းစပ်ထုတ်လုပ်သည် moov atom in seconds.
2. Case B: Formatted SD Card with Interleaved / Fragmented Video (GoPro, DJI, Sony, Canon):
   • Because the FAT/exFAT cluster map was wiped during formatting, a standard carver grabs the ftyp/mdat header of your 4K video and then blindly copies the .LRV preview clusters and thumbnail clusters right into the middle of your video file, corrupting every single second of footage.
   • Instead of standard carvers, scan your sdcard_raw_clone.img using a fragmentation-aware video reconstructor that recognizes camera-specific cluster allocation cadences, such as SanDisk RescuePRO Deluxe (which includes specific GoPro/drone fragmented video assembly algorithms), Klennet Carver, or Disk Drill 5+ (which includes a dedicated GoPro/DJI fragmented video signature reconstructor).

Smartphone photo deletion: iOS (iPhone) and Android hardware encryption realities¶

A common and dangerous misconception is that you can plug a modern iPhone or Android smartphone into a laptop via USB and run traditional disk carving software (like Recuva or PhotoRec) on the phone's internal storage.

Why Traditional Sector Carving Cannot Read Modern Phones¶

Every iPhone since the iPhone 3GS (and all current iOS devices) uses Data Protection (File-Based Encryption) powered by a dedicated hardware AES crypto engine between the flash storage and main system memory. Similarly, every Android device shipped since Android 7.0+ (and mandatory since Android 10) uses File-Based Encryption (FBE) backed by the hardware Keystore/Titan M/Knox chip.

On both platforms, every single individual photo and file on the internal storage is encrypted with its own unique per-file cryptographic key. When a file is permanently purged from the phone's file system, the phone does not even need to erase the multi-megabyte photo blocks; it immediately destroys the 256-bit per-file encryption key in the metadata table. Without that key, the raw NAND blocks contain cryptographically unbreakable random noise. Even top-tier government forensic labs cannot "carve" permanently deleted photos from the internal flash of a modern iPhone or Android once the per-file key is wiped.

The Actual Recovery Paths for Deleted Smartphone Photos¶

Because hardware encryption blocks raw carving, recovering deleted photos from an iPhone or Android relies on recovering copies before retention timers expire or extracting cached thumbnail databases:

1. Check the On-Device "Recently Deleted" Album Immediately (30-Day Window):
   • iOS (iPhone / iPad): Open Photos -> scroll down to Utilities -> tap Recently Deleted (requires Face ID / Touch ID / Passcode). Photos stay here for 30 days before permanent key destruction.
   • Android (Google Photos / Samsung Gallery): Open Google Photos -> Library / Collections -> Trash / Bin (retained for 60 days if backed up, 30 days if device-only). Also check Samsung Gallery -> Menu (three lines) -> Trash (retained for 30 days), and open the Files by Google or My Files app -> Trash, which maintains a separate 30-day trash folder.
2. If You Deleted Photos from "Recently Deleted" on iPhone, Call Apple Support for an Emergency iCloud Server-Side Restore:
   • Many users do not realize that even after you manually click "Delete from All Devices" / "Empty Recently Deleted" in iCloud Photos, Apple's backend servers retain a soft-deleted server recovery buffer for a brief window (typically up to 7 to 14 days after permanent deletion).
   • Contact Apple Support immediately by phone or chat, ask to speak with a Senior Advisor, and ask them to trigger an iCloud Photo Library Server-Side Recovery on your Apple Account. They can frequently flip a server switch that dumps recently purged iCloud Photos right back into your album within 15 minutes.
3. Restore from an Older Unsynced Device or Encrypted Local Backup:
   • Airplane Mode Trick on Secondary iPad / Mac: If your iPhone synced a deletion to iCloud, grab your iPad or MacBook before it connects to Wi-Fi (turn off your home Wi-Fi router unplugging the power cord first if the iPad is asleep on your desk). Power on the iPad in total radio isolation, copy the still-present photos via USB cable or AirDrop to another device before the iPad receives the iCloud deletion push command.
   • Check iCloud Backup vs. iCloud Photos: If you had iCloud Photos turned OFF (Settings -> [Your Name] -> iCloud -> Photos -> Off), your Camera Roll is included inside your nightly iCloud Device Backup. You can wipe an old spare iPhone (or temporarily back up and reset your current iPhone) and restore the nightly iCloud Backup from before the moment you deleted the photo.
   • Check Local Finder / iTunes Backups on Your PC or Mac: Check ~/Library/Application Support/MobileSync/Backup/ on macOS or %APPDATA%\Apple Computer\MobileSync\Backup\ on Windows. You can browse and extract photos from old local backups without overwriting your phone using iMazing or iBackup Viewer.
4. Check Messaging App Local Caches (WhatsApp, iMessage, Telegram, Signal):
   • Did you ever text the deleted photo or video to a spouse, friend, or family group chat? Messaging apps store independent copies of media inside their own application sandboxes (Media/WhatsApp Images/Sent on Android, or inside chat attachments in iMessage). Even if you delete a photo from your main Camera Roll and empty the Trash, the copy inside your WhatsApp Sent folder or iMessage thread history remains completely untouched.

Cloud drive and enterprise accidental deletion recovery (Google Drive, OneDrive, Dropbox)¶

When an entire shared folder disappears or is overwritten on a cloud drive (or when ransomware or a syncing glitch deletes local files and syncs the deletion to the cloud), local disk recovery is often unnecessary because enterprise and consumer cloud platforms maintain multi-tier version histories:

1. Microsoft OneDrive & SharePoint Online:
   • First-Stage Recycle Bin (onedrive.live.com): Retains deleted files for 30 days on personal accounts and 93 days on Work/School accounts.
   • Second-Stage Site Collection Recycle Bin (Work/School): Even if an employee or hacker empties the main OneDrive Recycle Bin, click the link at the bottom of the Recycle Bin page labeled "Second-stage recycle bin", where purged files remain recoverable for the remainder of the 93-day window.
   • Restore Your OneDrive (Point-in-Time Rollback): Microsoft 365 subscribers can click Settings (gear icon) -> Options -> Restore your OneDrive, which uses a visual histogram slider to roll every single file, rename, and deletion across the entire cloud drive back to any exact minute within the last 30 days.
2. Google Drive & Google Workspace:
   • Google Drive Trash (drive.google.com/drive/trash): Retains deleted files for 30 days.
   • Google Workspace Admin Post-Trash Recovery (25-Day Grace Window)- အသုံးပြုသူတစ်ဦးက "Delete Forever" ကိုနှိပ်ပြီးနောက်တွင်ပင်၊ Google Workspace Administrator (သို့မဟုတ် Google Workspace Administrator (သို့) ပုဂ္ဂိုလ်ရေး Google One အကောင့်များရှိ Google Drive ပံ့ပိုးကူညီမှု သုံးစွဲသူတစ်ဦးချင်းစီ) သည် Google Admin Console (Google Admin Console) ကိုဖွင့်နိုင်သည်admin.google.com) -> Directory -> Users -> [အသုံးပြုသူကိုရွေးချယ်ပါ] -> More Options -> Restore Data နှင့် အမှိုက်ပုံးကို ရှင်းသွားပြီးနောက် 25 ရက်အတွင်း နောက်ထပ်ရက်များ အထိ အပြီးတိုင်ရှင်းလင်းထားသော Google Drive ဖိုင်များနှင့် Gmail မက်ဆေ့ဂျ်များကို ပြန်လည်ရယူပါ။
3. ** Dropbox **
   • Deleted Files (dropbox.com/deleted_files): Retains deleted files and folders for 30 days on Basic/Plus/Family plans, and 180 days to 1 year on Professional/Business plans.
   • Dropbox Rewind (dropbox.com/rewind): Allows rolling back an entire folder or the entire account to undo mass deletions, accidental drags-and-drops, or encryption events.

မေးလေ့ရှိသောမေးခွန်းများ¶

အရင်းအမြစ်များကို စစ်ဆေးခဲ့သည်။¶

• National Institute of Standards and Technology (NIST, United States): Special Publication 800-88 Revision 1, Guidelines for Media Sanitization (ATA TRIM, NVMe Deallocate, and NAND Flash Translation Layer behavior) and Computer Forensics Tool Testing (CFTT) Program Disk Imaging Specifications (csrc.nist.gov)
• Cybersecurity and Infrastructure Security Agency (CISA, United States): Data Backup, Forensic Preservation, and Incident Handling Guidelines (cisa.gov)
• GNU Project / Antonio Diaz Diaz (International): Official GNU ddrescue Manual: Data Recovery Tool and Block Device Mapfile Algorithms (gnu.org/software/ddrescue)
• CGSecurity / Christophe Grenier (International): TestDisk & PhotoRec Official Documentation: Partition Recovery and File Carving Signatures (cgsecurity.org)
• Apple Platform Security (United States): FileVault, Data Protection Classes, Per-File Encryption Keys, and APFS Trim Architecture on Apple Silicon and T2 Systems (support.apple.com/guide/security)
• Android Open Source Project (AOSP, International): File-Based Encryption (FBE) and Metadata Encryption Architecture (source.android.com/docs/security/features/encryption)
• SD Association (International): SD Specifications Part 1: Physical Layer Simplified Specification (Erase Commands CMD32, CMD33, CMD38 and Write-Protect Mechanical Switch) (sdcard.org)

ဆက်စပ်လမ်းညွှန်များ¶

• ဟာ့ဒ်ဒရိုက်ချို့ယွင်းမှုနှင့် ဒေတာပြန်လည်ရယူခြင်း။
• ကွန်ပျူတာ အရန်သိမ်းဆည်းမှုများ- 3-2-1 နည်းဗျူဟာနှင့် ဘေးအန္တရာယ် ပြန်လည်ရယူရေး
• Ransomware and malware
• Broken or water-damaged phone
• Linux system boot failure and GRUB repair
• Windows Blue Screen (BSOD) and boot repair