硬盘疑似因恶意软件不被识别，做数据恢复安全吗：先分清识别状态再动手

装过恶意软件，并不等于硬盘已经损坏，也不能说明硬盘为什么不被识别。数据恢复是否安全，取决于设备当前的识别状态，以及发现异常之后有没有再对原盘做过写入类操作。在只读、不向原介质写入内容的前提下提取数据是可控的；反过来，在状态没确认之前就格式化、初始化，或把恢复出来的文件写回原盘，都会改变原介质上的内容。下一步是先记录识别状态、容量显示、此前做过的操作和备份情况，再按现象决定是继续核对连接，还是停止通电交给专业检测。

www.sosit.com.cn

装过恶意软件不等于硬盘已经损坏

恶意软件的存在，不能用来判断硬盘是否已经损坏，也不能用来判断硬盘不被识别的原因。既不能因为装过恶意软件就把设备直接判成坏了，也不能因为已经杀过毒，就认为识别问题会自动恢复。决定下一步的是设备现在的识别表现，而不是它的感染史。对用户来说，这意味着不必先解决病毒问题再谈数据，两件事应当分开处理。

www.sosit.com.cn

动手前先记录这些信息

可以直接核对并如实记录的信息包括：设备在系统或自检界面中是否显示，以及显示的容量；盘符或分区是否出现，出现时能否访问；此前是否做过格式化、初始化、扫描或重装系统；有没有可用备份，以及备份的大致时间点。如果在此之前已经执行过写入类操作，把时间、操作内容和当时的现象一并记下。

技王数据恢复

凭现象无法确认的是：不识别是否由恶意软件引起、问题出在设备的哪个部分、数据最终能恢复到什么程度。所以任何以先修复再说的名义进行的操作，都不要在信息不全的时候执行。已经出现访问异常、又怀疑病毒的设备，可以先参考 硬盘路径访问异常怀疑病毒：恢复安全边界与处理顺序 中的处理边界，再对照下面的分流判断。 www.sosit.com.cn

按当前识别状态分流

如果设备完全认不到，同时又伴随异常机械声，按第二行处理，不要再为了确认是不是连接问题而通电尝试。容量显示异常这一条本身就属于停止信号，不需要先判断原因再决定是否停下。

技王数据恢复

确认之前不要对原盘做写入类操作

格式化、初始化、把恢复结果写回原盘，都属于对原介质的写入，在目标数据尚未确认安全之前，应当被排除在选项之外。也不要用先格式化看看能不能认到来试探，这会把原本还能核对的状态变得更难判断。如果在此之前已经执行过其中某一项，不必反复尝试去弥补，按前文列出的字段记录清楚，在评估时一并说明即可。

技王数据恢复

出现停止信号就断电，不再反复通电

需要停手的信号有三类：异常机械声、反复掉盘、识别容量异常。出现任意一类，就停止反复通电和长时间扫描，把设备断电放置，不再接入其他机器尝试读取，随后把前面列出的信息逐项记录下来，作为后续评估的输入。 www.sosit.com.cn

完全认不到时：先核对连接链，再决定是否只读评估

如果设备在系统里完全不出现，并且没有异常机械声、没有反复掉盘、容量显示正常，可以先核对外部连接链，例如更换数据线、更换接口，或换一台电脑确认是否仍然不识别。这些核对都需要设备通电，因此只适用于没有上述停止信号、状态稳定的设备。

www.sosit.com.cn

如果外部连接核对之后仍然完全认不到，就不要再自行加码尝试，由专业侧判断是否可以进入只读评估。只读评估以不向原介质写入任何内容为前提，这也是它能作为下一步的原因。

远程恢复能处理什么，不能处理什么

远程数据恢复技术只适用于操作系统可以访问的逻辑层数据提取，无法解决硬件层面的识别故障。设备能被系统正常识别、只是数据访问异常的情况，才有可能走远程方式；完全认不到的设备不属于远程处理的适用范围，需要到店或寄修做进一步评估。选择哪一种方式，取决于核对出来的识别状态，而不是取决于故障听起来严不严重。

自己能做到哪一步，什么时候交给专业检测

用户可以做的，是保持设备断电、记录现象和操作历史，并准备一块用于接收恢复结果的存储介质。不该做的是拆解设备：对于存在物理损伤风险的设备，普通用户不应自行拆解或尝试修复，应交由具备洁净室环境的专业机构处理。交接的时点也很直接——只要设备已经落到需要停止的那一类，或者外部连接核对之后仍然完全认不到，就停止自行操作，转入专业检测。

服务与联系方式

• 服务方：技王数据恢复实验室。
• 咨询电话：18857148111，服务时间周一至周日09:00–18:00，法定节假日正常营业；寄件与收件安排请先电话确认。
• 服务方式：技术咨询、到店送修、全国快递寄修；全部业务支持顺丰往返包邮，包括检测后不修、无法恢复的订单及保价费。
• 杭州实体服务中心：杭州市西湖区教工路23号百脑汇科技大厦13楼1322-1323室；其他地区到店请先电话确认服务安排。

技术审核：邓严军｜技王数据恢复实验室技术总监