Não importando qual método se escolha, o primeiro passo é desmontar o sistema de arquivo que contenha os arquivos apagados. Firmemente desencorajo qualquer impulso que se possa ter para lidar com um sistema de arquivos montado. Este passo deve ser dado logo que possível depois o momento em que se perceba que arquivos tenham sido indevidamente apagados.
O método mais simples é o que se segue: presumindo-se que os arquivos apagados estivessem por exemplo na partição /usr, deve-se executar o comando:
Pode-se porém necessitar algumas coisas instaladas em /usr. Para utilizar os dados da partição pode-se remontá-la somente com permissões de leitura, no seguinte formato:
Caso os arquivos apagados estivessem na partição raiz, será necessário acrescentar a opção -n para prevenir a gravação pelo comando mount em /etc/mtab:
Apesar de tudo isso, é possível que haja um outro processo usando aquele sistema de arquivos (que fará com que o comando de desmontagem falhe, emitindo uma mensagem de erro similar a 'Recurso Ocupado'). Há um programa que enviará um sinal para qualquer processo usando um arquivo dado ou um ponto de montagem: fuser. Tente isto para a partição /usr:
Ele relacionará os processos envolvidos. Presumindo-se que nenhum deles seja vital, pode-se executar:
para enviar a cada processo um sinal SIGKILL (que certamente o finalizará), ou ainda,
para enviar a cada um SIGTERM (que normalmente fará com que o processo seja finalizado normalmente).