Excel-Datei lässt sich nicht öffnen? Sieht in Notepad komisch aus...

Hallo zusammen,


mal wieder muss ich mich an euch wenden, da ich momentan nicht weiter weiß. Ein Bekannter wollte eine wichtige Datei (.xls mit nur Text und Zahlen) für seine Steuererklärung öffnen und Excel verweigerte dabei den Dienst. Zudem existiert eine zweite Datei mit dem Suffix _1, die ich inzwischen mit genauem Hinsehen als JPG mit dem Bild einer Blume enttarnt habe (TrIDNET sagt allerdings, es sei zu 38,5% eine JFIF-EXIF JPEG Bitmap, 30,8% eine ohne EXIF, 23,1% eine ohne JFIF-EXIF und 7,7% eine MP3; dumm aufgedröselt von TrID und MP3 Zufall?).

Die andere Datei sieht allerdings sehr merkwürdig aus:

Es beginnt mit einer Art CSS-Definition

Dann jede Menge Steuerzeichen (NUL in Notepad++) am Stück, dann darin Sachen wie: C:\, System32, Windwos, C:\Windows\System32\GfxUI.exe, der Benutzername.
Dann wieder NULs.
Dann scheinbar Formatierungen: Erklärender Text, Schlecht, Überschrift 1 bis 4.
Dann Tabelle 1 bis 3 und schließlich der Text, der enthalten sein sollte und die Werte aus der nächsten Spalte. ich gehe mal davon aus, dass Excel die Datei spaltenweise aufbaut und ich somit zur Not händisch oder per RegEx die Daten wiederherstellen könnte...
Schließlich die Office-typischen ÿ gefolgt von ‰PNG (wohlgemerkt, sollte dort keine Grafik eingebettet sein!).
Zum Abschluss etwas Sonderzeichen:


Problematisch ist, dass ich eine Referenzdatei habe, die der Bekannte ursprünglich aus besagtem Problemkind erstellt hat. Dort fehlen aber Textfragmente:


Die Tabelle hat drei Spalten: Datum, Text und Wert. Das Datum kann ich nirgend finden (auch nicht als Integer), die Werte lassen sich irgendwo erahnen...


Vielleicht kann jemand spontan helfen, bevor ich mit Hex-Editor und HDD-Wiederherstellung anfange...



Grüße,

ACCakut



UPDATE

Das Bild ist im Internet sehr verbreitet (u.a. hier, die Blume vor der Tür) und stammt scheinbar aus einem Publisher 2007-Tutorial für Kalender. Gott weiß, wie die Datei dort hingekommen ist.

In der beschädigten Datei fehlt das BIFF-Fragment...

Kann dein Bekannter sich an irgendwelche ungewöhnlichen Vorkommnisse seit dem letzten fehlerfreien Öffnen erinnern? Irgendwie muss die Datei ja zerstört worden sein. Stromausfall oder anderweitiges fehlerhaftes Schließen Excels? Trojaner mit Verschlüsselung?

Nein, leider nicht. Er schließt auch ein Abspeichern im falschen Format etc. aus. Virus wäre natürlich möglich, allerdings ist der PC sehr neu und hat auch gerade erst ein Win8-Upgrade bekommen. Zudem sollte ein Verschlüsselungstrojaner ja etwas mehr kaputt machen, als eine Datei, oder? Wäre es ein Festplatten oder I/O-Fehler, hätte ich damit ja leben können, aber der hättet wohl kaum so einen Unfug damit gemacht.

Wenn man mal mit dem Hex-Editor und der Office-Wiederherstellung dran geht wird es noch Mysteriöser. Dann tauchen URLs von eventim und Facebook-Banner auf... dabei dachte ich, schon so einigen gesehen zu haben

Moin,

ich würde erst einmal versuchen, die Kopie der Datei zu reparieren. Oder aber gleich mit OpenOffice oder einem anderen (freien) TK-Programm öffnen. Das wirkt manchmal Wunder ...

Alles leider schon versucht. Ehrlich gesagt habe ich auch wenig Hoffnung, auf Dateiebene weiter zu kommen, da ich recht sicher bin, dass die Datei am Anfang und am Ende falsche Inhalte enthält. Recuva hat nun bestätigt, dass die "_1"-Datei durch ein Überschreiben mit einem Office-Clipart entstand.

Ich habe da die Defragmentierungsversuche des Bekannten im Verdacht (Win8 + Defraggler + Ultimate Defrag).


Als letzte Hoffnung vor der großen Dateisystem-Fledderei melde ich mich noch einmal im Dateiwiederherstellungsforum, danke euch aber allen für die Vorschläge!

Ich hab den andern Thread gelesen, aber ich hab mir gedacht cih schreib hier, dann bleibt der auf der Front Page bei den Unbeantworteten und mehr Leute sehen ihn...

Shadowcopy ist nicht zufällig an auf der Platte? Das wär ja die einfachste problemunabhängige Lösung

Danke für's Mitdenken!

Soweit ich weiß, wird der VSS in Win8 ja über das Menü Dateiversionsverlauf gesteuert. Diese war jedoch nie aktiv (Windows Datensicherung hat immer Probleme gemacht und deshalb hatte mich der Bekannte letzte Woche kontaktiert, Windows bemängelte, der Sicherungsdatenträger sei zu klein (160GB, Sicherung belegt 50GB, habe daher BackupServiceHome drauf gemacht, aber halt zu spät...).

Es existiert ein fehlerhaftes Windows-Datensicherungs-Backup, was meine letzte Hoffnung darstellt... Dort ist die Woche vor dem Backup schon "infiziert", alles frühere will Windows nicht wiederherstellen. Das werde ich mir nochmal angucken und ggf. das Backup direkt mounten (ist ja VHD, wie mir schien?).


Grüße,

ACCakut