Daten nach Virus Befall widerherstellen

[florian.]

Hallo,

Ich hab da ein Problem, und zwar wurde der Rechner eines Kumpels von einem Virus befallen
Der Virus heißt W32/Virut.R
er meldet sich mit: Warning! Spyware detected on your computer!
und hat scheinbar alle Exe Dateien Infiziert.
Noch dazu hat er die Dateien unter Dokumente und Einstellungen gelöscht.

Gibt es eine Möglichkeit um wieder an die Gelöschten Daten zu kommen?
um den Rest des Systems ist es egal. danach wird die Festplatte formatiert.
Derzeit hängt sie an meinem PC, ich hoffe das er dadurch nicht auch infiziert wird.

 

[Fiona]

Lade dir mal die Datei Sav32CLI von Sophos.
http://www.sophos.de/support/pedis.html#1
Gehe nach der Anleitung vor!
Wurde auch von mir schon in Netzwerke benutzt.
Beschäftige dich mit Desinfektion (säubern), um die Exe-Dateien nicht komplett zu löschen.

Führe es am besten von Bart's PE Builder aus, um deinen Comuter nicht zu gefährden!

Viele Grüße

Fiona

 

[florian.]

Die Exe Dateien sind mit Antivir schon komplett gelöscht.
es geht um das reine Wiederherstellen der gelöschten Daten.

Ich versuche gerade mein Glück mit PC Inspector File Recovery

 

[Fiona]

Freeware hat nicht immer gute Ergebnisse?
Dennoch teile es mal mit.
Zumeist eignet sich kostengünstige Datenrettungssoftware (um 35-40 € besser)
Dennoch solltest du dann auf den Dateien nach der Wiederherstellung es entweder mit Antivir oder Sav32CLI dringendst überprüfen.
Normal verschieben Antivirenprogramme die Dateien in Quarantäne, so das die vielleicht doch wiederhergestellt werden können?

Viele Grüße

Fiona

 

[florian.]

nee ich hab extra auf löschen geklickt.
Auf der Festplatte waren auch nicht viele Programme Installiert, vielleicht 10-15 also das ist nicht weiter schlimm.

nur um Die Bildersammlung welche nun weg ist.
ich hoffe die Freeware liefert einigermaßen brauchbare Ergebnisse

 

[Fiona]

Wenn es sich um Bilder handelt, lade dir Testdisk 6.11WIP in der neuesten beta.
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Nach dem dekomprinieren findest du den Testdisk-Companion PhotoRec.
Bestätige durch, wähle deine Festplatte und bis du die Option File Opt siehst.
Öfnne File Opt und drücke s (select) um alls Dateitypen abzuwählen.
Wähle dann explizit nur die Dateitypen aus, die du benötigst.
Spart unmengen an Arbeit, da keine anderen Dateien mit wiederhergestellt werden.
Wähle zum scannen unallocated space only und nicht whole drive.
Hiermit scannst du nur den freien Speicherplatz und nicht die gesamte Festplatte mit auch den vorhandenen Dateien und sprt auch Arbeit und Zeit.
Infos zu PhotoRec auch hier;
http://www.cgsecurity.org/wiki/PhotoRec_Schritt_für_Schritt

Teile es insoweit mal mit.
PhotoRec behält die Dateienamen nicht bei, dafür aber das Erstellungsdatum in den Exif-Daten.
Ist bei Bilder zumeist ausreichend!

Viele Grüße

Fiona

 

[florian.]

ok das werd ich mal versuchen.
noch läuft PC Inspector durch (67min) gleichzeitig sollte man sie nicht starten oder?

was ich allerdings komisch fand, unter Windows kommt sobald ich den Benutzer Ordner unter Dokumente und Einstellungen anklick die Fehlermeldung Zugriff verweigert
und der Ordner wird als Leer angezeigt.

mit PC Inspector konnte ich aber eigentlich gleich auf die Daten zugreifen (weiß nicht wie viel und was alles da sein müsste)

 

[Fiona]

Dann hast du ein Rechteproblem!
Mache mal Rechtsklick auf den Ordner und Eigenschaften.
Ghe auf den Reiter Sicherheit und setze überalöl den Haken bei Zulassen.
Wenn es nicht funktioniert, gehe auf Erweitert und Besitzer.
Markiere deinen Benutzernamen mit Admimrechten.
Setze den Haken bei Container und übernehme den Besitz!
Infos dazu auch hier;
https://www.computerbase.de/forum/t...ten-nach-mainboard-crash.280865/#post-2751086
Wenn du WinXP Home hast, gibt es den Reiter nicht.
Kann mit dem Fajo-Patch nachinstalliert werden.

Viele Grüße

Fiona

 

[florian.]

ich hab xp home
was ist den ein Fajo patch?

Google findet garnix außer 20 Links wo du das erwähnst ^^

ok der Patch ist Installiert.
wie kann ich dort nun einen Neuen Benutzer anlegen?


ok Thx das war es.
Wieso nicht gleich so

muss ich das nun bei jedem Ordner machen?

Jetzt bin ich einen Ordner Tiefer, und nun geht es nicht weiter.

 

[Fiona]

http://www.fajo.de/portal/index.php?option=content&task=view&id=6&Itemid=

Sollte helfen.

Viele Grüße

Fiona

Edit:

Markiere nur deinen obersten Ordner!

Im Reiter Sicherheit gehe mal auf Erweitert und dann den Reiter Besitzer.
Wähle dein Benutzernamen dort aus.
Setze den Haken bei Container, dann übernimmt er es für alle Ordner.
Gehe dann auf übernehmen.

Wenn kein Besitzer angezeigt werden sollte, teile ich dir mit, wie die Hinzugefügt werden.
Manchmal müssen die Rechte auch im abgesicherten Modus (als Admin anmelden) erst auf dein Konto übertragen werden, damit du alles freigeben kannst.
Das Admin-Kontto ist ein von Microsoft vordefiniertes.
Dann deinen Benutzernamen anklicken und die rechte übertragen.

Mußt du testen.

Viele Grüße

Fiona

 

[florian.]

gibt nen paar Probleme (siehe oben)
Irgendwas hab ich falsch eingestellt

oer gibt es ein programm welchem die Berechtigung egal ist?

 

[Fiona]

Habe oben auch nochmal unter Edit: ergänzt!

Testdisk ist Linuxbasierend, und damit kannst du deine Daten kopieren.
Geht folgendermaßen;
Lade bitte Testdisk Version 6.11 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige bei Quick Search und setze mir auch einen Screenshot (bestätige bei Vista-Check entweder mit y oder n).
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.
Hier setze ich dir mal Infos über das kopieren;
Wenn die Dateien und Ordner in Testdisk angezeigt werden, dann versuche die mit Testdisk zu kopieren.
Infos;

Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse auch mit Enter.
Bestätige bei Proceed mit Enter, so das deine Partition grün angezeigt wird.
Die Partition sollte markiert sein.

Wenn du p drückst und bei deiner NTFS-Partition deine Daten siehst, kannst du eine Datei oder Ordner markieren und c für copy drücken.
Wenn du nur den einzelnen Punkt markierst, kannst du das ganzes Laufwerk kopieren.
Dann wirst du nach dem Pfad gefragt. wenn du auf die zwei Punkte gehst, kommst du immer ein Ordner höher bis du deine Festplatten siehst.
Wähle dort deine Festplatte oder Partition wohin du die Daten kopieren möchtest aus.
Markiere dann den entsprechenden Ordner.
Mit dem Links oder Rechtspfeil kannst du in einen Ordner gehen.
Wenn du dann mit y bestätigst, fängt Testdisk an zu kopieren.
Infos zum kopieren nochmal hier!
https://www.computerbase.de/forum/t...s-systempartition-retten.305094/#post-2273568

Viele Grüße

Fiona

 

[florian.]

Es Kopiert zwar noch, sieht aber ganz gut aus.
Dann kann ich ja morgen ruhigen Gewissens die Festplatte Formatieren.
Besten Dank


und schon kommen wieder die Virus Meldungen von den Daten wo ich vorher keinen zugriff hatte.
also sollte ich vorsichtig sein was ich alles anklick^^

Sofern ich keine Betroffene Datei anklick sollte ja nichts Passieren oder?

 

[Fiona]

Ich hatte dir mitgeteilt es lieber von einer LiveCD wie Bart's Pe Builder zu versuchen.
Testdisk hat ein PE Builder Plug in im win-Order mit Beschreibung.
Ansonsten auch nochmal eine Klickanleitung wie du es integrieren kannst hier;
https://www.computerbase.de/forum/threads/s-m-a-r-t-datenrettung-noch-moeglich.229021/#post-2258849

Überlege dir daher genau was du machst und ist auf dein Risiko.
Nicht das was schiefgeht.

Viele Grüße

Fiona

 

[florian.]

also Antivir hat nun wieder eine Menge Daten gelöscht.

Die Frage ist jetzt nur ob man diese Daten bedenkenlos ins Neue System Packen Kann?
Oder sollte man sicherheitshalber nur Sachen wie Bilder,excel,word... Daten mit ins Neue System nehmen?

 

[Fiona]

Solange die nicht infiziert sind ja.
Deine Aussage bezog sich auf ausführbare Programme wie exe, dann auch auf batch, scr und com.

Die Daten sollten gescannt werden.
Geht in Antivir auch mit Rechtsklick auf Datei oder Ordner und mit Ausgewählte Dateien mit Antivir prüfen.

Viele Grüße

Fiona