System Volume Information löschen [externe HDD]

[Minute|Man]

Hi,

ich habe am Mac eine externe Festplatte gescannt (ClamXav), die normalerweise von Windows benutzt wird. Nun wird mir im Ordner "System Volume Information" eine Infektion names "A0012356.exe" gefunden. Als Kennung wird "Joke.Buttons.A" angezeigt.

Den Ordner kann man doch getrost löschen, oder gibt's dann Probleme unter Windows?


Gruß
Minute|Man

 

[SpartanerTom]

Diese Ordner gehören zur Systemwiederherstellung. Einfach die Systemwiederherstellung für dieses Laufwerk deaktivieren.

 

[1668mib]

Also das einfachste wäre, die Systemwiederherstellung auf diesem Laufwerk zu deaktivieren - am besten nur für das Systemlaufwerk aktiviert haben.

 

[Minute|Man]

Dazu müsste ich die HDD unter Windows anstöpseln, was mir augrund der bekannten Infektion ziemlich waghalsig erscheint. Darum wollte ich den Ordner direkt am Mac löschen.

 

[1668mib]

Natürlich kannst du über den Mac machen.

Von Dateien aus der Systemwiederherstellung geht aber an sich keine Gefahr aus - kein Schädling würde sich dort absichtlich unterbringen. Riskant wird es erst, wenn alte Systemwiederherstellungpunkte geladen werden, dann könnten sie wieder ins System kommen. Deshalb ist auch die Empfehlung, alle Systemwiederherstellungspunkte nach einem Malware-Befall zu entfernen.

Wie der Schädling da rein kam is auch ganz einfach: Ein AV-Programm hat ihn entfernt - die Systemwiederherstellung hat erkannt, dass es sich um ein Programm handelt und ihn deshalb erst mal in die Systemwiederherstellung gehauen, schließlich könnte sie ja wichtig sein für den regulären Betrieb usw...
Das AV-Programm unter Windows kommt gar nicht an diese Dateien ran, weil ihm die Berechtigungen fehlen. Deshalb schlug es nicht erneut an - und deshalb geht wie gesagt auch erst mal keine Gefahr von der Datei aus.

 

[Minute|Man]

Ich habe den Ordner jetzt gelöscht und lasse nochmal einen Scan drüber laufen. Wenn ich die Systemwiederherstellung für die externe HDD an meinem System deaktiviere, ist sie dann an einem anderen System auch deaktivert?

 

[1668mib]

Nein, die Einstellungen gelten leider nur für das eigene System.

Wobei nur Windows XP die Systemwiederherstellung generell aktiviert, Vista und spätere aktivieren sie standardmäßig nur für das Systemlaufwerk (zum Glück, wie schon gesagt, das ist auch die Empfehlung, die ich mache unter XP).

Dummerweise muss man unter XP eben die Wiederherstellung eben für jedes neue Laufwerk manuell deaktivieren... zumindest ist mir nichts anderes bekannt (und nutze kein XP mehr)