Virus setzte Dateigröße auf 0

[Moriarty]

Hallo,

zwischen den Jahren ereilte mich leider ein ziemlicher Schock. Ein Virus setzte die Dateigröße sämtlicher Dateien auf Null. Das System ließ sich noch einmal starten, dann war alles vorbei. Mir geht es jedoch nur noch um meine Daten. Alle Datein werden noch angezeigt, jedoch ist wie erwähnt die Dateigröße Null. Mittels eines RAW-Scans verschiedener Rettungsprogramme erhielt ich zwar wieder die Daten, jedoch typisch für einen solchen Scan ohne Dateinamen. Die Zuordnung wäre jedoch aufgrund der Datenmenge sehr zeitaufwendig. Meine Frage ist nun, ob es noch eine andere Möglichkeit gibt die Daten wieder herzustellen?

Ich habe in der Beschreibung eines Rettungtools auch gelesen, dass man die Dateigröße in einen solchen Fall hoch setzen kann (über die eigentliche Dateigröße) und beim Öffnen und darauffolgenden Speichern die Datei in den Originalzustand zurückbringen kann. Dieser Vorgang ist jedoch noch aufwendiger.

Bitte helft mir... Ich hoffe Ihr könnt es

Noch ein paar Daten, falls mehr benötigt werden, reiche ich diese umgehend auf Anfrage nach:

System: Windows XP
Dateisystem: NTFS
Virus-ID: Worm/Drefir.E (bin aber nicht sicher ob diese korrekt ist; ist jedoch schon gelöscht und kann keine weiteren Daten mehr darüber liefern, leider)
2 betroffene Festplatten:
1.: 3 Partitionen (2x 4GB, 1x 35GB)
2.: 1 Partition (160 GB)
Beste Ergebnisse im RAW-Scan bis jetzt mit EasyRecovery

Vielen Dank schon mal für Eure Hilfe!!!

Grüße Moriarty

 

[Fiona]

Mache mal eine Diagnose mit Datenrettungssoftware Mit Restorer2000 Pro in der Testversion ob er die Dateien noch anzeigt.
Mache bitte wie nachfolgend beschrieben einen Sektorscan da der genauer ist.
Dort werden sehr oft noch Dateinamen und die Ordnerstruktur sofern nicht zu stark beschädigt angezeigt.
Ich setze dir dazu mal Infos;

Freeware hat nicht immer gute Ergebnisse und ist deshalb kein Maßstab für eine Diagnose.
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553

Gute Ergebnisse sind Restorer2000, Scavenger und Recover it All.
Freeware hat nicht immer gute Ergebnisse.

Du kannst dir ja mal den kostengünstigen Restorer2000 Pro (Shareware 49.99 $ ca. 38 €) in der Testversion anschauen was der an Daten nach Diagnose anzeigt.
Hatte hier bereits gute Ergebnisse und macht auch wenig Probleme mit verschiedene Dateiformate.
In der Bedienung für einige ein wenig gewöhnungsbedürftig.
Daher noch ergänzende Hinweise wegen Bedienung.
Mache damit mal einen genauen Sektorscan.
Markiere die Festplatte und nicht deine Partition..
Scanne die Festplatte indem du auf das Icon im Menü mit dieser Uhr oder ähnlich gehst (Diese Option sucht nach Partitionen macht aber einen Sektorscan).
Hinterher kannst du oben im rechten Fenster in Restorer auf die Festplattensymbole (erkannte Partitionen) klicken und auf deine Daten untersuchen.
Wähle bitte zuerst die Laufwerkssymbole aus die deiner Partitionsgröße und Dateisystem entsprechen.
Da kannst du auch wenn im rechten Fenster mehrere angezeigt werden wechseln indem du in Restorer2000 im Menü oben ganz links auf das Laufwerkssysmbol klickst.
Dann kommst du wieder zurück und kannst im rechten Fenster das nächste Laufwerkssymbol zum untersuchen auf Daten auswählen.

Viele Grüße

Fiona

 

[Moriarty]

Hi Fiona,

vielen Dank erstmal für Deine Antwort und Deinen Vorschlag. Diesen habe ich natürlich ausgeführt. Der Sektorscan wurde auch wie beschrieben durchgeführt und verschidene Partitionen angezeigt. Diese konnte ich auch öffnen und fand auch meine Dateien wieder, jedoch wie zuvor alle mit der Dateigröße 0. Was mir aufgefallen ist, dass es mehrere Partitionen gab, wo meine Daten enthalten waren. Weiß nicht womit das zu tun hat, aber leider konnte ich so meine Daten nicht wieder herstellen.

Hast Du vielleicht noch eine Idee???

Vielen Dank schon mal

Grüße Florian

 

[Fiona]

Überprüfe mal ob sich die Zugriffsrechte auch für das Laufwerk geändert haben.
Kann bei einem Virus vielleicht passieren.
Melde dich notfalls mal im abgesicherten Modus als Admin an und versuche dort zu scannen.
Überprüfe auchmal ob die Haken bei Zulassen bei den Dateien alle gesetzt sind.
Infos dazu mal hier;
https://www.computerbase.de/forum/threads/dynamisch-in-basis-konvertieren.135480/#post-1865248

Kannst du dir mal anschauen.

V iele Grüße

Fiona

 

[Moriarty]

Hi Fiona,

leider brachte das Umstellen der Benutzerrechte keinen Erfolg. Ich sollte vielleicht erwähnen, dass ich nach dem Virusbefall und dessen Beseitigung Windows erneut instaliert habe, da auch die Systemdateien auf Null gesetzt wurden und dementsprechend das System nicht mehr hochfuhr. Meine Daten befinden sich jedoch auf anderen Partitionen bzw. Laufwerken.
Desweiteren ist mir aufgefallen, dass scheinbar alle Dateien die nach dem Virusbefall ausgeführt wurden, also liefen als die Virusattake ausgeführt wurde, nicht beeinflusst sind und die normale Dateigröße aufweisen. Weshalb ein genereller Fehler in der Dateistruktur wohl ausgeschlossen werden kann, oder?

Ich habe auch versucht im abgesichten Modus einen Scan laufen zu lassen (wie vorgeschlagen), jedoch erhielt ich beim Start der Modi mit und ohne Netzwerkkomponten einen Bluescreen. Der Normale Modus funktioniert jedoch einwandfrei. Da ich jedoch nach der Rettung der Daten eine komplette saubere Neuinstalation planen, stört mich dies nicht wirklich. Wollte es nur erwähnen, falls es für Dich ein Hinweis ist zum Lösen meines Datenproblems.

Vielen Dank noch mal und ich hoffe Du hast noch Ideen zum Lösen meines Problems...

Grüße Moriarty

 

[Durst]

Hi all,
hatte ein ähnliches Problem:
Der Rechner fror ein und nach strg-alt-entf zeigte er nur den Auswahlmodus -Abgesichert, letzte funktionierende Version u.s.w....
Keiner der Modi funktionierte. Das Windows Startfenster erschien, eine 10tel Sekunde ein Bluescreen (zu kurz um was zu lesen) und der Rechner startete neu.

Nach einigem Hin und Her habe ich raus bekommen das unter c:\ nur noch eine "RAW-Datei" existierte. Über die Windows-Recovery-Console habe ich dann Checkdisk laufen lassen, der erst keinen Fehler finden konnte. chkdsk /p hat dann doch eine Überprüfung durchgeführt und angezeigt das er was repariert hat. (vorher funktionierte nicht mahl c:\dir)
Siehe da, der "dirctory-Befehl" zeigte unter c:\ tatsächlich etwas an. Das Meiste zwar mit 0 byte aber immerhin.
Neustart - Auswahlmenü - Letzte funktionierende Version...zittern...warten und peng, Windows XP Home war auferstanden.
Nichts fehlt und er läuft wie immer.
Was genau das Problem verursacht hat ist mir noch nicht ganz klar. Ich schätze ein Virus hatte die Tentakeln im Spiel. Das letzte was ich auf dem Rechner laufen hatte waren mp3´s im VLC Player.
Vielleicht hilft euch das ja weiter.
Grüsse, Ralph.