Wart nur ab, bald wirst du wieder in der Finsternis des winterlichen Nordens verschwinden.

Meinem Jahrgang macht das zum Glück nichts aus

Das hat mit Jahrgang wohl weniger zu tun in deinem Fall, vor der Glotze (Computer) ist es wohl egal, ob es draußen hell ist oder nicht, Hauptsache in deinem Glas etwas Helles.
Außerdem mag es bei euch da oben vielleicht sogar schöner sein, wenn's dunkel ist, da sieht man weniger.

wenn's dunkel ist, da sieht man weniger.

Also auf deine Erklärung warum das genau so sein soll bin ich jetzt aber mal gespannt

Wie ich bereits in meiner Anleitung beschrieben habe, ermöglichen Datenwiederherstellungstools das Auffinden von gelöschten Dateien im freien Speicher von Datenträgern. Die Tools nutzen unter anderem die Eigenschaft, dass die einmal geschriebenen Daten nicht gelöscht, sondern einfach die entsprechenden Einträge aus dem "Inhaltsverzeichnis" des Dateisystems entfernt werden. Der Speicher dieser Daten ist dann wieder frei und kann überschrieben werden. Erst ein solches Überschreiben löscht die Daten wirklich.


Macht euch also einige Gedanken darüber, wo ihr eure Daten irgendwann einmal zwischengespeichert hattet.

Bei Fotos ist es sehr naheliegend, dass noch einige davon auf den Speicherkarten der Kamera(s) zu finden sein werden, obwohl sie vielleicht schon längst auf den PC verschoben wurden und nun nicht mehr auf der Karte selbst angezeigt werden. Genauso gut könnten auf USB-Sticks, externen Festplatten oder Mobil-Geräten noch einige Dokumente oder Fotos zu finden sein, die dort (kurzzeitig) zwischengespeichert waren.

Denkt also gut nach, ob ihr nicht doch einmal die Fotos auf einen USB-Stick kopiert habt, um sie einem (Arbeits-)Kollegen oder der Familie zu zeigen.

lg c4enigma

Überprüfung, ob eine 12 KB Verschlüsselungstrojaner-Variante vorliegt

Ladet euch die Batch-Datei "Vergleich.bat" im Anhang dieses Beitrags herunter und speichert sie z.B. auf dem Desktop.

Markiert eine verschlüsselte Datei und die dazugehörige Originaldatei im gleichen Ordner. (Diese Dateien müssen grösser als die 12 KB sein, also z.B. Bilddateien.) Nachdem ihr die beiden Dateien auf die Batch-Datei gezogen habt, öffnet sich ein Kommandozeilenfenster und die beiden Dateien werden verglichen. Nach der Ausführung ist im gleichen Ordner wie die Batch-Datei eine Textdatei "Vergleich.txt" zu finden. (Falls eine Datei mit diesem Namen schon existiert, bricht das Programm ab!)

Wenn ihr diese Textdatei öffnet (kann ein bisschen dauern), dann steht in der letzten Zeile des Vergleichs z.B. "00002FFF: DC 3A"

Steht dort wie im Beispiel ein 00002FFF (hexadezimale Zahl für 12287), dann handelt es sich um eine Variante des 12 KB-Verschlüsselungstrojaners.

Falls dort eine kleinere Zahl steht und die Vergleichsdateien definitiv grösser als 12 KB waren, dann schickt mir eine private Nachricht.

Falls die beiden verglichenen Dateien ganz verschieden sind, d.h. anstelle der 2FFF steht eine noch grössere Zahl dort, dann gehören die verglichenen Dateien entweder nicht zusammen oder es handelte sich bei euch um einen ganz anderen Trojaner.

In diesem Fall hilft höchstens mein Tipp zu den Datenwiederherstellungstools aus meinem vorherigen Beitrag oder der ShadowExplorer (für Windows 7, Vista und XP)

lg c4enigma

Die Vergleich.txt wurde bei meinem XP Computer im c:\dokumente einstellungen\#Profilname#\vergleich.txt gespeichert

und nicht beim Ordner Test auf dem Desktop.

(meine zwei Vergleichsdateien sind 2FFFler)

Gibt es die Möglichkeit frep mit Parameter aufzurufen? Ich habe dutzende Ordner deren Inhalt ich wiederherstellen möchte. Wenn ich für jeden Ordner frep jedes mal neustarten und immer alles eingeben muss, artet das in extrem nerviger Arbeit aus.

Gibt es eine Möglichkeit auch rekursiv zu arbeiten?

Ich habe das Programm nun so umgeschrieben, dass du es mit Parametern aufrufen kannst.

Die Reihenfolge der Parameter ist folgende:
Ersetzung von|Ersetzung bis|Muster von|Bytemuster|Ordner

Beispiel anhand einer Batch-Datei (Windows Kommandozeilen-Code):

@echo off
frep.exe 1 12288 1000000 0 "C:\Pfad\mit oder ohne Leerzeichen\"
pause
         

Um rekursiv zu arbeiten kannst du entweder für jeden Ordner eine Zeile wie "frep.exe ..." einfügen oder über die Batch-Datei oder mit einem VBScript alle Ordner auslesen und frep mit den richtigen Parametern starten.

Wichtig: Starte das Script im gleichen Ordner wie frep, denn sonst findet frep den relativen Pfad ".\Referenz-Dateien" evtl. nicht.

Mega-Gut

Ich danke dir