Hallo,

nachdem ich mir einen Trojaner eingefangen habe, habe ich beschlossen, eine Backupplatte (8 Monate alter Clone der frisch befallenen) einzusetzen und die befallene System-SSD abzustöpseln.

Mittlerweile habe ich das System wieder fast so rekonstruiert, wie es heute morgen war.

Nun bleiben ein paar Fragen offen:

1.) Die befallene SSD würde ich gerne mit Samsung DataMigration komplett platt machen und die aktuelle, schädlingsfreie Platte auf diese klonen. Wenn ich die befallene Platte unter Windows 10 anschließe, besteht dann Gefahr, dass diese die saubere Systemplatte infiziert.

2.) Leider habe ich meine Backups nicht gepflegt, sodass mir im Grafikprogramm Ligthroom 8 Monate "Katalog" fehlen. Wenn ich die befallene SSD wieder an den Rechner hänge (die cleane vorher rausnehme), kann ich dann die Katalogdateien sichern und später auf die cleane Platte aufspielen, ohne dass diese befallen wird?

3.) Im System hängt noch eine reine Datenplatte (Fotos und Dokumente). Kann diese theoretisch auch vom Trojaner befallen sein - eventuell sogar die Dropbox?

Vielen Dank für eure Antworten

Man braucht keine dicken extra Tools um Platten zu löschen. Das geht mit einem Windows-Bordmittel namens DISKPART

und ja die Gefahr besteht - deswegen kopiere ich von verseuchten Windowsplatten nur Dateien über ein Linux, das ist immun gegen Windowsschädlinge, und dann werden auch nur ungefährliche Datendateien übernommen - wenn du aber Pech hast wurden alle Daten verschlüsselt, deswegen ist das schon mal gut, dass du das System sofort ausgeschaltet hast.

Danke für die prompte Antwort.

Ich würde die aktualisierte SSD gerne auf die befallen klonen (als Backup für weitere SSD-Infekte oder Crashes) mit einem speziellen Tool von Samsung. Besteht hierbei die Gefahr, wenn ich die befallene SSD mit Bootpartition an einen USB-3.0-Anschluss via Sata-USB-Adapter hänge und die saubere SSD auf die infizierte klone, dass letztere ebenfalls infiziert wird.
Nach meinen Verständnis wird ja die befallene SSD komplett überschrieben und der Trojaner kann vermutlich (!?) nicht beim Anstöpseln der SSD via USB 3.0 aufs laufende System migrieren. Oder sehe ich das falsch?

Ein Schritt nach dem anderen. Du willst doch erstmal noch Daten retten.

Cosinus, mittlerweile habe ich die Datenrettung verworfen. Meine Office-Dateien sichere ich wöchentlich, die Bilddateien liegen auf einer anderen HDD im Rechner (kann diese auch infiziert werden, wenn dort nur Bilddateien liegen)? Einzig der Lightroom-Katalog wäre interessant zu retten, allerdings kann ich auch ohne die letzten 10 Monate Lightroom-Katalog leben und würde mein Archiv ab 01/2019 neu aufbauen.

Daher die Frage: Kann ich die infizierte SSD unbedenklich an den USB-3.0 Port hängen (sie wird nicht gebootet) und mit Samsung Magician auf dieser Platte einen Klon meiner aktuell genutzten virenfreien Backupplatte machen? Ich vermute, dass Magician ausschließlich formatiert und dann klont und die Schadsoftware vermutlich ?? nicht direkt über den USB 3.0-Port auf den zu klonenden Rechner wandert. Oder sollte ich hier vorsichtig sein. Einen Linuxrechner habe ich leider nicht in meinem Umfeld.

Die Frage war zwar an cosinus gerichtet, aber Deine Bilddateien können natürlich auch auf einer anderen HDD im Rechner verschlüsselt werden.
edit: Vergiss es, es geht Dir ja um einen normalen Virus, nicht um die Gefahr der Verschlüsselung. Sorry fürs "Einmischen".

Crox, ich hab dir doch erzählt was ich machen will und offensichtlich willst du 100% Sicherheit. Also lass es sein. Schließe die Platte an einem Linuxrechner an und mach sie platt. Danach kannst du gefahrlos das machen was du willst.

Zitat von Crox11

Einen Linuxrechner habe ich leider nicht in meinem Umfeld.

Doch, hast du. Jeder Rechner kann mit einer Linux DVD / USB-Stick gestartet werden.

Wollte ich auch gerade schreiben. Mach Dir doch einfach einen USB-Stick mit Linux Mint z.B.

Habe mir eine Linux DVD mit Linux Cinnamon gebastelt. Läuft. Kann ich damit noch Dateien auf dem befallenen Laufwerk retten? Gibt es für Linux auch Virenscanner, die man auf die Linux-ISO bekommt und damit die befallene SSD checken kann? Wie würde ihr vorgehen? Im Notfall mache ich sie auch mit dem Format-Befehl platt. Muss ich dabei etwas beachten, d.h. muss die 1 TB SSD speziell für Windows formatiert werden?

Du musst sie NTFS formatieren, nicht ext3/4. Was den Virenscanner angeht fällt mir auf die Schnelle kostenlos nur Clam-AV ein, aber der erkennt längst nicht alle Windows-Viren.
Daten retten kannst Du damit natürlich, das war ja Sinn der Sache. Nur nix Ausführbares, also keine EXE etc.

Rückmeldung:

Habe die Platte unter Linux Cinnamon ausgelesen und die Lightroom-Katalogdatei auf einen USB-Stick gezogen, danach Platte unter Linux Cinnamon formatiert. Scheint aber nur Schnellformatierung in Linux möglich zu sein, denn nach wenigen Sekunden war die Formatierung fertig.

Danach habe ich Windows 10 wieder gebootet und es gewagt, die formatierte, ehemals verseuchte Platte via USB 3.0 anzuschließen und auf ihr das aktuelle Betriebssystem zu klonen. Klonprozess klappte im ersten Anlauf nicht, was aber am Virenscanner gelegen haben könnte. Im zweiten Anlauf lief es dann.

Nun schreibe ich wieder von dem Klon der sauberen Platte, also auf der ehemals verseuchten Platte. Hoffe, so alles richtig gemacht zu haben. Virenscan läuft, bisher nichts gefunden. Von einer schnellformatierten Platte kann wohl kein Virus auf Windows gelangt sein.

Nun zur Frage: Den Lightroom-Katalog habe ich auf einen USB-Stick gepackt, den ich selten verwenden. Bisher habe ich ihn noch nicht an das saubere Windows angeschlossen. Was meint ihr, kann ich es wagen, den Stick anzuhängen, ihn mit GDATA zu scannen und dann den Lightroom-Katalog ins System zu übernehmen? Normalerweise dürfte eine LR-Katalogdatei nicht Ziel von Viren sein. Das wäre der letzte Schritt, um wieder auf dem Datenstand von vor ein paar Tagen zu sein. Ausschließlich Mails hätte ich durch den Schadsoftwarebefall verloren.

Dennoch bleibt ein mulmiges Gefühl, da ich noch nie einen Schadsoftwarebefall hatte. Es war schon beängstigend, als GDATA mir meldete, dass ein Keylogger aktiv sei. Kann ein Keylogger eigentlich die Firefox-Passwort-Datenbank abrufen und ins Netz senden? Das wäre meine nächste große Sorge. Sie ist zwar durch ein Master-PW geschützt, aber ...

Schmeiß GDATA und jeden anderen Virenscanner weg. Das ist nur noch Müll. Die wollen mit aller Gewalt Angst und Panik schüren damit man ja immer schön Kohle raushaut für diese Virenscanner.

Belass es beim Windows Defender und fertig.

@ Cosinus: Mache ich. Kannst du noch bitte auf meine Frage oben antworten (USB-Stick). Und kann nach Klonen der Platte noch der MBR infiziert sein oder wird der MBR beim Klonen einer Windows-Partition komplett überschrieben?