\\?\globalroot\systemroot\system32\... infos nötig

goorooj

ok, aber dass der unc-pfad \\?\ für den localhost benutzt ist mir neu.

die meldung ""Get-ChildItem : Paths that begin with \\?\GlobalRoot are internal to the kernel and should not be opened by managed applications."" lässt eigentlich schon tief blicken, dass windows sich hier schon wieder eine extrawurst gebacken hat, andererseits erklärt es warum ich von einer oberfläche mit diesem pfad nix anfangen kann.

soweit ich das jetzt verstanden habe verteilt es sich nicht selbsttätig ( zumindest ist kein exploit bekannt über den es sich zugang und rootrechte auf einer entfernten maschine verschaffen kann ), es kann sich nur mit rootrechten installieren ( sofern es keinen exploit nutzt ) und eine entsprechende applikation mit der dieser virus installiert wurde, kann im internet-cache oder auf dem share offensichtlich von antivir ( sowohl windows- als auch linuxversion ) nicht erkannt werden, ergo ist es am wahrscheinlichsten dass ein user mit adminrechten sich den im netz eingefangen hat als der virenscanner noch kein entsprechendes update hatte und sich das rootkit, erst mal installiert, so gut tarnen kann dass der antivir es nicht findet...

danke, das hilft mir jetzt erstmal weiter das zu verstehen.

aber einfacher wirds auch nicht.
ich kann nicht allen usern die rootrechte entziehen, es sind entwickler mit notebooks die sich allen möglichen kram installieren und die auch teilweise über die halbe erdkugel weit entfernt sind und deswegen nicht wirklich oft ins büro kommen...
ich kann auch die .net umgebung deswegen nicht zudrehen, selbst falls das möglich sein sollte, die entwickeln damit.
sieht aus als müsste ich mir irgendwas anderes einfallen lassen, aber im moment bin ich etwas ratlos was ich mit den windowskisten anstellen soll.

vielleicht rudimentäres linux mit virtualbox ( also quasi ein kleines pendant zu einem esx-server, das die virtuellen chiperweiterungen nicht braucht ), die windowsumgebung in der box laufen lassen und ständig per snapshot sichern?
aber ob das dann so funzt... muss mal testen. wäre die einfachste möglichkeit für den ernstfall das kit zu entfernen ( einfach gesicherten snapshot einspielen und das kit ist weg ), braucht aber natürlich ressourcen und die frage ist ob dann die ganzen vpn-geschichten so funktionieren. ob z.B. cad-grafik dann noch hinhaut ist auch eine andere frage.
sieht auf jeden fall so aus als ob hier die üblichen standardmethoden nicht mehr greifen.