Trojaner-Board - Festplattenplatz schwindet unerklärlich

Hätte mich auch gewundert. :D

"&nbsp" ist vereinfacht gesagt ein Leerzeichen. Das sollte im Text gar nicht so dargestellt auftauchen.
Ich vermute mal es handelt sich dabei um ne Formatfrage...

Passiert das auch wenn du den Text abkopierst und in ne Textdatei einführst: (dann als irgendwas.bat abspeichern und ausführen. ;))
Code:
@echo off
 

REM Version 2008.03.12
 

REM
 

REM Die Grundlage für diese Batchdatei wurde von Haui45 geschaffen.
 

REM Ein Dankeschön an Cidre und KarlKarl für ihre Verbesserungsvorschläge.
 

REM Danke auch an undoreal, cad, ordell1234 sowie alle ungenannten,
 

REM freiwilligen sowie unfreiwilligen Tester.
 
 
 

REM Diese Batchdatei wurde von Mitgliedern des Sicherheitsforums www.trojaner-board.de erstellt.
 

REM Die Datei kann jederzeit für nicht-kommerzielle Zwecke heruntergeladen und verwendet werden.
 

REM Die Bereitstellung gegen Entgelt sowie die Verwendung des Codes in nicht-freier Software sind
 

REM nicht gestattet.
 

REM 
 

REM Marc Manske, April 2007
 
 
 
 
 

REM *********************************************************************************
 

REM 0. Macht die Arbeit etwas einfacher
 

REM *********************************************************************************
 

REM
 

REM Die Startzeit wird übergeben
 

REM %LOG% erleichtert das Tippen und verbessert den Überblick
 

REM Der Batch kann ein Paramter übermittel werden, der bestimmt wie die Ausgabe aussieht:
 

REM 1: Anzeige aller Scans
 

REM 2: Anzeige mit Datum und Zeit in jeder Zeile
 

REM 3: Anzeige aller scans mit Datum und Zeit in jeder Zeile
 

REM Der Paramter wird an %MODUS& übergeben.
 

:INITIAL
 

set TIMESTART=%TIME%
 

set wd=%systemdrive%\escan
 

set LOG=^>^> "%wd%\bases_x\eScan_neu.txt"
 

set MODUS=%1
 

set linecnt=1
 
 
 
 
 

REM *********************************************************************************
 

REM 1. Hier wird ermittelt, ob eine NT-Variante vorliegt.
 

REM *********************************************************************************
 

REM
 

REM Es wird lediglich überprüft, ob eine NT-Variante vorliegt.
 
 
 

REM Die Umgebungsvariable %OS% abgefragt.
 

:OS
 
 
 

cls
 

echo.
 

echo.
 

echo [XX______________________]
 

echo.
 

echo Checking OS ...
 
 
 

    IF "%OS%"=="Windows_NT" goto srchwd
 

    IF "%OS%"=="" goto wrngos
 
 
 

REM *********************************************************************************
 

REM 2. Verarbeitung des Scanreports
 

REM *********************************************************************************
 
 
 

REM 2.0.1 Log-Datei (mwav.log) wird gesucht    
 

REM Zuerst wird geprueft, ob das Arbeitsverzeichnis bereits existiert. Falls nicht, wird es erstellt.
 

REM Ist bereits eine Kopie im Arbeitsverzeichnis (z.B. von einem vorherigen Durchlauf), 
 

REM wird diese umbenannt.
 
 
 

:srchwd
 

    %systemdrive%
 

    cd\
 

    dir /A %systemdrive% | findstr /i "escan"
 

    if %errorlevel% equ 0 goto srchlog 
 

    mkdir %wd%\bases_x
 

    goto cp2wd
 

    :srchlog
 

    dir %wd%\bases_x | findstr /i "mwav.log"
 

    if %errorlevel% equ 1 goto cp2wd
 

    ren %wd%\bases_x\mwav.log "mwav-%date%_%time:~0,2%-%time:~3,2%-%time:~6,2%.log"
 
 
 

REM 2.0.1 Scanreport (mwav.log) wird gesucht und in das Arbeitsverzeichnis kopiert.
 

:cp2wd
 
 
 

cls
 

echo.
 

echo.
 

echo [XXXX____________________]
 

echo.
 

echo Copying mwav.log ...
 
 
 

    dir /s /b %temp%\mwav.log > %wd%\bases_x\tmp.log
 

    set /P FILE=<%wd%\bases_x\tmp.log
 

    copy "%FILE%" %wd%\bases_x\
 
 
 

REM 2.0.2 Installationssprache wird ermittelt
 

REM In HKCR\eut wird der Wert von "Language" abgefragt und %eLang% zugewiesen. 
 

REM Ist "Language" nicht vorhanden, ist Englisch per Default die Installationssprache. 
 

REM Liefert "Language" etwas anderes als "English" oder "German" wird abgebrochen.
 
 
 

:getlang
 
 
 

    cls
 

echo.
 

echo.
 

echo [XXXXXX__________________]
 

echo.
 

echo Determing language ...
 
 
 

reg query HKCR\eut /v "Language" > nul
 

for /f "tokens=3 skip=2" %%i in ('reg query HKCR\eut /v "Language"') do set eLang=%%i
 

    if "%eLang%"=="German" (
 

    goto germpath 
 

   &nbsp else (
 

    goto wrnglang
 

   &nbsp
 
 
 

REM *********************************************************************************
 

REM *********************************************************************************
 

REM 2.1 Deutschsprachiger Pfad
 

REM *********************************************************************************
 

REM *********************************************************************************
 

    :germpath
 
 
 

cls
 

echo.
 

echo.
 

echo [XXXXXXXX________________]
 

echo.
 

echo Cleaning log ...
 
 
 

REM Zuerst wird das Log noch ein wenig aufgeräeumt und nur der letzte Scan in eine 
 

REM neue Logdatei überführt. Die ganzen Datumsangaben werden dabei per Default abgeschnitten.
 
 
 

if "%MODUS%"=="1" goto gmode1
 

if "%MODUS%"=="2" goto gmode2
 

if "%MODUS%"=="3" goto gmode3
 
 
 

for /f "delims=- tokens=1*" %%i in ('findstr /v /c:"wird gescannt" %wd%\bases_x\mwav.log ^|findstr ^[0-3]') do (echo%%j >> %wd%\bases_x\mwav_clean.log)
 

for /f "delims=: tokens=1" %%i in ('findstr /n "Antispywarewerkzeugsatz" %wd%\bases_x\mwav_clean.log') do set linecnt=%%i
 

more +%linecnt% %wd%\bases_x\mwav_clean.log > %wd%\bases_x\mwav_cut.log
 
 
 

goto gstart
 
 
 

:gmode1
 

for /f "delims=- tokens=1*" %%i in ('findstr /v /c:"wird gescannt" %wd%\bases_x\mwav.log') do (echo %%i >> %wd%\bases_x\mwav_cut.log)
 

goto gstart
 
 
 

:gmode2
 

findstr /v /c:"wird gescannt" %wd%\bases_x\mwav.log >> %wd%\bases_x\mwav_clean.log
 

for /f "delims=: tokens=1" %%i in ('findstr /n "Optionen" %wd%\bases_x\mwav_clean.log^|findstr "Benutzer"') do set linecnt=%%i
 

more +%linecnt% %wd%\bases_x\mwav_clean.log > %wd%\bases_x\mwav_cut.log
 

goto gstart
 
 
 

:gmode3
 

findstr /v /c:"wird gescannt" %wd%\bases_x\mwav.log >> %wd%\bases_x\mwav_cut.log
 
 
 

REM 2.1.1 Deutsch: Header der Reportdatei wird erstellt.
 

REM Versionsnummer der find.bat
 

REM OS-Version: per ver 
 

REM Bootmodus: Abfrage der Variable %SAFEBOOT_OPTION% (SBO)
 

REM Im normalen Modus ist SBO nicht gesetzt.
 

REM Ansonsten gibt SBO "MINIMAL" oder "NETWORK" aus.
 

REM Programmversion: wird aus HKCR\eut gelesen
 

REM Sprache: wurde bereits bestimmt (:getlang)
 

REM Virusdatenbank: Die Zeile überschreibt immer wieder den Inhalt von datum.log
 

REM Der Inhalt von datum.log (der letzte gefundene, also der aktuellste
 

REM Eintrag) wird ins Log geschrieben. 
 
 
 

:gstart
 
 
 

    cls
 

echo.
 

echo.
 

echo [XXXXXXXXXX______________]
 

echo.
 

echo Writing header ...
 
 
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ > %wd%\bases_x\eScan_neu.txt
 

    echo Header %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo find.bat Version 2008.03.07 %LOG%
 

    ver %LOG%
 

    findstr "Bootmodus:" %wd%\bases_x\mwav_cut.log %LOG%
 

    if "%errorlevel%"=="1" echo Bootmodus: Normal %LOG%
 

    echo. %LOG% 
 

    for /f "tokens=3 skip=2" %%i in ('reg query HKCR\eut /v "Version" 2^>nul') do set eVersion=%%i
 

    if not defined eVersion (for /f "tokens=1-3" %%i in ('findstr /c:"Version" %wd%\bases_x\mwav_cut.log') do set eVersion=%%i %%j)
 

    echo eScan Version: %eVersion% %LOG%
 

    echo Sprache: %eLang% %LOG%
 

    for /f "tokens=*" %%i in ('findstr "Virus-Datenbank" %wd%\bases_x\mwav_cut.log^|findstr "Datum"') do (echo %%i > %wd%\bases_x\tmp.log)
 

    more %wd%\bases_x\tmp.log %LOG%
 

    echo. %LOG%
 
 
 
 
 

REM 2.1.2 Deutsch: Infektionsmeldungen werden gesucht und in Reportdatei geschrieben.
 

REM Hierbei handelt es sich lediglich um allgemeine Meldungen ohne grossen praktischen Wert.
 

REM Wegen der unklaren Situation sind sowhl deutsche als auch englische strings enthalten. 
 

cls
 

echo.
 

echo.
 

echo [XXXXXXXXXXXX____________]
 

echo.
 

echo Reported infections ...
 
 
 

REM 2.1.3 Deutsch: Dateimeldungen werden gesucht und in Reportdatei geschrieben.
 
 
 

    cls
 

echo.
 

echo.
 

echo [XXXXXXXXXXXXXX__________]
 

echo.
 

echo Reported files ...
 
 
 

echo. %LOG%
 

echo. %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

echo Dateien %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

echo ~~~~ Infected files %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

findstr "Datei" %wd%\bases_x\mwav_cut.log | findstr /i "infiziert" %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

echo ~~~~ Tagged files %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

findstr "markiert" %wd%\bases_x\mwav_cut.log %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

echo ~~~~ Offending files %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

findstr "Offending" %wd%\bases_x\mwav_cut.log | findstr "file" %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

echo ~~~~ Spyware (Vorsicht: Oft Fehlalarm!) %LOG%
 

echo ~~~~~~~~~~~ %LOG%
 

findstr /i "Spyware infected" %wd%\bases_x\mwav_cut.log %LOG%
 
 
 

REM 2.1.4 Deutsch: Ordner werden gesucht und in Reportdatei geschrieben.
 
 
 

cls
 

echo.
 

echo.
 

echo [XXXXXXXXXXXXXXXX________]
 

echo.
 

echo Reported folders and entries ...
 
 
 

    echo ~~~~~~~~~~~ %LOG%
 

    echo Ordner %LOG%
 

    echo ~~~~~~~~~~~ %LOG%
 

    findstr "Offending" %wd%\bases_x\mwav_cut.log | findstr /i "Folder" %LOG%
 

    echo ~~~~~~~~~~~ %LOG%
 

    echo Registry %LOG%
 

    echo ~~~~~~~~~~~ %LOG%
 

    findstr "Offending" %wd%\bases_x\mwav_cut.log | findstr "Key" %LOG%
 
 
 

REM 2.1.5 Deutsch: Diverses
 

REM Meldungen über laufende Prozesse und Scanfehler
 

REM 1. Schritt: Schreiben des vbs zu den laufenden Prozessen
 

REM 2. Schritt: Einfuegen der Liste in das log
 
 
 

cls
 

echo.
 

echo.
 

echo [XXXXXXXXXXXXXXXXXX______]
 

echo.
 

echo Misc entries ...
 
 
 

echo Dim objWMIService, Proccmdline, ProcList>>%wd%\prclst.vbs
 

echo Dim strComputer, strList>>%wd%\prclst.vbs
 

echo strComputer ^= ".">>%wd%\prclst.vbs
 

echo Set objWMIService ^= GetObject("winmgmts:" ^& "{impersonationLevel=impersonate}!\\" ^& strComputer ^& "\root\cimv2")>>%wd%\prclst.vbs
 

echo Set ProcList ^= objWMIService.ExecQuery ("Select * from Win32_Process")>>%wd%\prclst.vbs
 

echo For Each Proccmdline in ProcList>>%wd%\prclst.vbs
 

echo wscript.echo Proccmdline.Name ^& " - " ^& Proccmdline.commandline>>%wd%\prclst.vbs
 

echo Next>>%wd%\prclst.vbs
 
 
 

echo. %LOG%
 

echo. %LOG%
 
 
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo Diverses %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo laufende Prozesse - commandline %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    cscript %wd%\prclst.vbs //nologo %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo Scanfehler %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    findstr /i "Error" %wd%\bases_x\mwav_cut.log %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo Hosts-Datei %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    for /f "tokens=3 skip=2" %%i in ('reg query HKLM\System\CurrentControlSet\Services\Tcpip\Parameters /v "DataBasePath"') do set hostloc=%%i
 

    echo DataBasePath: %hostloc% %LOG%
 

    echo %hostloc%\hosts|more> %wd%\bases_x\tmp.log
 

    echo Zeilen die nicht dem Standard entsprechen: %LOG%
 

    findstr /v /f:%wd%\bases_x\tmp.log "^#" 2>nul|findstr /v /c:"127.0.0.1 localhost"|findstr /v /c:"::1 localhost" %LOG% 
 
 
 

REM 2.1.6 Deutsch: Statistiken werden gesucht und in Reportdatei geschrieben.
 
 
 

cls
 

echo.
 

echo.
 

echo [XXXXXXXXXXXXXXXXXXXX____]
 

echo.
 

echo Scanning stats ...
 
 
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo Statistiken: >>%wd%\bases_x\eScan_neu.txt
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    for /f "tokens=*" %%i in ('findstr /b "Zahl Zeit" %wd%\bases_x\mwav_cut.log') do (find "%%i" %wd%\bases_x\eScan_neu.txt>nul|| echo %%i%LOG%)    
 
 
 

REM 2.1.7 Deutsch: Scan-Optionen werden gesucht und in Reportdatei geschrieben.
 
 
 

cls
 

echo.
 

echo.
 

echo [XXXXXXXXXXXXXXXXXXXXXX__]
 

echo.
 

echo Writing Options ...
 
 
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    echo Scan-Optionen %LOG%
 

    echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ %LOG%
 

    findstr /i "aktiviert" %wd%\bases_x\mwav_cut.log >> %wd%\bases_x\tmp.log
 

    for /f "tokens=*" %%i in ('findstr /i "aktiviert" %wd%\bases_x\tmp.log') do (find "%%i" %wd%\bases_x\eScan_neu.txt>nul|| echo %%i%LOG%)
 
 
 
 
 

REM *********************************************************************************
 

REM *********************************************************************************
 

REM 3. Abschluss 
 

REM *********************************************************************************
 

REM *********************************************************************************
 
 
 

REM 3.1 Abschluss: Temporäre Dateien werden gelöscht.
 

:end
 

    cls
 

echo.
 

echo.
 

echo [XXXXXXXXXXXXXXXXXXXXXXXX]
 

echo.
 

echo Cleaning up ...
 
 
 
 
 

del %wd%\bases_x\tmp.log
 

del %wd%\bases_x\mwav_clean.log
 

del %wd%\bases_x\mwav_cut.log
 

del %wd%\prclst*
 

echo. %LOG%
 

echo Batchstart: %TIMESTART% %LOG%
 

echo Batchende: %TIME% %LOG%
 
 
 
 
 

REM 3.2 Abschluss: Status wird angezeigt
 

cls
 

    echo.
 

    echo.
 

    echo Auswertung beendet.
 

    echo Dieses Fenster schliesst, sobald Notepad geschlossen wird.
 
 
 

REM 3.3 Abschluss: Reportdatei wird geöffnet und Batch beendet
 

    start notepad %wd%\bases_x\eScan_neu.txt 
 

    exit
 
 
 

REM 4.1 Abbruch: Falsches Betriebssystem
 

:wrngos
 

cls
 

    color 04
 

    echo.
 

    echo Ihre Windowsversion wird nicht unterstützt.
 

    echo Die Stapelverarbeitung wird abgegbrochen.
 

    echo.
 

    pause
 

    exit
 
 
 

REM 4.2 Abbruch: falsche Installationssprache
 

:wrnglang
 

cls
 

color 04
 

    echo.
 

    echo Fehler bei der Ermittlung der Installationssprache!
 

    echo. 
 

    echo Diese Batchdatei kann nur Logdateien in deutscher Sprache 
 

    echo auswerten. Sie haben bei der Installation %eLang% als Sprache gewaehlt. 
 

    echo.
 

    echo In der FAQ-Sektion von www.trojaner-board.de finden Sie eine Anleitung um
 

    echo die Sprache bei eScan zu ändern.
 

    echo.
 

    echo Die Stapelverarbeitung wird abgebrochen.
 

    echo.
 

pause
 

exit
Ansonsten meld ich mich deswegen heute abend nochmal.

lg myrtille