Hilfe Virus hat alle Daten gelöscht
 

Guten Morgen
brauche dringend Hilfe, da mein Win xp nicht mehr richtig lief habe ich meine letzte Datensicherung (Actronis Backup) neu aufgespielt. Und als ich ins Internet wollte kam eine Virenwahrnung beim entfernen Entfernung boote der PC neu. Windows lies sich nicht mehr starten.
über F8 letzte bekannte funktionsfähige Version gestarrtet und alles weg.
Nun habe ich auf einer alten Platte Windows und Anti-Virus Profi-Paket 2009 installiert
Wie kann ich meine verseuchte Platte (2 Partitionen) durchsuchen um meine Daten zu retten ohne mir den Virus wieder einzufangen.
insbesonder das Actronis Verzeichniss wo der Großteil meiner Daten gesichert ist, denn vermutlich ist dort der Virus mit gesichert.


Bitte Bitte helft mir

Hi carina

:hallo:

Ist natürlich echt ziemlich dämlich, dass dein Image verseucht ist.

Läuft der Rechner jetzt? Deine Angaben sind nicht so leicht zu durchblicken...

Wo sind die Daten die du brauchst?

Ich fasse nocheinmal zusammen damit ich nichts falsch verstehe:

Du hast momentan auf einer zweiten Festplatte Windows installiert und betreibst deinen Rechner damit.
Auf der anderen (ehemaligen Festplatte) war dein altes Windows System was durch den Virus zerschossen wurde. Auf dieser Platte befindet sich auch das Image in welchem die Daten gespeichert sind die du benötigst.
Wie wichtig sind diese Daten? Wenn sie von absoluter Bedeutung für dich sind solltest du die Platte zu einem Computer Forensiker geben. Grade wenn es sich um geschäftliche Daten handelt. Evtl. solltest du auch den Acronis Support benachrichtigen. Evlt. können die auch aus dem Image die wichtigen Daten herauspulen ohne die Systemdateien und damit auch den Virus zu rekonstruieren.
Das können wir leider nicht da wir keinen Zugriff auf das Image haben.
Unsere Möglichkeiten umfassen lediglich, dass du das Image auf der ersten Platte zurückspielst und wir versuchen die Infektion von der zweiten Platte aus (mit funktionieredem Windows) soweit zu bekämpfen, dass du deine Daten sichern kannst um das Image dann hinterher zu vernichten.

Hi undoreal
Du hast es richtig verstanden.
Momentan habe ich eine saubere Platte in meinem Rechner.
Die Verseuchte Platte sieht wie folgt aus Partition C: Betriebsystem, Programme und ca. 20 Gig Daten. Partion D: Actronis Backup
Wenn ich dich richtig verstanden habe soll ich auf der verseuchten Platte nochmals mein Backup aufspielen und dann wie bei euch in der Anleitung beschrieben einen Logfile erstellen. In der Hoffnung das Ihr mir dann helfen könnt.
Darf ich mich Morgen nochmals Melden muß zur Arbeit
Vielen Dank im Vorraus
Carina

O.k.

läuft das Betriebssystem der verseuchten Platte? Also kannst du dort Windows starten?

Ja
Wenn ich im abgesicherten Modus hochfahre und dann neu boote fährt Win normal hoch.Und es sieht aus wie nach einer neu Instalation nur das ich nichts machen kann , eingeschränkter Zugriffsmöglichkeiten/ keine Berechtigung

Als erste Hilfe führe bitte folgendes durch:

DrWeb:

http://www.freedrweb.com/livecd/



Kaspersky:

Downloade die Iso Datei von hier: http://dnl-eu10.kaspersky-labs.com/d...ds/RescueDisk/
Brenne die Iso Datei mit einem Brennprogramm deiner Wahl. Kostenlos und gut ist zum Beispiel der CdBurnerXP
Einfach die iso Datei als Daten-CD auf einen leeren Rohling brennen.
Lege die Cd ins Laufwerk ein und starte den Rechner neu. Er sollte nun von der CD booten und das Mini-Betriebssystem starten. Wenn der Rechner nicht von der CD bootet sondern ganz normal Windows startet musst du im BIOS den boot device ändern.(Google Hilft ;) )
Kasperksy09 wird bereits gestartet sein. Klicke auf Update -> Update starten und warte bis die Aufgabe beendet wurde und die Siganturen aktuell sind.
Setze unter Settings -> Scan: den Haken bei All Archives.
Wähle unter Settings -> Threads and Exclusions -> Settings: alle Bedrohungen aus. Einen Haken musst du selber für "other Programms" setzen.
Wähle dann im Hauptfenster alle deine Festplatten sowie die Laufwerksbootsektoren aus (einfach alles auswählen!) und starte den Scan.
Ist der Scan beendet rufe das log auf und speichere es.

Du kannst über die Kaspersky CD deine Daten sichern. Dafür benötigst du einen großen USB-Stick oder am besten eine Externe Festplatte.
Öffne nach dem Kasperksy Scan über den Start-Button den "Explorer". Dort siehst du deine verbauten Festplatten und die Daten darauf. Kopiere was du brauchst auf das externe Speichermedium. Tue dies aber unbedingt unter folgenden Vorraussetzungen:

a) Die Datei darf nicht ausführbar sein. Das heisst sie darf keine der hier aufgeführte Dateiendung haben. Beachte bitte, dass einige Schädlinge ihre Dateiendung tarnen. Abhilfe schafft hier eine vernünftige Ordneransicht.

b) Jede Datei sollte, bevor sie wieder auf den frischen Rechner gelangt mit MWAV/eScan durchsucht werden.

c) Auch wenn du die Punkte a) und b) ganz genau einhältst sind die Dateien nicht vertrauenswürdig!!
Schädlinge können auch nicht-ausführbare Dateien wie .mp3 .doc usw. infizieren!! Und MWAV sowie andere AV-Scanner findet nur einen Bruchteil aller infizierten Dateien![/indent]
Vermeide es also einfach ganze Ordner zu kopieren weil du ja nicht weisst was für Dateien dort drinn sind! Markiere die Dateien einzelnd!


Panda:

http://acs.pandasoftware.com/soporte...safedisk32.zip

Wie oben beschrieben brennen, einlegen und starten. Panda durchlaufen lassen. Das logfile entweder auf Diskette speichern und dann hier posten oder den kompletten Bericht abschreiben und hier posten. Die kompletten Dateipfade und Schädlingsnamen sind sehr wichtig!

Hi erstmal. Vllt wars eine Fehlmeldung und du hast was von Windows gelöscht?

Hallo danke für eure Antworten
Leider kann ich mich erst jetzt wieder um meinen PC kümmern
über den link DrWeb kann ich den FreeDownload nicht laden , welche Ordner muß von ftp://ftp.drweb.com/pub/drweb/livecd herunterladen.

Hier mein Lofile mit hijackthis
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:06:29, on 04.04.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: G DATA WebFilter Class - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Programme\Anti-Virus Profi-Paket\Webfilter\AVKWebIE.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn1\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Alcohol Toolbar Helper - {8126A4A5-BFD3-46FE-BBDF-BFB5CF78E489} - C:\Programme\Alcohol Toolbar\v3.1.0.0\Alcohol_Toolbar.dll
O2 - BHO: (no name) - {A82FD923-0F7F-4430-A773-FA0260D0337A} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\4.1.805.4472\swg.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn1\yt.dll
O3 - Toolbar: Alcohol Toolbar - {ED4BD629-C1B6-4399-8A34-02CCAA921DC9} - C:\Programme\Alcohol Toolbar\v3.1.0.0\Alcohol_Toolbar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: G DATA WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Programme\Anti-Virus Profi-Paket\Webfilter\AVKWebIE.dll
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Default user')
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262E} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/3.0.0.0/srl_bin/sysreqlab3.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7CF6F2FC-D477-43F8-A819-319924A7DD96}: NameServer = 62.xxx weis nicht ob das meine
O17 - HKLM\System\CS1\Services\Tcpip\..\{7CF6F2FC-D477-43F8-A819-319924A7DD96}: NameServer = 62.persönlichen daten sind
O17 - HKLM\System\CS2\Services\Tcpip\..\{7CF6F2FC-D477-43F8-A819-319924A7DD96}: NameServer = 62.diese 4 Zeilen haben alle
O17 - HKLM\System\CS3\Services\Tcpip\..\{7CF6F2FC-D477-43F8-A819-319924A7DD96}: NameServer = 62.den gleichen NameServer
O20 - AppInit_DLLs: acaptuser32.dll

--
End of file - 5234 bytes

Das verstehe ich jetzt nicht so ganz.

Wenn da irgendwass nicht klappt mache mit Kaspersky weiter. Über die Live CD kannst du die Daten sichern die du brauchst und dann neuaufsetzen.

Hi,

das ist alles? Da fehlen diverse wesentliche Systemprozesse, sind ja fast nur noch BHOs und Toolbars übrig, da hat ja jemand richtig heftig drin rumgerührt. Ich wag mal die Prognose, dass Du mit einer richtigen Neuinstallation wesentlich schneller zu einem wieder gut funktionierenden Rechner kommst. So wie ich meine verstanden zu haben, hast du das bereits gemacht auf der anderen Platte. Also von dort aus die noch benötigten Daten (aber bitte wirklich nur reine Daten) sichern und dann die erste Platte (die mit dem kaputten Windows) formatieren.

Karl

Hallo
Danke für Eure Hilfe bin dabei über die Kaspersky Cd meine Daten zu retten
180 GB dauern.
Vielen Dank hoffe dass ich den Virus mir nicht wieder einfange
MfG
Carina

Beachte die Kriterien die ich dir genannte habe dann sollte das kein Problem sein.