Ich könnte nochmal etwas Unterstützung durch euch gebrauchen, nachdem mir cosinus und andere hier schon mal sehr behilflich waren.

Situation: Im Lauf der Jahre hatte ich einen reichlichen Verschleiß an Rechnern und Laptops, die teilweise nur kurzzeitig im Einsatz und garantiert auch nicht alle sauber waren. Datensicherung lief früher auch ziemlich chaotisch (verstreut auf verschiedene DVDs und Platten) bzw. fand gar nicht statt. Resultat dessen ist, dass hier unzählige alte Datenträger herumfliegen, auf denen sich zu 90% Schrott, dazwischen aber auch viele Schätze und fast vergessene persönliche Fundstücke befinden, teilweise auch auf Systempartitionen. Das alles feinsäuberlich voneinander zu trennen, wäre ein enormer Aufwand, für den ich aktuell zu wenig Zeit habe. Ich will aber zumindest mal diesen Berg von HDDs los sein.

Von daher habe ich mir jetzt einfach mal mehrere externe Platten mit jeweils mehreren TB Volumen zugelegt, um alles, was sich im Lauf der Zeit so angesammelt hat, erstmal wahllos dort zu sichern. Sortieren kann ich dann später. Zudem reicht ja meist schon die Suchfunktion. Von daher erstmal alles zusammengeschmissen, nur natürlich will ich nicht riskieren, mein aktuelles System zu infizieren.

Ich gehe dabei wie folgt vor:

1. Sämtliche Daten auf den neuen, deutlich größeren HDDs zusammenpacken, die ganze Kopiererei etc. sicherheitshalber unter Linux.

2. Ausführbare Dateien (konkret: .exe, .msi, .bat, .pif, .scr, .com) suchen und (mit wenigen Ausnahmen) entfernen.

3. Scan mit desinfec't-Livesystem durchführen und entsprechende Funde umbennennen.

4. Abschließend Backup der bereinigten Disk auf eine weitere externe Platte.


Da es sich um wirklich große Datenmengen handelt, ist das Ganze doch sehr aufwändig. Datentransfer, Scans, Backups, kostet alles für sich mitunter mehrere Tage. Jeder vermeidbare Zwischenschritt ist Gold wert. Deshalb habe ich nochmal einige Fragen:


1. An anderer Stelle wurde empfohlen, die Daten im abgesicherten Modus nochmal unter Windows durch zwei bis drei Scanner zu prüfen. Ist das unerlässlich oder kann ich mir diesen Schritt sparen, nachdem unter Desinfect bereits Avira, Eset NOD32, Kaspersky und Clam AV im Einsatz waren?

2. Ich bin mir nicht ganz sicher, wie ich idealerweise mit Funden umgehe. Desinfect bietet an, diese umzubenennen und die Endung .virus anzuhängen. Somit lässt sich bei späteren Problemen im Zweifelsfall nachverfolgen, was so an Schadware auf dem Rechner herumlungerte. Oder ist komplettes Löschen die sinnvollere Variante?

3. Wichtig: Bedeutet es ein Risiko, noch nicht gescannte/bereinigte HDDs unter Windows anzuschließen, sofern ich gar nicht auf sie bzw. lediglich auf definitiv saubere Daten zugreife, oder nur die Explorer-Suche nutze? Kann Schadware alleine durch Anschließen via USB dafür sorgen, dass Sachen nachgeladen werden? Oder ist diese Gefahr nicht mehr gegeben, nachdem autorun unter Win10 deaktiviert ist?

4. Nicht ganz so wichtig: Hatte damals viele meiner DVDs auf Festplatte gerippt, die kommen jetzt auf ein oder zwei separate Platten. Kann sich in diesen .vob-Verzeichnissen auch Schadware verstecken oder kann ich mir das Scannen dort sparen?

Das wären erstmal die wesentlichen Fragen. Ich bin froh, wenn ich die Sache halbwegs unfallfrei über die Bühne bekommen habe und alle Daten verläufig gesichert sind, ohne dass ich irgendwelche Altlasten importiere.

1. Ich denke, diese Empfehlung ist als Alternative zu deinem Vorgehen mit Disinfec't gedacht. Das mit dem abgesicherten Modus wundert mich ein bisschen, wurde das hier am TB empfohlen?
Aber mach es ruhig mit Disinfec't. Achte aber darauf, dass das Aktualisieren der Signaturen unmittelbar vor dem Scan stattfindet und funktioniert! Auf alten Daten ist zwar eher alte Schadware, aber die neuesten Signaturen und Erkennungsmechanismen sind trotzdem am besten.
2. Da gerade ClamAV, aber auch Avira viele Fehlalarme produziert und das grundsätzlich bei jedem Virenscanner passieren kann, würde ich im Normalfall immer sagen: Umbenennen bzw. Quarantäne. Da du aber sagst, deine Daten sind eh zu 90% Schrott, sage ich in diesem Fall: weg damit, wenn es sich nicht um etwas handelt, was du erkennst und behalten möchtest.
3. Wenn du Autorun so gelassen hast, wie es war, dürfte das ungefährlich sein (abgesehen von versehentlichen Doppelklicks).
4.keine Ahnung.

Super, vielen Dank, das hilft mir schon mal enorm weiter!

Das mit dem abgesicherten Modus wundert mich ein bisschen, wurde das hier am TB empfohlen?

Ja, vielleicht war das aber auch tatsächlich ein Missverständnis.

Sind bei alter Schadware eigentlich überhaupt alle vier Scanner notwendig oder kann man recht sicher davon ausgehen, dass seinerzeit für XP etc. geschriebene Malware eh von allen erkannt wird? Der "Easy-Scan"-Modus (nur Avira) geht ja echt fix, bei allen zusammen braucht das durchaus mal Tage. Wobei ich bei einem Teil der Daten schon auf Nummer Sicher gehen werde. Bei den DVD-Verzeichnissen ist das aber vielleicht übertrieben.

... würde ich im Normalfall immer sagen: Umbenennen bzw. Quarantäne.

Ok, dann halte ich das auch so. Sicher ist sicher, und Platzmangel ist ja nun nicht so das Problem.

3. Wenn du Autorun so gelassen hast, wie es war, dürfte das ungefährlich sein (abgesehen von versehentlichen Doppelklicks)

Sehr wertvolle Info, danke! Dann kann ich die Hardware-Verschlüsselung der HDDs* auch schon mal im unbereinigten Zustand aktivieren, was nur unter Windows möglich ist. Hatte mich das bislang nicht getraut. Versehentliche Doppelklicks werde ich zu vermeiden wissen.

Edit: Bloßes Kopieren und Verschieben ggf. infizierter Dateien unter Windows kann dann auch noch keinen Schaden anrichten?

( *Ich weiß, es gibt bessere Verschlüsselungsmethoden, hab mich aber aus diversen Gründen dennoch für diese Variante entschieden.)

Also ich würde mal sagen, Kaspersky und ESET sind gut, Avira und ClamAV sind Schrott und kann man eigentlich genausogut weglassen.

Na ja und wenn du mit den Daten dann arbeitest, sollte der Hintergrundwächter von deinem normalen Virenscanner (wie immer) aktiv sein. Deswegen: KEIN abgesicherter Modus.

Außerdem (wenn du dann mal Zeit zum Aufräumen hast) Alte Programme möglichst wegschmeißen. Die haben auf einem neuen System sowieso nix mehr verloren. Nur Daten (Text/Bild/Audio/Video...) behalten. Wenn du doch noch mal aus Jux ausprobieren willst, ob ein altes Programm noch funktioniert, vorher noch mal die Datei, die du starten möchtest, mit deinem aktuellen Virenscanner scannen.

Dann vertraue ich doch einfach mal deiner Einschätzung und beschränke mich zukünftig auf Kaspersky und Eset. Avira lädt aufgrund eines Bugs ohnehin nicht die aktuellen Signaturen, dazu muss man erst im Terminal tätig werden.

Außerdem (wenn du dann mal Zeit zum Aufräumen hast) Alte Programme möglichst wegschmeißen.

Mache ich ja weitestgehend, indem ich ausführbare Dateien gesucht und gelöscht habe (Schritt 2). Nur einige wenige Sachen habe ich ausgeklammert, die ich eventuell nochmal brauchen könnte. Und da werde ich natürlich deinen Hinweis befolgen und die erst nochmal scannen. Bin da ja eher so der Schisser.

Ist nur noch offen, ob das Kopieren/Verschieben potenziell infizierter Daten ebenfalls gefährlich sein kann. Aber dazu bedarf es dann wohl tatsächlich des besagten Doppelklicks, vermute ich.

Ja, das Verschieben/Kopieren an sich startet das Programm ja nicht. Kannst es ja über die Kommandozeile machen, um die Möglichkeit eines versehentlichen Doppelklicks auszuschließen.

Warum denn diese ganze Scannerei mit desinfec't? Ist doch totale Zeitverschwendung wenn der ganze ausführbare Murx vorher eh gelöscht wird...

Weil der TO jetzt nicht die Zeit hat, allen ausführbaren Murx zu löschen! So weit ich das verstanden habe.

Versteh ich trotzdem nicht. Selbst wenn er später in seinem Windows-PC aus seinem Backup irgendwelche EXE Dateien wieder rausfischt, dann wird doch der Virenscanner im Hintergrund anspringen. Warum also jetzt mit desinfec't scannen wo angeblich so wenig Zeit ist und später der OnAccessScanner eh eingreifen wird?

Zitat von cosinus

Warum denn diese ganze Scannerei mit desinfec't? Ist doch totale Zeitverschwendung wenn der ganze ausführbare Murx vorher eh gelöscht wird...

Ist es das? Hatte mir das so bislang so erklären lassen, dass das Herausfischen ausführbarer Dateien alleine noch keine hinreichende Sicherheit bietet, da sich Schadware ja auch in zahlreichen anderen, indirekt ausführbaren Dateitypen verstecken kann. Die würde beim bloßen Löschen doch außen vor bleiben.

Wobei mir tatsächlich nicht so ganz klar war und ich das eh nochmal hatte fragen wollen: Weshalb zuerst manuell aufräumen, wenn anschließend eh nochmal der Scanner drübergeht?

Zitat von Fragerin

Weil der TO jetzt nicht die Zeit hat, allen ausführbaren Murx zu löschen! So weit ich das verstanden habe.

Das kam dann wohl missverständlich rüber. Eher ist es sehr einschränkend, tagelang via Desinfect-Live-System zu scannen und währenddessen kein Windows zur Verfügung zu haben. Im Vergleich dazu ist es ja relativ unaufwändig, die sechs wichtigsten Dateitypen per Suche ausfindig zu machen und manuell zu löschen. Sollte der ganze Aufriss mit Desinfect also eher überflüssig sein, wäre das schon mal eine enorme Verringerung des Aufwands.

Ich schätze das der ganze Aufwand mit dem desinfec't nicht nötig ist, da wie Cosinus schon gesagt hat, später so oder so der Virenscanner nochmal rübergeht.

Dann fällt dieser zeitaufwändige Schritt ab sofort weg. Danke für all die hilfreichen Auskünfte!



Momentan treibt mich noch etwas anderes zur Verzweiflung und hält mich seit langem extrem auf - ich krieg nämlich partout kein vernünftiges Backup hin. Liegt vermutlich an meiner Ungeschicktheit und ist vermutlich ohnehin eher ein Linux-Thema, aber ich schildere es dennoch mal. Vielleicht fällt ja jemandem was Schlaues dazu ein.

Problem begann, nachdem ich die Daten der ganzen alten HDDs auf die neue, große externe Platte verschoben hatte. Aus heiterem Himmel und aus welchem Grund auch immer (mglw. kurze Unterbrechung der USB-Verbindung, so mutmaßte zumindest der Support) wurde deren Dateisystem nicht mehr als NTFS angezeigt, sondern als "RAW", so dass Windows nicht mehr drauf zugreifen kann. Glück im Unglück, dass zumindest Ubuntu es weiterhin kann. Glück vor allem deshalb, weil ich die Daten leichtsinnigerweise nicht dorthin kopiert, sondern verschoben hatte.

Seither versuche ich, den ganzen Kram von ca. 3,5 TB Größe nochmal auf eine Platte mit intaktem NTFS zu sichern, aber 1:1 gelingt mir das einfach nicht. Zweimal wurde der bereits seit Tagen laufende Kopiervorgang kurz vor Ende durch Pannen abgebrochen (Nautilus Explorer abgestürzt), beim anschließenden manuellen Abgleich der beiden Platten über "Eigenschaften" ergaben sich in diversen Ordnern dann immer leichte Differenzen hinsichtlich der Anzahl der enthaltenen Dateien. Beim dritten Mal habe ich via rsync gesichert, hier allerdings auch einige Fehlermeldungen. Am Ende jedenfalls waren beide Platten immer noch nicht komplett kongruent.

Nachdem ich ein WE lang vergeblich versucht habe, das manuell zu korrigieren, wobei man angesichts des Volumens aber leicht den Überblick verliert, habe ich mich entschieden, nicht noch mehr Zeit zu verschwenden. Sondern lieber in den sauren Apfel zu beißen und nochmal komplett via rsync auf eine frische Platte zu sichern und habe das gestern Abend gestartet.

Bin allerdings etwas skeptisch, ob das diesmal funzt, denn in den Eigenschaften der Quell-HDD heißt es "783 223 Objekte, Volumen xxxx GB, Teile des Inhalts unlesbar", was offenbar ein Hinweis auf nicht vorhandene Zugriffsrechte unter Ubuntu ist. Wobei mir das nicht ganz logisch erscheint auf einer durch mich selber angelegten externen Festplatte, zumal ich anscheinend auch alles öffnen kann.

Nun läuft das Backup mehrere Stunden und wird wohl auch noch einige Tage laufen. Leider besteht plötzlich keine Netzwerkverbindung mehr, es wird angezeigt "Kabelnetzwerk nicht verbunden" bzw. "Netzwerkkabel nicht angeschlossen". Obwohl es das definitiv ist und der Router auch Verbindung hat. Austausch des Kabels ebenfalls erfolglos.

Vielleicht würde ein Neustart das Problem ja bereits beheben, aber ich möchte das Backup nicht erneut unterbrechen, sondern es nach Möglichkeit endlich mal in einem Rutsch durchziehen, damit das endlich sauber über die Bühne geht. Nur ist der Rechner dann einige Tage ohne Netzwerkanbindung und das wär ziemlich ungünstig.

Ist alles zugegeben recht off-topic und gehört wohl eher in ein Ubuntu-Board, aber falls jemand zufällig vertraut mit der Problematik ist, kann er ja gerne seinen Senf dazugeben. Ansonsten einfach ignorieren. Jedenfalls hätte ich nicht geahnt, wie viele Hürden dieses vermeintlich überschaubare Datensicherungsprojekt bergen würde. Wobei der User da vermutlich großen Anteil dran hat.

Wie auch immer, was mich zusammengefasst also interessieren würde:

a) Ist es sinnvoller, das Backup nochmal abzubrechen und zu versuchen, via Konsole an den Rechten rumzuschrauben?

b) Hat jemand eine Idee, wie sich das Problem mit dem Netzwerkkabel ohne Neustart etc. beheben lässt?

Zitat von hungus

Ist es das? Hatte mir das so bislang so erklären lassen, dass das Herausfischen ausführbarer Dateien alleine noch keine hinreichende Sicherheit bietet, da sich Schadware ja auch in zahlreichen anderen, indirekt ausführbaren Dateitypen verstecken kann. Die würde beim bloßen Löschen doch außen vor bleiben.

das AV im Hintergrund in Windows schnappt sich doch später eh die böse Datei - egal ob nun mit Endung einer ausführbaren Datei oder was anderes. Genau das soll doch die Aufgabe eines AV sein. Ist das nicht klar oder wurde die Sache nicht zu Ende gedacht?

Zitat von hungus

Weshalb zuerst manuell aufräumen, wenn anschließend eh nochmal der Scanner drübergeht?

Vllt man man nicht unnötig Müll im Backup haben will? Oder willst du etliche Gigabytes an Daten sichern, die du eh nicht mehr brauchst? Das wäre Verschwendung von Backupkapazität und Zeit...

Zitat von cosinus

das AV im Hintergrund in Windows schnappt sich doch später eh die böse Datei - egal ob nun mit Endung einer ausführbaren Datei oder was anderes. Genau das soll doch die Aufgabe eines AV sein. Ist das nicht klar oder wurde die Sache nicht zu Ende gedacht?

Ich fürchte ja, ich denke eher zuviel nach, in Kombination mit vermutlich recht laienhaften Vorstellungen. In diesem Fall der, dass besagte böse Dateien in der Lage sind, Virenscanner zu manipulieren und hinters Licht zu führen. Von daher erschien mir ein Scan außerhalb der Windows-Umgebung sicherer als ein AV. Bin aber froh, dass ich mir das offenbar sparen kann.

Es gab da mal ein Post in einem anderen Expertenforum, dass ein einmal infiziertes System nie wieder wirklich sauber zu bekommen sei, da könne man noch so viel bereinigen. Am besten entsorge man auch alle Daten. Seitdem bin ich wohl etwas übervorsichtig in Sachen Schadware. Zumal ich mich erinnern kann, dass ein von mir geposteter Log dann doch erstaunlich viele Funde aufwies, trotz Echtzeitscanners. (Damals war mein Surfverhalten allerdings auch noch sorgloser.)

Oder willst du etliche Gigabytes an Daten sichern, die du eh nicht mehr brauchst? Das wäre Verschwendung von Backupkapazität und Zeit...

Die Überlegung war halt, im ersten Schritt erstmal alles auf wenige Datenträgern zu konzentrieren. Kapazität ist ja heute nicht mehr allzu teuer und ein paar ausführbare Dateien mehr oder weniger machen das Backup ja auch nicht wesentlich schlanker. Das sukzessive Aufräumen kommt dann später an die Reihe.


(Momentan schafft mich wie gesagt eher das Backup von der RAW- auf eine NTFS-Platte, an der Stelle passiert immer wieder irgendwas Unverhergesehenes und ich kann wieder bei Null beginnen. Diesmal reagierte die Maus plötzlich nicht mehr und ich konnte nur noch via Shortcuts navigieren, später machte rsync schlapp, erneuter Abbruch nach 25 Stunden. Das kostet tatsächlich etwas Nerven. Nun ist der nächste Anlauf im Gange, diesmal lass ich den Rechner komplett in Ruhe, kein Browser, kein Explorer, kein gar nichts geöffnet. Irgendwann muss es ja mal klappen. Und vielleicht sollte ich Ubuntu danach mal neu installieren.)

Was ich jetzt auf die Schnelle gelesen habe, müsstest du die Festplatte mit RAW ins Dateisystemformat NTFS umwandeln und vorher aber die Daten auf der RAW Festplatte sichern das die nicht verloren gehen. Ich kann mir gut vorstellen das es zu deinen Fehlern kommt weil du Daten der RAW Festplatte auf eine NTFS Festplatte sichern willst. Brauchst du Lesestoff dann Google mal nach RAW Festplatte ohne Datenverlust ins Dateisystemformat NTFS umwandeln. Da gibt es einige Treffer dazu.