Plötzlich verschwundene Dateien und Ordner

surbuman

Hi,

der Ansatz meiner Frage ist schwierig einzuordnen und ich bin hoffentlich im passenden Themenbereich:

Es geht um sehr plötzlich verschwundene Daten und Ordner aus einem Ordner "d:\Programme\" auf einem XP SP3 System mit den Festplattenpartitionen c: und d:. D:\Programme\ ist ein zusätzlicher Programmeordner und nicht als Ersatz für den Default Windows Programmeordner unter C:\ eingerichtet.

Hergang:
Eine Freundin hat kürzlich in ihrem Programmeordner unter D:\ aufgeräumt und eine inaktive Sophos Version löschen wollen, die sie seit ein paar Monaten nicht mehr verwendet (bei ihr läuft MacAfee mit Hintergrundwächter). Nach der normalen Deinstallationsprozedur verblieben mehrere Dateien im Sophos Ordner. Eine davon war die Datei "avremovew.exe".
Da nicht alle Dateien verschwunden waren, hatte sie angenommen, dass diese Datei für die endgültige Entfernung des Programms gut wäre und führte sie aus.
30 bis 40 Sekunden später stellte sie fest, dass in D:\Programme\ mehrere GB Daten fehlten (ca. 6 bis 7 GB), die vor der Aktion ("avremovew.exe" ausführen) noch vorhanden waren - der Zeitraum war so eng und die Aktionen so übersichtlich, dass ein kausaler Zusammenhang wahrscheinlich ist: Im Explorer nach D:\Programme\Sohos durchklicken, "avremovew.exe" klicken, eine Ordnerebene nach oben gehen und sehen, dass etwas fehlt - keine Warnungen oder Rückmeldungen vom System. An besondere Festplattenaktivität oder sonstige Systembelastung während dieses Zeitraums hat sie sich nicht erinnern können.

Es waren nur noch etwa 10 von ursprünglich 40 bis 50 Ordnern im Programme Ordner und aus den noch vorhandenen fehlten ebenfalls scheinbar willkürlich Dateien.

Maßnahmen:
Zu diesem Zeitpunkt rief sie mich an. Die Daten befanden sich nicht im Papierkorb. Mit einer Software zur Wiederherstellung gelöschter Daten konnte sie die fehlenden Daten finden und mit der ursprünglichen Ordnerstruktur auf einer externen Festplatte wiederherstellen. Nach der Wiederherstellung auf die externe Platte startete sie ihr Notebook neu, um zu sehen, ob ein eventueller Anzeigefehler des Explorers nach einem Neustart behoben sein würde. Die Daten blieben verschwunden. Gerade kopiert sie die wiederhergestellten Daten zurück auf ihr Notebook.

Die Datei "avremovew.exe" habe ich auf "virusscan.jotti.org" geprüft, was kein positives Ergebnis brachte. Die Eigeschaften der Datei weisen sie als Version 2.0.1 und ein "Tool to detect presence of Anti Virus software" aus.

Die Festplatte scheint auch keinen Hardwarefehler zu haben, da sie keine Auffälligkeiten zeigt und die Wiederherstellung der Daten und deren Zurückkopieren normal mitgemacht hat.


Weitere Hinweise:
Wir sind die Arbeiten und Maßnahmen der letzten Tage und Stunden durchgegangen, um zu ermitteln, was passiert sein könnte. Jedoch ergibt sich das Bild, dass abgesehen von der Sophos Deinstallation und dem Ausführen der "avremovew.exe" keine ungewöhnlichen Dinge geschehen sind, keine neuen Programme, keine Downloads, keine auffällige Mail, keine besonderen Einstellungen. Der Zusammenhang mit "avremovew.exe" sieht wahrscheinlich aus (siehe Hergang), ist aber natürlich nicht gesichert.
Sie verwendet Firefox und Thunderbird, weiß mit Autostarteinträgen und laufenden Prozessen soweit etwas anzufangen, dass sie Neues oder Abweichungen erkennt. Ein Systemscan mit HijackThis ein paar Tage vor dem Vorfall sah unauffällig aus (zumindest gab es keine Unklarheiten bei der automatischen Auswertung auf HijackThis.de) - ich versuche das Log bei ihr wiederzufinden, aber ich stehe mit ihr entfernungsbedingt gerade nur telefonisch in Kontakt.


Fazit und Bitte: Ich stehe etwas orientierungslos da. Hat jemand einen Verdacht oder eine Idee, was passiert sein könnte oder wo ich einmal genauer nachsehen sollte? Ich reiche alle nötigen Eckdaten auf Wunsch nach, sollten noch welche fehlen. Die Beschreibung ist recht ausführlich, weil so vielleicht eher Hinweise enthalten sind, die jemand erkennen könnte.

Vielen Dank für alle Ideen und Anregungen!