Trojaner-Board - RAR,AVI,Mp3,DOC,XLS nichts lässt sich öffnen...obwohl Festplatte funktioniert

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - RAR,AVI,Mp3,DOC,XLS nichts lässt sich öffnen...obwohl Festplatte funktioniert (https://www.trojaner-board.de/49976-rar-avi-mp3-doc-xls-nichts-laesst-oeffnen-obwohl-festplatte-funktioniert.html)

RAR,AVI,Mp3,DOC,XLS nichts lässt sich öffnen...obwohl Festplatte funktioniert

Hallo Leute,
ich hab ein riesiges Problem und ärger mich darüber.
Ich hab ne Seagate 320GB als zweite Festplatte für die Daten laufen und diese extra nochmal partitioniert in drei Bereiche. Auf der größten Partition (210GB) habe ich verschiedene Daten wie "RAR-Archive" "Word-Dokumente", "AVI-Files" und "Mp3´s".

Ich habe keine Ahnung warum, jedoch seit einiger Zeit kann ich von dieser Partition nix mehr öffnen, offenbar sind alle Daten irgendwie beschädigt,..
Das ist ne Katastrophe sind doch selbstgedrehte Videos usw. drauf
(nein nicht gebackuped ).

...so kommt bei den Rarfiles:Archiv beschädigt oder unvollständig..
..bei den Word-Dokumenten und Txt-files Kryptischer Text....
...bei AVi-s und Co: WMP kann die Datei nicht wiedergeben...
...bei MP3´s:Beim Wiedergeben der Datei ist in WMP ein Problem aufgetreten...
...bei *.Exe´n kommt kurz ein kleines Dos-Fenster und das wars...

Soviel kann ich bis jetzt sagen:
Die Verzeichnisstruktur ist unverändert, alle Dateien werden im Explorer normal angezeigt, ich denke auch die dateigröße stimmt noch,...nur beim starten eben, die fehlermeldung wie oben...
Ein Anitivir-Virenscan und ein Onlinescan hat nix ergeben, checkdisk zeigt keine Fehler an und das HD-Checktool von Seagate (Seatool) hat ebenfalls keine Fehler angezeigt. Auch Testdisk zeigt keine Fehler an..
Im Windows wird die Vereichnisstruktur und die Dateigröße korrekt angezeigt.

Kopiere ich die Daten auf ne anderen Datenträger, kann ich sie trotzdem nicht öffnen.

Die Daten auf den anderen Partitionen der HD sind problemlos zu öffnen, funktionieren also.

Ach ja: Partitioniert hatte ich damals glaub ich mit Partition Magic...

Nun bin ich verzweifelt bei euch gelandet und nach dem ausführen von eScan kommen folgende VirenlogInfos:

Objekt "mediaadvantage Spyware/Adware" im Dateisystem gefunden! Maßnahme ergriffen: Keine Maßnahme ergriffen.
Objekt "peopleonpage Spyware/Adware" im Dateisystem gefunden! Maßnahme ergriffen: Keine Maßnahme ergriffen.
Objekt "winsecure Corrupted Adware/Spyware" im Dateisystem gefunden! Maßnahme ergriffen: Keine Maßnahme ergriffen.
Objekt "winsecure Corrupted Adware/Spyware" im Dateisystem gefunden! Maßnahme ergriffen: Keine Maßnahme ergriffen.
Objekt "Possible Fujacks-type Worm" im Dateisystem gefunden! Maßnahme ergriffen: Keine Maßnahme ergriffen.

weiterhin diverse ungültige Registryobjektverweise

und auf der betroffenen Partition:

vier mal die Meldung " Datei SoundSo.....infiziert durch den Virus "Exe.Corrupted"!

Hat irgendjemand ne Idee?

Vielen Dank im Voraus für Eure Mühe..

Machen wir erst mal einen SystemCheck

Deckards System Scanner (DSS)

Hier gibt es das Tool -> dss.exe

* Schließe alle Anwendungen
* Doppelklicke dss.exe um das Programm zu starten
* Wenn der Scan abgeschlossen ist wird sich ein Notepad mit dem Inhalt
der main.txt öffnen.
Ein weiteres Logfile, die extra.txt liegt im Verzeichnis
c:\Deckard\SystemScanner\extra.txt
* Kopiere den Inhalt der beiden Logfiles in diesen Thread, bitte als ['CODE]['/CODE]

Was Deckards System Scanner macht:

* Es Erstellt einen System Wiederherstellungspunkt
* es säubert die temporären Dateien, Downloaded Program Files, Internet
Cache Dateien und es leert den Mülleimer auf allen Laufwerken.

Hallo BataAlexander,
Danke erstmal,.. hier das logfile:

http://www.file-upload.net/download-694484/main-und-extra.txt.html

PS:ich weis nicht ob es von Relevanz ist, aber die HD hat schon mal den Rechner gewechselt, das Problem trat schon im alten Rechner auf...

Viele Grüße
Karlfred

Ich kann hier keinen Befall entdecken.
Das Programm ProtectDisk kann aber nicht dafür verantwortlich sein?

Prüfe mal eine der Dateien die Du nicht öffnen kannst folgendermaßen

Rechtsklick auf die Datei
Eigenschaften auswählen
Im Reiter „Allgemein“ den Button „Erweitert anklicken
Prüfe ob der Haken bei „Inhalt verschlüsseln, um Daten zu schützen" gesetzt ist.

Ist hier ein Haken hat jemand die Daten mit EFS verschlüsselt.
Dann wird es schwierig.

Hallo BataAlexander,

ich habe die Dateien auf der Partition überprüft es ist kein Häckchen bei „Inhalt verschlüsseln, um Daten zu schützen" gesetzt. Dann wäre deiner Meinung nach EFS auszuschliessen.

Was das Programm "ProtectDisk" angeht, da kann ich im Task Manager unter den Prozessen leider nichts finden,...

Ich hab auch keine Erklärung welche Funktion das Programm haben sollte, im Internet finde ich ProtectDisk als Kopierschutztool für Originalsoftware?

Ich würde auch noch gern wissen ob das Logfile von dem PC helfen würde, aus welchem die Festplatte stammt, wo dort doch schon das Problem auftrat..

Viele Grüße
Karlfred

Zitat:

Ich würde auch noch gern wissen ob das Logfile von dem PC helfen würde, aus welchem die Festplatte stammt, wo dort doch schon das Problem auftrat..

Was für eins denn? Poste es halt mal, EFS ist somit wohl ausgeschlossen.

....Ich dachte an das Escan-Logfile und die Deckards System Scanner (DSS) Ergebnisse. Wird leider erst abends, der Rechner steht daheim.

Danke nochmal und Grüße

Karlfred

Hallo BataAlexander,

also hier die Ergebnisse von dem "alten PC" in dem die Festplatte mit den nichtöffenbaren Files ursprünglich eingebaut war:

das Logfile von Escan:
Datei C:\Dokumente und Einstellungen\Karlfred\Desktop\.......\.........\.........\FRITZ!Box\nc.exe markiert als not-a-virus:RemoteAdmin.Win32.NetCat. Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Karlfred\Desktop\Data\von Micha\Data\trafficmsw.zip/whTM.dll infiziert von "Backdoor.Win32.FTP.Matiteman" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Karlfred\Desktop\Data\von Micha\Data\Winny2b66.zip/Winny2/Winny.exe//PE_Patch//TeLock markiert als not-a-virus:Client-P2P.Win32.Winny.2b66. Keine Aktion vorgenommen.
Object "grokster Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "grokster Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "powerstrip Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "whenu.savenow Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "NULLBYTE Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "grokster Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "malwarrior Corrupted Adware/Spyware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "savenow Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "istbar Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "savenow Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "istbar Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "peopleonpage Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "windupdates Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "adware.command Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "system soap pro Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "whenu.savenow Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "whenu.savenow Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "winfixer/errorsafe Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "winfixer/errorsafe Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "smitfraud Browser Hijacker" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "euniverse/keenvalue variant Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "euniverse/keenvalue variant Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "sillyworm.vo Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "regsort Corrupted Adware/Spyware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "remacc.multiwebsurv Generic Malware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_38421.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_38423.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_38425.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_40401.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_50501.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_50503.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_50505.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Deckard\System Scanner\backup\DOKUME~1\Karlfred\LOKALE~1\Temp\AZ_50509.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Karlfred\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\jvmimpro.jar-591e8dfd-14e20087.zip/vmain.class infiziert von "Exploit.Java.Gimsh.b" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Karlfred\Desktop\........\........\..........\FRITZ!Box\nc.exe markiert als not-a-virus:RemoteAdmin.Win32.NetCat. Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Karlfred\Desktop\Data\von Micha\Data\trafficmsw.zip/whTM.dll infiziert von "Backdoor.Win32.FTP.Matiteman" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Karlfred\Desktop\Data\von Micha\Data\Winny2b66.zip/Winny2/Winny.exe//PE_Patch//TeLock markiert als not-a-virus:Client-P2P.Win32.Winny.2b66. Keine Aktion vorgenommen.
Datei C:\Data\sncfmh.zip/xyz.exe infiziert von "Trojan-Dataer.Win32.Small.ddp" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Data\WolfET260.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
File C:\Programme\DAEMON Tools\SetupDTSB.exe markiert als "not-a-virus:AdTool.Win32.WhenU.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

ich hab versucht die kritischen Objekte nochmal zu markieren.

Desweiteren hier noch das Logfile von Deckards System Scanner (DSS):

http://www.file-upload.net/download-696305/main-and-extra.txt.html"

zum Download...

Jetzt die wichtige Frage ... könnten diese Schädlinge die Ursache dafür sein, das ich die ganzen Dateien nicht mehr öffnen kann....?

Viele Grüße
Karlfred

Die ganze Bande bei VirusTotal - Free Online Virus and Malware Scan prüfen lassen und das Ergebnis hier posten (incl. MD5/SHA1)

Zitat:

C:\DOKUME~1\Karlfred\LOKALE~1\Temp\MILOLJWVYINGEB.exe
C:\Dokumente und Einstellungen\Karlfred\Desktop\Data\von Micha\Data\trafficmsw.zip/whTM.dll (komische Dateiverbiegung)
C:\Data\sncfmh.zip/xyz.exe
C:\WINDOWS\system32\ccrpbds6.dll
C:\WINDOWS\system32\IDOTJUMHKLE

Befall kann solch ein Verhalten durchaus verursachen, siehe Link.
Allein die Beschreibung von dem small.ddp reicht mir schon aus Dir zu sagen: setzte neu auf.
Sicherliche sehe ich, das Du dann viel zu tun hast, aber Du läßt auch wenig aus, die Türen auf zu machen.

Zitat:

C:\\Programme\\LimeWire\\LimeWire.exe
C:\\Programme\\Azureus\\Azureus.exe
C:\\Programme\\SFT Loader\\leecher.exe
C:\\Programme\\Hamachi\\hamachi.exe

und das CS3 ist auch eher weggefunden oder?
Das tut aber nichts zur Sache, check mal die Dateien.

Hallo BataAlexander,

hier die Ergebnisse der Überprüfung mit "http://www.virustotal.com"

1. C:\DOKUME~1\Karlfred\LOKALE~1\Temp\MILOLJWVYINGEB. exe .. konnte ich nicht mehr finden, da hat wohl das Temp- Verzeichnis seinem Namen alle Ehre gemacht...

2. C:\Dokumente und Einstellungen\Karlfred\Desktop\Data\von Micha\Data\trafficmsw.zip/whTM.dll (komische Dateiverbiegung)
(allerdings ohne "/whTM.dl")

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.2.29.1 2008.02.29 -
AntiVir 7.6.0.67 2008.02.29 -
Authentium 4.93.8 2008.02.29 -
Avast 4.7.1098.0 2008.02.28 -
AVG 7.5.0.516 2008.02.29 -
BitDefender 7.2 2008.02.29 -
CAT-QuickHeal 9.50 2008.02.28 -
ClamAV 0.92.1 2008.02.29 -
DrWeb 4.44.0.09170 2008.02.29 -
eSafe 7.0.15.0 2008.02.28 Suspicious File
eTrust-Vet 31.3.5574 2008.02.29 -
Ewido 4.0 2008.02.28 -
FileAdvisor 1 2008.02.29 -
Fortinet 3.14.0.0 2008.02.28 -
F-Prot 4.4.2.54 2008.02.28 -
F-Secure 6.70.13260.0 2008.02.29 Backdoor.Win32.FTP.Matiteman
Ikarus T3.1.1.20 2008.02.29 -
Kaspersky 7.0.0.125 2008.02.29 Backdoor.Win32.FTP.Matiteman
McAfee 5241 2008.02.28 -
Microsoft 1.3301 2008.02.29 -
NOD32v2 2911 2008.02.29 -
Norman 5.80.02 2008.02.28 -
Panda 9.0.0.4 2008.02.28 -
Prevx1 V2 2008.02.29 -
Rising 20.33.40.00 2008.02.29 -
Sophos 4.27.0 2008.02.29 Sus/Madcode-A
Sunbelt 3.0.906.0 2008.02.28 Backdoor.Win32.Lemerul.20.g (vf)
Symantec 10 2008.02.29 -
TheHacker 6.2.9.229 2008.02.25 -
VBA32 3.12.6.2 2008.02.27 -
VirusBuster 4.3.26:9 2008.02.28 -
Webwasher-Gateway 6.6.2 2008.02.29 -
weitere Informationen
File size: 1091914 bytes
MD5: fe2372876a6be78d1f7a2729d9e254cf
SHA1: 9408c7c994c1e45cc44f8977f087cc767920b0f9
PEiD: -
packers: Unicode
packers: Aspack
packers: ASPack, ASPack

3.C:\Data\sncfmh.zip/xyz.exe

[B]Antivirus Version letzte aktualisierung Ergebnis[/U]
AhnLab-V3 2008.2.29.1 2008.02.29 -
AntiVir 7.6.0.67 2008.02.29 TR/Dldr.Small.ddp.28
Authentium 4.93.8 2008.02.29 W32/Downloader.AFGO
Avast 4.7.1098.0 2008.02.28 Win32:Downloader-WW (<--- das Smiley war als es klein war mal ein ": D" ohne Leerzeichen)
AVG 7.5.0.516 2008.02.29 Downloader.Generic2.EBC
BitDefender 7.2 2008.02.29 Trojan.Downloader.Small.BFI
CAT-QuickHeal 9.50 2008.02.28 TrojanDownloader.Small.ddp
ClamAV 0.92.1 2008.02.29 Trojan.Dropper.Small-177
DrWeb 4.44.0.09170 2008.02.29 Adware.TrustIn
eSafe 7.0.15.0 2008.02.28 Win32.Small.ddp
eTrust-Vet 31.3.5574 2008.02.29 Win32/Seresp.F
Ewido 4.0 2008.02.28 Downloader.Small.ddp
FileAdvisor 1 2008.02.29 -
Fortinet 3.14.0.0 2008.02.28 W32/DropRun.D!tr.dldr
F-Prot 4.4.2.54 2008.02.28 W32/Downloader.AFGO
F-Secure 6.70.13260.0 2008.02.29 Trojan-Downloader.Win32.Small.ddp
Ikarus T3.1.1.20 2008.02.29 Trojan-Downloader.Win32.Small.ddp
Kaspersky 7.0.0.125 2008.02.29 Trojan-Downloader.Win32.Small.ddp
McAfee 5241 2008.02.28 AZESearch
Microsoft 1.3301 2008.02.29 TrojanDownloader:Win32/Small
NOD32v2 2911 2008.02.29 Win32/TrojanDownloader.Small.DDP
Norman 5.80.02 2008.02.28 W32/DLoader.AEPU
Panda 9.0.0.4 2008.02.28 Adware/TrustIn
Prevx1 V2 2008.02.29 TROJAN.AGENT.GEN
Rising 20.33.40.00 2008.02.29 Trojan.DL.Small.pum
Sophos 4.27.0 2008.02.29 Troj/DropRun-D
Sunbelt 3.0.906.0 2008.02.28 Trojan-Downloader.Small.BFI
Symantec 10 2008.02.29 Adware.TrustInBar
TheHacker 6.2.9.229 2008.02.25 Trojan/Downloader.Small.ddp
VBA32 3.12.6.2 2008.02.27 Trojan-Downloader.Win32.Small.ddp
VirusBuster 4.3.26:9 2008.02.28 Trojan.DL.Small.CQN
Webwasher-Gateway 6.6.2 2008.02.29 Trojan.Dldr.Small.ddp.28

weitere Informationen
File size: 9362 bytes
MD5: 2b1426f1535e18dd29f2bc6f3e2b30f4
SHA1: 45d7156b930cb8f867d73800a40aaae95d09840e
PEiD: -
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=C118107400D9ABC452EF000CFD72740027DDAB32

4. C:\WINDOWS\system32\ccrpbds6.dll

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.2.29.1 2008.02.29 -
AntiVir 7.6.0.67 2008.02.29 -
Authentium 4.93.8 2008.02.29 -
Avast 4.7.1098.0 2008.02.28 -
AVG 7.5.0.516 2008.02.29 -
BitDefender 7.2 2008.02.29 -
CAT-QuickHeal 9.50 2008.02.28 -
ClamAV 0.92.1 2008.02.29 -
DrWeb 4.44.0.09170 2008.02.29 -
eSafe 7.0.15.0 2008.02.28 -
eTrust-Vet 31.3.5574 2008.02.29 -
Ewido 4.0 2008.02.28 -
FileAdvisor 1 2008.02.29 -
Fortinet 3.14.0.0 2008.02.28 -
F-Prot 4.4.2.54 2008.02.28 -
F-Secure 6.70.13260.0 2008.02.29 -
Ikarus T3.1.1.20 2008.02.29 -
Kaspersky 7.0.0.125 2008.02.29 -
McAfee 5241 2008.02.28 -
Microsoft 1.3301 2008.02.29 -
NOD32v2 2911 2008.02.29 -
Norman 5.80.02 2008.02.28 -
Panda 9.0.0.4 2008.02.28 -
Prevx1 V2 2008.02.29 -
Rising 20.33.40.00 2008.02.29 -
Sophos 4.27.0 2008.02.29 -
Sunbelt 3.0.906.0 2008.02.28 -
Symantec 10 2008.02.29 -
TheHacker 6.2.9.229 2008.02.25 -
VBA32 3.12.6.2 2008.02.27 -
VirusBuster 4.3.26:9 2008.02.28 -
Webwasher-Gateway 6.6.2 2008.02.29 -
weitere Informationen
File size: 110592 bytes
MD5: 0dbfb6b62b040703d7e4c83d84788888
SHA1: 3267cb4b1742162d41dc420661d5ad9bd50a22c9
PEiD: -

5. C:\WINDOWS\system32\IDOTJUMHKLE

..ist eine 0 Byte Datei

Das "alte" System werde ich definitiv neu aufsetzen, ich will nur vorher versuchen, die Dateien wiederherzustellen bzw. zu öffnen.

Wenn ich deinem Link folge, kann ich lesen das es Trojaner gibt die Daten verschlüsseln. Hätte mir das auffallen sollen, wenn diese Routine die komplette Partition verschlüsselt? Sollte ich denn mit diesem dort aufgeführten "Unransom..Me " versuchen die Daten zu etschlüsseln? Oder gibts es gar eine "universelle" Entschlüsselungssoftware oder sowas in der Art für solche Fälle?

Was kann ich jetzt tun? :heulen:

Kannst Du die Dateien den noch kopieren / verschieben?
dann würde ich Dich bitte mir mal eine Deiner "defekten" Dateien zu schicken
http://img222.imageshack.us/img222/199/emaillb0.th.jpg
Irgendwas, hauptsache Du bekommst es nicht mehr geöffnet.

Hallo BataAlexander,
die Dateien lassen sich kopieren und verschieben, nur eben nicht öffnen.
Ich habe Dir per PM den DL-link für eine kleine Auswahl an "defekten" Dateien zugesandt.

Vielen Dank mal wieder...:daumenhoc
Karlfred

Zitat:

[b]Antivirus Version letzte aktualisierung Ergebnis[/u]
AhnLab-V3 2008.2.29.1 2008.02.29 -
AntiVir 7.6.0.67 2008.02.29 TR/Dldr.Small.ddp.28
Authentium 4.93.8 2008.02.29 W32/Downloader.AFGO
Avast 4.7.1098.0 2008.02.28 Win32ownloader-WW (<--- das Smiley war als es klein war mal ein ": D" ohne Leerzeichen)
AVG 7.5.0.516 2008.02.29 Downloader.Generic2.EBC
BitDefender 7.2 2008.02.29 Trojan.Downloader.Small.BFI
CAT-QuickHeal 9.50 2008.02.28 TrojanDownloader.Small.ddp
ClamAV 0.92.1 2008.02.29 Trojan.Dropper.Small-177
DrWeb 4.44.0.09170 2008.02.29 Adware.TrustIn
eSafe 7.0.15.0 2008.02.28 Win32.Small.ddp
eTrust-Vet 31.3.5574 2008.02.29 Win32/Seresp.F
Ewido 4.0 2008.02.28 Downloader.Small.ddp
FileAdvisor 1 2008.02.29 -
Fortinet 3.14.0.0 2008.02.28 W32/DropRun.D!tr.dldr
F-Prot 4.4.2.54 2008.02.28 W32/Downloader.AFGO
F-Secure 6.70.13260.0 2008.02.29 Trojan-Downloader.Win32.Small.ddp
Ikarus T3.1.1.20 2008.02.29 Trojan-Downloader.Win32.Small.ddp
Kaspersky 7.0.0.125 2008.02.29 Trojan-Downloader.Win32.Small.ddp
McAfee 5241 2008.02.28 AZESearch
Microsoft 1.3301 2008.02.29 TrojanDownloader:Win32/Small
NOD32v2 2911 2008.02.29 Win32/TrojanDownloader.Small.DDP
Norman 5.80.02 2008.02.28 W32/DLoader.AEPU
Panda 9.0.0.4 2008.02.28 Adware/TrustIn
Prevx1 V2 2008.02.29 TROJAN.AGENT.GEN
Rising 20.33.40.00 2008.02.29 Trojan.DL.Small.pum
Sophos 4.27.0 2008.02.29 Troj/DropRun-D
Sunbelt 3.0.906.0 2008.02.28 Trojan-Downloader.Small.BFI
Symantec 10 2008.02.29 Adware.TrustInBar
TheHacker 6.2.9.229 2008.02.25 Trojan/Downloader.Small.ddp
VBA32 3.12.6.2 2008.02.27 Trojan-Downloader.Win32.Small.ddp
VirusBuster 4.3.26:9 2008.02.28 Trojan.DL.Small.CQN
Webwasher-Gateway 6.6.2 2008.02.29 Trojan.Dldr.Small.ddp.28

weitere Informationen
File size: 9362 bytes
MD5: 2b1426f1535e18dd29f2bc6f3e2b30f4
SHA1: 45d7156b930cb8f867d73800a40aaae95d09840e
PEiD: -
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=C118107400D9ABC452EF000CF D72740027DDAB32

Nur mal so ne Frage: Hast du garkein Antivirusprogramm drauf? Noch nichtmal irgendeins?
Denn dieser Virus wird ja anscheinend von allen Antivirenprogrammen gefunden die es gibt.
Auch wenn du ein Virenprogrann besitzt es aber nicht im Hintergrund laufen lässt, würde ich ab und zu mal scannen. ;)

Hallo WildliFe,
auf dem entsprechenden Rechner ist Antivir drauf, welches regelmäßig geupdated wurde. Ansonsten noch SpybotSearchAndDestroy.
Zugegeben, eine kompletten Festplattencheck habe ich nur unregelmäßig vorgenommen.
Spätestens nach diesem Treat bin ich aber wirklich sensibilisiert.:rolleyes:

Danke für die Dateien und super das Du eine Auswahl an verschiedenen Formaten geschickt hast.
Die Dateien sind definitiv verschlüsselt, nicht beschädigt, allerdings kenne ich mich zuwenig damit aus, um sagen zu können was für eine Art es ist.
Vielleicht meldet sich ja noch jemand anders zu Wort, der Dir hier helfen kann.
Auf die schnelle habe ich auch kein passende s Forum gefunden, sry.:(

Hallo BataAlexander,
ich weiss/wusste deine Hilfe definitiv zu schätzen vielen Dank für deine Zeit und schnellen Antworten !!. :daumenhoc

Falls noch einer Interesse hat die Dateien (450 Kbyte) mal zu überprüfen oder gar Programme besitzt welche ev. solche Verschlüsselungen öffnen können stelle ich den Link zum Download hier rein.

File-Upload.net - Ihr kostenloser File Hoster! (http://www.file-upload.net/download-699763/beispieldateien.rar.html)

Ich hoffe ich konnte euren Sportsgeist wecken.

Über Vorschläge würde ich mich freuen.

Viele Grüße
Karlfred

Hm, hast Du per Zufall von einer verschlüsselten Datei auch noch irgendwo eine unverschlüsselte Kopie?

Schwer editiert: Hätte ich mal etwas eher weiter untersucht anstelle dir Hoffnung zu machen :o

Also, folgende Zeichenfolgen habe ich in 4 der 5 Dateien entdeckt:

Code:

// --- strings in "AMD-SiS-USB20.zip" ---
 

Ground/ground_26_27.groundmesh

Ground/ground_26_28.groundmesh
 

// --- strings in "gap2.jpg" ---
 

shadows\terrainregion_1_3.lsh3
 

// --- strings in "INRIVER-Happel-Liebwein-ConTraRisk-Risikofrueherkennung.pdf" ---
 

Ground/ground_11_0.groundmesh
 

// --- strings in "www.Projektmanagement.doc" ---
 

RPGCharacter

equipment\hum_f_glo_34.skine

Bip01 Pelvis

Bip01 L Thigh

Bip01 L Calf

Bip01 L Foot

Bip01 L Toe0

Bip01 R Thigh

Bip01 R Calf

Bip01 R Foot

Bip01 R Toe0

Bip01 Spine

Bip01 Spine1

Bip01 Spine2

Bip01 Neck

Bip01 Head

Bip01 Ponytail1

Bip01 L Clavicle

Bip01 L UpperArm

Bip01 L ForeArm

Bip01 L Hand

Bip01 L Finger0

Bip01 L Finger01

Bip01 L Finger02

Bip01 L Finger1

Bip01 L Finger11

Bip01 L Finger12

Bip01 L Finger2

Bip01 L Finger21

Bip01 L Finger22

Bip01 L ForeTwist

Bip01 L ForeTwist1

Bip01 R Clavicle

Bip01 R UpperArm

Bip01 R ForeArm

Bip01 R Hand

Bip01 R Finger0

Bip01 R Finger01

Bip01 R Finger02

Bip01 R Finger1

Bip01 R Finger11

Bip01 R Finger12

Bip01 R Finger2

Bip01 R Finger21

Bip01 R Finger22

Bip01 R ForeTwist

Bip01 R ForeTwist1

equipment\hum_f_glo_35.meshm

hum_f_glo_35hum_f_glo_35_NS_.stdmat

hum_f_glo_35.meshdata

hum_f_glo_35.skin

equipment\hum_f_glo_35.meshdataTRDTh

Sowas entsteht nicht zufällig durch eine Verschlüsselung. Da sehe ich eigentlich nur einen möglichen Schluss: Die Dateien wurden überschrieben. Sieht mir sehr nach Daten eines Spiels aus.

Hallo KarlKarl,

Zitat:

Zitat von KarlKarl (Beitrag 325241)

Hm, hast Du per Zufall von einer verschlüsselten Datei auch noch irgendwo eine unverschlüsselte Kopie?

Ich habe mal eine "gleiche Datei" rausgesucht, diese hatte ich als Sicherheitskopie.

Die "funktionsfähige" und die "defekte Datei" kann man hier runterladen.

http://www.file-upload.net/download-700625/gleiche--Dateien.rar.html
(285 KByte)

Im übrigen sind die Dateien völlig identisch was die Größe angeht.

Zitat:

Zitat von KarlKarl (Beitrag 325247)

Schwer editiert: Hätte ich mal etwas eher weiter untersucht anstelle dir Hoffnung zu machen :o
........
Sowas entsteht nicht zufällig durch eine Verschlüsselung. Da sehe ich eigentlich nur einen möglichen Schluss: Die Dateien wurden überschrieben. Sieht mir sehr nach Daten eines Spiels aus.

Wenn die Dateien tatsächlich überschrieben sind (ev. beim partitionieren), was für Möglichkeiten bleiben mir dann noch diese wiederherzustellen? Kann jemand Tools empfehlen?

Viele Grüße
Karlfred

Hier die entsprechenden Strings aus der überschriebenen Version der Datei:

Code:

shadows\terrainregion_30_18.lsh3

shadows\terrainregion_28_17.lsh3

Verstehe ich den Hinweis auf die Partitionierung mit Partion Magic so richtig, dass Du eine Fesplatte mit drauf befindlichen Daten umpartitioniert ist? Im Handbuch sollte dick und fett die Warnung stehen, alle Daten vorher auf andere Datenträger zu sichern. In diesem Fall sehe ich folgende zwei Fehlervarianten:

1. Platte ist logisch durcheinander gekommen durch Partition Magic:

Ich sehe keine sichere Möglichkeit, das mit irgendwelchen Windowstools wieder in Ordnung zu bringen. Ich kann zwar nicht ausschließen, dass es möglich ist, aber jeder Einsatz eines solchen Tools kann den Schaden noch größer machen. Es gibt diverse Softwares, die Wunderdinge versprechen, manchmal vollbringen oft aber den Schaden vergrößern, ich kann da (mangels Erfahrung) nichts empfehlen. Wenn Du was probieren willst, dann solltest Du auf jeden Fall die Platte 1:1 als Image vorher auf einen anderen Datenträger sichern um bei einem Fehlschlag zum Ausgangspunkt zurückzukönnen. Bedenken, dass alle diese Versuche (trotz Image) die letzten Chancen zerstören, falls es Fall 2 ist.

2. Die Daten wurden überschrieben:

Es bestehen gewisse Möglichkeiten, zu ermitteln welche Daten sich dort befanden, bevor sie überschrieben wurden. Das ist kein Automatismus, hängt von anderen Faktoren ab. Deshalb gibt es Speziallöschverfahren, die durch dutzendfaches Überschreiben mit verschiedenen Bitmustern dies versuchen auszuschließen. Im Prinzip beruhen sie darauf, dass die Magnetisierung der vorherigen Daten durch einmaliges Überschreiben nicht komplett ausgelöscht ist, sondern darunter noch in Spuren vorhanden ist. Außerdem darauf, dass die Kopfpositionierung nicht absolut exakt ist, u.U. sind die vorherigen Daten "leicht neben der Spur" noch zu ermitteln. Jede Benutzung der Platte senkt aber die Erfolgsaussichten in diesem Fall, wenn Du ein Image von ihr auf einen anderen Datenträger anlegst, dann werden diese Restinformationen dabei natürlich nicht mitkopiert. Hier gilt auf jeden Fall: Platte sofort einpacken und nicht mehr nutzen. Das ist ein Fall für eine Spezialfirma. Die haben auch Reinsträume, in denen sie Platten auseinandernehmen und ihre Oberflächen mit anderen Geräten analysieren. Übrigens auch ein Fall für einen Auftraggeber mit Blankoscheck.

1 oder 2 ?

Kann ich hier nicht entscheiden. Aber selbst wenn meine Vermutung bezüglich des Herumspielens mit Partition Magic stimmt, auch dann kann Fall 2 eingetreten sein. Je nach Auftrag muss Partition Magic Daten auf der Platte verschieben (um z.B. den Platz für eine neue Partition erstmal zu erzeugen). Vielleicht wurden die verschobenen Daten in Bereiche geschrieben, die nicht frei waren. Grundsätzlich gibt es keine fehlerfreie Software, ein Theorem der Informatik, dass das unmöglich ist. Das gilt auch für Partition Magic.

Das beste was Du tun kannst: In Kontakt mit Spezialfirmen treten (Stichwort für Google: Datenrettung), denen detailliert dein Problem schildern (und nicht vergessen, nach eine Kostenvoranschlag zu fragen). Mit Sicherheit nicht die billigste Lösung (oft eine sehr teure), aber die mit den besten Erfolgsaussichten. Dort sitzen Spezialisten, die den exakten Aufbau eines NTFS-Dateisystems kennen und dementsprechend auch analysieren können, wie die Lage auf der Platte aussieht wenn sie die Platte da haben. Zusätzlich verfügen sie über ausgefeilte Spezialgeräte.