Was machen bei NTFS und Virusinfektion?

Damit ihr mich richtig versteht, ich habe keinen Virus.
Aber ich würde diese Frage gerne geklärt haben, bevor wieder einer meiner Freunde sich einen Virus unter XP oder 2000 mit NTFS einfängt. (Ich habe selber immer ein virenfreies Image für diesen Fall).

So jetzt zu dem Problem:

Mir ist aufgefallen, daß man mit NTFS nicht mehr so leicht einen Virus loswird, wie ich dies schon ein paar mal bei Freunden unter Win98 (FAT32) gemacht habe.
Da man ja unter DOS/Linux nur lesend auf NTFS zugreifen kann, kann man auch nur feststellen, ob das System infiziert ist, aber die entsprechenden Dateien nicht umbennen oder löschen. (außer mit Betaversionen, die ich aber nicht benutzen will)
Ich dachte, dies ginge jedoch mit der Recovery Console von Windows 2000, doch leider mußte diese mich enttäsuchen. Damit bekommt man zwar den Virus aus dem Windows-Verzeichnis, aber nicht aus anderen Verzeichnissen.
Dummerweise kommt bei anderen Verzeichnissen und Laufwerken (sogar bei FAT-Laufwerken) die Meldung "Zugriff verweigert".

Kann man das irgendwie umgehen, oder welche Möglichkeit/Programme gibt es noch den Virus aus z.B. dem Programme-Verzeichnis zu löschen(bzw. umzubenennen)?

Wäre ja ziemlich blöd, wenn man sich einen Virus einfängt, diesen aus dem Windows-Verzeichnis gelöscht bekommt und anschließend beim Autostart sich dieser wieder aus einem anderen Verzeichnis in den Speicher lädt.

Also ich sehe im Moment nur noch die Möglichkeit, ein Image zurückzuspielen (sofern vorhanden) oder Windows neu zu installieren.

Weiß jemand Rat?

 

Den Tip hat Jörn oben schon gegeben. Du hast nur den wichtigen Zusatz vergessen, dass dieser andere PC ein NT-System beinhalten muss, sonst hilft Dir diese Konstruktion auch nicht weiter.

franzkat

 

die Festplatte ausbauen, und an einem Anderem PC mit Virenscanner anschließen.

Gruß

 

Ich würde dir empfehlen eine sog. Slipstream-Version auf die bootfähige CD zu bringen, da du dann die Service-Packs nicht noch einmal erneut aufspielen mußt, wenn Deine Original-CD nicht den neuesten Service-Pack-Standard enthält. Eine gute Beschreibung für die Vorgehensweise findest du hier :

http://techupdate.zdnet.de/story/0,,t419-s2123714,00.html

Die Vorgehensweise für Win 2000 und XP ist identisch; beide arbeiten sogar mit demselben CD-Bootimage.

franzkat

 

Danke nochmal. Das ist natürlich richtig, daß man auch Dateien von der W2K-CD im Notfall brauchen kann. Dann nehme ich mal davon Abstand, nur die Konsole drauf zu brennen (war für eine MiniCD gedacht, da dort sonst nicht genug Platz wäre)

 

Merkwürdig. Der Befehl für die Installlation der Konsole auf Festplatte ist an für sich so richtig. Bei Microsoft gibt es 6 Disketten zur Installation der Konsole. Die müßten auf eine CD zu bringen sein.Die erste sollte man als Bootimage verwenden.Hab das selbst aber noch nicht probliert, da ich eigentlich kein Problem darin sehe, von der normalen CD in den Recovery-Modus zu kommen.Zumal in vielen Fällen ja auch der Zugriff auf den i386-Ordner wichtig wäre, um z.B. defekte Dateien zu ersetzen.

franzkat

 

Vielen Dank, ich wollte sowieso aus meiner BootCD eine Multiboot-CD machen.
Wissen Sie zufällig, welche Dateien man braucht, um nur die Rettungskonsole auf die CD zu bekommen? (Ich wollte schon die Konsole auf C: mal installieren um nachzusehen (mit %CD%\I386\WINNT32.EXE /cmdcons), aber da kommt nur die Meldung "Es konnten keine gültigen Systempartitionen gefunden werden. Setup kann nicht fortgestetzt werden".)
Ideal wäre es, wenn die Konsole direkt starten würde und man nicht mehr "R" und "K" drücken müßte.

 

>Wissen Sie zufällig auch, wie man die Recovery-Konsole alleine (also ohne die Windows-Installation) auf eine Boot-CD brennen kann? Dann könnte ich sie nämlich mit in meine Reperatur-Boot-CD mit aufnehmen

Man muss mit einer sog. Multiboot-CD arbeiten, da ja ein NT-System gebootet werden soll (ich geh mal davon aus, dass die anderen Recovery-Tools auf DOS-Basis funktionieren).Auf einer CD ist ja normalerweise Platz genug, zumindest den i386-Ordner neben anderen Reparatur-Tools aufzunehmen.Bei einer Multiboot-CD (mit dem Diskemu-Treiber von Bart Lagerwij) kann man unter anderem dann auch per Menü die XP-CD (die in die Gesamt-CD miteingebunden ist) auswählen und dann - wie gewohnt -die Recovery-Konsole aufrufen.Man muss nur vorher das Boot-Image der XP-CD (oder einer Slip-Stream-Version) auslesen (z.B. mit Isobuster) und in die Multibootkonfiguration mitaufnehmen.So kann man dann z.B. wahlweise auf einer Multboot-CD in das XP-Setup (inclusive Recovery-Konsole, Win 98-Setup, Linux-Notfalldiskette und diverse DOS-Recovery-Tools booten.

http://www.nu2.nu (Lagerwij-Link)

franzkat
[Diese Nachricht wurde von franzkat am 31.05.2003 | 23:36 geändert.]

 

Vielen Dank, genau das habe ich gesucht. Dann kann ich ja die Dateien umbenennen, die befallen sind und anschließend Windows starten und dort einen Virenscanner installieren, der die Dateien dann auch reparieren kann.
Für alle, die dieses Postings lesen:
Um den SET-Befehl in der Wiederherstellungskonsole zu verwenden, muß man dies erst in der Computerverwaltung von Windows 2000 freischalten. Anleitung unter:
http://support.microsoft.com/default.aspx?scid=kb;EN-US;235364
[Bitte ganzen Link kopieren und in die Adressleiste einfügen]

Wissen Sie zufällig auch, wie man die Recovery-Konsole alleine (also ohne die Windows-Installation) auf eine Boot-CD brennen kann? Dann könnte ich sie nämlich mit in meine Reperatur-Boot-CD mit aufnehmen.
[Diese Nachricht wurde von ifelcon am 31.05.2003 | 13:14 geändert.]
[Diese Nachricht wurde von ifelcon am 31.05.2003 | 13:15 geändert.]

 

Du kannst natürlich in der Recovery-Konsole auch auf andere Dateien zugreifen.Du mußt Dir die Berechtigung nur freischalten mit dem Befehl :

SET AllowAllPaths=TRUE

So kann man in jedem Fall erstmal Dateién löschen.Was das Reparieren angeht, ist es schwieriger.Wenn Du die Probleme beim Schreiben auf NTFS vermeiden willst, mußt Du z.B. mit einem Programm wie NTFS Pro arbeiten. Damit kannst Du einen DOS-Virenscanner wie F-Prot Deine NTFS-Partition auf Viren scannen und auch ganz normal befallenene Dateien reparieren lassen. Nachteil : NTFS Pro kostet leider 300 $.Deshalb haben die Hersteller von Antivirenprogrammen diese praktikable Lösung nicht an Bord.

franzkat

 

Was empfiehlt denn der Hersteller deines Antiviren Programmes? In der Regel wohl, eine NT/2K/XP/2003 Parallelinstallation und das Problem von dort beheben, bzw. die Platte in einen anderen Rechner einbauen, der ein NT System beherbergt.

Alternativ kann man Dateien LÖSCHEN auch gefahrlos von Linux aus. Nur das Bearbeíten (Reparieren) erfordert, die Datei in eine Ramdisk zu kopieren, die Datei zu bearbeiten, auf die NTSF-Partition zurück und dann NTSFFIX aufgerufen - dieses beseitigt die gröbsten Schnitzer im Dateisystem - den Rest erledigt dan CHKDSK Laufwerksbuchstabe: /f /r /x

J2x