E-Mails ließen sich nicht speichern - Dann ist auch noch die Datei Inbox verschwunden bzw. neu angelegt worden!!!

Hallo Pronto,

Zitat von Pronto

Im aktuellen TB-Profil existiert die Datei Trash nicht, lediglich die Trash.msf; das erscheint mir logisch, weil sich ja auch nichts löschen lässt, eben weil die zugehörige Datei Trash nicht da ist; ich hoffe ich sehe das richtig.

Ich denke, dass siehst Du richtig. Es würde sich eine Datei Trash bilden, wenn Du eine Mail löschen würdest. Analog war das ja auch bei der Inbox-Datei so. Die war weg und mit dem Empfang der nächsten Mails hat sich halt eine neue zunächst leere Inbox gebildet, die eben nicht sehr viele Daten enthält.

Zitat von Pronto

Sehe ich es richtig, dass ich dem Dateinamen "tb2022" noch eine Endung zufügen muss, sprich das ganze in eine Batch-Datei umwandeln muss, damit die Programmzeilen abgearbeitet werden.

Jep. Sollte tb2022.cmd heißen. Es müsste sich auch sofort das Icon der Datei zu

ändern. Die Datei könnte man so bereits per Doppel-Klick ausführen, aber von der Ausgabe bekommst Du nichts mit, denn das Fenster schließt sich sofort wieder.

Deshalb cmd.exe ausführen und cd-Befehl in das Verzeichnis wechseln (cd \dein\vollständiger\pfadzuderdatei - den Pfad kann ich nicht wissen, den musst Du selbständig richtig einsetzen), in dem die Datei tb2022.cmd abgelegt ist, Dort dann in der Eingabeaufforderung (cmd) den Befehl tb2022.cmd absetzen. Ergebnis dann bitte hier posten.

Handicap an der Sache ist, dass die Standardeinstellung unter Windows die Anzeige der Dateierweiterung bei bekannten Dateitypen ausblendet. Dann könnte es mutmaßlich beim Umbenennungsversuch zu tb2022.cmd.txt kommen, was Du aber an dem Icon unmittelbar erkennen müsstest, während die Datei vorgeblich tb2022.cmd heißt. Sähe so aus:

... würde aber nicht funktionieren.

Gruß

Sehvornix

Hallo Pronto,

Zitat von Pronto

C:\Users\pront\Documents>copy con tb2026.cmd

Ähm, nee. So geht das nicht.

Mit copy con erzeugst Du eine Datei. Das ist nur einmal erforderlich. Kann man so machen, ist aber etwas umständlich, weil der Text via Console (con) dahinein muss. Anscheinend hast Du aber den Inhalt, das Script, in die Datei tb2022.cmd hinein bekommen. Diese tb2022.cmd kannst Du ansonsten mit jedem Texteditor bearbeiten. Das wäre allen voran das Notepad von Windows selbst. Schau mal in die Datei und vergewissere Dich, dass der Inhalt dem oben publizierten Script entspricht. Ohne das ^Z am Ende.

Und dann geht es mit Teil 2 aus meinem Beitrag #62 weiter. Denn ausgeführt hast Du das Script bisher auf Deinem Weg nicht.

Gruß

Sehvornix

... kleine visuelle Hilfestellung

Nicht vergesssen, die Eingabeaufforderung mit 'Als Administrator ausführen' zu starten. Bei mir liegt das Script im Verzeichnis c:\temp. Name identisch dem, den Du gewählt hast. Mit cd in das Verzeichnis wechseln, wo das Script bei Dir abgelegt ist, dann wie hier zu sehen mit tb2022.cmd [ENTER] ausführen. Die Ausgabe liefert dann hoffentlich mehr, als bei der Ausführung auf meinem PC.

Gruß

Sehvornix

Na bitte!

Damit das Restore kein Ping-Pong wird (restored und sofort wieder in Quarantäne), jetzt erst mal im Windows Defender die Verzeichnisse von Thunderbird als Ausnahme definieren. Findest Du unter Einstellungen verwalten >> Ausschlüsse >> Ausschlüsse hinzufügen oder entfernen. Den bzw. die Pfade kannst Du Dir aus Deinem Foto abschauen. Im Prinzip reicht aber auch ein einzelner Pfad, nämlich der zu vv2j7jfq.default.

Denke daran, diese Ausnahme später wieder aufzuheben und sei Dir im Klaren darüber, dass eine Datei mit einer erkannten Bedrohung wiederhergestellt wird.

Weiter schaue bitte nach, ob in Thunderbird dieser Haken gesetzt ist:

Das sollte zukünftig verhindern, dass eine komplette Inbox oder Trash in die Quarantäne wandert.

Danach hast Du zwei Optionen.

1. pauschal alles in der Quarantäne restoren, weil nur Thunderbird-Dateien in Quarantäne liegen:

.\MpCmdRun.exe -Restore -All

oder

2. selektiv einzelne Dateien aus der Quarantäne holen, was aber die Nennung des Pfade erfordert:

.\MpCmdRun.exe -Restore -FilePath <filePath>

wobei <filePath> durch einen der Pfade oben aus Deinem Foto zu ersetzen ist. Zum Beispiel

.\MpCmdRun.exe -Restore -FilePath "C:\Users\pront\AppData\Roaming\Thunderbird\Profiles\vv2j7jfq.default\Mail\pop.online.de\Inbox"

Wie der Windows Defender hier mit den mehrmals in Quarantäne verfrachteten Dateien umgeht, weiß ich ehrlich gesagt nicht. Da wirst Du probieren müssen, ob das gewünschte Ergebnis zu erzielen ist. Ggf. die Aktion auch mehrmals durchführen und die zuvor restorete Inbox-Datei als Zwischenstand jeweils wegsichern.

Zwischendurch vielleicht auch noch mal mit dem ursprünglichen Script prüfen, ob die Liste der in Quarantäne befindlichen Dateien kleiner wird. Jeder Restore sollte das um zumindest einen Eintrag reduzieren.

Weitere Erläuterungen zur Nutzung des Windows Defender via Eingabeaufforderung:

Auch das MpCmdRun.exe musst Du in der Eingabeaufforderung aufrufen und zwar aus dem betreffenden Verzeichnis. Der Pfad der MpCmdRun.exe ist nicht im System-Pfad und sie wird nicht gefunden, wenn man sie einfach so aufzurufen versucht. Deshalb ist in dem Script oben auch der komplette Pfad zu der Datei programmiert.

Es hilft also nichts, auch hier muss cd wieder ran bis Du in dem Pfad C:\ProgramData\Microsoft\Windows Defender\Platform\ bist und dann noch eins weiter in den %LatestVersionPath%. Lass Dir den Inhalt mit dir anzeigen und wechsel dann mit cd in das jüngste der gelisteten Verzeichnisse. Bei mir ist das aktuell 4.18.2203.5-0.

Warum .\MpCmdRun.exe? Ohne .\ vorne dran sucht das Betriebssytem die MpCmdRun.exe immer noch an anderer Stelle, obwohl man sich schon im Verzeichnis befinden. .\ zwingt das System dazu, die Datei im aktuellen Verzeichnis zu nehmen.

Viel Erfolg!

Gruß

Sehvornix

Vielleicht wäre es doch ganz gut gewesen, das Restore mit -filePath einzeln durchzuführen? So scheint nicht die gewünschte große Inbox-Datei, sondern eine später quarantänierte Version am Ende übrig geblieben zu sein.

Bei der 'zu-Fuß'-Entschlüsselung der mutmaßlich RC4-verschlüsselten Dateien kann ich Dir jedenfalls nicht weiter behilflich sein. Selbst wenn das vielleicht mit einem Python-Script darstellbar wäre, fehlt doch jegliche Information, wie der Schlüssel lautet.

Eine letzte Chance könnte noch sein, diese zuvor aus der Quarantäne kopierten Dateien noch mal an die Stelle zu setzen, wo Du sie her hast. Falls Windows Defender die Dateien dann wieder im Quarantäne-Bereich erkennt (-Restore -ListAll), kannst Du erneut probieren, sie mittels der passenden Zeile (-Restore -All) zurückzuholen. Aber ehrlich gesagt, keine Ahnung, ob der Windows Defender so mit sich rumtricksen lässt.

Gruß

Sehvornix

Moinsen,

krass Sehvornix, da hast Du ja ordentlich Anleitung geschrieben! Und irgendwas hat geklappt... leider scheint das "restore all" sich selbst zu behindern und gleich mal gesagt das bei der Operation alle Virenscanner aus sein sollten, nix Ausnahme sondern Rechner vom Netz und nach der Operation wieder das was man meint haben zu müssen wieder an.

Zitat von Sehvornix

fehlt doch jegliche Information, wie der Schlüssel lautet

Der Schlüssel ist bekannt und benannt, das Pyton Script so weit auch schon vorhanden... hier

Es gibt auch jede Menge Webangebote RC4 zu entschlüsseln, tja aber mit ner GB großen Datei ist das nix, EaseUS bietet m.W. keine Entschlüsselung an, nur das übliche "Weiderherstellen gelöschter Daten" usw...

Es gibt auch jede Menge Entschlüsselungstools von den AntiVirenherstellern für die ganzen Ransomeware sachen. Aber ein Easy-to-Use Entcrypter habe ich nicht gefunden...

Zitat von Pronto

hat Windows Defender wohl neben den Ordnern 03 und 10

Defender legt die verschlüsselte Datei ab, legt mehrere Informationen im weiteren Unterordnern mit dem gleichen Namen ab und schreibt sich in die Registry mit dem gleichen Dateinamen um so alle Informationen zu einer Bedrohung zu speichern. Die Datei selber enthält nur verschlüsselt die Daten... nur mit den zusätzlichen Ordnern und Schlüsseln hat Defender die Informationen was das entschlüsselt werden könnte... Wenn diese Informationen weg sind kann über die "restore all" CMD es nicht wieder hergestellt werden. Ich gehe davon aus das wenn man analog alle Infos wieder herstellt (also die weiteren Einträge wieder anlegt) das es dann wieder geht... aber auch viel Aufwand.

hier aus dem trojaner-board.de zu genau dem Trojan:HTML/Phish.RA!MTB

Zitat

Man kann auch drüber nachdenken, den Defender so einzustellen, dass er garnicht mehr im Thunderbirdprofil nachschaut. Eine dort gelöschte Datei kann nämlich den Verlust sämtlicher oder vieler legitimer Mails nach sich ziehen.

Pronto vielleicht solltest du dort auch mal vorbei schauen und

a) deine LOGfiles von FRST64 usw.. untersuchen lassen ob dein System überhaupt noch sauber erscheint (du hattest ja schon mal vor längerer Zeit einen anderen Fund).

b) Ob die zufällig wissen wie man die RC4 verschlüsselte Datei auf macht...

Grüße dErzOnk

Zitat von Pronto

Ich habe eine der großen Quarantäne-Dateien einmal in das betreffende Verzeichnis zurückkopiert

Ich würde doch annehmen, dass wenn der Defender diese Datei wiederhergestellt hat, dass sie dann auch entschlüsselt ist. Hast du eine dieser Dateien mal mit einem Editor wie Notepad++ geöffnet? Sind sie lesbar? Wenn ja, dann lassen sich daraus auch die E-Mails wieder zurückholen.

Hallo Susanne,

wg. tldr; für Dich:

Zitat von Susi to visit

Ich würde doch annehmen, dass wenn der Defender diese Datei wiederhergestellt hat, dass sie dann auch entschlüsselt ist.

Genau das hat auch funktioniert. Durch die MpCmdRun.exe wurden die in Quarantäne befindlichen Dateien entschlüsselt am Ursprungsort wiederhergestellt. Hat Pronto jedenfalls bestätigt. Sind halt nur nicht die eigentlich vermissten Daten drin.

Problem war meiner Einschätzung nach, dass die Inbox z. B. gleich mehrfach in Quarantäne gewandert ist - nicht nur die eine >5 GB große Inbox von besonderem Interesse. Und an der Stelle patzt der Prozess dann bei -Restore -All, weil am Ende offenbar nur das letzte in Quarantäne gesteckte Objekt am Urspungsort wieder auftaucht. Falls also vorher - zwischenzeitlich im Prozess - die eigentlich gewünschte große Inbox-Datei auch wiederhergestellt war, wurde diese letztlich dann doch durch eine später quarantänierte viel kleinere Datei überschrieben.

Gruß

Sehvornix

Zitat von Sehvornix

wg. tldr;

In der Tat.

Zitat von Pronto

...hallo dErzOnk; also sind 5 GB große Dateien RC4-verschlüsselt händisch mit dem Code bzw. entsprechender Software nicht zu entschlüsseln???

WEBangebote... d.h. du lädst da deine Datei und den Schlüssel hoch und kannst Dir das Ergebnis anzeigen lassen/wieder runter laden. Abgesehen davon das ich da nicht meine Emaildaten hochladen würde, weil sonstwas mit den Daten passiert... einen 5GB File hochladen ist ein bißchen viel... sofern die Webseite das überhaupt packt.

Die Entschlüsselung sollte bei Dir passieren, oder per USB Stick die Datei mitnehmen... Vom Prinzip her ist die Größe der verschlüsselten Datei nicht auf 5GB limitiert...

RC4 ist halt auch sowas von unpopulär... deswegen scheint es da wenig Angebote zu geben.

Die Variante mit dem Pyton Script ist wohl die einfachste... der Code steht da, jetzt muss man nur noch lernen wie man den verwendet.

Grüße dErzOnk