Jak odzyskać dane z partycji PqRP po ataku trojana?

Question

Witam! Kilka minut temu zlapalem trojana na stronie internetowej, norton anty virus (auto project) nie bardzo sobie poradzil, bo trojan namieszal cos w boot sectorze, norton niby naprawil ale wirus ukryl tez mi jedna partycje. W Partition Magic partycja ma format PqRP i nie wiem czy nie utrace...

cray_x · Accepted Answer

A nie bawiles sie przypadkiem Partition Magiciem ? :-)

"PQRP (PowerQuest Recoverable Partition)

PQRP to specjalny typ partycji powstały na skutek zaburzeń w pracy Partition Magica - niespodziewane przerwanie procesu lub pad zasilania w jego trakcie. Mówiąc prosto i przemawiająco do rozumu: partycja jest na maxa spieprzona a dane na niej zlokalizowane prawdopodobnie uszkodzone. Jest to wynik tego iż identyfikator typu partycji nie mógł zostać przywrócony do swej oryginalnej wartości. Dane najprawdopodobniej da się odzyskać poprzez przywrócenie tej wartości. Najprawdopodobniej gdyż wszystko zależy od tego w jaki sposób i jak brutalnie został przerwany proces operacji na partycjach. Dane mogą być uszkodzone w sposób nieodwracalny! By naprawić PQRP należy:
1. Zbootować i puścić w ruch narzędzie PTEDIT.

2. Zlokalizować partycję PQRP - będzie ona miała numer 3C - i kliknąć w to pole.

3. Kliknąć Set type i z listy partycji wybrać stosowny numer! Co to znaczy stosowny? Jeśli była to partycja FAT32 to wybieracie z listy FAT32, jeśli NTFS to NTFS itd.....

4. Zasejwować zmiany i zrestartować komputer."

ptedit- http://www.searchengines.pl/phpbb203/pliki/picasso/downloads/ptedit.zip

Edit:
hehe rownoczesnie chyba pisalismy.Tu jest cały artykuł:http://www.searchengines.pl/phpbb203/index.php?s=86e651c4cbcdd058cd348f4ff33ac4cf&showtopic=16798&pid=76252&st=0&#entry76252

MluMlu · Accepted Answer

Podejrzewam że wina leży po stronie Partition Magic . PQRP czyli PowerQuest Recoverable Partition to taka partycja która powstaje na skutek zaburzeń programu Partition Magic .

1. Zbootuj i puścić w ruch narzędzie PTEDIT.
2. Zlokalizuj partycję PQRP - będzie ona miała numer 3C - i kliknąć w to pole.
3. Kliknij Set type i z listy partycji wybierz stosowny numer! Co to znaczy stosowny? Jeśli była to partycja FAT32 to wybierasz z listy FAT32, jeśli NTFS to NTFS itd.....
4. Zrobić save i zrestartować komputer.

Cytat:
adres strony na ktorej się zarazilem to http://prasowanki.d.waw.pl/ ....... wchodzisz tam na wlasna odpowiedzialność !!!!!!

No i też tak zrobiłem,trojany wchodzą (usunięte już

) co do partycji to stoji na swoim miejscu jedna i druga

pozdrawiam

Radzious · Accepted Answer

czy jestes pewny ze usunąłęś tego trojana. Z tego co widze to raczej nikła jest szansa odzyskania ale sa programy które mozesz poszukać na google. Radze ci jak chcesz coś odzyskać to nic nie rób na tej partycji tylko najpierw znajdz jakiś program do tego typu aby zobaczył co mozna jeszcze odzyskać. Pierwsze to zobacz progami a jak nic nie znajdą to poszukaj programu unformat(jest gdzieś w dosowych wersiach) i spróbuj nim ale w ostateczmości. Polecenie to unformat d: gdzie "d" to nazwa partycji

Ps. podaj jaka nazwa była tego trojana

jankolo · Accepted Answer

Kolega radzious napisał bardzo tajemniczo, spróbuję ten wywód uprościć. Również czarno widzę odzyskanie danych. Jako naczelną zasadę przyjmuje się ratowanie danych w taki sposób, aby NIC nie robić na dysku/partycji skąd odzyskujemy dane. Każda próba ratowania danych metodą zmian na dysku/partycji na których te dane znajdują się może skończyć się tak, jak to widzimy na załączonym obrazku. Do programów odzyskujących dane należy Easy Recovery Pro firmy OnTrack lub komplecik programów firmy Stellar. programy te odzyskiwane dane zapisują na innym niż ratowany dysku. Są one niestety komercyjne, więc Google nie wskażą Ci miejsca, skąd możesz pobrać taką wersję.

jankolo · Accepted Answer

Nie jest on destrukcyjny:
Trojan.Anicmoo.C is a downloader Trojan that exploits the Windows User32.DLL ANI File Header Handling Stack-Based Buffer Overflow Vulnerability (described in Microsoft Security Bulletin MS05-002). The Trojan exists as a malformed animated cursor (.ani).
(cytat z Symanteca)

jankolo · Accepted Answer

Sugerowałbym posłużenie się Advanced Recovery lub Raw Recovery (nie naprawiaj plików, tylko je odzyskuj! Jak Ci coś nie pójdzie dobrze, to możesz powtórzyć działanie). Raw Recovery świetnie radzi sobie w najtrudniejszych sytuacjach, ale trwa długo. Ostatnio używałem tej funkcji na dysku, na którym pomyłkowo zainstalowany został Linux w opcji serwer, a na dysku był Windows na partycji NFFS. Nie wszystkie pliki udało się odzyskać, niestety. Ale z tym sie liczyłem. Program wojował z dyskiem całą noc.

Radzious · Accepted Answer

Do Jankolo ja zawsze pisze taemniczo. W tym wypadku nie podaje jaki program do odzysku(pomijajac unfotmat.com) ponieważ nie wiem czy są szanse na co kolwiek.

Jeśli chodzi o trojana to po angielsku mozna poczytać tu i tu (nie nam tego języka)
http://securityresponse.symantec.com/avcenter...c/data/trojan.anicmoo.b.html#technicaldetails
http://securityresponse.symantec.com/avcenter/venc/data/securityrisk.downldr.html

ale pierwszy link trza zrozumiec aby drugi był dobry

Ja proponuje tak:

Zdobąc pare tych progów do odzysku a potem zobaczyć co on potrafi(czyli co moze odzyskać). Ja używałem pc isnpectror recowery(błedy literowe są) ale przeszłem na "handy recovery" i on najpierw pokazuje co moze odzyskać z danej partycji potem fdopiero sprawdzam co mi jest potrzebne i to odzysku rózny efekt jest). Ale jak nie da rady odzyskać to dyskietka startowa 98se +ten unformat i jedziemy(99% to co odzyska to chodzi).

I ostatnie nierozumiem tylko jak doszło do tego ze masz "chiny" na dysku.

childmaker · Accepted Answer

Poczytaj tu o odzyskiwaniu danych.

jankolo · Accepted Answer

Tutaj różnimy się w filozofii pomocy. ja też nie wiem, czy jest cokolwiek do odzyskania (raczej wątpię w to). Ale dopóki jest jakakolwiek szansa, tozawsze będę proponował takie programy, które nie dokonują ŻADNYCH zmian na dysku, którego zawartość ratujemy. Jeżeli Easy Recovery Pro pracujące w trybie RAW nie da sobie rady, to UNFORMAT jest związane z powiedzeniem tonący brzytwy się chwyta. Stąd właśnie pochodzi mój cytat. Wygląda na to, że sektory katalogu tej partycji zostały nadpisane czymś, bądź też - co jest bardziej prawdopodobne - coś zostało wpisane do tablicy partycji

jankolo · Accepted Answer

BooZer, nie wiem, czy samo formatowanie tej partycji jest dobrym pomysłem. Sam zauważyłeś, że system pokazuje jej idiotyczną wielkość. Należałoby ją usunąć i założyć od nowa. Ponieważ nie widzę Twego dysku, więc dla bezpieczeństwa powiem tak: przekopij WSZYSTKIE ważne pliki/katalogi na inny dysk i dopiero potem usuwaj tę trefną partycję.

BoooZer · Answer

Partycja jest ale danych niestety nie ma Jest szansa odzyskac dane? Prosze o pomoc w dalszym ciagu. Struktura moich katalogow na przywroconej partycji jest zaburzona. Wyglada tak jak w zalaczniku.

BoooZer · Answer

Jak narazie dziekuje za pomoc w odkryciu partycji, ale w dalszym ciagu licze na pomoc. Przy okazji mam pytanie jakiego programu antywirusowego uzywac? Czy nortonantivirus jest dobry?

BoooZer · Answer

ten virus to Trojan.Anicmoo

BoooZer · Answer

sciagam wlasnie Easy Recovery Pro firmy OnTrack, ale bedzie to dlugo trwalo, przez nocke moze sie sciagnie

Odezwe sie jutro

Dodano po 1 [godziny]:

nie moglem czekac do jutra, sciaglem juz ale nie wiem czy mam naprawiac czy przywracac pliki, zalaczam zdjecia i prosze o instrukcje

BoooZer · Answer

Bawilem sie troche EasyRecovery Pro ale nie ma tego czego szukam, i prawie wszystkie pliki po odzysku sa uszkodzone. W trybie RAW jest tego troche wiecej ale wszystkie maja stan "X" i sa uszkodzone. Poczytam dokument na http://cdrinfo.pl/artykuly/datarecovery/index.php - sprzyda sie.

To znaczy ze moge spokojnie sformatowac ta partycje "E" bo nic nie odzyskam? Na szczescie dokumenty, i niezastapione pliki mialem na partycji "D",wiec nie ma duzej szkody. Partycje ktora zaatakowal wirus byla ostatnia partycja z systemem winxpprof i plikami sciaganymi przez dc++, wiec jak zapuszcze kompa na 3/4 nocki to powinenem odzyskac wszystko

Ciekawi mnie tylko dlaczego zaatakowal ostatnią partycje? Pracowalem wtedy na win98 (partycjaC)

Po zaatakowaniu kompa trojanem Anicmoo i ponownym uruchomieniu kompa znikla partycja, przywrócilem ja programem ptedit i od tamtej pory mam takie "chiny". Partycja ma 5 GB a po zaznaczeniu wszystkiego i sprawdzeniu wlasciwosci pokazuje mi 634 GB......... przynajmniej na dc++ moge wejsc na wszystkie huby

Ciekawi mnie jeszcze jak mozna by bylo samemu zrobic partycje z fuckfiles bo mam dysk 13 GB i nie na wszystkie hub'y moge wejsc

a szkoda mi trzymac partycji z "chinami" ...... przeciez to prawie polowa dysku.
Pozdrawiam wszystkich i dziekuje za pomoc

Dodano po 25 [minuty]:

.....zapomnialem dodac ze pod windowsem nie moge tych plikow usunąc

BoooZer · Answer

oki....dziekuje za rade i pomoc. A tak przy okazji to za pomocą programu GetDataBack odzyskalem wszystkie potrzebne pliki poza 2 filmami. Wydaje mi sie ze jest lepszy od EasyRecovery Professional ale moze sie myle. Moze dla mojego przypadku jest lepszy. Pozdrawiam.
Skoro tak to temat zamykamy ! ( TJT )

Jak odzyskać dane z partycji PqRP po ataku trojana?

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Post #8

Post #9

Post #10

Post #11

Post #12

Post #13

Post #14

Post #15

Post #16

Post #17

Podsumowanie tematu