SystemVolume Information?

[AndreasBloechl]

Ich hätte jetzt mal eine Frage weil mir heute aufgefallen ist das eine ext. USB HDD dort über 100MB gespeichert hat. Normal schalte ich die Wiederherstellung sofort aus und meine sämtlichen anderen HDD die ich ext. begtrieben habe weisen dort keine Daten auf. Was könnte das auf sich haben, diese Daten wurden vor gut zwei Jahren mal dort geschrieben laut Eigenschaften.
Und noch eine Frage, warum kann ich bei der OS Partition dort auch auf den SystemVolume Ordner zugreifen und diesen Inhalt mir anzeigen lassen und bei der zweiten Partition der gleichen HDD nicht, dort kommt immer Zugriff verweigert. Blicke diese ganze Struktur nicht mehr was das alles auf sich hat. Vielleicht könnt ihr mir helfen.

 

[Mornsgrans]

Das ist der Datenspeicher, der Trojanern das Überleben auf Deinem Rechner garantiert

Schau mal hier: http://support.microsoft.com/kb/309531/de

 

[AndreasBloechl]

Warum wie kommst du da drauf. Bei mir ist ja auf der OS Partition nichts zu finden, nur halt auf dieser einen ext. HDD und das habe ich ohne Probleme auch wieder löschen können. Ich habe auch noch andere HDDs die dort nichts gespeichert haben und sind Bit für Bit identisch mit dieser weil ich meist zwei oder drei Backups habe. Von einem Troyaner gehe ich aber weniger aus, weil ich immer schon entweder TrendMicro IS , Kaspersky IS und jetzt MSE drauf habe. Die hätten sich dann bestimmt mal gemeldet.

Nur was mich etwas nachdenklich macht, warum kann ich auf der OS Platte da zugreifen und auf der zweiten Partition dieser Platte dann nicht mehr?

 

[Mornsgrans]

Das war jetzt nicht auf Dich bezogen, sondern mehr allgemein. Ist ein Computer befallen gewesen, wird die Schadsoftware auch in der Systemwiederherstellung gesichert.

Hast Du auf einem Laufwerk Zugriff auf SystemVolume Information, so ist wohl die Systemwiederherstellung für dieses Laufwerk deaktiviert. Schau in Systemsteuerung-System-Systemwiederherstellung. Dort kann diese de-/aktiviert und die Größe der Volumes festgelegt werden.

 

[AndreasBloechl]

Ja , ich habe das immer ausgeschaltet weil ich TrueImage für die Sicherung vom System verwende. Nur kannst du dir vorstellen warum ich auf der OS Partition dort Zugriff habe und auf der zweiten Partition von dieser HDD dann nicht. Dort kann ich nicht rein. Ich bin da am Rätseln warum das so ist. Und wie Daten dort rein kommen auf einer anderen ext. HDD ist mir auch nicht klar. Werde jetzt mal wenn ich Zeit habe alle meine ext. HDDs durchschauen wo ich vielleicht noch Daten dort drinnen habe. Virus oder so denke ich aber kann ich ausschließen.

 

[Mornsgrans]

Du musst nur die Systemwiederherstellung auf allen Laufwerken deaktivieren und schon hast Du Zugriff auf SystemVolume Information. Nach Aktivieren der Systemwiederherstellung sind diese Ordner wieder gesperrt.

 

[LePatron]

Da muss ich Dir leider widersprechen, Mornsgrans.

Der Zugriff auf "System Volume Information" hat nichts mit der Systemwiederherstellung zu tun. Normalerweise hat nur "SYSTEM" Vollzugriff auf diesen Ordner.

@AndreasBloechl: Welches Dateisystem hat Laufwerk C:, NTFS oder FAT32? Wenn NTFS, wie sind denn die Berechtigungen für den Ordner auf C: gesetzt?

 

[Mornsgrans]

Der Zugriff auf "System Volume Information" hat nichts mit der Systemwiederherstellung zu tun. Normalerweise hat nur "SYSTEM" Vollzugriff auf diesen Ordner.

Microsoft sollte wissen, was es schreibt:

Bei dem Ordner "System Volume Information" handelt es sich um einen Systemordner, den die Systemwiederherstellung zum Speichern von Informationen und Wiederherstellungspunkten verwendet. Auf jeder Partition Ihres Computers befindet sich ein Ordner "System Volume Information". Je nach eingesetzter Windows-Edition und dem Einsatzszenario ist der Zugriff auf diesen Systemordner möglicherweise nur mit Hilfsprogrammen, wie etwa Cacls, möglich.

 

[LePatron]

Klar, der Ordner ist für die Systemwiederherstellung gedacht, ich meinte ja nur, das es keinen Einfluss auf die Zugriffsrechte hat, ob die Systemwiederherstellung aktiv ist, oder nicht.

 

[AndreasBloechl]

Mir ist aufgefallen das du überhaupt nichts machen kannst als Admin wenn der Ordner gesperrt ist, man kommt auch nicht auf die Eigenschaften damit man die Rechte ändern könnte. Bei den Laufwerken wo ich aber Zugriff habe sind die Rechte für den Adimin voll, und für User sind sie nur zu lesen aber kann nichts geändert werden.

Könnte mir auch vorstellen das es vielleicht doch damit zusammenhängt was Mornsgrans schreibt.

Was mir aber aufgefallen ist, über das FritzNAS habe ich immer Zugriff. Hängt vielleicht mit dem Linux System dort zusammen. Vielleicht komme ich am WE dazu mal etwas rumzutesten. Was ich aber nicht ganz verstehe, wenn der Ordner wirklich so extrem gesichet ist warum kann sich dann ein Virus dort einnisten?

 

[Mornsgrans]

wenn der Ordner wirklich so extrem gesichet ist warum kann sich dann ein Virus dort einnisten?

Weil das Windows die Wiederherstellungsdaten dort ablegt. Bei Update eines Programms speichert Windows die Vorversion dort. Ist das Programm infiziert, wandert die Schadsoftware mit in die Systemwiederherstellung.
Dies hat dann zur Folge, dass ein Antivirenprogramm auch mal bei einem vollständigem Virenscan eine Schadsoftware in SystemVolume Information meldet, diesen aber nicht beseitigen kann.

 

[[W2k]Shadow]

so als blöde fräge:

war die externe hdd vielelicht mal an nem PC wo die systemwiederherstellung aktiv war? ggf. kommt der ordner daher?

 

[AndreasBloechl]

Danke dir Mornsgrans für die Erklärung, klingt logisch.

Nein , diese HDD war immer nur in diesem Gehäuse und nur als Datensicherung verwendet worden. Und es haben auch nur insgesamt drei PCs von mir drauf zugegriffen seit ich diese habe und wurde auch neu gekauft.