Bart PE versteckt auf der Partition

[alfbonn]

Nach dem Erstellen der Notfall-CD habe ich das Verzeichnis c:\Bart PE von der Festplatte gelöscht (wie auch alle Verzeichnisse, die vom Speichern von der ct'-CD her vorhanden waren; z. B.: \pebuilder).

Trotzdem finden einige Überwachungsprogramme wie z. B. a²-Antitrojan oder Kaspersky AV das ursprüngliche Verzeichnis mit Dateien auf der Partition.

Im Dateiexplorer kann ich die aber auch mit der Suchoption "Versteckte Dateien anzeigen" nicht ausfindig machen.

Wie werd ich sie los?

TIA
Alf

[SBond]

Auch nicht schlecht.....

Wie hast du die Dateien gelöscht ??? ( zerschreddert, in Papierkorb,...)
Bzw. ist es möglich, das die Programme auch gelöschte ( aber nicht überschriebene ) Dateien anzeigen ???

[alfbonn]

> Wie hast du die Dateien gelöscht ??? ( zerschreddert, in Papierkorb,...)

Die habe ich zunächst in den Papierkorb verschoben (also im Windowsjargon: gelöscht), danach den Papierkorb geleert (inzwischen mehrmals).

> ... ist es möglich, das die Programme auch gelöschte ( aber nicht überschriebene ) Dateien anzeigen ???

Offensichtlich tun sie das. Ich versteh nicht genug davon, aber die Festplattenoperationen von Windows scheinen ja ohnehin nicht besonders durchgreifend zu sein. Allerdings ist bisher bei den genannten Überprüfungen noch kein anderes gelöschtes Programm wieder aufgetaucht.

Am Rande habe ich übrigens hinsichtlich Bart PE oder der Image-Brennfunktion von Nero 6 noch eine Beobachtung gemacht:

Im Explorer werden meine DVD-LWs (1 RW, 1 ROM) i. a. richtig als solche, nämlich DVD-LW, angezeigt. Selbstverständlich, sollte man meinen. Nach Erstellen der Bart PE-CD aber nannte der Windows Explorer das DVD-RW-LW beim Einlegen einer DVD regelmäßg ein CD-LW und kämpfte bis zu 5 Minuten und länger mit sich, ob er die DVD nun lesen wollte oder nicht. Das gab sich nach dem Löschen des Bart PE-Verzeichnisses und den üblichen Wartungen (Registry Mechanic, System Mechanic) mit der Zeit.

Dass mich dieses schöne Bart PE nun aber gar nicht verlassen will, gefällt mir irgendwie nicht.

[Wolf2305de]

Naja, wenn Du die Dateien unter Windows über den Papierkorb entsorgst, dann werden diese nicht wirklich gelöscht. Sie werden lediglich zum überschreiben freigegeben.
Anders verhält sich das, wenn Du mit div. Datenschreddern arbeitest. Dann werden diese Bereiche durch den Datenschredder mehrfach überschrieben, damit die Dateien nicht mehr hergestellt werden können.

Mal ne andere Frage, hast Du die Programme installiert, um sie dann in deine PE einzubauen?
Es kann bei installierten Programmen vorkommen, das diese durch die Deinstallationsroutine nicht vollständig entfernt werden. Meistens sind es Dateien die z.B. erst zur Laufzeit erstellt wurden bzw. die wärend der Deinstallation im Zugriff waren (diese verlangen dann ein Reboot).
Es kann auch vorkommen, das beim manuellen Löschen ganze Verzeichnisse zurückbleiben, wenn der Löschvorgang auf eine Datei stösst, die noch im Zugriff ist (manchmal kann man das schön im Temp-Ordner sehen!)

Wie hast Du denn die Überwachungsprogramme gefunden?

Gruß
Wolf

[alfbonn]

Ich hatte bisher angenommen, dass beim Löschen die Dateiheader zerstört würden, so dass die Datei hicht mehr ausgeführt werden könnte. Dann würde es mich aber sehr wundern, wenn a² so srogfältig wäre, dass es sogar diese Fragmente als gefährlich meldet.

Nein, die Programme wurden nicht in die Bart PE integriert.

Wie meinst du die Frage, wie ich die Programme gefunden habe?
Beide sehr nützlich, wäre die eine Antwort. :-)
KAV durch Artikel in ct', a² durch Internetsuche mit Stichwort Trojaner, die andere.

Was ich bisher vergessen habe: Dank jedenfalls für deine Antworten.

[alfbonn]

Nachtrag, weil ich zwischendurch wg. Windows-Update neu starten musste:

Was die Frage angeht, ob Dateien beim Löschen noch im Gebrauch waren - zunächst hätte ich dann ja eine Rückmeldung bekommen "Datei xy.abc kann nicht gelöscht werden, weil sie von einem anderen Prozess benutzt wird." Oder ähnlich.

Aber auf einen solchen Zusammenhang wollte ich mit dem Anhang hinweisen. Offensichtlich wurde ja beim Brennen des Image das Brennlaufwerk mit bestimmten Einstellungen belegt, also dass es CDs brennen soll. So etwas kenne ich ahnungshalber noch von VCDEasy, das ja auch das Brenn-LW mit Beschlag belegt und sorgfältig auf das Brennen vorbereitet. (Wie gesagt, ich versteh nicht viel von Computern.) Und es schien mir so, dass diese Einstellungen nach Abschluss des Brennvorgangs nicht zurückgenommen worden sind. So etwas würde ich dann als einen Bug bezeichnen. Ob der aber durch Bart PE oder durch Nero verursacht wurde? Keine Ahnung. Ich habe leider mit Nero vorher noch kein Image gebrannt.

[UwOrtWaLt]

hast du denn mal ein paar Pfade für übriggebliebene Dateien??
btw beim löschen von Dateien entfernt Windows nur den ersten Buchstaben der Datei, physikalisch auf der Platte.

[alfbonn]

hast du denn mal ein paar Pfade für übriggebliebene Dateien??
...

Vermutlich weil ich diese Dateien in a² "genehmigt" habe, sind sie auch nicht in irgendeiner Log-Datei zu finden. Es war aber einfach der Originalpfad c:\pebuilder (oder c:\bart pe), also derjenige, der entsteht, wenn man im Pebuilder von der ct'-CD die Partition c:\ als Ziellaufwerk angibt. Um den genauen Namen des Verzeichnisses herauszufinden, müsste ich das Programm nochmal installieren. Und eben deshalb hab ich mich auch (später) gewundert, denn da durfte ja schon nach dem Verschieben in den Papierkorb, erst recht nach dem Leeren des Papierkorbs nichts derartiges mehr sein. Hab ich natürlich erst nachher gemerkt, als ich feststellte, dass das ganze Verzeichnis längst gelöscht ist.

[Wolf2305de]

Also wollen wir mal sehen, was da so zu machen ist, bzw, ob ich das jetzt richtig verstanden habe.

KAV ist dein aktiver Virenscanner und a² verwendest Du aktiv für die Suche nach Trojaner.
Soweit so gut, ich dachte, das sind die Dateien, die bei Dir das Problem verursachen.

Wie meinst du die Frage, wie ich die Programme gefunden habe?Ich habe mich wohl etwas Missverständlich ausgedrückt, sorry :oops:
Ich meinte eigentlich welche Software Dir gesagt hat, das die Dateien noch vorhanden sind, aber das hat sich ja jetzt erledigt. War mein fehler.

Um jetzt mal zu den Dateien zu kommen.

Ich hatte bisher angenommen, dass beim Löschen die Dateiheader zerstört würden, so dass die Datei hicht mehr ausgeführt werden könnte.
Dann würde es mich aber sehr wundern, wenn a² so srogfältig wäre, dass es sogar diese Fragmente als gefährlich meldet.
UwOrtWaLt hat soweit recht, das erste Zeichen einer Datei wird ersetzt, womit die Datei zum überschreiben freigegeben wird.
Der Header der Datei bleibt somit auch vollständig erhalten. Das ist auch der Grund, warum man z.B. mit EasyRecovery Dateien wieder
herstellen kann, sofern nicht bestimmte Dateisegmente überschrieben worden sind.
Das stammt wohl noch aus den guten alten DOS-Zeiten, wo das erste Zeichen durch ein "?" ersetzt worden ist.
Beim DOS eigenen Recovery-Tool musste man dann nur das erste Zeichen durch das Original-Zeichen ersetzen und schon war die Datei
wieder funktionsfähig vorhanden (zumindest meistens!).
Warum a² die Dateien trotzdem finden kann, ist die Tatsache, das er in erster Linie nicht nach Dateien bzw. Dateinamen sucht, sondern nach Signaturen.
Ehrlich gesagt kann ich mir aber nicht vorstellen, das a² noch irgendwas von den Dateien findet (auch wenn Du die Dateien nicht genehmigt hättest). :?

Wenn Du die Dateien jetzt los werden willst, gibt es eigentlich nicht mehr viel Möglichkeiten.
1.) Du stellst die Dateien wieder her und schredderst sie dann gleich wieder (z.B. mit EasyRecovery)
2.) Du Defragmentierst die Festplatte (ist aber nicht gesagt, das die Daten dann weg sind!)
3.) Du wartest, bis das System die Dateien selber überschreibt (kann aber noch ne weile dauern, je nachdem wie Gross deine Festplatte ist)

Gruß
Wolf