Virus sovrascrive tutto l'hd (file 0 bytes)

[Shinji89]

Salve,
ho un grossisimo problema con il pc:
-Ho preso un virus che mi ha sovrascritto tutti i file del computer (hanno tutti 0 bytes come dimensione). Windows si apre a mala pena, non riesco manco a fargli riconoscere una chiavetta.

Altre info utili:
- facendo chcksdk in modalità provissoria con solo il prompt, mi viene confermato che il secondo HD ha quasi 0 spazio occupato (prima era quasi pieno)
- Aprendo con una distro linux gli hard disk, i file risultano sovrascritti
- Su dropbox i file che avevo hanno 0 bytes e mi dice che sono stati modificati (grazie a dio c'è il recupero versione)

Prima di inserire il cd di windows e provare a formattare cosa mi consigliate di fare ?

Grazie in anticipo!

[x_Master_x]

Sovrascritto = Perso
Se avesse formattato avresti avuto delle possibilità, ma nel tuo caso non c'è nulla da fare

[Khronos]

per me la parte dati non è stata toccata.

usa strumenti di carving files sui dischi.
come Foremost, ad esempio.

[aled1974]

sai anche che virus è?
comunque se effettivamente i file sono stati sovrascritti ed ora appaiono di 0 byte allora l'unico consiglio, oltre a formattare, è quello di fare poi una scansione a tutti i dati che hai su hd esterni, chiavette, supporti ottici etc perchè questo virus da qualche parte è arrivato e se te lo sei salvato in uno dei suddetti supporti è facile che ci incappi nuovamente in futuro

ciao ciao

[Khronos]

comunque se effettivamente i file sono stati sovrascritti ed ora appaiono di 0 byte

e ci ha impiegato così poco? per me ha riscritto a decazzum la tabella di allocazione.
e sicuramente il firus s'è ritagliato un angolino.

[Shinji89]

Originariamente inviato da Khronos

per me la parte dati non è stata toccata.

usa strumenti di carving files sui dischi.
come Foremost, ad esempio.

uso raramente linux, lato windows conosci qualche programma simile ?
Anche a me sembra strano che mi abbia azzerato in 2-3 min un HD da 750GB e un SSD da 120GB. Anche se sotto c'è un quad core i7 :\

@aled1974
Purtroppo non so come si chiama. Il virus so' dove e come l'ho preso, e credo di sapere anche perchè l'antivirus non me lo segnalava, ovvero perchè il programma funziona inserendo prima una password.

Se può esservi utile come dettaglio aggiuntivo, ho avuto serie difficoltà a trovare una distro che riuscisse a partire da usb o cd, e solo allal fine non ho capito se a culo o meno sono riuscito con una di suse, disabilitando un paramtro che ora non ricordo nel live cd (tutte si bloccavano con un effetto alone durante il boot).

[Khronos]

hai usato il "nomodeset" per usare i MESA.
o hai disattivato il riconoscimento dell'ACPI.

Il virus so' dove e come l'ho preso, e credo di sapere anche perchè l'antivirus non me lo segnalava, ovvero perchè il programma funziona inserendo prima una password.

bene.
che programma era.

---------------------------------------------------------------------

programmi di carving "decenti" sotto windows? beh, sicuramente NON da usare nel sistema corrotto, ma con l'harddisk collegato via USB su un altro pc.
tanto vale usare la Live di linux....
comunque, per windows conosco GetDataBack.

[Shinji89]

Originariamente inviato da Khronos

hai usato il "nomodeset" per usare i MESA.
o hai disattivato il riconoscimento dell'ACPI.


bene.
che programma era.

---------------------------------------------------------------------

programmi di carving "decenti" sotto windows? beh, sicuramente NON da usare nel sistema corrotto, ma con l'harddisk collegato via USB su un altro pc.
tanto vale usare la Live di linux....
comunque, per windows conosco GetDataBack.

disattivato ACPI. Ho installato foremost, ma non riesco a trovare una guida che mi spieghi quello che devo fare nel mio caso. Potresti suggerirmi i comandi ?

Grazie in anticipo!

[Shinji89]

Forse ci siamo...Ho seguito questa guida -> http://www.myfixlog.com/fix.php?fid=60

Per ora la console sta "andando" mostrando diversi file con una dimensione. Il problema è che ho messo come luogo di output la chiavetta che ovviamente non può contenere 750GB. A questo punto cosa mi consigli di fare ? Mi procuro un hard disk e riprovo a lanciare il programma ? O ci sono modi per ripristinare direttamente nella partizione i file ?

Edit: dopo qualche min, la console si è piantata riportando una serie di simboli rossi, forse per via della chiavetta?

[Khronos]

hai bisogno di un secondo disco fisso su cui verranno scritti i file trovati nel tuo da analizzare.

su linux, basta scrivere, nella console,

man foremost

scorri in basso e troverai sintassi ed esempi.

[Shinji89]

Nei prossimi giorni me ne procuererò uno, nel frattempo grazie mille, per i consigli! Vi terro aggiornati.

[Shinji89]

Rieccomi! Mi sono procurato l'HD ma ho alcune difficoltà con foremost. Scrivo esattamente questo

 foremost -i /dev/sdb -o /run/media/linux/THOSHIBA\ EXT/bak -T -v

(Lo "\" dopo TOSHIBA lo scrivo perchè ho notato che l'unico modo che ho per accedere alla cartella usando il comando "cd")

Il risultati sono 2:
- Non mi copia niente nell'HD nonostante nel terminale mi mostri una lunga serie di file che riesce a trovare
- Dopo qualche minuto si pianta con dei simboli strani.

Cosa sbaglio?

edit:
anche omettendo il comando -o (previo spostamento nella directoy con il comando cd) continua ad essere lo stesso il risultato. Non scrive niente nell'hd, ma a video vengo mostrati i file (quando avvio foremost la cartella di output che mi indica è giusta)

[Khronos]

foremost -i /dev/sdb -o /run/media/linux/THOSHIBA\ EXT/bak -T -v

analizzo il tuo comando.

-i /dev/sdb
input, sorgente. QUASI esatto. io metterei il NUMERO della partizione da cui stai recuperando i dati (sdb1, sdb2.....) ovviamente, un comando di recupero alla volta, in cartelle diverse di output .
recuperi la sdb1 in bak1, sdb2 in bak2....

--------------------------------------------------------

-o /run/media/linux/THOSHIBA\ EXT/bak
output. è montato in

/run/media/linux/THOSHIBA EXT/

e tu entri nella cartella "bak".
il \ dopo THOSHIBA (quante H....) serve a dirgli che c'è uno spazio nel nome dopo la \

ora. attenzione. tutte le volte che rilanci il comando lui ESIGE che la cartella "bak" sia VUOTA. quindi visto che fin'ora ha fatto solo casini, cancellala e ricreala.

-t
esige i tipi, dopo. se non lo metti è meglio, altrimenti DEVI scrivere

-t all
oppure
-t jpg
oppure
-t jpg,doc,pdf

ok?

-v, è il verbose che ti fa vedere tutto.
va bene.

mi piacerebbe vedere uno screenshot di questi "simboli strani". basta che premi STAMP sulla tastiera, ti salva lo screenshot sul desktop e lo posti su tinypic, per poi postare qua l'indirizzo che ti fornisce.

[Shinji89]

@Khronos
Grazie mille! Il problema era causato dal fatto che il disco era NTFS l'ho formattato in ext3 ed è andato tutto liscio (potrebbe essere stato anche l'aver rinominato l'etichetta dell'HD esterno ma non credo).

Dopo diverse ore di lavoro ho recuperato un 200GB di roba che ora devo guardare con calma visto che tutti i nomi dei file sono purtroppo persi :\

Colgo l'occasione per ringraziarti, e per chiederti se a questo punto secondo te mi conviene formattare o fare qualche altro tentativo di recupero con altri programmi per provare a recuperare più roba!