Re: Der wichtigste Schutz vor Ransomware fehlt natürlich

registrierungensindbloed schrieb am 03.09.2017 17:14:

So, gerade getestet. 16353 (neueste Version iirc). Immer noch kaputt. btw- wbadmin und die GUI dafür gehen noch.

Witzig, ich installiere auch gerade. :-) Aber war klar, dass es noch nicht verschwindet, ist ja erst mal nur deprecated. Meldungen hätte ich im Zweifel vielleicht noch erwartet.

Es ist also genau NICHTS passiert seit 8.1, danke Microsoft. Damit sind die Widerherstellungspunkte in Windows 10 absolut unbrauchbar. Vielleicht ist das der Grund warum der reservierte Speicherplatz auf 0% gesetzt ist, schließlich kann man eh nichts mehr wiederherstellen.

Ein wiederhergestelltes Windows selbst scheint doch zu laufen und in der GUI steht auch "unerwünschte Systemänderungen". Ich bleibe bei meinem Tipp, dass diese Funktion per Konzeption überhaupt nicht (mehr) dazu gedacht ist, ein komplettes Dateisystem auf einen vorherigen Zustand zurück zu setzen. Vielleicht war es das auch nie? Früher hatte Windows gar keine persistenten Snapshots und in XP gab es trotzdem so etwas wie Wiederherstellungspunkte, wo wirklich Dateien kopiert wurden. Aber eben nur Windows-Zeug, keine sonstigen Dokumente und so.

In meinen getesteten Dateien standen nicht nur irgendwelche Mülldaten, sondern beispielsweise CBS-Logauszüge, mit Zeitstempeln und allem. Das sieht mir sehr danach aus, dass die Blöcke für die gelöschten Dateien einfach neu verwendet wurden, also ganz normaler Betrieb. Bei der Wiederherstellung dann werden aus irgendeinem Grund Dateisystemstrukturen für die gelöschten Dateien wiederhergestellt, die dann aber immer noch auf die vorher verwendeten Blöcke zeigen, die mittlerweile oder zwischenzeitlich aber für andere Daten verwendet wurden/werden. So etwas wie Größenangaben der Dateien sind davon natürlich nicht betroffen, der Inhalt passt aber eben nicht mehr.

Das kann aber eigentlich kein Fehler sein, denn sonst würde der Zugriff auf keine Daten in Snapshots funktionieren. Wenn ich mir meine Backups und Vorgängerversionen angucke, dann scheinen die aber sauber zu sein.

Gucken wir uns also mal an, wie Snapshots unter Windows funktionieren: Es gibt zwischen dem Dateisystem und dem Volume einen zusätzlichen Blockmanager, der erkennt, dass Blöcke überschrieben werden sollen, die zu einem Snapshot gehören. Die Daten für den Block werden an eine andere Stelle kopiert und dann erst der ursprüngliche Schreibvorgang zugelassen. Woher weiß dieser Manager, welche Blöcke durch einen Snapshot geschützt sein sollen? Was, wenn Windows intern bei einem Wiederherstellungspunkt wirklich die Info vorhält, dass nur bestimmte Windows-Dateien und -Ordner geschützt sein sollten? Dann hätten wir genau das von mir beschriebene Szenario. Blöcke für Dateien, von denen du glaubst, dass sie geschützt sind, werden einfach für irgendwelche Schreibzugriffe neu verwendet.

Und guck dir mal die Konfiguration für die Systemwiederherstellung in Windows 7 an:

https://picload.org/thumbnail/rwwdrwgi/clipboard01.jpg
https://picload.org/thumbnail/rwwddcdw/clipboard02.jpg

Wenn ich den gleichen Test wie unter Windows 8.1 in meinem Windows 7 mache, kriege ich übrigens auch das exakt gleiche Ergebnis: Massenhaft Ordner und Dateien aus meinem gelöschten Ordner fehlen auch nach einer Systemwiederherstellung, aber auch wieder nicht alle.

Ein weiteres Indiz ist, dass ich die Defender-Updates, die nach der Erstellung des Wiederherstellungspunktes eingespielt wurden, nach der Rücksicherung wieder einspielen musste. Das hat aber auch geklappt. Warum sollte also ein Fehler irgendwelche Nutzdaten massenhaft beschädigen, du kannst das ja total einfach reproduzieren, aber keine Windows-Dateien, so dass der Defender beispielsweise nicht mehr aktualisierbar ist? Dessen Engine wurde ja ausgetauscht, dabei also mit Sicherheit auch Dateien gelöscht, wie in meinem Test mit irgendwelchen nicht-Windows-Dateien.

Wie sicher kannst du dir also sein, dass das jemals anders funktioniert hat? :-)