Files weg na 1 dag firewall uitgezet te hebben

[Verwijderd]

Beste Got'ers,

Probleem:
Vanochtend logde ik vanuit mijn werk in via extern bureaublad (XP) op mijn pc thuis. Die mogelijkheid heb ik sinds 2 dagen ontdekt en ik maakte er graag gebruik van.
Echter kwam XP na connectie te hebben gemaakt met de melding dat er al een 'admin' ingelogd was en dat deze uitgelogd zou worden als ik met mijn eigen account in zou loggen. Ok gekozen.
Ik startte Verkenner op en ineens waren al mijn bestanden in de root van mijn e-schijf verdwenen. Oops!? Ik heb meteen uitgelogd want ik was bang dat er in de verbinding iets niet goed zat. Na enkele minuten opnieuw ingelogd. Weer gekeken met de Verkenner, maar nu ook op de andere schijven bestanden en mappen verwijderd. ZoneAlarm pro was opeens ook niet meer actief en zelfs de programma-map op d:\program files was verwijderd.

Niet alleen is al mijn muziek weg, maar ook 2 jaar aan digitale foto's. Ik ben zo stom geweest om nooit een back-up te maken. Nu is ruim 10 GB aan belangrijke data op verschillende schijven verdwenen.

Ik heb een kwartier daarna een huisgenoot gebeld en gezegd dat ze de PC uit moest zetten. Ook de power van het stekkerblok is uitgezet. Maar misschien is kans op recovery nu nog kleiner geworden.... (?)

De vraag is :
Hoe kan ik de verloren data terugkrijgen ?
Zijn daar Recovery Tools voor? Of kan het gewoon met WinXP?
Hoe is het mogelijk geweest dat een 'admin' (hackerbot of virus of whatever) op mijn thuispc heeft ingelogd en opeens alles verwijderd heeft?

Ik heb een vermoeden: Gisteren heb ik in ZoneAlarm de firewall instellingen 'uit' gezet. In de veronderstelling dat ZoneAlarm dan alsnog genoeg beveiling zou bieden dacht ik dat dat geen kwaad kon.

Mijn pc-specs:
P4 2,6Gz
100Mbit Sufnet LAN - internetverbinding
E, F, G schijven FAT32 en vol met mp3, movies en eigen muziek, foto's en schooldocumenten (nu weg dus).
Windows XP met SP2 op de D-partitie
ZoneAlarm Pro
Norton Systemworks 2004 (pro) NL met wel een installatiefout
Norton Ghost staat wel bij de pictogrammen rechtsonder maar verder nooit gebruikt...
Onder WinXP had ik een eigen admin account (zonder ww) en een remote account (met ww).
Vanmorgen de PC aangezet en ingelogd met admin, ff muziek geluisterd en weer uitgelogd.
Als er geen accounts zijn aangemeld, kan er toch verder niemand in via internet?

Ik hoop dat de situatie duidelijk is en dat iemand mij hulp kan bieden. Ik baal enorm dat mijn digitale foto's en eigen muziekcompo's verdwenen zijn!

Alvast bedankt!

[ Voor 6% gewijzigd door Verwijderd op 28-01-2005 11:39 ]

[mickjuh]

Ja dat kan...

http://www.ontrack.com/easyrecoverydatarecovery

Met deze kun je verwijderde bestanden terug halen, geformateerde partities terughalen etc.
Erg fijn. Met de trial kun je alleen zien wat je terug kan halen. Doe verder alleen niets op die schijf! Dus geen bestanden gaan op zetten enzo

[Zoefff]

Als bestanden daadwerkelijk verwijderd zijn, dan kan je ze (mits ze niet fysiek overschreven zijn) vaak nog terughalen met recoverytools zoals getdataback.

Ik zou me alleen wel eerst afvragen hoe het kan dat die bestanden weg zijn. Heb je al een virusscanner laten draaien op zoek naar Trojans of andere troep?

[Verwijderd]

Handige tool voor verwijderde files is GetDataBack. Wel natuurlijk op een andere partitie installeren dan diegene waar de bestanden op stonden. Je moet sowieso niets meer naar die partities schrijven totdat je er met zo'n tool ernaar hebt gekeken.

[Verwijderd]

Bedankt voor deze suggesties.

Ik had ook Spyware Search&Destroy resident draaien, die mn gehele verbinding monitorde.
Verder controleer ik regelmatig op virussen (Norton 2004) elke vrijdag - automatisch.

Zou het kunnen zijn dat mijn niet-doordachte actie om de Firewall instellingen van ZoneAlarm 'uit' te zetten, poorten heeft geopend voor 'kwaadwillende' programma's of surfers?

Hoe kan iemand remote inloggen als ik alleen het ww weet van mn 2e admin account (1e admin account heeft geen ww, dus daar kan ook niet remote aangemeld worden)?

[pasta]

Als je eerste admin account geen wachtwoord heeft kan juist jan en alleman erop inloggen. Daarbij is het verstandig om alleen 'Administrator' admin rechten te geven, en jezelf minder rechten (power user of gewone user). Voor meer info, zie ook Ervaringen: Niet inloggen als administrator onder Windows XP.

[Verwijderd]

pasta schreef op vrijdag 28 januari 2005 @ 14:58:
Als je eerste admin account geen wachtwoord heeft kan juist jan en alleman erop inloggen.

Volgens vele andere 'remote desktop' adviessites kan je niet remote inloggen als je account geen password hebt.
Aan de andere kant, als je niet via 'extern bureaublad' inlogt maar via een poort-hack tool (ofzo) is een admin account zonder ww wel erg gevoelig ja.

Hoe configureer ik mn firewall (Zonealarm pro) zodanig dat alleen IK remote access heb? Heeft iemand tips?

[frickY]

Zet de Internet Security op High en het IP vanaf waar jij remote wilt inloggen in je Local Zone. Dan kun je de Local Zone Security wat omlaag schuiven, en de poort voor je externe bureaublad open gooien.

Maar liever zou ik een router met firewall gebruiken waar je expliciter die poort alleen open zet voor het IP vanaf waar je inlogt, en als het even kan nog een andere poort (boven de 10000) gebruiken welke intern door route naar de poort van extern bureaublad (poort 3389)

[F_J_K]

Ik persoonlijk zou geen NAV of ZAP gebruiken maar een andere vscan resp. personal firewall.

Maar stel je firewall zo in dat alleen jouw IP adres toegang krijgt tot de juiste poorten. En sluit ongebruikte services af (zie de WOS FAQ), sluit niet essentiele poorten af, etc. En patch je OS, software, etc. zeer regelmatig.

Over file recovery staat trouwens al heel wat in de Software Algemeen / Opslagmedia & I/O Controllers FAQ's.

[Bor]

Het beste wat je kunt doen als iemand anders ongevraagd op jouw systeem heeft "ingebroken" is een complete reinstall. Je weet immers nooit wat deze persoon heeft achtergelaten aan backdoors / virussen etc. Begin ook direct met een goede backup strategie.

[Verwijderd]

Dank allen!

Inmiddels heb ik van de partities die de hacker heeft 'aangetast' een hoop data terug kunnen krijgen middels GetDataBack 2.31 (Fat).
Het was dus een hacker die mijn PC wilde overnemen (hij delete mijn bootfiles zodat ik winxp niet meer kon opstarten). Ik zag dat hij een map '_data' achterliet, met daarin enkele mappen met namen als '~-_-~-_ w00t w00t 0wnage again! -~-_-~-_ ' (etc). mp3, movies, speedtest.

Ik ga kijken of mijn provider een accesslog heeft, waar zijn ip in staat (en maar hopen dat ie geen fake-ip had). De kl00tzak......

Ander vraagje (mbt file-recovery):
Getdataback vindt een enorme hoeveelheid gewiste bestanden, 1000+ daarvan zijn degene die ik terug wil hebben. Met het zoeken vindt dit programma wel de long file names (LFN) maar bij het recoveren kan hij alleen de DOS-namen laten zien (xhe-Cr~1.mp3 ipv the Cranberries.mp3 bijv.)
Hoe kan ik de long file names terugzetten, zonder al die files handmatig te moeten aanpassen? Is er niet een soort add-on voor de laatste release van GetDataBack (fat) ?
Iemand tips?

Thanks in advance , wederom.