[w2k3]gehacked, bestanden niet te verwijderen uit prullenbak

[Anoniem: 36681]

Ik heb nog 1 w2k3 server in mijn netwerk hangen en deze is zojuist gehacked.
Ik heb de hack/lek kunnen dichten echter de hacker heeft wat bestandjes geplaatst in de prullenbak.

Het probleem is dat ik met geen mogelijkheid zelf bij deze bestanden kan komen, via rdp maak ik een verbinding en in de verkenner zie je de bestanden niet (show hidden en sytem folders staat aan).
Via de cmd zie ik wel de map maar kan er niet inkomen (acces denied), verwijderen gaat dus ook niet.

Als ik een FTP account aanmaak en ik geef bv login naar de C-drive voor mezelf dan kan ik bij de bestanden komen en deze downloaden, echter verwijderen lukt me ook niet.

Iemand een idee hoe ik deze bestanden krijg verwijderd en/of hoe ik deze gewoon zichtbaar kan maken in de verkenner?

De server was niet ernstig gehacked (geen controle over de machine), een reinstall zal uiteraard wel gebeuren maar niet direct.

[Edgarz]

Omvang van de pruillenbak op 0 zetten en map verwijderen?

[Anoniem: 36681]

hoe? (ik weet hoe je het op 0 zet)
Ik zie die mappen dus niet in windows, enkel als ik via een ftp inlog en daar heb ik geen rechten om deze te verwijderen.

Dus op 0 zetten heeft geen effect, dan zie ik nog steeds de bestanden niet welke ik wil verwijderen.

[RobIII]

Met een gehackte bak (en zéker een server) wil je maar 1 ding: Format C: en opnieuw beginnen. Je weet nooit 100% zeker of je alles hebt gewist (je weer nooit waar die hackers allemaal hun spullen achter laten) en voor je het weet ben je wéér net zo hard gehacked. Sterker: check alle verbonden bakken ook maar even to be sure.
Kans is groot dat het gewoon een scriptkiddie was of een automated bot achtig iets, maar ik zou in geen geval enig risico nemen hiermee.

[Anoniem: 36681]

weet ik, maar het is de laatste server in het rack en deze gaat over 2 weken ook offline (voorgoed)
Er hangt geen andere server meer bij, je begrijpt dat ik niet veel meer energie ga steken in een server welke over 2 weken uit het DC wordt gehaald (er hangt op die locatie geen 1 machine meer van ons), de machine doet bijna niets meer en hangt er nog omdat er een enkele klant op staat welke nog niet klaar was met het weg verhuizen. (zodra deze eraf is gaat machine weg)

Deze server zal nog ca 2 weekjes moeten draaien, ik heb de hele machine net al nagekeken en het lijkt idd op een script kiddie, probleem alleen is dat ik die bestanden niet weg krijg, ik kan ze ook niet zien dus... Als ik de rechten wil aanpassen krijg ik een error op INFO2, dit bestand kan ik dus niet wijzigen (van hidden afzetten).

Ik zoek daarom een andere manier om deze bestanden eraf te gooien (Zijn een paar films)

[nIghtorius]

geven de bestanden de grootte van 0 bytes in de eigenschappen/properties?
zo ja.

probeer deze tool:

en scan de C:\ schijf met deze tool

http://www.phibiansoft.net/files/fscchk.exe (CMDLINE tool)

[ Voor 11% gewijzigd door ACM op 31-08-2016 09:40 ]

[Anoniem: 36681]

De eerst tool kan ze ook niet verwijderen en de 2de tool ziet niets verkeerds, zie hier een stukje log:

Controleren inhoud via NT objects NTFS padtoewijzing.
map bevat inhoud:
C:\RECYCLER\S-1-5-21-1956189819-1215256831-765488018-500\desktop.ini
C:\RECYCLER\S-1-5-21-1956189819-1215256831-765488018-500\INFO2
verwijderen map C:\RECYCLER\S-1-5-21-4222399835-1517211956-2091364853-500
Via normale NTFS padtoewijzing.
Mislukt!

en dat gaat zo maar door...

[alt-92]

Er is ook niks verkeerd mee, dat is namelijk de Recycle bin van de Administrator account (SID eindigt namelijk op 500) en die INFO2 file is een recycle bin indexfile.

[Anoniem: 36681]

ja ok maar er zit een hidden map in welke niet zichtbaar is via de verkenner en in die map staan de films:

C:\RECYCLER\S-1-5-21-1956189819-1215256831-765488018-500>cd Dc56
Toegang geweigerd.

Deze Dc56 map is in windows nergens zichtbaar, ook als je een dir een listing doet in de dosbox niet, enkel via de TAB (aanvullen) functie wordt deze wel automatisch gekozen.
Ook als je een FTP account aanmaakt en je zet de recycler map in je allowed ftp path dan zie je deze map dus weer wel.
Via ftp kan je wel in de Dc56 map komen en zie je dus ook de films/bestanden staan die je vervolgens ook kan downloaden, echter het verwijderen ervan via FTP gaat ook weer niet.

[alt-92]

Kijk, dat zei je er niet bij
Je kan met subinacl of andere resourcekit utils misschien nog wat aan take-owner doen en rechten zetten.
Andere optie is dat je NTFS style parameters doorgeeft:
\\?\C:\<verder>

Maar ik denk dat je er verstandiger doet om inderdaad die ene site met een noodmigratie over te zetten en die bak vroegtijdig uit te faseren.
Jij mag dan wel geen moeite meer erin te willen steken, maar met een eenmaal gepubstro'de machine weet je nooit 100% zeker of die clean is of niet.
Zo ben je ook anderen niet tot overlast.