Suche nach Dateien mit doppelter Dateiendung

Mitglied: Kangaroojack

Kangaroojack (Level 1) - Jetzt verbinden

18.02.2016 um 18:51 Uhr, 1947 Aufrufe, 18 Kommentare, 2 Danke

Hallo Leute,

evtl. eine triviale Aufgabe, aber ich bekomme es nicht hin.
Ziel ist es von diesen blöden Verschlüsselungsviren betroffene Files zu finden. Bisher werden da ja (zum Glück noch) Dateiendungen angehangen, so dass man das noch analysieren kann.
Die Files heissen dann meist *.txt.mp3 oder *.doc.vvv etc.

Habe ein Powershellskript, welches mit das Dateisystem durchsucht und in eine Variable ausgibt.
Ich mache das bewusst mit dir /s /b weil Get-ChildItem einfach viel zu langsam ist.


Nun ist mir die Suche allerdings zu ungenau - da die Files bei einem Befall von Morgen evtl. die Endung *.zdf haben können.

Jetzt möchte ich die Suche dahingehend ändern, dass nach
*.???.???
gesucht wird.

Also quasi nach zwei "Punkten" mit genau 3 zeichen, die variabel sein können, dazwischen.
Hab schon bisschen rumgespielt, aber bekomme es nicht hin.
bzw.
oder

bringt leider auch die Files, die eine normale Dateiendung haben z.B. *.txt und halt nicht wie gewünscht nur Dateien mit *.txt.*

Habt ihr eine Idee für die Umsetzung?

Gruß
KangarooJack
Mitglied: 126919
126919 (Level 1)
18.02.2016, aktualisiert um 20:19 Uhr
fk
Bitte warten ..
Mitglied: Kangaroojack
18.02.2016, aktualisiert um 20:34 Uhr
gci ist viel zu langsam und scheidet daher aus. Dachte das hätte ich bereits oben erwähnt.
Bitte warten ..
Mitglied: 126919
126919 (Level 1)
18.02.2016, aktualisiert um 20:51 Uhr

Bitte warten ..
Mitglied: Kangaroojack
18.02.2016, aktualisiert um 23:31 Uhr
Danke für dein Post!
Das funktioniert. Leider bringt mir das jetzt viel zu viele Ergebnisse zurück.

Wenn man das jetzt noch filtern könnte, also dass nur Dateien gelistet werden, die heute geschrieben/geändert wurden - dann wärs denke ich okay.

also in etwa so:


Leider steht damit im Ergebnis kein Pfad drin und man müsste Datum/Uhrzeit wegtrimmen....

Und mit dir /s /b... lässt sich nicht nach dem Datum filtern...hmmmm
Bitte warten ..
Mitglied: TlBERlUS
19.02.2016, aktualisiert um 09:08 Uhr
Zitat von @Kangaroojack:

gci ist viel zu langsam und scheidet daher aus. Dachte das hätte ich bereits oben erwähnt.
Dir ist aber bewußt, dass 'dir' in Powershell ein Alias für 'gci' ist, und dazu in der Ausführung langsamer ist?
Zeit für ein Verzeichnis mit 598 Ordnern und 24.026 Dateien (mit recurse)

Bitte warten ..
Mitglied: joachim57
19.02.2016 um 11:20 Uhr
Ich experimentiere auch gerade mit sowas rum. Im Moment sieht mein Code so aus:



Ausführungszeit bei 14.647 Dateien, 2.072 Ordner, 13,9 GB ca. 4 Sekunden
Die Idee dafür stammt von HIER

Bin leider nicht so fit mit Powershell. Ist also bestimmt noch verbesserungsfähig...
Bitte warten ..
Mitglied: 126919
126919 (Level 1)
19.02.2016, aktualisiert um 11:39 Uhr
Zitat von @Kangaroojack:

Danke für dein Post!
Das funktioniert. Leider bringt mir das jetzt viel zu viele Ergebnisse zurück.

Wenn man das jetzt noch filtern könnte, also dass nur Dateien gelistet werden, die heute geschrieben/geändert wurden - dann wärs denke ich okay.
Kein Problem, wenn man's vorher weiß ...

@joachim57
lässt sich für Dateien die sich heute geändert haben so abkürzen:

Bitte warten ..
Mitglied: Kangaroojack
19.02.2016 um 12:58 Uhr
Zitat von @TlBERlUS:

Zitat von @Kangaroojack:

gci ist viel zu langsam und scheidet daher aus. Dachte das hätte ich bereits oben erwähnt.
Dir ist aber bewußt, dass 'dir' in Powershell ein Alias für 'gci' ist, und dazu in der Ausführung langsamer ist?
Zeit für ein Verzeichnis mit 598 Ordnern und 24.026 Dateien (mit recurse)

deshalb ja auch
cmd / c dir....
DIR ist bei sehr vielen Dateien um WELTEN schneller als GCI! Habs selber probiert. Wenn ich über GCI suche, braucht mein Skript >30 Minuten.
mit DIR ist es oft in ca. 10 Minuten durch!

Hier ein Post dazu:
http://www.codeproject.com/Articles/767649/Get-ChildItem-vs-Dir-in-Powe ...">http://www.codeproject.com/Articles/767649/Get-ChildItem-vs-Dir-in-Powe ...
Bitte warten ..
Mitglied: TlBERlUS
19.02.2016 um 13:45 Uhr
Zitat von @Kangaroojack:
DIR ist bei sehr vielen Dateien um WELTEN schneller als GCI! Habs selber probiert. Wenn ich über GCI suche, braucht mein Skript >30 Minuten.
mit DIR ist es oft in ca. 10 Minuten durch!
Wie viele Dateien durchsuchst du denn da?
Danke, werde ich mir bei Gelegenheit zu Gemüte führen!
Bitte warten ..
Mitglied: Kangaroojack
19.02.2016 um 14:26 Uhr
Zitat von @TlBERlUS:

Zitat von @Kangaroojack:
DIR ist bei sehr vielen Dateien um WELTEN schneller als GCI! Habs selber probiert. Wenn ich über GCI suche, braucht mein Skript >30 Minuten.
mit DIR ist es oft in ca. 10 Minuten durch!
Wie viele Dateien durchsuchst du denn da?
Danke, werde ich mir bei Gelegenheit zu Gemüte führen!


Es werden schon ettliche 100.000de Dateien (evtl. sogar Millionen) sein. habs noch nicht genau gezählt.
Ein Order der letztens befallen war hatte allein schon 123.000 Dateien.
Bitte warten ..
Mitglied: 126919
126919 (Level 1)
19.02.2016 um 14:44 Uhr
s. oben ...
Bitte warten ..
Mitglied: Kangaroojack
22.02.2016, aktualisiert um 17:53 Uhr
Vielen Dank an alle, besonders FLACHKOEPPER!

Also,
ich habe das jetzt so umgesetzt:

1. eine Batch - die dann, wenn nötig ein Powershellskript startet um die Fileliste auszuwerten
(habs nicht hinbekommen die for-Schleife mit einem cmd /c aus der powershell zu starten - kein Plan was das Ding hat, meckert jedenfalls immer rum)



2. Das Powershellskript, was die Auswertung macht und falls nötig eine Mail verschickt. In der Mitte ein Codeblock in dem man ggf. Ausnahmen definieren kann.



Wird also eine Datei mit doppelter Dateiendung sowie heutigem Datum gefunden, schreibt das Teil sie ins Log und schickt sie am Ende als Mail raus.
Das ganze habe ich als Task, jede Stunde, auf den Fileservern rennen.

Leider ist es halt so, dass er natürlich den ganzen Tag jede Stunde ne Mail raushaut, wenn eine entsprechende Datei angelegt wird.
Daher werde ich noch versuchen, die Dateien anhand der Uhrzeit (Stunde) zu filtern, da es bei uns doch recht viele Dateien mit doppelter Dateiendung im System gibt, sodass nur noch einmalig eine Mail rausgeht.
dann würde nur
Bitte warten ..
Mitglied: colinardo
22.02.2016, aktualisiert um 20:32 Uhr
Hallo @Kangaroojack

Oder man macht das intelligent mit einem Filesystemwatcher der automatisch sofort anspringt wenn eine verdächtige Datei entdeckt wird (Zeile 18 zum Verschicken der Mail ist auskommentiert da die Parameter erst angepasst werden müssen). Zur Demo gibt das Skript bei Erstellung einer verdächtigen Datei dies auf der Konsole aus.
Grüße Uwe
Bitte warten ..
Mitglied: Kangaroojack
22.02.2016 um 20:44 Uhr
Hallo Uwe, danke fürs posten!

Über den Begriff "filesystemwatcher" bin ich gestern in einem Powershell-Buch gestolpert, habs aber nicht weiter verfolgt.

Klingt interessant.
Aber ich stelle mir das ganze ziemlich Ressourcenhungrig vor, wenn das Ding ne Ordnerstruktrur von ettlichen 100.000 Dateien überwachen soll?
Hast du das Skript bei Dir/Euch am Start?

Gruß
Michael
Bitte warten ..
Mitglied: colinardo
23.02.2016, aktualisiert um 00:20 Uhr
Zitat von @Kangaroojack:

Klingt interessant.
Aber ich stelle mir das ganze ziemlich Ressourcenhungrig vor, wenn das Ding ne Ordnerstruktrur von ettlichen 100.000 Dateien überwachen soll?
Nein ist es nicht, das ist ja der Vorteil Windows klinkt sich in den Dateisystemtreiber ein und überwacht nur bestimmte Teile beim Platten-Zugriff die nötig sind, das kann man mit den Notify-Filtern optimieren.
Hast du das Skript bei Dir/Euch am Start?
Das Skript hier nicht aber diverse andere Skripte nach dem selben Schema, wovon es hier von mir noch einige weitere gibt.
Bitte warten ..
Mitglied: colinardo
23.02.2016, aktualisiert um 12:02 Uhr
Btw. gibt es für FileServer heutzutage von Windows Out-of-the-Box schon eine Überwachungsfunktion von Freigaben:
https://www.frankysweb.de/windows-fileserver-vor-ransomware-crypto-locke ...
https://www.frankysweb.de/windows-fileserver-vor-ransomware-schuetzen-up ...
Bitte warten ..
Mitglied: Kangaroojack
23.02.2016 um 21:45 Uhr
Man hat einfach viel zu wenig Zeit sich mit all dem in Ruhe zu befassen ;)

Klasse, vielen Dank für die Info. Werde ich mir auf jeden Fall anschauen!
Bitte warten ..
Mitglied: colinardo
02.03.2016 um 16:40 Uhr
Wenns das dann war, den Beitrag bitte noch auf gelöst setzen. Merci.
Bitte warten ..
Heiß diskutierte Inhalte
LAN, WAN, Wireless
Starlink im Unternehmen?
0xFFFFVor 1 TagFrageLAN, WAN, Wireless42 Kommentare

Guten Morgen Admins, leider leiden wir darunter, dass wir uns hier in DE noch in einem Entwicklungsland was die Internetanbindung angeht, sehr. Nun kam ...

Off Topic
Klimaanlage im Serverraum
gelöst imebroVor 1 TagFrageOff Topic20 Kommentare

Hallo, wir haben einen kleinen Serverraum (viell. 5 - 6 m²), in dem ein Serverschrank steht. Der Raum hat kein Fenster!!! Darin befinden sich ...

Windows 10
Windows 10 hängt bei Neustart immer bei "Bitte warten" über Stunden
gelöst Odde23Vor 1 TagFrageWindows 1023 Kommentare

Ich habe seit längerem, um genau zu sein seit gut einem Jahr, da wurde der Rechner gekauft, das Problem, dass der Rechner bei einem ...

Microsoft
Meine Gruppenrichtlinie wird nicht angewendet oder ich bin zu dumm
gelöst RandonDudeVor 1 TagFrageMicrosoft16 Kommentare

Hallo zusammen, ich bin Hobby-Admin für einen Versicherungsmakler. Wir haben ein Active Directory im Einsatz. Ich möchte verhindern, dass sich Benutzer an PCs anmelden, ...

Weiterbildung
Das Impostersyndrom oder: "Was kann ich eigentlich?"
AnduinVor 1 TagFrageWeiterbildung7 Kommentare

Werte Mitadmins, ich würde mich heute gerne mit einem mir wichtigen Thema an euch wenden. Ich bin 40 Jahre alt und seit 21 Jahren ...

Windows 10
Dokumentenanzeige auf 2.Bildschirm
gelöst Rico.lehmann93Vor 1 TagFrageWindows 107 Kommentare

Hey Leute, ein Kunde von uns sucht eine Möglichkeit Mietverträge dem Kunden auf einem Bildschirm anzeigen zu lassen. Auf dem Bildschirm soll aber wirklich ...

Windows Server
Igel + Terminalserver + VoIP + Softphone
Asgard-LokiVor 1 TagFrageWindows Server13 Kommentare

Gude Kolleginnen und Kollegen, ich habe da mal eine Frage zu einem Thema was für mich relativ neu ist. Wir wollen unsere Telefonie gerne ...

Windows Server
Zwei Netzwerkkarten im Server
gelöst Big.TurboladerVor 1 TagFrageWindows Server4 Kommentare

Hallo allerseits, ich habe ein Windows Server 2016 in einer VM erstellt um mein Wissen zu erweitern. Doch jetzt hänge ich an einem Problem ...