© Andrea Danti / 123RF.com

Bei der Reparatur und Datenrettung auf kompromittierten Windows-Rechnern spielen Linux-basierte Rettungssysteme von Antivirenherstellern ihre Stärken voll aus.

Microsoft Windows gilt aufgrund seiner vielen Sicherheitslücken als besonders anfällig für Schadsoftware wie Viren, Würmer und Trojaner. Da das Betriebssystem jedoch nahezu eine Monopolstellung auf dem Desktop einnimmt, sehen sich vor allem Administratoren in Unternehmen immer wieder damit konfrontiert, dass Schadprogramme Windows-Arbeitsplätze beschädigen oder gar unbrauchbar machen.

In solchen Fällen ist es meist sinnvoll, die beschädigten Computer von einem Wechseldatenträger aus hochzufahren und die Massenspeicher anschließend mithilfe eines externen Rettungssystems zu untersuchen. Zu diesem Zweck stellen viele Hersteller proprietärer Antiviren- und Anti-Malware-Software kostenlos erhältliche Notfall-CDs zur Verfügung, die mithilfe der herstellereigenen Scanner Schadsoftware auf Windows-Systemen ausfindig machen und entfernen. Zusätzlich lassen sich damit in vielen Fällen auch beschädigte Systemdateien reparieren, sodass man das Windows-System anschließend wieder nutzen kann.

Die Rettungs-CDs stehen als ISO-Image auf den Webseiten der jeweiligen Hersteller zum Herunterladen bereit. Sie basieren auf Linux-Derivaten und enthalten neben den AV-Scannern häufig auch freie Linux-Werkzeuge, mit denen man ein Backup der Zielsysteme anlegen oder auch Massenspeicher verwalten kann. Wir sehen uns im Folgenden an, was die einzelnen Notfall-CDs im Detail leisten.

Avira Rescue System

Das in Tettnang am Bodensee angesiedelte Unternehmen Avira [1] hat sich im Laufe der Jahre zu einem Global Player im Bereich der Systemsicherheit primär für Windows-Rechner entwickelt. Avira offeriert diverse Antivirenanwendungen für Produkte aus Redmond, erweitert sein Portfolio in den letzten Jahren jedoch kontinuierlich um VPN-Dienste, Sicherheitslösungen für Mobilsysteme wie Android und Apple iOS sowie Schutzsoftware für den Umgang mit E-Mails.

Mit dem Avira Rescue System [2] bietet das Unternehmen auch ein frei erhältliches Rettungssystem auf Basis von Linux an. Das als ISO-Abbild angebotene System fokussiert auf beschädigte Windows-Computer. Es prüft die Zielrechner auf Schadsoftware, kann das Betriebssystem reparieren und erlaubt auch das Editieren der Registry-Datei, die auf Windows-Computern als zentrale Konfigurationsdatenbank fungiert. Die Reparatur von Boot-Sektoren und das Modifizieren von Partitionen erlaubt das Tool nicht.

Darüber hinaus scannt Avira Rescue System auch Linux-Systeme auf Schadsoftware und kann diese entfernen. Das rund 1,2 GByte große Hybrid-Image lässt sich sowohl von einem optischen Datenträger als auch von einem USB-Speicherstick aus nutzen.

Start

Das auf Ubuntu 20.04.1 basierende und mit einem recht aktuellen 5.8er-Kernel ausgestattete System bootet zunächst in einen grafischen Grub-Bildschirm, der verschiedene Start- und Einstelloptionen anbietet. Hier ändern Sie über [F3]+ die Tastaturbelegung auf das deutsche Layout. Auf eine deutsche Spracheinstellung via [F2] müssen Sie allerdings verzichten, da Avira nur die englische Lokalisierung vorinstalliert – für einen deutschen Anbieter unverständlich.

Daneben können Sie über entsprechende Menüeinträge auch den Arbeitsspeicher testen oder die im System vorhandenen Massenspeicher überprüfen. Anschließend startet das System in einen modifizierten Unity-Desktop, der über nur wenige Applikationen in der links vertikal angeordneten Panel-Leiste verfügt (Abbildung 1). Um einen Überblick über alle installierten Anwendungen zu erhalten, klicken Sie unten in der vertikalen Panel-Leiste auf das Kachelsymbol. Die Startknöpfe der vorhandenen Applikationen erscheinen nun auf dem Desktop.

Abbildung 1: Optisch ist das Avira Rescue System auf der Höhe der Zeit.

Ausstattung

In der Panel-Leiste finden Sie einen sehr schnellen, aus dem Gnome-Fundus entlehnten Webbrowser sowie das ebenfalls aus dem Gnome-Fundus stammende Backup-Programm Déjà Dup. Darüber hinaus gibt es mit Fred einen forensischen Editor für die Windows-Registry. Als zentrales Element der Distribution fungiert jedoch das Avira Rescue System, das Sie mit einem Klick auf das Regenschirm-Symbol links oben im Desktop starten.

Nach dem Bestätigen der Lizenz führt das Tool einige grundlegende Konfigurationsschritte aus. Anschließend können Sie durch einen Klick auf die Schaltfläche Quick scan unten in Fenstermitte einen schnellen Systemscan ausführen lassen. Bereits in diesem Dialog fällt die starke Fokussierung auf Windows auf: Starten Sie die Avira-DVD auf einem Rechner, auf dessen Massenspeicher es ausschließlich Linux-Partitionen gibt, bleibt das Rettungssystem ohne weitere Aktivität im Systemscan stehen. Bei Multiboot-Installationen führt die Scansoftware ebenfalls zu keinem befriedigenden Ergebnis. Auch der Dialog Update bleibt unter Linux ohne Funktion (Abbildung 2).

Abbildung 2: Windows only: Trotz des Pinguins in der Seitenleiste beschränkt sich Avira Rescue System auf die Betriebssysteme aus Redmond.

Im Dialog Tools finden Sie neben dem Backup-Werkzeug Déjà Dup noch eine Schaltfläche zum Aufruf der Fernwartungssoftware Teamviewer. Beide lassen sich auch unter Linux nutzen, wobei jedoch bei Teamviewer die einzelnen Versionen nicht kompatibel sind. Die in das Avira-Paket eingepflegte Teamviewer-Version 15.15.3 entspricht dem derzeit aktuellen Stand der Fernwartungslösung.

Außerhalb des Avira-eigenen Rettungswerkzeugs finden Sie in der Kachelübersicht der Applikationen das grafische Frontend Gparted, mit dessen Hilfe Sie Massenspeicher verwalten. Es eignet sich als universelles Werkzeug für das Anlegen und Bearbeiten von Partitionen und Laufwerken. Daneben gibt es noch ein Terminal, mit dessen Hilfe Sie einige Linux-Befehle ausführen können.

Unter Windows

Auch unter Windows zeigt Avira Rescue System leichte Schwächen. Nach dem Start des Werkzeugs müssen Sie zunächst die Datenbank der Virensignaturen auf den aktuellen Stand bringen. Die Software zeigt dazu die Meldung Detection database is outdated an. Nach einem Klick auf Check update prüft sie zunächst, ob ein funktionierender Internet-Zugang besteht. Falls ja, bringt ein Klick auf die Schaltfläche Start Update die Datenbank auf den aktuellen Stand, und eine entsprechende Meldung erscheint.

Danach starten Sie durch einen Klick auf Start Scan die Systemüberprüfung. Hier wählen Sie zwischen einem schnellen und einem vollständigen Scan des Windows-Systems. Selbst bei einem Schnellscan einer aktuellen NVMe-SSD werkelte Avira Rescue System im Test jedoch recht gemächlich vor sich hin. Sie müssen daher sogar bei einem frisch aufgesetzten Windows auf einer größeren Partition für einen Scan mehrere Stunden Laufzeit einplanen. Anschließend lassen sich gegebenenfalls lokalisierte Schadprogramme entfernen.

Comodo Rescue Disk

Die Comodo Rescue Disk (CRD) stellt mithilfe eigenentwickelter Linux-Werkzeuge ein Rettungssystem für Windows-Rechner bereit. Dabei nutzt der US-Hersteller [3] das extrem schlanke, aus der Schweiz stammende Slitaz Linux als Basis. Das unabhängig aus den Quellen entwickelte Betriebssystem kommt in der Comodo-Variante mit einem Kernel 2.6.37 und nutzt Openbox als Window-Manager. Es lässt sich auch auf 32-Bit-Hardware einsetzen und arbeitet auf allen Plattformen ebenso ressourcenschonend wie schnell. Sie erhalten das CRD-System als lediglich rund 55 MByte großes hybrides ISO-Image [4], das Sie von USB-Flash-Sticks oder CD-ROM nutzen können.

Software

CRD umfasst nur einen kleinen Softwarebestand. Als zentrales Element stechen die Comodo Cleaning Essentials (CCE) ins Auge, eine GUI-Werkzeugsammlung für das Säubern von Windows-Systemen von Schadprogrammen. CCE lädt nach dem Hochfahren des Systems automatisch und nimmt zunächst eine Aktualisierung der Signaturen vor. Anschließend öffnet sich ein Assistent, mit dessen Hilfe Sie das Windows-System prüfen (Abbildung 3).

Abbildung 3: Auch die Comodo Rescue Disk kommt mit einem eigenen Werkzeug zur Rettung von Windows-Installationen.

Dort definieren Sie zunächst, ob Sie einen Smart Scan, einen Full Scan oder einen Custom Scan vornehmen möchten (Abbildung 4). Beim Custom Scan legen Sie in einem gesonderten Dialog die zu scannenden Verzeichnisse fest und geben an, ob CCE auch den Boot-Sektor des Systems prüfen soll. Für den Full Scan und den Smart Scan gibt es keine weiteren Einstellungen. Hier aktualisiert CCE zunächst die Signaturdatenbank für Schadprogramme und startet anschließend den Systemscan. Dabei informiert eine nahezu in Echtzeit aktualisierte Fortschrittsanzeige über die gefundenen problematischen Dateien.

Abbildung 4: Die Comodo Rescue Disk stellt verschiedene Scanmodi zur Auswahl.

Vor Auswahl einer Scanoption empfiehlt es sich, über einen Link oben im Programmfenster den Dialog Options aufzurufen. Dort legen Sie fest, ob CCE auch den Master Boot Record (MBR) des Datenträgers auf Modifikationen überprüfen soll und ob es Dateiarchive in die Prüfung miteinbezieht. Daneben geben Sie hier die maximale Größe der zu scannenden Inhalte an; voreingestellt lässt der Scan Dateien von mehr als 40 MByte Umfang außen vor.

Über den Link Tools, den Sie im CCE-Hauptfenster finden, betrachten Sie nach Abschluss des Scans die in ein Quarantäneverzeichnis ausgelagerten Dateien und werten die bei jedem Lauf voreingestellt erzeugten Log-Dateien aus. Bei Letzteren handelt es sich um herkömmliche Textdateien, die Sie beispielsweise zur späteren Dokumentation auf einen externen Datenträger sichern.

Zusatzwerkzeuge

Die Comodo Rescue Disk verfügt darüber hinaus noch über ein kleines Programmmenü in der oberen Panel-Leiste. Hier finden Sie den Slitaz Netbox Manager für die Konfiguration der (W)LAN-Schnittstellen, den schlanken Webbrowser Midori, den Dateimanager PcmanFM, ein kleines Screenshot-Werkzeug sowie das Terminal Xterm. Eine Möglichkeit, weitere zusätzliche Applikationen in das System zu installieren, gibt es nicht.

Textmodus

Als Besonderheit weist die Comodo Rescue Disk zusätzlich einen Textmodus auf, den Sie im Grub-Boot-Menü über die Option Enter the Text Mode aktivieren. In dieser Betriebsart starten die Comodo Cleaning Essentials als reine Textanwendung, die einige zusätzliche Optionen integriert, die im grafischen Modus gesondert ausgeführt werden (Abbildung 5). Dazu zählt beispielsweise das Werkzeug zur Konfiguration des Netzwerks. Die Bedienung erfolgt komplett über die Tastatur; die Ausgabe teils mittels semigrafischer Elemente wie etwa eines Fortschrittsbalkens beim Scan der Massenspeicher.

Abbildung 5: Auch Freunde des Textmodus kommen bei der Comodo Rescue Disk auf ihre Kosten.

ESET SysRescue Live

Das slowakische Unternehmens ESET mit Sitz in Bratislava [5] entwickelt für Microsoft-Betriebssysteme seit knapp 30 Jahren verschiedene Sicherheitslösungen, die sich auch noch mit bereits sehr betagten Windows-Installationen einsetzen lassen. Die kostenlose Distribution ESET SysRescue Live [6] offeriert der Anbieter als ISO-Abbild für optische Datenträger sowie als IMG-Abbild für USB-Wechseldatenträger. Letzteres passt mit rund 740 MByte Umfang auch auf kleinere Speichermedien. Im Grub-Bootmenü aktivieren Sie über die Taste [F2] die deutsche Lokalisierung.

Werkzeuge

Zentrales Werkzeug für die Reparatur eines kompromittierten Windows-Systems ist das Tool ESET SysRescue, das nach dem Hochfahren des auf Ubuntu basierenden Linux-Derivats automatisch startet. Nach dem Bestätigen der Lizenz öffnet sich das Hauptfenster des SysRescue-Tools (Abbildung 6). Dort bringen Sie zunächst durch einen Klick auf Update links in der vertikalen Leiste die Signaturen für die Virendatenbanken auf den aktuellen Stand.

Abbildung 6: Das Programm ESET SysRescue übernimmt das Scannen und die Reparatur von Windows-Partitionen.

Anschließend starten Sie durch einen Klick auf On-Demand-Prüfung den Scan des Windows-Systems (Abbildung 7). Rechts im Fenster öffnet sich ein Einstellungsdialog, in dem Sie entscheiden, ob Sie eine Smart Prüfung oder eine Benutzerdefinierte Prüfung des Systems vornehmen lassen möchten. Bei Auswahl der benutzerdefinierten Variante modifizieren Sie anschließend in einem weiteren Fenster zahlreiche Einstellungen, die den Umfang der Prüfung beeinflussen.

Abbildung 7: Den Fortgang des Prüfungslaufs visualisiert ESET SysRescue über eine Fortschrittsanzeige.

Während des anschließenden Prüfungsdurchlaufs nennt die Software laufend die Zahl der gescannten Objekte und blendet zudem einen Fortschrittsbalken ein. Zusätzlich teilt sie mit, wie viele Bedrohungen erkannt wurden. Dabei unterscheidet die Routine nach Abschluss des Scans zwischen infizierten und gesäuberten Objekten.

ThreatSense

ESET SysRescue Live verwendet zur Erkennung infizierter Dateien und Objekte die sogenannte ThreatSense-Parametrierung. Dabei stellen Sie im Dialog Einstellungen für Prüfung… im ThreatSense-Prüfmodul die auf mehrere Gruppen verteilten Parameter ein.

Das ThreatSense-Prüfmodul bündelt verschiedene Methoden zur Erkennung von Bedrohungen. Sie definieren nicht nur, welche Objekte das Tool in die jeweilige Prüfung miteinbezieht, sondern auch, ob es potenziell unsichere oder unerwünschte Applikationen identifizieren soll. Sie können anschließend angeben, wie die Routine mit diesen Inhalten verfahren soll. Wahlweise bietet die Software dazu an, infizierte Objekte zu reparieren, also von gefährlichem Code zu befreien, oder sie aus dem System zu entfernen. Anhand eines Schiebereglers können Sie dabei festlegen, mit welcher Sensibilität das Programm arbeitet.

In einem weiteren Dialog besteht die Möglichkeit, die maximale Größe einzelner Objekte anzugeben. Obendrein legen Sie im selben Dialog fest, bis zu welcher Verschachtelungstiefe die Prüfung Archive durchforstet. Voreingestellt sind zehn Ebenen. Haben Sie alle Einstellungen vorgenommen, stoßen Sie mit einem Klick auf den Link Neue Prüfung einen weiteren Durchlauf an.

Zusatzoptionen

Im Hauptfenster der Applikation gelangen Sie nach einem Klick auf die Option Tools links zu zusätzlichen Optionen. Dabei sehen Sie über den Eintrag Log-Dateien die während des Prüflaufs angefertigten Log-Dateien ein und filtern sie nach verschiedenen Kategorien, beispielsweise Informationen, Fehlern oder Warnungen. Die Option Quarantäne gestattet es, Objekte aus der Quarantäne wiederherzustellen oder sie dorthin zu verschieben. Dazu blendet die Software einen entsprechenden Dialog zur Dateiauswahl ein. Über Schutzstatistiken vollziehen Sie anhand einer Tortengrafik die unterschiedlichen Bedrohungsszenarien auf Ihrem Computersystem nach. Die Option Datei zur Analyse einreichen erlaubt es, eine verdächtige Datei bei ESET zur Begutachtung einzureichen.

Unter Linux

Die Prüfroutine im ThreatSense-Prüfmodul von ESET SysRescue Live kann auch Linux-Systeme auf unterschiedliche Bedrohungen hin prüfen. Da die entsprechenden Dialoge explizit auch das Scannen von E-Mail-Dateien auf Schadsoftware erlauben, eignet sich die Applikation für den Einsatz auf Mailservern auf Linux-Basis. Die in Mail-Dateien verbogene Malware entfaltet allerdings ihre Wirkung in der Regel nicht auf dem Mail-Server selbst, sondern erst auf den Mail-Clients unter Windows.

Für die Nutzung mit Linux-Clients steht zudem das grafische Partitionierungswerkzeug Gparted zur Verfügung, mit dessen Hilfe sich Massenspeicherprobleme beheben lassen. Es unterstützt eine Vielzahl von Dateisystemen und taugt somit auch für den Einsatz in Multiplattformumgebungen. Für die effiziente Arbeit mit Dateien und Verzeichnissen hat die Rettungsdistribution zudem den Midnight Commander sowie dessen grafisches Pendant PcmanFM an Bord.

Kaspersky Rescue Disk

Die vom russischen Security-Spezialisten Kaspersky Lab [7] herausgegebene Rescue Disk [8] steht kostenlos auf der Webseite des Unternehmens zum Download bereit. Das hybride ISO-Abbild mit einem Umfang von rund 610 MByte basiert auf Gentoo Linux. Nach dem Herunterladen und dem Transfer auf ein startfähiges Medium öffnet das Betriebssystem zunächst den grafischen Bootmanager Grub, in dem Sie zwischen der englischen und russischen Lokalisierung wählen. In einem weiteren Dialog finden Sie danach verschiedene Startoptionen vor, wobei das System aufgrund seiner schlanken Konzeption sehr zügig in einen optisch unauffällig wirkenden XFCE-4.12.2-Desktop bootet.

Die Kaspersky Rescue Disk fokussiert funktional primär auf die Reparatur von Windows-Systemen, ist jedoch wesentlich breiter aufgestellt als viele andere Lösungen: Auch Linux-Systeme lassen sich sofort mit dem integrierten Rescue Tool überprüfen, und Zusatzsoftware wie beispielsweise der Midnight Commander, Htop und ein Tool zur Erkennung der Hardware erlauben einen flexiblen Einsatz der Disk.

Nach dem Hochfahren startet automatisch das Rescue Tool, um einen Systemscan vorzunehmen. Fehlt eine LAN-Anbindung, pausiert das System zunächst die Initialisierungsroutine, um Gelegenheit zur Konfiguration eines WLAN-Zugangs zu bieten. Steht die Netzwerkanbindung, blendet die Software nach der Initialisierung der Scan-Engine den Dialog zum Scannen des Systems ein. Dabei beziehen Sie bei Bedarf Boot-Sektoren und die EFI-Systempartition in den Scan mit ein. Gefundene Schadprogramme verschiebt das Rescue Tool in Quarantäne, um sie unschädlich zu machen. Zu Dokumentationszwecken können Sie außerdem nach Abschluss der Systemprüfung einen Report des Scans generieren (Abbildung 8).

Abbildung 8: Das Kaspersky Rescue Tool kommt mit einer schlichten Oberfläche.

Unter Windows

Für Windows-Systeme läuft der Scan in derselben Reihenfolge ab wie bei Linux-Systemen, allerdings nimmt das Rescue Tool dabei voreingestellt nur einen schnellen Scan vor. Um das Windows-System komplett zu überprüfen, müssen Sie im Dialog Change parameters die entsprechenden Laufwerke durch Setzen eines Häkchens markieren. Im Scan-Fenster fällt der bei der Prüfung von Linux-Systemen nicht vorhandene Link Tools auf. Ein Klick darauf öffnet ein Dialogfenster, das neben einem Registry Editor einen Windows Unlocker sowie den Starter USB Recover anbietet (Abbildung 9).

Abbildung 9: Kaspersky hat auf der Rettungsdisk einige zusätzliche Werkzeuge für Windows installiert.

Während der Unlocker Ransomware bekämpft, dient das USB-Recover-Tool dazu, die Funktion von USB-Geräten wiederherzustellen, die versehentlich fehlerhaft aus dem Windows entfernt wurden. Dazu gilt es, auch entsprechende Schlüssel in der Windows-Registry zu bearbeiten (Abbildung 10).

Abbildung 10: Mit dem Rettungssystem von Kaspersky können Sie auch die berühmt-berüchtigte Registry editieren.

Norton NBRT

Das vom US-Hersteller Symantec angebotene Norton Bootable Recovery Tool (NBRT [9]) ist ebenfalls ein auf Linux basierendes Live-System, das der Hersteller als hybrides ISO-Image zum Download anbietet. Die rund 850 MByte umfassende Rettungsdistribution wirkt nach dem ersten Hochfahren optisch zwar halbwegs modern (Abbildung 11), zeigt jedoch bei einem Blick unter die Haube reichlich antiquierte Komponenten: NBRT setzt auf Red Hat Enterprise Linux 6 auf, das bereits Ende 2010 erschien, jedoch noch Support erhält. Das 32-Bit-System nutzt daher auch noch einen Kernel 2.6.32.

Abbildung 11: Auch mit dem NBRT-Werkzeug scannen Sie komplette Windows-Systeme.

Beim Hochfahren aktiviert NBRT einen Assistenten als zentrales Element des Rettungssystems, das Startmenü wurde aus der Panel-Leiste verbannt. Als einzige weitere Hilfsprogramme stehen der Webbrowser Opera und ein Terminal bereit, die sich direkt aus der Panel-Leiste starten lassen. Auch Opera ist alles andere als taufrisch: Die in NBRT integrierte Version 12.16 erschien am 4. Juli 2013.

Werkzeugkasten

Der nach dem Hochfahren des Systems von einem Wechseldatenträger automatisch gestartete Assistent eignet sich ausschließlich für die Reparatur von Windows-Systemen. Nach der Sprachauswahl und dem Bestätigen der Lizenz bringt NBRT zunächst alle Definitionsdateien für Schadsoftware auf den aktuellen Stand. Dieser Vorgang kann längere Zeit dauern und wird von der Meldung Schutzdefinitionen werden aktualisiert… begleitet.

Findet die Software ein installiertes Windows-System, startet sie automatisch einen Scan des gesamten Massenspeichers, andernfalls bricht sie mit einer Fehlermeldung ab. Für das Absichern von Linux-Systemen lässt sich NBRT also nicht einsetzen. Während des Scans gefundene problematische Dateien listet das Tool tabellarisch auf, wobei es neben dem Dateinamen auch eine Gefahrenstufe angibt. Sie definieren dann in der Spalte Aktion, was mit der jeweiligen Datei geschehen soll.

Dazu aktiviert NBRT bei gefährlichen Dateien automatisch eine Löschfunktion, die Sie gegebenenfalls durch Entfernen des Häkchens vor dem jeweiligen Eintrag explizit deaktivieren müssen. Nehmen Sie an den Einträgen in der Tabelle keine Veränderung vor, werden nach einem Klick auf Fix oben rechts im Fenster und nach einer weiteren Sicherheitsabfrage die gelisteten Dateien entweder gelöscht oder repariert. Dadurch lässt sich unter Umständen ein blockiertes Windows-System wieder gangbar machen.

Datensicherung

Nach der Aktualisierung der Signaturdaten bietet NBRT die Möglichkeit, noch vor dem Start des Systemscans wichtige Dateien aus der beschädigten Windows-Installation zu sichern. Dazu gibt es einen speziellen Speicherdialog, den Sie über Rufen Sie Ihre Dateien ab aktivieren. Es öffnet sich ein Dateimanager mit den Systempartitionen des Massenspeichers (Abbildung 12), in dem Sie die gewünschten Dateien durch Setzen eines Häkchens zur Sicherung vormerken und anschließend auf einen USB-Wechseldatenträger sichern.

Abbildung 12: NBRT gestattet auch das Sichern einzelner Ordner und Dateien.

Sofern kein USB-Speichermedium am System hängt, weist die Applikation mit einer entsprechenden Fehlermeldung auf dieses Manko hin und gestattet es, noch ein Gerät mit dem Windows-Rechner zu verbinden. Anschließend können Sie die Dateien darauf sichern. Sie sollten nach Möglichkeit keine Windows-Systemdateien auf das Wechselmedium speichern, sondern ausschließlich persönliche Dateien, da sich bei Systemdateien ein Befall durch Schadsoftware nicht ausschließen lässt.

REVE Rescue Disk

2014 brachte die REVE Group [10] erstmals ihr REVE Antivirus auf den Markt. Das in Singapur beheimatete Unternehmen gehört zu den wenigen, die eine Antivirenlösung speziell für Linux anbieten. Die auch für Desktop-Systeme gedachte Software gibt es in Varianten für 32- und 64-Bit-Systeme.

Daneben stellt der Anbieter die REVE Rescue Disk [11] bereit, die sich nach einer Registrierung kostenlos herunterladen lässt. Das rund 240 MByte große ISO basiert auf dem schlanken Puppy Linux 5.2.8 und bietet eine grafische Oberfläche sowie zahlreiche grafische Werkzeuge.

Nach dem Start des Systems öffnet sich zunächst eine bebilderte Kurzanleitung. Anschließend gestattet der Puppy-eigene Konfigurationsdialog das Lokalisieren des Betriebssystems und das Anpassen der Bildschirmauflösung. Nach einem Neustart des X-Servers präsentiert sich ein vollwertiges Puppy Linux mit angepasstem Hintergrund (Abbildung 13).

Abbildung 13: Die auf Puppy Linux basierende REVE Rescue Disk eignet sich sowohl als Backup- wie auch als Rettungssystem.

Konzept

Im Gegensatz zu den Rettungssystemen anderer Hersteller konzentriert sich die REVE Rescue Disk nicht auf ein proprietäres Werkzeug zum Wiederherstellen eines durch Schadsoftware lahmgelegten Windows-Systems, sondern stellt die Datensicherung in den Vordergrund. Dazu eignet sich Puppy ausgezeichnet, da es durch das Darstellen der vorhandenen Laufwerke auf dem Desktop das Einbinden und Öffnen der einzelnen Partitionen per Mausklick gestattet. Anschließend lassen sich dann Ordner und Dateien innerhalb der geöffneten Instanzen des Dateimanagers per Drag & Drop transferieren (Abbildung 14).

Abbildung 14: Das REVE-Paket eignet sich vor allem zum Anfertigen von Sicherungen.

Darüber hinaus fällt die REVE Rescue Disk als praktisch komplettes Puppy-Linux-System inklusive aller vorinstallierten Systemwerkzeuge aus dem Rahmen. Über den Puppy Package Manager installieren Sie bei Bedarf beliebige Software nach, ja sogar eine (allerdings nur in Ausnahmefällen sinnvolle) Installation auf einem Massenspeicher gelingt. Die REVE Rescue Disk eignet sich daher auch vorzüglich zur Arbeit mit beschädigten Linux-Systemen. Um kompromittierte Windows-Systeme zu reparieren, müssen Sie dagegen die betroffenen Partitionen via Rescue Disk auf einen Wechseldatenträger transferieren und mithilfe einer kommerziellen Scannerlösung der REVE Group auf einem anderen System bearbeiten.

Auf der Disk finden sich nur wenige vorinstallierte Anwendungen. Dazu zählt die Fernwartungslösung Teamviewer, allerdings in der schon recht antiquierten Version 7 samt einer kompletten Wine-Laufzeitumgebung. Neben Googles Webbrowser Chrome in der ebenfalls veralteten Version 21.0 gibt es noch den schlanken Webbrowser Dillo. Beim Start eines Webbrowsers aus der Panel-Leiste am unteren Bildschirmrand öffnet sich ein Auswahldialog, in dem Sie das gewünschte Exemplar auswählen.

Da das REVE-Paket die üblicherweise in Puppy Linux eingepflegten Tools zur Hardwareerkennung und Systempflege inklusive der Backup-Routinen komplett übernommen hat, eignet es sich zudem für die Fehlerlokalisierung bei Hardwareproblemen. Unverständlich bleibt allerdings, warum die Entwickler auch zahlreiche Multimediaanwendungen sowie einige Spiele in der Distribution belassen haben – das passt nicht in das Konzept eines plattformübergreifend einsetzbaren Rettungssystems.

Fazit

Die verschiedenen Rettungssysteme beweisen eindrucksvoll, dass Linux auch für die Rettung und Wiederherstellung fremder Betriebssysteme bestens taugt. Die meisten der besprochenen Distributionen nutzen herstellereigene proprietäre Werkzeuge, um Malware aus einem kompromittierten Windows-System zu entfernen.

Aus dem Rahmen fallen dabei die REVE Rescue Disk, die mit einem leicht modifizierten Puppy Linux wirklich bei allen Betriebssystemen Daten sichern und sogar Hardwareprobleme beseitigen kann, sowie das Avira Rescue System und Norton Bootable Recovery Tool, deren Werkzeuge zur Reparatur nur mit Windows-Systemen harmonieren.

ESET SysRescue Live scannt E-Mail-Dateien nach Schadsoftware ab und eignet sich damit zur Prüfung von Linux-Mailservern. Die Comodo Rescue Disk bietet als Alleinstellungsmerkmal einen Textmodus, in dem sich die wichtigsten Funktionen ohne grafischen Desktop nutzen lassen.

Für den Administrator in heterogenen Umgebungen bleiben damit bei der Auswahl der zu seinen Anforderungen passenden Rettungsdistribution kaum Wünsche offen. (jlu)