Übersicht über die von roc-k-IT eingesetzten Utilities / Tools
Inhalt der Standard-Installation
Siehe Installation von Rechnern
- Java (bei Bedarf)
- Advanced IP Scanner (bei Bedarf)
- Attribute Changer (bei Bedarf)
- Lockhunter (bei Bedarf)
- FrreCommander (bei Bedarf)
- TreeSize Free (bei Bedarf)
- Minitool Partition Wizard (bei Bedarf)
- WinMerge (für die Installation des daily-Jobs - SPS)
- VeryCrypt (für die Systembetreuung)
- Wireguard (für die Systembetreuung)
- WinSCP (für die Systembetreuung)
- PDF24Creator (für das Erstellen von PDF-Dateien)
Analysieren
- Windows-Version:
- winver
- Updates prüfen:
- Windows
- ??? Installierte Programme ???
- Treiber-Status: DriverEasy (früher: DUMO)
- Defender-Status
- HWiNFO (Leistungsdaten)
- HTML-Report ablegen
- Ereignisse prüfen
- Problemberichte: Systemsteuerung | Sicherheit und Wartung
- AutoRuns (mit Virustotal-Check)
- SPS installiert (welche Version): ?
Generell
RAM-Test:
Dateinamen
AllDup: Doppelte Dateinamen finden (mehr Optionen als AntiTwin)
AntiTwin: Doppelte Dateinamen finden
AntRenamer: Batch-Rename Dateien
Systemzustand analysieren / reparieren mit DISM
- Überprüfung der Systemdateien mit DISM (ab Windows 8.x)
(Windows Central und Computerwoche)
Als Administrator:- dism /Online /Cleanup-Image /CheckHealth (schnelle Prüfung)
- dism /Online /Cleanup-Image /ScanHealth (tiefere Prüfung)
- dism /Online /Cleanup-Image /RestoreHealth (tiefere Prüfung und ggfalls Reparatur)
Log in c:\windows\Logs\dism\dism.log
Prozess: WMI Provider Host (WmiPrvSE.exe)
- Alte Lösung: sfc / scannow
Prozesse analysieren
- procmon: Prozess Monitor (auch für Mailware-Analyse)
c't 2022/16, Seite 156ff
Festplatten prüfen
Performance Festplatten (mit Hilfe vom Powershell)
- Ereignisanzeige | System
- CrystalDiskInfo
- CrystalDiskMark
- Western Disgital Dashboard
- 10 GB Testdatei anlegen (fsutil file createnew C:\test.dat 10737418240) und Kopieren mit Protokoll
Netzwerk
- Windows 10: Network-Sniffer pktmgr integriert
https://www.borncity.com/blog/2020/05/18/windows-10-network-sniffer-pktmgr-integriert
VPN
- NordVPN (Support, Rechnungen etc. in Englisch)
- ProtonVPN (auch Freeware-Version [keine Updates, weniger Server])
Aufräumen
- Temporäre Dateien löschen
- Mitt TreeSize große Dateien / Verzeichnisse prüfen
Datenrettung
- WindowsFileRecovery
- Recuva
- DMDE (siehe Chip)
Benutzerprofile
ForenseiT
ForensiT User Profile WizardForensiT User Profile Wizard
Benutzerprofile kopieren: https://www.forensit.com/downloads.html
Super Grate
https://belowaverage.org/software/supersuite/supergrate/
Hinweis: Nicht getestet
Windows
https://www.deskmodder.de/wiki/index.php/Neuen_Benutzer_anlegen_mit_den_alten_Benutzerdaten_Windows_10
Wenn Sie keine Image-Datei benötigen und nur das Benutzerprofil in Windows 10 auf anderes Laufwerk oder einen anderen Computer kopieren möchten, können Sie die zweite Methode verwenden, die viel einfacher ist. Windows bietet ein integriertes Tool, um Benutzerprofil zu kopieren, löschen und migrieren.
1. Klicken Sie auf System im Startmenü, und wählen Sie Erweiterte Systemeinstellungen.
2. Klicken Sie auf den Knopf Einstellungen unter Benutzerprofile.
3. In diesem Popup-Fenster werden alle Benutzerprofile aufgelistet. Sie können ein beliebiges Benutzerprofil auswählen und es an einen anderen Ort kopieren, indem Sie auf Kopieren nach klicken. Klicken Sie dann im neuen Fenster auf Durchsuchen und wählen Sie einen Pfad zum Speichern des Benutzerprofils.
Hinweis: Wenn Sie alle Benutzerprofile auf eine andere Festplatte, einen anderen Computer oder einen anderen Benutzer kopieren möchten, wiederholen Sie Schritt 3, bis Sie alle Profile kopiert haben.
Lokales vs. Microsoft-Konto
- Lokales Konto in Microsoft-Konto ändern:
- Microsoft-Konto in lokales Konto ändern:
Frage an MS-Support 2023-08-24: Was bedeutet unter "Konten | Ihre Infos: Automatische Anmeldung an allen MS-Apps beenden"? Sobald ich das auswähle, wird aus meinem MS-Konto ein lokales Konto. Kann/muss ich dann "Stattdessen mit einem Microsoft-Konto anmelden." auswählen, um mein Konto (wieder?) zu einem MS-Konto zu machen?
Key Recovery
Windows-Kennwort zurücksetzen
Booten c't Notfall Windows | Kennwort zurück setzen
Dateien retten
c’t 2021/23, Seite 18 ff
Gelöschte Dateien sind nicht zwangsläufig unrettbar verloren. Das machen sich Hacker zunutze, um vertrauliche oder pikante Daten von achtlos entsorgten Festplatten, USB-Sticks und Speicherkarten zu kratzen. Die genutzten Tools sind natürlich auch für die Rettung eigener Daten äußerst nützlich – zum Beispiel, wenn Sie wichtige Dateien versehentlich gelöscht haben oder die Daten aus anderen Gründen plötzlich nicht mehr auffindbar sind. Auch Dateien auf SSDs lassen sich mit etwas Glück wiederherstellen, wenn das System den TRIM-Befehl noch nicht ausgeführt hat, um die Daten endgültig zu löschen.
Ein bewährtes Werkzeug für diesen Zweck ist das Open-Source-Tool PhotoRec, das auf allen möglichen Betriebssystemen läuft. Es ist eigentlich auf der Kommandozeile zu Hause, mit QPhotoRec gibt es inzwischen jedoch auch eine einfache Bedienoberfläche. Nach dem Start wählen Sie oben das zu durchsuchende Laufwerk oder ein Laufwerksabbild und darunter entweder eine bestimmte Partition oder das gesamte Speichergerät. Weiter unten stellen Sie das Dateisystemformat ein und rechts daneben wählen Sie aus, ob nur die unbelegten Speicherblöcke abgesucht werden sollen („Free") oder alles („Whole"). Zu guter Letzt geben Sie einen Zielordner für die aufgespürten Dateien an und starten die Rettungsaktion mit „Search".
Falls Ihre Dateien nicht lesbar sind, weil Partitionen oder Dateisystem beschädigt sind, können Sie gezielte Reparaturen daran durchführen. Hierfür greifen Sie am besten zu TestDisk, das Sie ohnehin bereits besitzen, wenn Sie PhotoRec heruntergeladen haben. Starten Sie TestDisk über die Konsole, führt es Sie interaktiv durch die wichtigsten Fragen, ehe die Reparatur beginnt. Über die „Undelete"-Funktion können Sie mit dem Tool außerdem gezielt einzelne Dateien wiederherstellen, was schneller zum Ziel führen kann als ein groß angelegter Rettungsversuch mit PhotoRec.
Prozesse hacken
c’t 2021/23, Seite 18 ff
Ein Windows-System gönnt sich selten eine Pause: Prozessor, Datenträger und Netzwerk stehen niemals still. Nur ein Blick hinter die Kulissen zeigt, womit der Rechner gerade beschäftigt ist. Installiert Windows gerade fleißig Updates oder wütet ein Krypto-Trojaner, der alles verschlüsselt, was er in die Finger bekommt? Mit den richtigen Systemtools finden Sie es heraus. Die Auswahl ist riesig, und am bekanntesten sind die SysInternals-Tools, die wir schon ausführlich in c’t präsentiert haben (siehe ct.de/y41x). Im Rahmen dieser Vorstellung von Hacking-Tools möchten wir den Blick auf das Mehrzweck-Tool Process Hacker lenken, das einige besondere Extras enthält. Um von diesen Extras zu profitieren, benötigen Sie einen frischen Nightly-Build (3.x).
Das Hauptfenster des Process Hacker ist in fünf Tabs unterteilt: „Processes" zeigt, ähnlich wie der Taskmanager, Informationen über laufende Prozesse an und „Services" listet die Dienste auf. Über den „Network"-Tab schauen Sie nach, welche Prozesse aktuell mit dem Netz kommunizieren. „Disk" macht Dateizugriffe sichtbar und „Firewall" lässt Sie auf die Aktivitäten der Windows-Firewall blicken. Dort sehen Sie, welche aktuellen Verbindungen auf Grundlage welcher Regeln zugelassen oder blockiert wurden. Damit sind nur die Basics beschrieben, es gibt aber noch viel zu entdecken.
Klicken Sie doppelt auf einen Prozessnamen, um ihn unter die Lupe zu nehmen. Hier können Sie zum Beispiel die geladenen Bibliotheken (Modules) einsehen, aber auch im Arbeitsspeicher des Prozesses stöbern (Memory). Klicken Sie dort auf „Options" und „String", listet Ihnen Process Hacker sämtliche Zeichenfolgen auf. So können Sie den Speicher zum Beispiel nach Zugangsdaten, IP-Adressen oder API-Schlüsseln durchsuchen, die das Programm dort bereithält. Über den Tab „Windows" der Prozesseigenschaften finden Sie heraus, welche Fenster einem Prozess zugeordnet sind und können sogar die einzelnen Fensterelemente verändern. So schalten Sie zum Beispiel – auf eigene Gefahr – gesperrte Buttons frei. Abschließend noch eine kleine Übungsaufgabe: Tippen Sie doch mal einen kurzen Text in den Editor von Windows und ändern Sie das Getippte anschließend, indem Sie den Arbeitsspeicher von notepad.exe mit dem Process Hacker manipulieren.
Netzwerkverkehr untersuchen
c’t 2021/23, Seite 18 ff
Wenn sich Ihr System auffällig verhält, kann sich ein Blick in den Netzwerkverkehr lohnen. Dafür ist NetworkTrafficView von NirSoft sehr praktisch: Es zeigt die Netzwerkverbindungen Ihres Systems an und verrät Ihnen, von welchen Prozessen die Verbindungen ausgehen. Aufschlussreich sind auch die DNS-Anfragen, denn bevor eine Verbindung zu einer bestimmten Domain aufgebaut werden kann, muss ein Prozess erstmal die dazugehörige IP-Adresse bei einem DNS-Server erfragen. Mit dem DNSQuerySniffer, ebenfalls von NirSoft, können Sie die Anfragen gezielt und live mitverfolgen. So können Sie auch prüfen, ob die DNS-Anfragen Ihres Systems noch im Klartext oder bereits verschlüsselt, etwa über DNS-over-HTTPS (DoH), übertragen werden. In letzterem Fall tauchen sie in dem Analyse-Tool nicht auf.
Mit PacketCache von Netresec schauen Sie bei der Analyse des Netzwerkverkehrs in die Vergangenheit: Der Dienst schreibt den IPv4-Traffic des Systems fortlaufend in den Arbeitsspeicher, wodurch Sie jederzeit herausfinden können, was in den letzten Minuten passiert ist. IPv6-Verkehr unterstützt er aktuell jedoch nicht. PacketCache wird von Hand eingerichtet, mit den Anweisungen auf der Herstellerseite (siehe ct.de/y41x) ist das jedoch schnell erledigt. Dort erfahren Sie auch, wie Sie die aufgezeichneten Daten abholen, beispielsweise mit dem Analyseprogramm Wireshark oder dem Auswertungs-Tool NetworkMiner, das auch von Netresec kommt. Es erlaubt einen schnellen Einblick in die Kommunikation: Wer spricht mit wem, DNS-Anfragen, TLS-Zertifikate und mehr.
Aus Klartextverkehr (HTTP) extrahiert es darüber hinaus Zugangsdaten, URL-Parameter und Bilddateien. Alles, was hier auftaucht, kann auch ein Angreifer sehen, der Ihren Datenverkehr zum Beispiel an einem Hotspot belauscht. Nutzen Sie das Tool, um Datenlecks zu erkennen und gezielt durch Verschlüsselung (etwa per VPN) zu beheben. Wenn Sie mit NetworkMiner live auf den Datenverkehr schauen möchten, sollten Sie den Capture-Treiber Npcap (WinPcap) installieren und als Netzwerkadapter für die Analyse wählen. Die zur Auswahl stehenden „Socket"-Adapter werten lediglich IPv4-Datenverkehr aus, nicht aber IPv6. Wenn Sie Wireshark installiert haben, besitzen Sie den Treiber wahrscheinlich schon.
PowerShell-Hacks
c’t 2021/23, Seite 18 ff
Die Windows PowerShell ist nicht nur ein fester Bestandteil des Betriebssystems, sie ist auch sehr mächtig – und das macht sie für Hacker interessant. Cyberschurken zweckentfremden die PowerShell längst für die feindliche Übernahme einzelner Rechner und ganzer Netzwerke (PowerShell Empire, siehe Seite 29). Aber sie lässt sich auch für nützliche Windows-Hacks einspannen, etwa um das Betriebssystem individuell zu konfigurieren und seine Geschwätzigkeit zu reduzieren.
Das PowerShell-Modul Sophia Script erlaubt Ihnen umfassende Eingriffe ins System, die normalerweise nur sehr umständlich möglich sind. Sie können damit zum Beispiel die Telemetrie- und Diagnosefunktionen zähmen, die Bing-Suche im Startmenü loswerden und den Windows Defender aufmotzen. Die Einrichtung ist bei GitHub ausführlich dokumentiert (siehe ct.de/y41x). In der Zip-Datei befindet sich das PowerShell-Skript Sophia.ps1, das demonstriert, wie Sie die Sophia-Kommandos aneinanderreihen, zum Beispiel um eine frische Windows-Installation nach Ihren Wünschen einzurichten. Führen Sie das Skript erst aus, nachdem Sie es inspiziert und die vorgegebenen Befehle an Ihre Bedürfnisse angepasst haben.
Sie können auch einzelne Funktionen direkt aufrufen. Der folgende Befehl etwa entfernt die Bing-Suche aus dem Startmenü:
. .\Functions.ps1
Sophia -Functions "BingSearch -Disable"
Grundsätzlich sollten Sie sich darüber im Klaren sein, was Sie tun und sich über Nebenwirkungen informieren. Wenn Sie etwa Telemetriedienste blockieren, müssen Sie beobachten, ob Windows weiterhin mit Updates versorgt wird. Es gilt die Devise: Weniger ist mehr! Falls Sie unsicher sind, was Sie mit einem Sophia-Befehl auslösen, können Sie einen Blick in den Powershell-Code werfen (Ordner „Module").
Router-Kennworte auslesen
- http://www.mengelke.de/Projekte/FritzBox-JSTool
- Fritz!Box Export-Datei laden
- Entschlüssen mit dem Kennwort der Sicherung
- Copy – Paste nach Notepad
- Suchen nach „username"
- RouterPassView (funktioniert nicht für Fritz!Box)
WLAN-Kennworte auslesen
https://www.chip.de/news/WLAN-Passwort-vergessen-Auslesen-mit-WirelessKeyView_177379296.html
WirelessKeyView
Einmal-Mail versenden
Z.B. zum Versand von Kennworten: read2burn
Sicherheit /Säubern
Antivirenprogramme
2022-02-13 https://www.imtest.de/347417/kaufberatung/antiviren-programme-test-vergleich-2023-windows-securitysuiten/#g2805d0193d92
Erstmals kamen im Test mit den Antivirenprogrammen auch Testrechner mit Windows 11 zum Einsatz. Selbst die Experten von AV-TEST hatten erwartet, dass Microsofts interner Schutz, der Windows Defender, ähnlich zuverlässig wie unter Windows 10 arbeitet. Doch dem ist nicht so. So zeigte das Microsoft-Produkt Schwächen bei Zero-Day-Malware. Eine 100-prozentige Erkennung leisteten dagegen die Schutz-Pakete von Avast, AVG, Avira, Bitdefender, G DATA, McAfee, und Norton.
Wie stark die Antivirenprogramme Windows 11 ausbremsen, untersuchten die Experten ebenfalls. Dafür führten sie auf einem Standard- und einem High-End-PC mit und ohne eine Schutzlösung jeweils definierte Aktionen durch: Internetseiten öffnen, Programme installieren und starten, Dateien herunterladen und Daten kopieren.
Eine sehr geringe Systembelastung erzielt dabei kein Produkt. Den Vogel schießt aber der Defender ab, der zum Teil durch einen besonders hohen Bedarf an Systemressourcen unangenehm auffällt. Ein Beispiel: Beim Kopieren von Dateien verlangsamt der Defender das Tempo auf dem Standard-PC um 63 Prozent.
Empfohlene Sicherheitseinstellungen
U.a. c’t 2021/2, Seite 136 ff
Fritz!Box / Router
- [UPnP deaktivieren (https://www.pcwelt.de/tipps/UPnP-abschalten-bringt-Sicherheit-7917164.html)] – Danach ist fritz.box nicht mehr erreichbar !?
- Freigaben prüfen: Port 5060 OK (Telefonie)
- Netzwerkcheck von heise Security (http://ct.de/ygt7)
Microsoft Attack Surface Analyzer (asa.exe)
https://www.chip.de/news/Windows-10-ueberwachen-Profi-Tool-von-Microsoft-ist-zurueck_168717194.html
Es gibt zwei Modi, „Static Scan" und „Live Monitoring".
Der „Static Scan" ist perfekt dafür geeignet, die Auswirkungen einer Programm-Installation zu prüfen. Dazu macht man einen Scan, installiert dann das Programm, das man überwachen will und fertigt danach einen zweiten Scan an. Daraus wird dann ein Vergleich gebildet. Beim „Live Monitoring" können Sie dagegen in Echtzeit die Auswirkungen bestimmter Aktionen überwachen.
Microsoft Safety Scanner
Die Microsoft Security Essentials und den Windows Defender kennen viele Nutzer, den Microsoft Safety Scanner dagegen nicht. Safety Scanner ist kein Ersatz für den Defender, weil er keine Wächterfunktion bietet. Vielmehr ist das Tool eine Ergänzung auf Systemen, auf denen bereits ein anderer Virenschutz läuft. Er ist nicht nur auf aktuelle Bedrohungen spezialisiert, sondern nimmt sich ein Windows-System bei der Untersuchung genauer vor und entfernt gefundene Schädlinge.
Sicherheitsanalysen
c’t 2020/Heft 6 Seite 22ff
http://ct.de/check2020 (Kurzfassung unter http://ct.de/check2021)
Office prüfen
http://ct.de/ye7n
c't Notfall Windows
https://www.heise.de/ratgeber/c-t-Notfall-Windows-2024-9549286.html
Netzlaufwerk verbinden
- In der Taskleiste doppelt auf das Netzwerk-Symbol neben der Uhr klicken.
- Es öffnet sich der „PE Netzwerk Manager". Darin links „Netzlaufwerke" auswählen.
- Laufwerksbuchstabe wählen, Pfad im Format „\\Server\Freigabe", Benutzername und Kennwort eintippen, oben auf „Verbinden" klicken.
Sonstiges
Boot-Stick: ISO erstellen und klonen: USB IMage Tool
Klonen Festplatte: Mini Tool Partition Wizard (Portable)
Paragon-Stick
- Microsoft Update-Katalog: Treiber und Windows-Komponenten
- Prüfen, ob Mail-Adressen und/oder Kennworte kompromittiert (irgendwo hinterlegt) sind: https://haveibeenpwned.com/
- Password-Generator im Web: https://www.lastpass.com/de/password-generator
- imapsync: IMAP-Konten migrieren oder sichern
- Double Driver: Geräte-Treiber sichern und wiederherstellen
- Glasswire: Netzwerkverkehr analysieren (c’t 2018/16, Seite 140ff)
PDF Tools
PDF24 Creator: PDF-Drucker (auch Erstellen von JPG etc.) und PDF-Toolbox
Video Downloads (YouTube etc.)
- JDownloader
- DownloadHelper plus VdhCoApp 1.6.1 (aktuelle Version 1.6.2 funktioniert nicht)
- YouTube Downloader: https://www.freemake.com/de/: Freemake Video Downloader (kostenlose Version nur mit Logo)
- NCH Debut
Stand: 2024-12-22