Hallo zusammen !

Laut Avira sind wir mit BOO/Sinowal.A befallen
Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[FUND] Enthält Code des Bootsektorvirus BOO/Sinowal.A
[HINWEIS] Der Sektor wurde nicht neu geschrieben!


Wir suchen schon eine ganze Weile über versch.Einträge in Eurem Forum,
kommen aber nicht weiter.
Haben aus gesichertem Modus gestartet, in Recovery Console fixmbr ausgeführt etc.
Letzte Tat:
Den Rechner komplett neu eingerichtet, format c:/ , währenddessen war
die D-Festplatte abgeklemmt, AVira komplett neu installiert, dann D:/ wieder eingesteckt und gleich den Scanner drüberlaufen lassen.
Ergebnis - siehe oben.

Wie kriegen wir den Trojaner (?) von D./ runter ohne alles nochmal neu installieren zu müssen ?

Vielen Dank für Eure Hilfe !
M+O

Hallo und

Ich schätze das einfachste wird es sein, in der Wiederherstellungskonsole (von der Windows-CD booten) diesen Befehl auszuführen:

fixmbr \device\harddisk1
         

Da es sich um die Zweitplatte anscheinend handelt, die infiziert ist (Masterbootsektor HD1).

Hallo und Danke für die nette Begrüßung !

Das haben wir nach den Hinweisen hier im BOard auch schon gemacht - hat nichts genützt, nur unsere Verzweiflung gesteigert.

Was können wir noch tun ?
Danke für die HIlfe !!!

O+M

Hallo

Was für ne Festplatte ist das? Von AntiVir sehe ich nur, dass es die Zweitplatte ist.

HD0 = Erste Festplatte, wahrscheinlich die Systemplatte mit Systempartition
HD1 = Zweitplatte?? Kann auch ein anderes Gerät sein, vllt ein Kartenleser oder ext. Platte. Bin mir da nicht genau sicher wie AntiVir da tickt.

Poste mal Deine verwendeten Datenträger.

Haben 2. Festplatte (Phsikalische Platte, keine Partition)

Führ doch mal bitte dieses Tool aus und poste die Ausgabe.

mbr.exe ausgeführt. Folgende Antwort:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x17499f00 size 0x1e4 !
copy of MBR has been found in sector 62 !

Grüße&Danke
OM

fixmbr \device\harddisk1

Der Trick klappt nicht, die Stealth MBR Schurken haben da schon längst eine Sperre eingebaut. Hol dir Vista 64 bit, da ist dieses Problem behoben oder eben
Gmers tool, klar:

mbr.exe ausgeführt.

Hi root24 !

Bitte nochmal auf Laien-PC-Deutsch :
Was können wir tun ? Was ist gmers tool ?
Wo finden wir das ...?

Sorry und Danke für die Geduld !
om

Zitat von SystemPro

Der Trick klappt nicht, die Stealth MBR Schurken haben da schon längst eine Sperre eingebaut.

Interessant.
Und inwiefern soll die Sperre da eingreifen wenn man garnicht von der Festplatte bootet sondern von der Windows-CD um in die Wiederherstellungskonsole zu gelangen?

Hol dir Vista 64 bit, da ist dieses Problem behoben oder eben
Gmers tool, klar:

Das ist keine Option. Allein wegen eines lächerlichen MBR-Befalls wechselt man nicht zu einem 64bit-OS.

@om2008: Wir hatten Dein Problem schonmal hier diskutiert, nur langsam erinnere ich mich dort konnte mit fixmbr der MBR repariert werden.

Geh nochmal in die Wiederherstellungskonsole und führe dort den Befehl map aus. Aus der Ausgabe solltest Du sehen welchen Hardwarepfad Deine Festplatte hat, also welche Nummer sie (nach harddisk) hat.

Und inwiefern soll die Sperre da eingreifen wenn man garnicht von der Festplatte bootet sondern von der Windows-CD um in die Wiederherstellungskonsole zu gelangen?

Na weißt du das nicht?
Es gibt schon längst Rootkits, die EEPROM's/EPROM's und andere Flash-Speicher überschreiben.

Zitat von Silent sharK

Na weißt du das nicht?
Es gibt schon längst Rootkits, die EEPROM's/EPROM's und andere Flash-Speicher überschreiben.

Quelle?
Und wieso soll Vista64 da angeblich resistent gegen sein?

Quelle?
Und wieso soll Vista64 da angeblich resistent gegen sein?

Ich meinte das ironisch!
Sorry, ich vergaß die [irony]-Tags. Natürlich ist dies nicht möglich.
Wer sagt, das Vista Ultimate resistent gegen was auch immer sein soll?

Habs scho kapiert man beachte meinen Smiley

Ach, den hab ich in meiner Eile ganz überflogen, sorry.

So, nu bin ich weg; ich muss meinen Rootkit aus dem CMOS entfernen.

SCNR