Bootkit Remover

Bootkit Remover ist ein Antiviren-Tool das die generische Erkennung und Desinfektion von sogenannten Bootkits (wie Sinowal / Mebroot / MaosBoot, Stoned Bootkit etc.) bietet.


Was ist ein Bootkit?
Ein bootkit ist ein Programm, das durch Veränderung des Master Boot Record (MBR) versucht die Ausführung von Schadprogrammen (Malware) sicherzustellen. Ein bootkit versucht auch, die eigene Entdeckung und Entfernung durch Versteckten seines eigenen Code im MBR zu verhindern.

Bootkit Remover ist zum Aufspüren von bösartigen Boot-Code geeignet.


Bootkit Remover anwenden

• lade Dir das Tool Bootkit Remover herunter
  das ist RAR (Dateiformat), also Entpacke die Datei auf Deinen Desktop
  - Vista & Windows 7 User rechter Mausklick und wähle "Ausführen als Administrator"
• Doppelklick in dem ordner auf remove.exe
  - Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.
  
• Rechter Mausklick auf dem Bildschirm und klicke auf Select All
• Drücke Strg + C (an der Tastatur) zum Kopieren der Daten
• Öffne dein Notepad und drücke Strg + V die Daten einfügen

Poste dann bitte den Inhalt des Logfiles.



Die Ausgabe sieht wiefolgt aus:

Bootkit Remover version 1.0.0.2
(c) 2009 eSage Lab
www.esagelab.com
 
\\.\C: -> \\.\PhysicalDrive0
MD5: b6dca5d935dca3d2c88fbdca980abf6be
\\.\D: -> \\.\PhysicalDrive0
 
     Size  Device Name          MBR Status
 --------------------------------------------
   532 GB  \\.\PhysicalDrive0   Unknown boot code
 
Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>
 
 
Press any key to quit...
         

Meldungen von Bootkit Remover

Das Scannen sollte in ein paar Millisekunden abgeschlossen sein. In der Ausgabe gibt es 3 mögliche Ausgaben für jedes Laufwerk:

• OK (DOS/Win32 Boot-Code gefunden)
  - MBR Boot-Code ist sauber.

• Unknown boot code (Boot-Code unbekannt)
  • MBR Boot-Code wurde verändert. Dies entspricht praktisch einer aktiven Infektion mit einem bootkit
    oder
  • ein angepasster Boot-Manager ist installiert (wie z.B. GRUB).

• Controlled by rootkit! (Gesteuert durch Rootkit! )
  - Ein bootkit mit sich selbst versteckenden Fähigkeiten wurde erkannt.