Sinowal/MBR rootkit will nicht aus dem MBR
 

Hallo ihr Experten,


Ich habe mir einen MBR rootkit/sinowal eingefangen und bekomme ihn nicht aus dem MBR. Auch mit MBR.exe von gmer schaffe ich es nicht den MBR auszulesen oder zu fixen.

die ausgabe von mbr.exe ist immer error reading MBR

ich habe auch schon die Forensuche bemüht, habe es aber leider nach den angegebenen hilfen den MBR zu reinigen.

hier eine Liste der sachen die ich schon ausprobiert habe:

- knoppicilin (hat zwar zwei Viren gefunden, aber nichts im MBR)

- gmer.exe (damit hab ich den rootkit im MBR gefunden)

- die Datei die gmer mit "malicios code" bezeichnete habe ich bei VirusTotal hochgeladen

- VirusTotal zeigte an, dass es entweder ein sinowal oder ein MBR rootkit ist

sorry das ich keine logfiles poste, aber seit ich den sinowal/MBR rootkit gefunden habe, mein E-mail account gehackt wurde, mein PC eine dauerhafte belastung von etwa 50 - 60% hat (normalerweise 10 - 20%) und kein Virenscanner mehr ein update machen konnte traue ich mich nicht mehr mit dem infizierten Rechner ins Internet zu gehen.

Ich habe bereits sämtliche passwörter geändert und zum glück habe ich kein Onlinebanking mit diesem PC betrieben.

Ich werde den PC sowiso neu aufsetzen, aber ist dann auch der rootkit im MBR weg?

vielen Dank schon mal im Vorraus

K3KS

:hallo:

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren).

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite bitte folgendes ab.

Poste bitte alle Logfiles in Code-Tags.
Klicke antworten --> #
danach [code]text[/code]
So sollte das dann hier aussehen nach dem antworten:

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.


schritt 1

Windows-Explorer öffnen (Windows-Taste + E) und unter => Extras => Ordneroptionen => im Reiter "Ansicht"

• Dateien und Ordner: Erweiterungen bei bekannten Dateitypen ausblenden deaktivieren
• Dateien und Ordner: Geschützte Systemdateien ausblenden (empfohlen) deaktivieren
• Dateien und Ordner: Inhalte von Systemordnern anzeigen aktivieren (bei Vista nicht vorhanden)
• Versteckte Dateien und Ordner: alle Dateien und Ordner anzeigen aktivieren

schritt 2

• Lade Random's System Information Tool (RSIT) herunter,
• speichere es auf Deinem Desktop.
• Starte mit Doppelklick die RSIT.exe.
• Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
• Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
• Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
• Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt

schritt 3

• alle anderen Scanner gegen Viren, Spyware, usw. deaktiviert sein,
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
• nichts am Rechner getan werden,
• nach jedem Scan der Rechner neu gestartet werden.

Gmer scannen lassen

• Lade Dir Gmer von dieser Seite herunter
  (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
• Gmer ist geeignet für => NT/W2K/XP/VISTA.
• Alle anderen Programme sollen geschlossen sein.
• Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
• Vista-User mit Rechtsklick und als Administrator starten.
• Sollte sich ein Fenster mit folgender Warnung öffnen:
  WARNING !!!
  GMER has found system modification, which might have been caused by ROOTKIT activity.
  Do you want to fully scan your system ?
  Unbedingt auf "No" klicken.
• Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
• Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.
• Füge das Log aus der Zwischenablage in Deine Antwort hier ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Er sagt eigentlich ganz deutlich dass er gar nicht bereinigen will und stellt noch eine wichtige Frage.

Definitiv nein!

Hier mal ein Vorschlag:

Für hartnäckige Fälle helfen auch Tools der Hersteller der HDD's.

Danke für die Antwort,

habs hinbekommen :Boogie:

danke für die Hilfe

K3KS