BOO/Sinowal.A in Bootsektor 3
 

Ich nutze Antivir und beim letzten Suchlauf kam die Meldung das ein unerwünschtes Programm gefunden wurde.
Es handelt sich um: BOO/Sinowal.A

Ich habe zwar nun schon so einiges darüber gelesen, aber werde nicht schlau daraus.
Ich würde mich daher freuen wenn ich einen Schritt für Schritt Anleitung bekäme und somit wieder einen sauberen Rechner.

Dazu kommt allerdings das ich ein absoluter Computer laie bin!

Bitte den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.

Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com

Program version: 1.1.0.0
OS Version: Microsoft Windows Vista Home Premium Edition (build 6000), 32-bit

System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00
Boot sector MD5 is: 306a70bb88e51c06c67244ab8a2237bf

Size Device Name MBR Status
--------------------------------------------
465 GB \\.\PhysicalDrive0 Unknown boot code

Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>


Done;
Press any key to quit...

Das wurde angezeigt:

Zuerst mal bitte - falls noch nicht getan - die Datei remover.exe (vom BootkitRemover) vom Desktop nach c:\windows\system32 kopieren!
Danach die Konsole starten über Start, Ausführen, cmd eintippen, ok.

Da Du Vista verwendest, solltest Du die cmd.exe bzw. die Eingabeaufforderung per Rechtsklick => "als Administrator ausführen" starten.
Falls wir irgendwie Probleme damit haben, können wir auch alternativ die UAC deaktivieren

Den Text im folgenden Codefeld eintippen und mit Enter/Return ausführen:

Ich habe das so gemacht, kam ein grünes ok und dann ging der Rechner aus, konnte aber wegen fehlender Dateien nicht gestartet werden. Ich besitze keine Windows CD/DVD. Über die recover Funktion lief er dann wieder allerdings ist der Trojaner noch da.
Zum Rechner habe ich nur 3 DVD´s bekommen. Die wohl zur Wiederherstellung dienen sollen. Ich selber habe den Rechner erst seit wenigen tagen, stammt von einem Kollege von mir. Die 3 DVD´s hat er auch erst vor kurzem erstellt. Wenn der Virus nun auch im Wiederherstellungsbereich vorhanden ist, kann ich das wohl alles vergessen und brauche eine neue Festplatte und ne andere Windos Version.

Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com

Program version: 1.1.0.0
OS Version: Microsoft Windows Vista Home Premium Edition (build 6000), 32-bit

System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00
Boot sector MD5 is: 6e1c385735071a353ec369fd572116f3

Size Device Name MBR Status
--------------------------------------------
465 GB \\.\PhysicalDrive0 Unknown boot code

Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>


Done;
Press any key to quit...

Du hast jetzt komplett recovert? Das kann kein Schädling überleben.