BOO/Sinowal.E

codimal11

Hallo,

ich melde mich mit einem Problem, dass hier im Board schon bearbeitet wurde, aber leider komme ich trotzdem nicht weiter. Außerdem bin ich absoluter Laie.
Mein Avira hat den Bootsektorvirus BOO/Sinowal.E auf meiner Festplatte (alle 3 Partitionen C, D + E), meinem USB-Stick LW: H und selbst auf meinem Floppy LW A: (ohne Diskette) gefunden mit folgender Meldung

Masterbootsektor HD0
Enthält Code des Bootsektorvirus BOO/Sinowal.E

Dann schlägt Avira "Löschen" vor, das geht aber nicht er bringt stattdessen für alle Laufwerke(unten X genannt):

Bootsektor 'X:\'
Enthält Code des Bootsektorvirus BOO/Sinowal.E
Für die Reparatur des Bootsektors laden Sie bitte das 'AntiVir Bootsektor-Reparaturtool' herunter.

Das habe ich gemacht, aber es funktioniert nicht.

Wie hier mehrfach empfohlen wollte ich das System nun neu aufsetzen. Ich muß aber vorher noch einige Daten sichern und habe mir dazu eine externe Festplatte gekauft. Jetzt traue ich mich nicht sie anzustecken, weil ich befürchte, sie könnte (wie mein USB-Stick) auch infiziert werden.

Der Versuch meine Windows XP-Recovery CD zu starten funktioniert auch nicht. Mein REchner bootet nicht von dieser CD und auch nicht von einer geliehenen CD des gleichen Typs.

Habe mir im nächsten Schritt die Computerbild-Notfall-CD 2.0 geholt mit BS Linux (genaue Version konnte ich leider nicht herausfinden). Von dieser war das Booten kein Problem.

Jetzt meine 1. Frage - Wenn mein PC ausgeschaltet ist und ich meine Festplatte anschließe und dann mit dieser Notfall-CD boote, besteht die Gefahr, dass ich die Festplatte infiziere? Mit dem auf der Notfall-CD enthaltenem Programm zum Sichern der Daten, könnte ich wenigstens meine Fotos und andere wichtige Dateien retten.

Meine 2. Frage ist, wie kann ich mein System neu Aufsetzen, wenn es nicht von meiner Recovery-CD bootet?

Habe mein System mit Kaspersky (auf Notfall-CD enthalten) gescannt, der findet keine Viren. Aber Sinowal ist definitiv noch da, siehe mbr.log

Habe die 3 Programme CC-Cleaner, Antimalware and RSIT.exe abgearbeitet, bei CC-Cleaner beim Reinigen der Registry habe ich folgenden Fehler gefunden, der sich nicht beheben lies (auch kein manuelles Löschen im RegEdit war möglich)

Datei: 80b8c23c-16e0-4cd8-bbc3-cecec9a78b79
Die Dateiendung verweist auf eine ungültige Programmerkennung. Diese Verweise bleiben oft nach Deinstallationen übrig.

Lösung: Registrierungswert löschen -> das ging aber wie schon gesagt nicht

Hier meine MBR.log

GMER

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x82a0be40
NDIS: 3Com EtherLink XL 10/100 PCI für vollständige PC-Verwaltung-NIC -> SendCompleteHandler -> 0x82a48800
Warning: possible MBR rootkit infection !
user & kernel MBR OK
copy of MBR has been found in sector 0x0950E4C1
malicious code @ sector 0x0950E4C4 !
PE file found in sector at 0x0950E4DA !
Use "Recovery Console" command "fixmbr" to clear infection !

Ich hoffe, ich habe alle notwendigen Informationen zusammen getragen.

Vielen Dank im Voraus für Hilfe!

codimal