Sinowal.A mal wieder!
 

Hallo,
also folgendes ist mein Problem:

Ich habe mir vor ein paar Tagen einen neuen Rechner zusammenstellen lassen und meine alte Festplatte mit einbauen lassen. Beim Formatieren der alten Festplatte meldet Avira : " MBR 1
Enthält Erkennungsmuster des Bootsektorvirus BOO/Sinowal.A"

Lass ich Avira die Platte scannen,findet er nichts.Deswegen kann ich auch keinen Bericht posten ;)

Hab mir hier ein paar Sachen bezüglich des Themas durchgelesen und mbr ausgeführt mit folgendem Ergebnis:

Stealth MBR rootkit detector 0.2.4 by Gmer, h**p://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

...mehr nicht.

HiJack spuckt folgendes aus:
Was soll ich nun tun?Will den Virus aufjedenfall beseitigen,vorallem weil der PC gerade mal paar Tage alt ist.Oder was kann passieren wenn der Virus nicht beseitigt wird?Ich bitte um Hilfe

Da gibts mehrere Wege, den MBR neu zu schreiben. Allerdings weiß ich nicht, ob man mit mbr.exe von GMER die Zweitplatte fixen kann. Dann gibt es noch DOS-Programme wie s0kill und killmbr, Du müsstest diese allerdings von einer reinen DOS-Umgebung aus laufen lassen, z.B. wenn Du von einer DOS-Bootdiskette gebootet hast.

Ich würde daher mal vorschlagen, Du startest den PC von der Windows-XP-CD und wechselst in die Wiederherstellungskonsole. Führe dort den Befehl

fixmbr \device\harddisk2

aus, und der MBR auf der zweiten Platte sollte überschrieben sein.

Die erste Platte ist in 2 Teile partitioniert.Das ändert aber an dem Befehl nichts oder?Will nur sicher gehen.

Nein sollte nicht so sein. Ganz sicher bin ich mir da aber nicht, da ich fixmbr bisher immer nur ohne Parameter angewendet habe.

Falls das so nicht klappen sollte, kann ich Dir aber noch andere Tools vorschlagen.

hi, ich habe folgendes gemacht und diesen boo/sinowal.a damit verschwinden lassen.
booten von der cd
R für reparieren
windowsinstallation wählen - bei mir die 1
adminkennwort eingeben.
jetzt ist wichtig, welcher mbr befallen ist - bei mir harddisk1
also habe ich eingegeben:
fixmbr \device\harddisk1
nach fixmbr kommt ein leerzeichen - ganz wichtig.
dann neu starten und antivir laufen lassen.
bei mir war der infekt danach verschwunden. :Boogie:
viel glück
Gurke

Erstmal danke für die Rückmeldung und die Hilfe.
Also nun sieht es aus wie folgt.
Ich habe den Befehlt fixmbr \device\harddisk2 eingegen worauf ich eine Vorsichtsmeldung erhalte habe,dass eventuell die Dateien zerstört werden können auf der Partition wenn ich den Befehl weiter führe.Und das ich den Befehl nur ausführen soll wenn ich Zugriffsprobleme mit der Platte habe. Hab dann mit Enter bestätigt und nen Bluescreen erhalten. Beim Versuch die betroffene Platte zu formatieren,hat sich Avira wieder mit dem alten Fund gemeldet. Habs dann auch nochmal mit dem Befehl fixmbr \device\harddisk3 ausprobiert (Dachte das die alte platte als Nr. 3 vielleicht gesehen wird,weil die erste Platte in 2 Teile partitioniert ist.) Daraufhin bekam ich die Meldung das der MBR nicht gelesen werden kann.
Und nun?

Achja und wie sagt ich gmer das er die betroffene Platte überprüfen soll?Hab nämlich den Verdacht das er beim aussführen nur die C\ Platte checkt.

Führe in der Konsole den Befehl map aus. Damit solltest Du genauere Infos erhalten, welche Platte mit welchem Gerätepfad angesprochen wird.

Es ist auch gut möglich, daß Deine Zweiplatte mit \device\harddisk1 angesprochen werden muß - ich bin mir da jetzt nicht 100 pro sicher, ob Windows bei der ersten Platte mit Null oder mit Eins anfängt.

Leute, es steht doch da, welche HDD:

Oder nicht?
mfg

Das Problem hatte ich doch erläutert. :rolleyes:
Manche Programme fangen bei 0 an zu zählen, andere bei 1.

Hab dann wohl das falsch verstanden, tut mir leid:daumenhoc

Ist doch kein Problem, jeder überliest mal was. :party:
Ich oft genug. :balla:

So,hatte die letzten Tage nicht allzu Zeit.Hab das jetzt heute mal gemacht.Wenn ich "map" ausführe, steht bei mir folgendes:

C: \Device\HARDDISK0\PARTITION1
E: \Device\HARDDISK0\PARTITION2
D: \Device\HARDDISK1\PARTITION1


kam mir bisschen seltsam vor weil die Platte E: ist die betroffene!
soll ich jetzt einfach den Befehl "fixmbr \Device\HARDDISK0\PARTITION2" durchführen?

Nicht ganz mach mal nur den Befehl fixmbr \Device\HARDDISK0
Um sicher zu gehen, daß auf der zweiten Platte auch nichts mehr vom MBR-Schädling drauf ist: fixmbr \Device\HARDDISK1

(In der Wiederherstellungskonsole kann es u.U. sein, daß die Laufwerksbuchstaben anders verteilt sind als im installierten Windows.)

hab auf der D Partition wichtige Daten drauf,kann da was passieren?

Entweder ist es zu früh am morgen oder ich find den Edit Button nicht.
mit fixmbr \Device\HARDDISK0 spricht der dann nicht C: und E: zusammen an?obwohl das 2 verschiedene Platten sind? und D: eigentlich zu C: gehören sollte?

Edit: jetzt seh ich den Edit Button zu diesem Post aber nur :)