Viren, Spyware, Datenschutz 11.258 Themen, 94.807 Beiträge

Verfolgung starten Optionen

Masterbootsektor wurde geändert!

winnigorny1 / 8 Antworten / Baumansicht Nickles

Hallo!
Letzten Freitag gabs Probleme mit meiner Festplatte. Daraufhin hab ich sofort ne neue eingebaut, die alte geklont und alles war paletti.

Heute nun hab ich ne Mail auf dem Server, die mir etwas suspekt erschien, deshalb hab ich erstmal mein Virenprogramm upgedatet (Norton - ja, ja, bitte keine Vorträge!) und dann die mail geholt. - Angeblich von der Regions Bank mit nem GIF-Anhang und man sollte auf irgendso einen Link klicken (dachte mir, es geht um nen Trojaner für mein Banking-Passwort und hab die mail gelöscht, natürlich ohne den Anhang zu öffnen).

Anschließend hab ich Norton-Virus-Systemcheck zur Sicherheit gestartet (Norton hatte im Hintergrund zwar nicht gemeckert, aber man weiß ja nie!). Kaum hab ich gestartet, kommt die Warnung:

Master-Boot-Sektor geändert. Das ist in Ordnung, wenn Sie 1. eine neue Festplatte eingebaut haben, 2. eine Windows-Aktualisierung durchgeführt haben oder 3. eine Software ausgeführt haben, die Ihre Festplatte modifiziert. Na ja, die beiden letzten Punkte treffen nicht zu, aber bei Punkt 1 bin ich nicht 100 % sicher; das hab ich ja vor einer Woche gemacht; allerdings ist die neue zwar ne neue Marke, aber gleiche Größe, gleiche Partitionierung (ist halt geklont), gleiche Inhalte eben.

Ich denke auch, dass Antivirus zwischenzeitlich bei einem Neustart des Systems schon gemeckert hätte, bin mir aber nicht sicher. - Empfehlt mir doch bitte etwas; bin ratlos und leise verzweifelt.

Gruss aus dem schoenen Hamburg, Winni
bei Antwort benachrichtigen
Andreas42 winnigorny1 „Masterbootsektor wurde geändert!“
Optionen

Hi!

Die Warnung vor geändertem MBR stammt noch aus DOS-zeiten, als es Viren gab, die sich in den Bootloader im MBR eingeklingt haben.

NAV sollte alle Viren erkennen können, die diese Startmethode nutzen. Zusätzlich wird generell eine Kopie des MBR gespeichert und bei jedem Start verglichen. Änderungen am MBR führen auch teilweise Bootmanager durch, wenn sie dort Startpartitionen umstellen (bei der Auswahl eines Betriebssystems passiert das dann ständig).

Ich würde mir keine zu grossen Sorgen machen. Als Tipp würde ich mir die aktuelle DOS-Version von F-Prot herunterladen und auf eine Bottdiskette kopieren und damit starten udn einen Virentest durchführen. F-Prot kann den MBR auf Virenbefall prüfen.

Bis dann
Andreas

Hier steht was ueber mein altes Hard- und Softwaregedoens.
bei Antwort benachrichtigen
winnigorny1 Nachtrag zu: „Masterbootsektor wurde geändert!“
Optionen

Hi, Andreas!

Danke, du hast schon richtig gelegen! War kein Virus. NAV erkennt halt die Änderung des MBR erst, wenn man den Systemtest startet und nicht beim Booten des Systems!

Ich Doofie hab natürlich das Falsche gemacht und gesagt: Alten MBR wieder herstellen und da nach dem Klonen die neuen Partitionen nen Tick kleiner waren, hatte ich dann ein Problem.

Nämlich: NAV stellt nicht nur den alten MBR wieder her, sondern überschreibt gleich die Partitionstabelle!! Datt isn Ding, weil dann ist der Rechner natürlich nicht mehr gestartet, von wegen es wird gar keine FP mehr erkannt, nicht mal im BIOS!

Gott sei gedankt, ich hatte ein ziemlich frisches Backup, sind halt nur n paar mails weg, die ich aber schon bearbeitet hatt und ich muß ein paar Rechnungen neu schreiben, die ich aber Gott sei Dank als Hardcopys habe.

Tja, war halt ne Stunde Arbeit und wird noch ne Stunde kosten, die mir Symantec natürlich nicht bezahlt. Ich find aber schon, dass in diesem Fall Symantec Schuld hat, weil man ja annehmen sollte, dass nur der MBR neu geschrieben wird, aber NAV überschreibt gleich alle bestehenden Patitionierungsdaten!

Gruss aus dem schoenen Hamburg, Winni
bei Antwort benachrichtigen
Andreas42 winnigorny1 „Hi, Andreas! Danke, du hast schon richtig gelegen! War kein Virus. NAV erkennt...“
Optionen

Hi!

Das "Problem" ist, dass die Partitionierungsdaten im MBR stehen (genauer: sie stehen dort in der Partitionierungs-Tabelle).

Allerdings würde es auch reichen, wenn NAV einfach nur den Bootloader-Code neu schreiben würde, was ja schon das alte DOS-FDISK konnte (das bekannte FDISK /MBR arbeitet so).

Wenigstens war der Schaden zu beheben.

Bis dann
Andreas

Hier steht was ueber mein altes Hard- und Softwaregedoens.
bei Antwort benachrichtigen
Tilo Nachdenklich winnigorny1 „Masterbootsektor wurde geändert!“
Optionen

Seit es auf Knoppix-Linux-CDs das Programm testdisk gibt, sind verlorene Partitionstabellen eigentlich kein Thema mehr. Das Programm repariert den MBR und erstellt ne neue Partitionstabelle. Voll geil!

Nach dem Linux-Start ne Konsole aufmachen (Muschelsymbol in der Taskleiste) und dort den Befehl sudo testdisk eingeben.
1) Du lässt bei testdisk die Analyse laufen und drückst Quit.
2) Testdisk beginnt jetzt erst die Platte ausführlich zu scannen.
3) Wenn der Zähler bei 14592 angekommen ist (dauert etliche Minuten) dann Enter drücken, dann unten per Taste auf Write gehen: Enter.

Irgendwie - habe es gerade nicht vorliegen - kannst Du auch den MBR neu schreiben lassen, das repariert so Fehler wie wenn der MBR nicht bei Position 55 endet.

bei Antwort benachrichtigen
winnigorny1 Nachtrag zu: „Masterbootsektor wurde geändert!“
Optionen

@ Tilo Nachdenklich:

Vielen Dank, aber datt Ding mit Knoppix hatte ich mit nem Freund, der "Linux-Prophet" ist, probiert und es war leider ein Schuß in den Ofen! Und der MBR ließ sich auch mit FDISK /MBR nicht reparieren, weil NAV eben die gesamte Partitionstabelle überschrieben hatte!

Das Problem ist halt mit ner Komplett-Sicherung schon längst behoben, aber trotzdem vielen Dank!

Gruss aus dem schoenen Hamburg, Winni
bei Antwort benachrichtigen
Tilo Nachdenklich winnigorny1 „@ Tilo Nachdenklich: Vielen Dank, aber datt Ding mit Knoppix hatte ich mit nem...“
Optionen

Da muss ich nochmal warnen!

Wenn testdisk nicht in der Lage ist die Partitionen zu finden und die Partitionstabelle korrekt zu reparieren, hast Du vermutlich extrem viel Partitionsmüll auf der Festplatte, der durch löschen, partitionieren und formatieren nicht unbedingt verschwindet. Frag mich nicht wie das möglich ist! Der testdisk-Autor empfiehlt dringend ein Low-Level-Format und Neueinrichtung der Festplatte bevor man ein Backup einspielt. Um zukünftige Partitionsfehler zu vermeiden und damit testdisk in Zukunft korrekt arbeitet.

Man hört manchmal komische Sachen von Knoppix-CDs. Ich benutze ne alte späte Version 3.3. von Jan. 2004.

Partitionsmüll = verstümmelte Partitionseinträge, die nicht überschrieben werden.

bei Antwort benachrichtigen
winnigorny1 Nachtrag zu: „Masterbootsektor wurde geändert!“
Optionen

@ Tilo Nachdenklich!

Hallo und danke für die Warnung! - Das System hat gestern auch zweimal gezickt und ich stellte einen erschreckend hohen Grad von Platten-Fragmentierung fest. Damit ich entfragmentiert und das Systemdatum korrigiert hatte (war verstellt auf 2002 - aber n Virus ist es offensichtlich nicht), läuft die Kiste wie gewohnt megastabil. - Aber du hast recht, man sollte wirklich nochmal saubermachen!

Grüße aus Hamburg

Gruss aus dem schoenen Hamburg, Winni
bei Antwort benachrichtigen
Tilo Nachdenklich winnigorny1 „@ Tilo Nachdenklich! Hallo und danke für die Warnung! - Das System hat gestern...“
Optionen

Es ist wirklich schön, wenn man sich auf testdisk verlassen kann. Probleme mit defektem MBR oder zerstörter Partitionstabelle jucken einen dann nicht mehr. Und eine Installation vom Backup eingespielt, nachdem man ein Low-Level-Format gemacht hat, auf so ne Installation spricht testdisk zuverlässig an.

bei Antwort benachrichtigen