cleveres Bootkit drauf So was habe ich noch nie erlebt. Verdachstmomente haben sich nie bestätigt.
Ich habe es erlebt! Auf zwei Rechnern! Modifikationen von "winload.exe" usw. nur im RAM! Partition/Image bleibt so weitestgehend sauber (außer Payload). Der Sinn ist ja, dass es fast keine Spuren hinterlässt! Sämtlicher Bootcode im MBR + Bootsektor bleibt original, genau wie die Win-EXEn auf der Platte!
Da muss man die Festplatte eh formatieren und Neu Installieren.
Wenn man über ein sauberes Image (oder viele) + geeignete Boot-CDs verfügt, nicht. Der Knackpunkt war nur, das das Bootkit außerhalb der Partitionen/Dateisystem lag (außer Payload).
In dem Fall wäre es nur nötig gewesen, sämtliche Bootsektoren zu erneuern/säubern und dann erst das Image zurückzuspielen. Habe ich im Prinzip auch gemacht, aber nicht konsequent von Anfang an, da ich a) nicht wußte, womit ich es zu tun habe und b) ich nur "normales Zeug" erwartet hatte ... c) ich z. T. noch mit den alten Paragon-Boot-CDs gearbeitet hatte.
Außerdem waren da natürlich haufenweise Datenpartitionen mit teilgebackupten, wichtigen Dateien und viel schlimmer ein Haufen ungebackuptes Zeug auf C:\!
(dass die Quelle nicht mein Rechner war, dürfte klar sein)
Der Witz war in dem Fall: man könnte von einem "verseuchten Win XP bis 7x64" ein sauberes Image ziehen! Erst beim Rückspielen entscheidet der Imager, ob der Bootsektor komplett gesäubert wird (wenn an anderen Platz verschoben, ziemlich sicher) und das Bootkit dann inaktiv wäre.
Zum MBR: Schon gesehen, dass man den Neu beschreiben kann?
Klar, nur dessen Bootcode (schnell und komfortabel mit dem "Boot-Corrector"), der relevant ist. Das nützt aber einen Sch..., wenn das Teil nur den Bootsektor der Partitionen modifiziert (speziell nur den BIOS Parameter Block).
Wenn man es erst mal weiß, sieht man es recht schnell mit dem Disk-Editor.
Wenn man ein Image auf andere Festplatte Herstellt dann ist die Neue Platte nicht erstellt. Also auch keine Partitionstabelle oder dergleichen.
Dann wird dort zuerst ein MBR erstellt, nur die wiederherzustellende Partition im MBR eingetragen (Größe, Lage) und dann erst wird die Partition selbst zurückgespielt (egal wo, wurde vorher im MBR/EPBR angepasst).
Bei heutigen Systemen heißt Image von Win auf komplett leere (neue) HDD zückzuspielen, vorher auch die gebackupte 100 MB primäre mit zurückspielen (oder sauber neu erstellen) und dann biegt der Imager alles automatisch hin oder es ist Handarbeit angesagt (bootmgr wird oft nicht automatisch erstellt). Oder er spielt Win als aktive primäre zurück und passt den Rest an ...