Den MBR einer XP-Installation ohne Datenverlust virenfrei restaurieren?

  • Ersteller werner_o
  • Erstellt am
werner_o

werner_o

Registriert
16.10.06
Beiträge
1.799
Reaktionen
5
Punkte
1.842
Hallo zusammen,

ich habe die große Befürchtung, daß sich im MBR meines XP-SP3-Zweitrechners ein Virus (oder was auch immer) eingeschleust hat, der ca. 1 1/2 stündlich aktiv wird und dann a) einen Alarm von Avira Antivirus auslöst und b) relativ kurz danach meinen Hauptrechner (der auch am LAN hängt) dazu bringt, daß der einen (unfreiwilligen) abrupten Neustart macht.

Laut "Antivir" hängt der "eigentlich längst gelöschte" Störenfried im selbst mit Admin-Rechten nicht lösch- oder änderbaren Ordner "System Volume Information" auf Laufwerk D: dieses PCs, und dort wahrscheinlich in dessen Papierkorb.
P.S.: Den Papierkorb habe ich natürlich längst mehrfach gelöscht, aber ohne Wirkung.

Mir ist unerklärlich, warum dieser Störenfried selbst nach einer kompletten Neuinstallation (inkl. Neuformatierung von Laufwerk C:) dieses Rechners immer noch aktiv ist!
(jetzt gerade hat das Antivir von diesem PC wieder unheilsvoll gepiept, und nun gleich wird auch dieser andere PC im LAN wieder abkacken, an dem ich gerade schreibe).

Hat irgend jemand sinnvolle Lösungsvorschläge, ohne alles komplett neu installieren zu müssen? Ich muß ja (hoffentlich) nur den MBR dieses PCs restaurieren (sprich den Original XP Bootmanager), wobei aber nicht die Partitionen und die Dateien dieses PCs zerstört werden sollen.

Für hilfreiche Links dazu wäre ich bereits dankbar, da ich dazu bisher nichts gescheites im Internet gefunden habe.

Es macht aber wahrscheinlich kaum Sinn, das hier bei HR im Detail auszudiskutieren, da ich eine möglichst schnelle praktikable Lösung brauche.

Gruß
Werner
 
Ach so einer. Na dann viel Spaß, das liegt eher nicht am Boot Sektor, den kannst Du in der Wiederherstellungskonsole mit FIXMBR (ENTER) beheben, aber das ist es eher nicht. Genaueres kannst Du hier nachlesen http://support.microsoft.com/kb/314058/de

Was ich eher vermute :

"System Volume Information" macht alle x Minuten eine Sicherungskopie von wichtigen Systemdateien, die bei Differenz nach dem neu Booten immer wieder zurück gespielt werden. So können es diverse Viren immer wieder schaffen, neu aufzutauchen, obwohl der Virenscanner vermeintlich alle Viren gekillt hat. Kann aber auch Fehlalarm sein, hatte ich auch mal und nach ein paar Wochen kam eine neue Virendefinitionsdatei, die das plötzlich nicht mehr als Virus erkannte. Kann aber auch genauso gut der Ernstfall sein.

Wie auch immer, schalte mal die automatische Systemwiederherstellung ab, ist eine der Registerkarten unter Systemsteuerung - System. Falls Dein Virenscanner das zuläßt, bootest Du gleich anschließend nicht in den Windows- Vollmodus, sondern mit F8 nach dem BIOS direkt in den abgesicherten Windows Modus und kannst dort dann den versteckten Systemordner "System Volume Information" löschen und auch den Virenscanner dort direkt noch einmal alle Dateien durchsuchen lassen, evtl. klappt dann auch die Entfernung des Virus zuverlässiger.

Nach dem Normalstart kannst du den Dienst für die Systemwiederherstellung wieder anschalten und Dein Virenscanner sollte Ruhe geben.
 
Schnellverfahren - Ordner für Administratoren freigeben und löschen:

Rechter Mausklick auf den SystemVolumeInformation-Ordner
Eigenschaften
Tab Sicherheit
Hinzufügen...
"Administratoren" .. OK
Administratoren anklicken und "Vollzugriff" aktivieren ..OK

Jetzt kannst du den Inhalt des Ordners komplett löschen (am besten mit Shift+Entf).
Deine Systemwiederherstellungspunkte sind damit weg, aber der Virus hoffentlich auch.

Viel Glück!

Edit:
Vor der Prozedur sicherstellen, dass im Explorer "Versteckte Dateien" und "Systemdateien" angezeigt werden!

Edit2:
Ich habe gerade hier noch eine ausführliche Anleitung gefunden.
 
@zehnvorsechs

Ach so einer. Na dann viel Spaß, das liegt eher nicht am Boot Sektor, den kannst Du in der Wiederherstellungskonsole mit FIXMBR (ENTER) beheben, aber das ist es eher nicht. Genaueres kannst Du hier nachlesen http://support.microsoft.com/kb/314058/de

Was ich eher vermute :

"System Volume Information" macht alle x Minuten eine Sicherungskopie von wichtigen Systemdateien, die bei Differenz nach dem neu Booten immer wieder zurück gespielt werden. So können es diverse Viren immer wieder schaffen, neu aufzutauchen, obwohl der Virenscanner vermeintlich alle Viren gekillt hat.
Deine Vermutung war goldrichtig - Danke!

Den MBR habe ich jetzt auch nicht zurückgespielt, weil das wohl überflüssig ist.

@ petaod

Im Prinzip funktioniert die von Dir beschriebene Weise zum Löschen von Daten im "System Volume Information"-Ordner, man muß aber vorher zusätzlich "Einfache Dateifreigabe verwenden" deaktivieren.

Ich habe es übrigens vorhin (noch vor dem Lesen Eurer Antworten) nach einer Idee heute vormittag auf der Arbeit noch anders gelöst:

Ich habe die Kiste mit einer Knoppix-DVD (ein bootfähiges [g=547]Linux[/g]) von einer c't-Heft-DVD aus dem Jahr 2007 hochgefahren, und nach dem Einbinden der beiden HD-Laufwerke und konnte ich so die im "System Volume Information"-Ordner residierende exe-Datei mit dem Schädling "ADSPY/Adspy.gen" dauerhaft eliminieren :)
Nach dem Hochfahren von XP habe ich dann sicherheitshalber gleich eine Datenträgerüberprüfung von D: gemacht um sicherzustellen, daß das Dateisystem zu 100% in Ordnung ist.

Danke noch mal für Eure kompetenten Antworten, und den Link zur Wiederherstellungskonsole habe ich gleich gespeichert.

Liebe Grüße
Werner
 
@ petaod

Im Prinzip funktioniert die von Dir beschriebene Weise zum Löschen von Daten im "System Volume Information"-Ordner, man muß aber vorher zusätzlich "Einfache Dateifreigabe verwenden" deaktivieren.
Das stimmt nach umfangreichen Arbeiten an zwei Rechnern mit jeweils 2 internen IDE bzw. SATA HDs sowie einer zusätzlichen USB-HD leider nicht völlig :-(

Manche Dateien/Ordner in den System Volume Information-Ordnern lassen sich so trotz zugewiesenem Vollzugriffsrecht für den User bzw. allgemein Administratoren schlicht weg NICHT löschen!

Das ging letztendlich nur mit meiner angestaubten c't Knoppix v5.2 DVD aus dem Jahre 2007. Dabei ist allerdings zu beachten, daß JEDE EINZELNE Partition zunächst eingebunden werden muß und anschließend auch JEWEILS EINZELN Schreibrechte unter Knoppix bekommen muß, damit das Löschen funktionieren kann.

Leider habe ich aber ein Problem mit meiner externen USB-HD unter Knoppix v5.2:
Die kann ich zwar mounten (sprich einbinden), aber jeder Versuch, auch Schreibrechte zuzuweisen, schlägt fehl mit der Fehlermeldung, auf diese HD könnte vielleicht bereits ein ([g=547]Linux[/g]-)Programm zugreifen, und anschließend ist diese HD auch nicht mehr eingebunden :-(((

Allerdings gibt es gerade auf dieser HD ein (von wem auch immer) angelegtes Verzeichnis (der Name besteht nur aus Nummern), welches ich mit den bordeigenen Windowsmitteln leider zum Verrecken nicht gelöscht bekomme, aber unbedingt loswerden möchte.

Hat dazu noch jemand eine Idee???
Bei meinen internen IDE- und SATA-Platten habe ich dieses Problem nicht.
Liegt es vielleicht daran, daß ich auf dieser externen USB-HD (entgegen üblichen Regeln!) nur eine erweiterte (keine primäre) Partition mit einem logischen Laufwerk eingerichtet habe?

P.S. (nur so zur Info):
Meine RME "Hammerfall" DIGI 9636 wird unter Knoppix v5.2 sogar erkannt und ein Treiber geladen! Ich denke, daß das eine Erwähnung wert ist.

Bin für jede Hilfe dankbar!

Gruß
Werner
 
Werner, das ist jetzt ein Schuss ins Blaue:

Vielleicht hängt das damit zusammen, dass [g=547]Linux[/g] noch nicht so lange die Möglichkeit hat, auf NTFS zu schreiben?
Ich erinnere mich nur, dass ich früher auch so merkwürdige Meldungen bekommen habe, wenn ich versucht habe, NTFS-LW writeable einzubinden... ;)
 
Daran liegt es wohl nicht. Die 4 internen IDE/SATA HDs meiner beiden PCs haben ja auch NTFS als Dateisystem auf sämtlichen Partitionen, und da gibt es unter Knoppix v5.2 keine Lese/Schreibprobleme (und ich möchte ja nur Dateien LÖSCHEN können, wozu ich aber bereits Schreibrechte brauche).

Nur bei der externen USB-HD schaffe ich es nicht, Schreibrechte zu erlangen. Weshalb?

Gruß
Werner
 
So - ich mache es jetzt mir der knallharten aber besonders zeitaufwendigen "Format"-Methode:

Ich habe alle wichtigen Dateien meiner USB-HD auf internen HDs inzwischen zwischengespeichert und formatiere diese HD momentan gerade völlig neu (OHNE Quick-Format). Danach sollten keine "ominösen" Ordner und Dateien mehr auf dieser USB-HD vorhanden sein.

Danach muß zwar alles wieder zeitaufwendig zurückspielt werden, aber das ist mir jetzt inzwischen egal, weil ich heute noch zu einem (hoffentlich positiven) Ende kommen muß, da mein Urlaub nicht ewig dauern wird.

Stundenlange WWW-Recherchen von mir haben immer nur zu für mich völlig unverständlichen Anweisungen in Unix/[g=547]Linux[/g]-Foren geführt, mit welchen ich als langjähriger Windows-User aber rein gar nichts anfangen kann.
Jetzt ist Sabbat, und meine Geduld ist endgültig erschöpft!

Danke nochmal an alle, die zu helfen versucht haben,
liebe Grüße
Werner

("Thread Closed" von meiner Seite aus)
 
Ich hätte da noch was.... ;)

>> ... auf diese HD könnte vielleicht bereits ein ([g=547]Linux[/g]-)Programm zugreifen,

Kann da was dran sein?
Irgendein Programm, welches den Pfad zu dieser Platte eingestellt hat?
Oder resultierend aus ner Verschiebung der Pfade, wenn diese Platte gemountet wird? [g=547]Linux[/g] mounted die Dinger ja mW als /scsi-disks, und setzt die Reihenfolgen nach dem, wie die Controller aufgerufen werden......
 
Beispiel:
Wenn Sata-Controller mit einer Platte als /dev/sda angesprochen wird, die USB-Platte bzw deren Controller früher ausgelesen wird, so steht die USB-Platte als /dev/sda und die Sata als /dev/sdb da - die Pfade für die Sata sind dann verschoben......
 
Sorry - habe leider keinerlei Ahnung dazu. Als scsi-disk wurde die auch aber nicht erkannt, sondern als 3. HD (sdc... anstelle von sda... (primäre interne HD) ) bzw. sdb... (zweite interne HD)).

Ist jetzt aber eh' zu spät, da die (leider grottenlangsame) Neuformatierung meiner USB-HD bereits seit geraumer Zeit läuft und wohl in rund einer halben Stunde hoffentlich abgeschlossen sein wird.

Ich war es nun einfach satt und habe "Tabula Rasa" gemacht!
Gsd habe ich aber noch einen onlinefähigen Zweitrechner, welcher mir die nervende Wartezeit versüsst ;-)

Gruß
Werner
 

Oft gelesene Themen

Zurück
Oben