Entfernen eines Virus aus dem MBR einer Disk
Joerg Spilker
Hi,
aehm, wie schreibe ich denn den MBR einer Diskette neu? Meine Bootplatte
bekomme ich ja mit fdisk /mbr wieder clean. Aber fdisk /mbr scheint auch nicht
willens zu sein, den MBR einer Diskette neu zu erstellen.
Mfg Joerg
Thomas Moenkemeier
Moin Joerg !
13 Apr 97 14:18, Joerg Spilker wrote to All:
JS> nicht willens zu sein, den MBR einer Diskette neu zu erstellen.
Eine Diskette hat gar keinen. Den Bootsektor kannst Du z.B. von
VGA-COPY/386 mit der Modify-Option neu schreiben lassen.
Regards,
Thomas.
Andreas Marx
Joerg Spilker@2:2432/1101.42 meinte am 13.04.97 zum Thema "Entfernen eines
Virus aus dem MBR einer Disk":
> aehm, wie schreibe ich denn den MBR einer Diskette neu? Meine Bootplatte
> bekomme ich ja mit fdisk /mbr wieder clean. Aber fdisk /mbr scheint auch
> nicht willens zu sein, den MBR einer Diskette neu zu erstellen.
Eine Diskette hat keinen MBR. :-)
Als Notloesung einfach ein "SYS A:" machen und dann die Systemdateien von
der Disk loeschen... (oder auch nicht)
Eine Disk hat naemlich "nur" einen Bootsektor, der mit dieser Methode neu
erstellt werden kann.
cu Andreas
Joerg Spilker
Hi Andreas,
>
>> aehm, wie schreibe ich denn den MBR einer Diskette neu? Meine Bootplatte
>> bekomme ich ja mit fdisk /mbr wieder clean. Aber fdisk /mbr scheint auch
>> nicht willens zu sein, den MBR einer Diskette neu zu erstellen.
>
> Eine Diskette hat keinen MBR. :-)
> Als Notloesung einfach ein "SYS A:" machen und dann die Systemdateien von
> der Disk loeschen... (oder auch nicht)
> Eine Disk hat naemlich "nur" einen Bootsektor, der mit dieser Methode neu
> erstellt werden kann.
aha. Dann sollte aber Thunderbyte mal seinen Virenscanner etwas ueberarbeiten.
Denn das Ding hatte auf meiner Platte einen Virus als MBR Virus identifziert
mit dem Tip, von einer sauberen Disk ein sys a: c: zu machen. Das tut dem Virus
im MBR der Platte aber nichts an. Da half nur ein fdisk /mbr.
Und dann habe ich eben meinen Disks gescannt und bekam erneut die Meldung ueber
einen MBR Virus und habe es dann mit fdisk a: /mbr probiert, was leider nicht
den beabsichtigten Effekt hatte :-))
Mfg Joerg
Joerg Spilker
Hi Thomas,
JS>> nicht willens zu sein, den MBR einer Diskette neu zu erstellen.
>
> Eine Diskette hat gar keinen. Den Bootsektor kannst Du z.B. von
> VGA-COPY/386 mit der Modify-Option neu schreiben lassen.
na toll. Dann sollte ich mal den Virenchecker (ThunderByte) auswechseln. Der
behauptet naemlich, die Diskette waere von einem MBR Virus befallen.
Naja, vielen Dank. Mir dann mal das VGA Copy besorgen.
Mfg Joerg
Ralph Roth
Hallo Joerg, alles im Lot?
--=[ 13-Apr-97 ]=-------=[ Joerg Spilker an All ]=--------
--=[ Thema: Entfernen eines Virus aus dem MBR einer Disk ]=-------------------
JS> aehm, wie schreibe ich denn den MBR einer Diskette neu? Meine Bootplatte
Gar nicht, auf Disketten gibt's keinen MBR sondern nur Bootsektoren :)))
JS> bekomme ich ja mit fdisk /mbr wieder clean. Aber fdisk /mbr scheint auch
JS> nicht
JS> willens zu sein, den MBR einer Diskette neu zu erstellen.
Nimm z.B. BootKill vom VSP Paket, das ist ein Generic Bootviren Killer
fuer Disketten (VSP114?.RAR @ Node / VHM)
bYe4n0w & cUl8r (MfG),
rar (ROSE, PGP-Key: CRM/EB, r...@fh-albsig.de, Flames > /dev/null)
Harald Wuensch
Joerg Spilker wrote in a message to All:
JS> aehm, wie schreibe ich denn den MBR einer Diskette neu?
JS> Meine Bootplatte bekomme ich ja mit fdisk /mbr wieder clean.
JS> Aber fdisk /mbr scheint auch nicht willens zu sein, den MBR
JS> einer Diskette neu zu erstellen.
DOS-Disketten haben keinen Master Boot Record und keine Partitionstabelle. Sie
haben nur einen Bootsektor, und den kann man unter DOS mit SYS erneuern.
Viele Gruesse,
Harald Wuensch
Toralv Dirro
JS> aehm, wie schreibe ich denn den MBR einer Diskette neu? Meine Bootplatte
JS> bekomme ich ja mit fdisk /mbr wieder clean. Aber fdisk /mbr scheint auch
JS> nicht willens zu sein, den MBR einer Diskette neu zu erstellen.
Eine Diskette hat keinen MBR, sondern nur einen Bottsektor. Bei einem SYS wird
dieser neu geschrieben (allerdings auch die Systemdateien uebertragen).
Gruss,
Toralv
Lukas-Fabian Moser
Hallo Joerg,
Du schriebst am Sonntag, dem 13.04.97:
JS> aehm, wie schreibe ich denn den MBR einer Diskette neu? Meine Bootplatte
JS> bekomme ich ja mit fdisk /mbr wieder clean. Aber fdisk /mbr scheint auch
JS> nicht willens zu sein, den MBR einer Diskette neu zu erstellen.
Erstmal, eine Diskette hat keinen MBR, das ist da ein Bootsektor; der MBR
hat ja auch eigentlich nur die Aufgabe, den Bootsektor der jeweils aktiven
Partition zu laden, das braucht man bei Disketten ja nicht.
Also, es gibt da mehrere Möglichkeiten:
- mit SYS C: A:, allerdings ist dann die Diskette eine Bootdiskette :-)
- mit VGACOPY die Diskette lesen und wieder schreiben, wenn der Schalter
"Modify" eingeschaltet ist
- oder die von mir vorgezogene Methode: SDISK /IMMUNIZE:FD0 glaube ich,
von Susp (SUSP148.ZIP bei 2:2480/8849)
Ciao, Lukas
Klaus Kulbarsch
Moin Joerg!
Antwort auf eine Message von Joerg Spilker an Thomas Moenkemeier:
JS> Hi Thomas,
JS>>> nicht willens zu sein, den MBR einer Diskette neu zu erstellen.
>>
>> Eine Diskette hat gar keinen. Den Bootsektor kannst Du z.B. von
>> VGA-COPY/386 mit der Modify-Option neu schreiben lassen.
JS> na toll. Dann sollte ich mal den Virenchecker (ThunderByte)
JS> auswechseln.
Nicht zu vorschnell mit die jungen Pferde! ;-).
JS> Der behauptet naemlich, die Diskette waere von einem MBR
JS> Virus befallen.
Das ist *kein* Widerspruch - wenn auch vielleicht eine etwas unglueckliche
Formulierung in bezug auf den Befall des Bootsektors einer Diskette.
Sowohl Thomas wie auch TBAV haben Recht. Eine Diskette hat in der Tat keinen
MBR - aaaaaber: jeder Virus, der den MBR einer Festplatte befaellt, schreibt
sich in den Bootsektor der Diskette, wenn er resident im Speicher des Rechners
ist und auf die (nicht schreibgeschuetzte) Diskette zugegriffen wird .
JS> Naja, vielen Dank. Mir dann mal das VGA Copy besorgen.
Ich moechte weder dem Thomas, noch seiner Programmierleistung, noch dem
wunderschoenen Programm selbst zu nahe treten - aber ich denke, Du solltest es
nicht als *Ersatz* fuer TBAV benutzen (das klang ein wenig danach). Und ich bin
mir sicher, da wird auch der Thomas nicht widersprechen ;-).
Gruesse aus Wiesmoor
Klaus Kulbarsch
Joerg Spilker
Hi Lukas,
> Erstmal, eine Diskette hat keinen MBR, das ist da ein Bootsektor; der MBR
ich bin da wohl einer falschen Meldung von Thunderbyte aufgesessen. Naja, ich
weiss jetzt aber wohl Bescheid. Vielen Dank fuer die zahlreiche Hilfe.
Mfg Joerg
Joerg Spilker
Hi Klaus,
> Das interessiert mich jetzt wirklich: *WO* in der Doku bzw. wann im Ablauf
> des Programmes ist das in dieser Form gesagt worden? Das waere in der Tat
> fuer ein renommiertes AV-Programm ein ziemlich boeser 'Doku-Bug'
also, da ich auf meinen Rechner ein Virenproblem vermutete (und bisher kein
Virenscanner installiert war), habe ich mir die neueste Version von Thunderbyte
von deren Homepage besorgt.
Software installiert und ersten Scan duchfuehren lassen. Meldung war dann, der
MBR waere mit einem Virus verseucht (an den Namen kann ich mich jetzt nicht
mehr erinnern, ist schon ca. 2 Wochen her, war aufjedenfall ein Virus mit
unbekanntem Gefaehrdungspotential). Als Gegenmassnahme wurde mir empfohlen, den
Rechner abzuschalten, von einer sauberen Bootdisk zu booten und ein sys a: c:
vorzunehmen.
JS>> Und dann habe ich eben meinen Disks gescannt und bekam erneut die
JS>> Meldung ueber einen MBR Virus und habe es dann mit fdisk a: /mbr
JS>> probiert, was leider nicht den beabsichtigten Effekt hatte :-))
>
> Dem Smiley entnehme ich, dass Dir wohl bekannt war, das fdisk nichts mit
> Disketten anfangen kann?
eben. Ich habe es trotzdem probiert.
> Falls nicht: hier hilft dann sys c: a: (von *vorher* gesaeuberter HD) :-
> ).
> Bist Du Dir _ganz_ sicher, den oben zitierten Hinweis von TBAV richtig in
> Erinnerung zu haben?
eigentlich ja. An ein fdisk /mbr zum reinigen des Bootsectors der Platte kann
ich mich wirklich nicht erinnern.
Mfg Joerg
Lukas-Fabian Moser
Hallo Joerg,
Du schriebst am Sonntag, dem 20.04.97:
JS> Virus mit unbekanntem Gefaehrdungspotential). Als Gegenmassnahme wurde mir
JS> empfohlen, den Rechner abzuschalten, von einer sauberen Bootdisk zu booten
JS> und ein sys a: c: vorzunehmen.
ROTFL. SYS ueberschreibt nur den Bootsektor der Partition - den MBR ruehrt
es nicht an. Probier es mal mit
o FDISK /MBR
o SDISK /RESCAN (SUSP bei 2:2480/8849)
o SDISK /IMMUNIZE:HD0
o RESCUE (RESCUE bei 2:2480/8849)
oder anderen Programmen.
Ciao, Lukas
Joerg Spilker
Hi Lukas,
ich habe die Virus mittlerweise gebaendigt. Und die Disketten sind ab sofort
mit speziellem Tool vorbehandelt (diesem susp).
Mfg Joerg