MBR://Physicaldrive0 rootkit

[nowas 0]

Witam.

 

Ostatnio Avast! wykrywa mi takie coś MBR://Physicaldrive0

 

System zwolnił, lecz nie mogę tego czegoś usunąć ;/, jak robie skanowanie systemu przed uruchomieniem nic nie wykrywa.

 

Jakieś rozwiązania ?

 

System Windows 7

 

Proszę o pomoc.

[tehawanka 0]

Napisz na forum gdzie się na tym znają, bo wątpię żebyś tutaj otrzymał skuteczną pomoc.

[nowas 0]

niestety po zarejestrowaniu się tam nie mogę tworzyć tematu

[Andree 324]

Spróbuj odtworzyć oryginalny MBR za pomocą EasyBCD.

[nowas 0]

na jakiej zasadzie działa ?

[tehawanka 0]

niestety po zarejestrowaniu się tam nie mogę tworzyć tematu

 

Po zakończeniu procesu rejestracji jest wymagane potwierdzenie podanego adresu e-mail. Proszę sprawdzić swoją skrzynkę pocztową, a po otrzymaniu e-mail podążyć za instrukcjami w celu ukończenia rejestracji. Dopóki nie zostanie ukończona weryfikacja przez e-mail, konto użytkownika ma charakter przejściowy, tzn. można się zalogować i swobodnie przeglądać forum, ale nie są dostępne opcje postowania i prywatnych wiadomości. Konta nie potwierdzone do 30 dni zostaną skasowane.

[Andree 324]

na jakiej zasadzie działa ?

 

 

Klikasz przyciski Manage Bootloader, Reinstall the Vista Bootloader, Write MBR

[HE-MAN 0]

Użyj TDSSKiller ( http://support.kaspersky.com/pl/downloads/common/tdsskiller.zip ),a później Dr.Web CureIt! ( http://www.freedrweb.com/cureit/ ).

[glauks 428]

nie bardzo wierzę w wirusy na mbr - komunikat avasta oznacza chyba coś innego; możesz sprawdzić ten mbr - ściągnij program HxD, uruchom, kliknij na ikonkę dysku na pasku, wybierz dysk twardy 1, ok, kliknij prawym w okienku - wybierz blok.. w początkowy offset wpisz 0, w końcowy offset wpisz 200 (zaznaczone hex na dole), i ok - teraz kliknij na zaznaczony fragment okienka prawym i kopiuj - potem uruchom notatnik i

wklej - będziesz miał zrzut mbr (dokładnie 1 sektora dysku, więc mbr, czyli kodu rozruchowego - 444 bajty, i tablicy partycji - 64 bajty - + 4 bajty zer - tablica kończy się zawsze kodem 55 AA - 1 zapis 16-tkowy, np 00, to 1 bajt) w formacie 16-tkowym; potem kliknij na ikonce folderu na pasku, otwórz.., wskaż plik diskpart w system32, wyświetli się zawartość pliku, w pliku jest chyba? kod mbr, znajdziesz go po tekście po prawej stronie zapisu 16-tkowego (ten tekst mozesz skopiować normalnie, po prostu zaznacz, skopiuj i wklej do notatnika dla porównania), mam gdzieś, gdzie dokładnie jest(offset), ale nie mam w tej chwili czasu na szukanie - porównaj zapis z tym zapisanym w notatniku z dysku, i upewnisz się co do tego, moim zdaniem, rzekomego, wirusa; kod mbr jest jeszcze na pewno w programie bootrec na płytce 7 (w folderze boot), więc jeśli masz płytkę możesz otworzyć ten plik; prawdopodobnie jest też w programiku bootsect, w folderze boot na dysku i na płytce; może zresztą ktoś, kto ma 7, zrzuci mbr do notatnika, i wklei na forum, bo co do tego diskpart nie jestem całkowicie pewien

 

ps - prawdopodobnie mbr wirus to metafora, bo mbr to tylko 444 bajty, wirus może być na pustych (same 0) sektorach po mbr, bo z reguły aż do 63 sektora, czyli 1 sektora partycji z kodem startowym, sektory są puste, sprawdż więc te sektory po mbr (ale jak wtedy ładowałby się do pamięci?) - co do 7 nie jestem pewien, czy nie zapisuje jeszcze jakichś sektorów po 1, więc jeśliby były jakieś zapisane! nie oznacza to koniecznie wirusa!