staging.inyokaproject.org

Hallo,

ich suche einen Weg, um an meinem Laptop unter Windows 10 Pro das Virus:Dos/delwin in boot:\Device\harddisk2\DR5\(MBR) zu entfernen, indem ich aus dem USB Kubuntu 20.02 hochfahre. Wie geht es bitte weiter?

Mit Gpart?

Das Virus ist durch den Anschluß einer alten Festplatte zustande gekommen und wurde sofort von Windows Defender entdeckt und zunächst zweimal blockiert. Zweimal wurde es anscheinend repliziert. Seitdem läßt es sich nicht entfernen. Allerdings weiß ich nicht, auf welcher Fesplatte das ist. Die Bezeichnung Harddisk2 , DR5 finde ich nicht im Laptop, zumindest unter Datenträger von der Systemverwaltung. Aber auch nach Trennung der externen Festplatte meldet Windows Defender nach wie vor solches Virus...

Gibt es also ein Werkzeug bei Kubuntu, um nachzuprüfen, ob MBR sauber ist?

NS: mit KDE Partitionnierung habe ich nachgeschaut. Es handelt sich anscheinend um device/sd2 mit NTFS . Kann auch MBR gesäubert werden, mit auf Fehler pröfen und reparieren? Fraglich wäre, ob das Virus dadurch entfernt werde....

Ich würde an deiner Stelle die gesamte Platte mit shred überschreiben, dann ist definitiv alles weg. Alternativ könnte man auch mit dd einzelne Blöcke überschreiben. Dann muss mindestens der 1. Sektor überschrieben werden. Dann das System komplett neu aufsetzen, einem einmal infizierten System ist nicht mehr zu trauen, das kann komplett kompromittiert sein. Ich würde das daher auf beide Platten anwenden und vorher die noch benötigten Daten sichern, aber auf einen Datenträger, auf dem sonst nichts ist. Das machst du im Ubuntu und keinenfalls im Windows. Dann später diesen Datenträger scannen, z.B. mit den AV-Programmen für Linux, alternativ mit Live-CDs mit Virenscannern, z.B. Kaspersky.

EDIT: Ein Neuerstellen der Partitionstabelle sollte auch den MBR löschen. Dann sind aber natürlich auch alle Partitionen erstmal nicht mehr nutzbar, die Daten sind aber nicht physikalisch von der Platte entfernt.

Merlinux Bootbereich-Virus betrifft Disketten und keine Festplatten!! Die einfachste Lösung ist du legst deine Disketten weg.

Rachengold schrieb:

Merlinux Bootbereich-Virus betrifft Disketten und keine Festplatten!! Die einfachste Lösung ist du legst deine Disketten weg.

Was für eine dumme Aussage.

Aus Wikipedia: "Auf Festplatten kann das Virus im Master Boot Record (MBR) oder im logischen Bootsektor sitzen." Es geht von allem, von dem gebootet werden kann, ergo auch Platten, Disketten, SD-Karten, usw.

Und zum Weglegen: Das ist echt das Dümmste, was ich je gehört habe und ist etwa damit vergleichbar: Mein Reifen ist platt, wie kann ich den reparieren und dann als Antwort: Lasse das Auto doch einfach stehen.

Danke für die Hinweise, das mit der Diskette, die ich gar nicht erwähnte, bin ich verwundert.

Mir geht es darum, lediglich MBR zu säubern, denn ich habe den Rechner mit Windows 10 darauf ohne CDs oder DVDs erworben. Ich habe zwar eine Recovery Patition, die ich aber vermeiden möchte.

MBR ist doch leichter aber ich weiß nicht, wie das ohne Risiko neu zu überschreiben... habe gerade festgestellt, da0 keine Anwendung unter Kubuntu vorinstalliert ist, um Festplatten anzuhängen. Das ist mir neu...

Mein Rat aus Sicht der Sicherheit: Dein Windows 10 ist kompromittiert, daher lösche es. Wenn PCs mit Win 10 ausgelierfert werden, haben die UEFI und damit eine GPT. Die einzige sinnvolle Lösung ist es, die Daten, die noch gebraucht werden zu sichern und dann die komplette Platte zu löschen.

Eine ISO für Windows 10, die du auf einen Stick schreiben oder auf DVD brennen kannst, gibt es kostenlos bei MS: https://www.microsoft.com/en-us/software-download/windows10ISO Dann machst du nach der Löschung der Platte(n) einfach eine saubere Neuinstallation.

.......... schrieb:

... EDIT: Ein Neuerstellen der Partitionstabelle sollte auch den MBR löschen.

ts, ts, ts, ts!

Mir scheint, der Schreiber hat noch kein einziges Mal bezügl. Master_Boot_Record recherchiert, sonst müßte er wissen, daß der MBR aus 2 Teilen Besteht, nämlich:

1. Bootloader (Bytes 0-440)

2. Partitionstabelle (Bytes 446-510)

   • 6 weitere Bytes Signaturen

Legt man eine neue Partitionstabelle an, werden genau die 4x16 Bytes der Tabelle neu geschrieben, und sonst nichts!

Auch zum Virus selbst ist die Suchmaschine des geringsten Vertrauens (aber natürlich auch andere) aussagekräftig, nur lesen müßte man halt noch (z.B.: https://malware.wikia.org/wiki/Delwin)

Wieder was dazugelernt, Danke. Als der erste Sektor umfasst dann bei einer Sektorgröße von 512 Byte sowohl den Bootloader als auch die Partitionstabelle.

Sprich den zu überschreiben sollte auf jeden Fall die Schadsoftware aus dem löschen, aber auch die Partitionstabelle. Ich rate aber eh dazu, das komplette Windows zu löschen und neuaufzusetzen, denn das wird mit hoher Sicherheit infiziert sein.

Sollte man nur den MBR löschen muss man dann den bootmgr von Windows wiederherstellen, das geht mit einer Win10-DVD oder einem -Stick, da kann man Reparatur wählen, der sollte das dann wieder flicken. Ich rate davon aber wie gesagt ab, da das Windows wohl auch infiziert ist.

Merlinux schrieb:

[…] an meinem Laptop unter Windows 10 Pro das Virus:Dos/delwin in boot:\Device\harddisk2\DR5\(MBR) zu entfernen, indem ich aus dem USB Kubuntu 20.02 hochfahre.

Ich empfehle, den Plan nicht weiter zu verfolgen, weil er keine sichere und vollständige Entfernung der Schadprogramme verspricht. Selbst wenn der MBR der befallenen Platte gesäubert wird, ist dann nur die erste Stufe des Virus beseitigt, der sich aber offenbar inzwischen an ganz andern Stellen eingenistet hat und wahrscheinlich seinen Bootcode im MBR nicht mehr benötigt um weiteren Schaden anzurichten.

Sichere Methoden zur Beseitigung des Virus sind:

• Das von Microsoft für diesen Fall empfohlene Anti-Viren-Programm bzw. Prozedur auszuführen.

• Die befallene Platte komplett zu überschreiben. Ausnullen reicht, es müssen keine Zufallszahlen sein und es reicht auch ein Durchgang. Das Programm dd ist Dein Freund.

Ja, danke, das wird mir nun klar. Ich arbeite daran, alles neu zu installieren, der Umstände wegen mit viel Zeit verbunden. Bist dahin kann ich immer noch ohne Risiko mit Kubuntu aus dem USB booten. Insgeheim warte ich sowieso auf Windows 12 vorm Kauf eines neuens Laptops, voraussichtlich im Sommer oder danach...

Grüße

Daten mit dem Live-System sichern, dann Platte ausnullen, dann Neuinstallation.

Eigentlich benutze ich den USB-Stick nicht als Live System, da er selbst mit EXT4 und SWAP schon partitioniert ist. Da es mit eigenem MBR bootet, dürfte es wohl kein Problem sein. Immerhin habe ich von da keinen Zugriff auf die Festplatte, die nicht einmal automatisch angehängt wird. Die KDE-Partionierungsverwaltung erkennt sie doch. Ich versuche mal morgen mit Kruisader... Im Grunde sind nur wenige normale Media-Dateien zu kopieren. Dieses Virus infiziert nur exe.Dateien.

Binde die Platte ein, zur Not als read-only. Dann die Daten kopieren.

DJKUhpisse schrieb:

Binde die Platte ein, zur Not als read-only. Dann die Daten kopieren.

Geht es so mit Kruisader?

Mache das mit

sudo mount /dev/sdXY /mnt

Dann liegen die Dateien in /mnt Zeige vorher

sudo blkid

aus dem Live-System. All das gibst du ins Terminal ein.