Partitionen gelöscht und schnell formatiert / Virus immer noch da?

[c-mate]

Hi,

eines unserer notebooks wurde von einem Verschlüsselungsvirus heimgesucht.
Ich habe die Festplatte ausgebaut, an einem anderen PC extern angeschlossen und dort alle Partitionen gelöscht und schnell formatiert.
Anschließend wieder in das notebook eingebaut und jetzt wollte ich Win 7 neu installieren, wenn ich aber ins Bios will kommt wieder der Virendesktop!



Äh wie das und was tun?
THX

 

[Baya]

Wow
Die Meldung kommt schon vor dem BIOS??

 

[c-mate]

Ich drücke F1 um ins Bios zu gelangen und dann kommt der screen.

 

[Madman1209]

Hi,

auch ohne dass die Festplatte verbaut ist?

VG,
Mad

 

[Baya]

Heftig! Viel liest man noch nicht darüber, scheint neu zu sein...

 

[PUNK2018]

Teste bitte mal ohne Festplatte, so weißt du ob der Virus auf der HDD ist oder nicht.

 

[hildefeuer]

Wie kommt so was? Die Erklärung ist simpel: "schnell formatiert."
Beim schnell formatieren wird offensichtlich nicht richtig formatiert.
Also noch einmal Partitionen löschen und alles Langsam formatieren.
Am besten auch eine neue Partition schreiben z. B. eine große.

 

[xxxx]

http://www.heise.de/forum/heise-Sec...janer-PETYA-RANSOMWARE/posting-25682007/show/ bitte du musst den MBR killen bzw. neu schreiben.
Bzw überschreibe mit DBAN am besten die ganze Festplatte da ist definitiv Ruhe.

 

[AdoK]

Siehe http://www.heise.de/forum/heise-Security/Themen-Hilfe/Hilfe-bei-Erpressungs-Trojanern/forum-256381/ scheint sich wohl in den MBR der HDD einzunisten http://www.heise.de/forum/heise-Sec...janer-PETYA-RANSOMWARE/posting-25678114/show/

 

[mod666]

hab dazu eben das gelesen:
http://www.heise.de/forum/heise-Sec...janer-PETYA-RANSOMWARE/posting-25682007/show/

aber da bei dir das bios betroffen ist, hilft das nicht weiter. zumal ja die platte formatiert wurde, d.h der mbr müsste ja weg sein..

 

[c-mate]

Ja das ist mir schon im Prinzip klar, dass das vermutlich am schnell formatieren liegt, aber ich finds trotzdem heftig und überaschend.

Mit ausgebauter SSD komme ich ins Bios.
Ok dh also die Platte richtig platt machen mit einem Tool oder halt per Windows und dann "richtig" formatieren. Ist dann der MBR ebenfalls entfernt und die Platte ist wirklich sauber?

 

[SilenceIsGolden]

Notebook mal testweise ohne HDD starten, um zu testen ob die Meldung dann auch kommt. Wenn ja, dann hat der Virus irgendwas ins UEFI geschrieben, dann könnte man versuchen ein CMOS-Clear zu machen, falls das bei dem Notebook möglich ist. Wenn die Meldung ohne HDD nicht kommt, dann diese nochmal in einen anderen Rechner bauen und mittels "Diskpart clean all" komplett mit Nullen überschreiben.

Update:
"Richtiges" Formatieren reicht hier nicht, weil dadurch der MBR nicht vollständig überschrieben wird. Hier ist "diskpart clean all" nötig.

 

[JaeMcBean]

Starte den PC mal ohne Festplatte - ich kann mir nicht vorstellen, dass der Zugriff auf das BIOS modifiziert wurde. Sieht mir eher danach aus, dass der MBR verändert wurde.

Schließe die Platte anschließend an ein Live-Betriebssystem und lösche sämtliche Partitionsinformationen, sodass der MBR neu geschrieben wird.

Bei Heise ist das Ding auch relativ neu in den Security-Foren: http://www.heise.de/forum/heise-Security/Themen-Hilfe/Hilfe-bei-Erpressungs-Trojanern/Neuer-Trojaner-PETYA-RANSOMWARE/posting-25668762/show/ Scheint sich heute Nacht aktiviert zu haben.

 

[Q-6600]

Wahrscheinlich hat der sich direkt im MBR eingenistet. Da würde ein formatieren oder löschen der Partitionen nicht viel bringen. Da muss stattdessen wohl der MBR bzw. die GPT-Tabelle gelöscht werden.

 

[areiland]

@mod666
Beim Formatieren wird nur das Dateisystem auf Null gesetzt (Quickformat) oder neu geschrieben. Es werden kein MBR und kein Bootsektor neu erstellt.

 

[Coalminer]

Wohl eine von mehreren Varianten des Locky Virus:
https://de.wikipedia.org/wiki/Locky

 

[mod666]

@mod666
Beim Formatieren wird nur das Dateisystem auf Null gesetzt (Quickformat) oder neu geschrieben. Es werden kein MBR und kein Bootsektor neu erstellt.

Stimmt.

 

[Baya]

Du hast die Partition also nur formatiert und nicht das ganze Volume gelöscht?
Mit nem diskpart und clean, müsste es aber erledigt sein oder versteh ich grad was falsch?!

 

[SilenceIsGolden]

Er hat vermutlich alle Volumes gelöscht, neu angelegt und diese formatiert, nur überschreibt das eben nicht den Virus, der in dem Bereich des MBR sitzt, indem z.B. auch Bootmanager installiert werden (oder zumindest ein Teil davon) oder wo früher diverse Disk Manager installiert wurden.

 

[c-mate]

Ich habe alle Partionionen und Volumes gelöscht und anschließend (zu einem neuen Volume) formatiert.

Kann ich mit "diskpart clean all" 100% sicher sein dass alles weg ist?