rootkit MBR\\.\PHYSICALDRIVE0 (pro vyosek)

[mattey]

No já v těch záložkách mám spoustu odkazů na různý stránky o kytarách, který jsem za posledních pár let vysurfoval. Stránek na tohle téma je téměř nekonečno, ale těch skutečně zajímavých je podstatně méně.

Myslíte, že jinak by mělo být vš OK?

[vyosek]

Jeste to pro jistotu proverime

Stahnete MBR na plochu http://www2.gmer.net/mbr/mbr.exe ale nespoustejte

Kliknete na Start a pote Spustit, pripadne pouzijte klavesou zkratku Win+R

• Vyskoci na Vas okenko, do ktereho zkopirujte text nize

• Kód: Vybrat vše

  "%userprofile%\plocha\mbr" -t

• Kliknete na OK
• Na plose se Vam vytvori log s nazvem mbr.txt, jeho obsah mi sem vlozte

[mattey]

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: SAMSUNG_HD082GJ rev.JE100-19 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T1L0-c

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys sptd.sys >>UNKNOWN [0x8A6A88AC]<<
C:\WINDOWS\system32\drivers\sptd.sys
1 ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\Harddisk0\DR0[0x8A65AAB8]
3 CLASSPNP[0xBA118FD7] -> ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\0000007b[0x8A650F18]
5 ACPI[0xB9E7D620] -> ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\Ide\IdeDeviceP0T1L0-c[0x8A6319E8]
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 156280320

[vyosek]

Stahnete SPTD http://www.duplexsecure.com/en/downloads

• Vyberte z uvedene stranky verzi dle sveho operacniho systemu (32(x86)bit ci 64(x64)bit)
• Ulozte na plochu a spustte
• Zvolte moznost Uninstall a restartujte PC - pokud nepujde kliknout (tlacitko bude sede), krok preskocte

Stahnete Defogger http://www.jpshortstuff.247fixes.com/Defogger.exe

• Ulozte na plochu a spustte
• Kliknete na Disable a restartujte PC - pokud nepujde kliknout (tlacitko bude sede), krok preskocte

A znovu udelejte sken pomoci mbr pres start-spustit

[mattey]

Oba kroky šly provést normálně.
Log mbr:



Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: SAMSUNG_HD082GJ rev.JE100-19 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T1L0-c

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS
1 ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\Harddisk0\DR0[0x8A666AB8]
3 CLASSPNP[0xBA118FD7] -> ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\00000079[0x8A6CA5A8]
5 ACPI[0xB9F7F620] -> ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\Ide\IdeDeviceP0T1L0-c[0x8A60EB00]
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 156280320

[vyosek]

Vydrzte, dam konzultaci s kolegyni...

[mattey]

Mimochodem, úžásně se zrychlilo nabíhání Windows

[mattey]

ok, rád počkám

[vyosek]

Kolegyne tu budu asi az v noci, takze to bude asi dele trvat...takze dekuji za strpeni

[mattey]

bezva, aspoň si uvařím večeři
(průběžně to tu budu kontrolovat)

[vyosek]

No spise tu bude neco az rano

[vyosek]

Takze udelejte krok dle navodu kolegyne

Stáhněte HxD portable http://mh-nexus.de/en/downloads.php?product=HxD
-uložte ho na plochu
-rozbalte ho a program uložte přímo na disk C
-spustte ho
-klikněte na otevřít disk - zvolte pevné disky(fyzické disky) (nepoplette to)
-vyberte pevný disk 1
-do nabídky napište, který sektor chcete otevřít, potvrdíte enter, a budete přímo v tom sektoru
-napište mi, co máte na sektoru 1-62

[mattey]

Nenašel jsem tam českou verzi, tak jsem stáhnul anglickou, vypadá to, že funguje trochu jinak než popisujete. Možná novější verze, zatím bez češtiny. Muselo se to instalovat a možnost Open disk jsem našel až po otevření záložky extras. Dostal jsem se až k tomu otvírání disků, což se mi povedlo (pdysical disks - hard disk 1), ale číslo sektoru ničemu neodpovídá, ač je tam na to nějaké hledací okénko...

Dá se ten program stáhnout jinde česky? (Resp. zaručeně přesně takový o kterém je řeč?)

[vyosek]

Stahnete si tento - je v SK jazyce - ftp://wa651f3:anonymous@mh-nexus.de/HxDsk.zip

[mattey]

Hm, tak to vypadá úplně stejně až na tu instalaci.
V záložce Extra jsem dal Otvor disk.
Objevilo se okno, kde jsou na výběr disky uspořádané do stromu.
Zakliknu jsem Fyzické disky - Pevný Disk 1.
Dál můžu jen potvrdit OK.
V původním okně se otevře celý disk a nohoře je formulář s nastavením parametrů. Když zadám do políčka Sektor hodnotu 1-62, nic se nestane a v políčku se objeví zpátky nula.