Zerstörter MBR bei S-ATA Platten

[pheeex]

Ich bin am Ende!!!!

Am Dienstag ist mein PC draufgegangen. Da habe ich noch nichts schlimmes vermutet, aber wie sich jetzt so langsam herausstellt habe ich mir einen Bootvirus eingefangen. Ich habe bei meiner Suche einen Thread gefunden, nur leider funktionieren bei mir alle diese Sachen nicht, da ich S-ATA Platten habe. Wie soll so ein DOS-Virenscanner meine S-ATA Platten erkennen.

Es sind 2 Maxtor Platten: 200 und 250 GB.

Sachen wie ein anderes System hängen geht alles nicht. Und auch die Wiederherstellungskonsole bringt mich nicht weiter, weil jedesmal ein Bluescreen kommt:



Es wurde ein Problem festgestellt. Windows......

...Deaktivieren oder deinstallieren Sie alle Antivirus-, Festplattendefragmentations- und Sicherungsprogramme. Überprüfen Sie die Festplattenkonfiguration, und stellen Sie fest, ob aktualisierte Treiber verfügbar sind. Führen Sie CHKDSK /F aus, um festzustellen, ob die Festplatte beschädigt ist und staten Sie anschließend des Computer neu.

Technische Information:

*** STOP: 0x000000024 .... noch mehr Adressen

*** ntfs.sys - Address F739F83D base at F738E000, DateStamp 3d6de5c1


Das komische ist, ich habe den Fehler nicht von meinem normal MBR-Virenschutz gemeldet bekommen, sondern vom Maxtor Festplattentest. Den habe ich laufen lassen, weil ich am Dienstag CHKDSK laufen lassen musste, um Dateisegmente zu löschen. Da hatte ich schon einen kleinen Datenverlust, aber nix wildes. Nur jetzt sind eben all meine Daten bedroht, und das ist für mich ein herber Schlag, da ich ja nicht alles sichern kann.


Ich hoffe mir kann jemand helfen. Vorallem weil es S-ATA Platten sind, bin ich ratlos


Mein Mainboard ist ein Asus A7N8X-E Deluxe mit einem Silicon Image S-ATA Controler.

 

[Enigma]

http://www.de.tomshardware.com/praxis/20050101/index.html

 

[Gandalfx86]

Du kannst mal versuchen eine Knoppix Version mit Virenscanner zu starten und dann mal die Platten scannen. Diese CDs sind andauernd in Zeitschriften (z.B. CT' : "Knoppizillin" oder so heist das soweit ich weis")

 

[pheeex]

Danke für die Antwort, aber ich hatte vergessen zu sagen, dass es bei den beiden auch zu diesem Bluescreen kommt. Wo hab ich nur meinen Kopf.

 

[Fiona]

Bei Bootsektorvirus oder ähnlich könnte Testdisk helfen.
Testdisk ist ein eigenständiges Programm.
Vielleicht findet es die Sata-Platte?
Versuche mal ob Testdisk die Festplatte erkennt.

Woher bist du dir sicher, das es der MBR ist und nicht der Bootsektor, oder ein anderes Problem?
Ich habe bei dir leider auch nichts über dein Betriebssystem oder Dateisystem gefunden.

Aus Testdisk-Dokumentation;
TestDisk was primarily designed to help recover lost partitions and/or make non-booting disks bootable again when these symptoms are caused by faulty software, certain types of viruses or human error (such as accidentally erasing your Partition Table).

Daher würde ich erstmal eine Diagnose mit Testdisk vorschlagen.

Erstelle dir eine Bootdiskette, oder download eine von www.bootdisk.com .
Lade dir die Dos-Version Testdisk Version 5.6 beta (Dos/Win9x, zip).
Link dazu gibt es hier.
http://www.cgsecurity.org//index.html?testdisk.html

Kopiere den dos-Ordner aus dem Testdisk-Verzeichniss auf die Diskette.
Geht auch auf eine 2 Diskette.
Die must du dann eben wechseln.
Die Datei Photrec im Dos-Verzeichniss, ist für Photowiederherstellung und wird nicht benötigt.
Könntest du löschen.

Starte mit der Bootdiskette.
Wechsel in das dos-Verzeichniss von Testdisk.
Gib dort an der Eingabeaufforderung ein;
testdisk /log /debug
Dadurch wird alles auf der Diskette in der Datei "Testdisk.log festgehalten.
Wähle wenn nötig deine Festplatte aus.
Bestätige bei Analyse langsam (wegem Log) durch, bis du ein Menü siehst, wo [Quit] [Search] [Write] steht.
Gehe mit dem Pfeil auf Search und lasse es laufen.
Bestätige anschließend weiter, bis du wieder zum [Quit] [Search] [Write]-Menü kommst.
Bestätige 2 x bei Quit.
Dann sollte Testdisk beendet sein.
Schaue in dem dos-Ordner nach der testdisk.log-Datei.
Benenne die um in testdisk.txt und lade die mal für Diagnose hier hoch.

Mit Testdisk ist es möglich den MBR und die Partitionstabelle zu löschen.
Man kann den dann automatisch neu erstellen lassen.
Auch besteht vielleicht die Möglichkeit den Bootsektor zu reparieren.
Oft wird am Ende des Volumens ein Backup Sector erstellt.
Info auch nochmal hier.
https://www.computerbase.de/forum/t...n-wiederherstellen.69070/page-26#post-1002394

Viele Grüße

Fiona

 

[pheeex]

Bei Bootsektorvirus oder ähnlich könnte Testdisk helfen.
Testdisk ist ein eigenständiges Programm.
Vielleicht findet es die Sata-Platte?
Versuche mal ob Testdisk die Festplatte erkennt.

Woher bist du dir sicher, das es der MBR ist und nicht der Bootsektor, oder ein anderes Problem?
Ich habe bei dir leider auch nichts über dein Betriebssystem oder Dateisystem gefunden.

....

Danke für das Tool, werde es gleich mal testen! Hoffe wirklich, dass es mit S-ATA Platten klarkommt.

Wegen dem Bootvirus: Ja es ist einer! F-Prot sagt zwar, dass ich keine Viren im Bootsektor habe, aber das Trend ChipAwayVirus springt an, und melden mir einen Bootvirus auf meiner Festplatte.
Komisch, dass es so einfach mit einer S-ATA Platte klarkommt, wie kann das sein? Es sind doch nirgendwo Treiber hinterlegt.



OS: Windows XP Pro SP2
Dateisystem: NTFS auf allen Partitionen.

 

[Andy4]

Dann lass den Master Boot Sector doch noch mal neu schreiben.
Win XP CD rein. Wiederherstellungskonsole öffnen, und bei der besagten Windows Version anmelden.
FIXMBR.

Gruß Andy

 

[Fiona]

Dann lass den Master Boot Sector doch noch mal neu schreiben.
Win XP CD rein. Wiederherstellungskonsole öffnen, und bei der besagten Windows Version anmelden.
FIXMBR.

Master Boot Record.
Er kommt soviel ich weiß wegen BSOD nicht in die Wiederherstellungskonsole.
Das wird vielleicht nicht viel bringen, da fixmbr nur den Bootblock mit 446 Byte neu schreibt.
Die Partitionstabelle (64 Byte) und die Signatur (2 Byte 0xAA55) bleiben davon unberührt.
Besser erstmal lassen

Viele Grüße

Fiona

 

[pheeex]

....
Sachen wie ein anderes System hängen geht alles nicht. Und auch die Wiederherstellungskonsole bringt mich nicht weiter, weil jedesmal ein Bluescreen kommt...

@ Fiona: Wenn ich die Partitionstabelle neu schreiben lasse, sind dann alle Partitionen weg? Denn das wäre ja etwas, was ich unbedingt vermeiden will. Grade auch, weil die Partitionstabelle ja noch in Ordnung zu sein scheint.

Ich lasse grade Disktest laufen, nur als ich auf das Floppy zugreifen will, um die Daten zu laden bringt mir Trend ChipAwayVirus malwieder eine Virenmeldung. Infiziert der Virus auch eine Floppydisk?


Die Testergebnisse reiche ich gleich nach, nur leider hat grade Jemand bei meinem infizierten Rechner kurz vor Ende des Tests den Stecker gezogen...

Edit:

So, hier ist die Datei! Bin mal gespannt, was dir das sagt.


//Doppelpost zusammengeführt!
Gruß Fiona

 

[Fiona]

Habe ich mir angeschaut.

Eine für mich ein wenig ungewohnte Ungereimtheit ist, das in Testdisk deine Festplatte einmal voll am Write-Screen gelistet wird, und nach Search (deeper try) nur noch die Hälfte.
Gefunden werden aber alle Partitionen. Ist aber kein Problem, da man die zum speichern mit der linken oder rechten Pfeiltaste dort setzen könnte.

Einmal das Ergebniss bevor du auf Search mit dem Pfeil gegangen bist;

interface_write()
1 * HPFS - NTFS 0 1 1 3119 254 63 50122737 [System]
2 E extended LBA 3120 0 1 30514 254 63 440100675
5 L HPFS - NTFS 3120 1 1 4939 254 63 29238237 [Programme]
6 L HPFS - NTFS 4940 1 1 13671 254 63 140279517 [Games]
7 L HPFS - NTFS 13672 1 1 17934 254 63 68485032 [Eigene Dateien]
8 L HPFS - NTFS 17935 1 1 30514 254 63 202097637 [Stuff]

Hier wird alles richtig gelistet. Alle Partitionen werden erkannt.
Testdisk meldet keinen MBR oder Bootsektorfehler.

Habe auch gelesen, das bei einem ntfs.sys-Problem exact deine Probleme auftreten können.
Wiederherstelellungskonsole nicht möglich, und Knoppix auch nicht auch mit BSOD.

http://support.microsoft.com/kb/228888/de

http://www.microsoft.com/resources/...Windows/XP/all/reskit/en-us/prmd_stp_swhw.asp

http://www.supportnet.de/threads/108672

Viele Grüße

Fiona

 

[pheeex]

Oh man, ich fühle mich grade wie ein scheues, verwirrtes Rehkitz. Aber wir sind ja nicht hier, um meine psychischen Probleme zu lösen, also auf gehts zu meinen technischen:

Tut mir erstmal leid, dass ich am Anfang gleich den MBR als Fehler angegeben habe, nur ich wusste es eben nicht besser. Mich hat auch die Virenmeldung verunsichert.

Heisste das jetzt für mich, dass ich garkeinen Bootvirus habe, sondern dass nur fehlerhafter Code im Bootsektor ist?


Vielen Dank schonmal für eure Hilfe. Vorallem dir, Fiona!

 

[Fiona]

Hatte hier schon öfters Fehler mit Verdacht auf Virus.
War meistens zu daran zu erkennen, das Start-Heads oder Sektoren keine Standardwerte gehabt haben.
Dieses ist aber hier nicht der Fall.
Trend ChipAwayVirus bringt oft schon Fehlermeldungen bei Änderungen im Bootsektor.
Kann ich aber nicht genau sagen.
Kann aber auch wie im Microsoft-Link genannt damit zusammenhängen, das das Dateisystem NTFS beschädigt ist.
Eine Lösung war;
Computer mit Setup-Disketten zu starten, und die ntfs.sys im Ordner;
Standard;
C:\WINDOWS\system32\drivers
Ich würde die auch noch zusätzlich im;
C:\WINDOWS\system32\dllcache
in ntfs.old umbennen.
Erneut Start in die Wiederherstellungskonsole
Die Disketten für WinXP gibt es zum download hier;
http://support.microsoft.com/?kbid=310994
Versuche ansonsten die selbe Prozedur.

Die Erklärung war für W2k.
Überprüfe ob du die Datei "Txtsetup.sif" dort auch findest, und klammere die ntfs.sys durch das Semikolon vom lesen aus.

Die Wiederherstellungskonsole auf einem Computer mit einem einzelnen Laufwerk verwenden
Wenn Ihr Computer über nur einen einzelnen NTFS-Datenträger verfügt und keine weiteren Windows 2000-Computer oder -Festplatten zur Durchführung der zuvor beschriebenen Methoden verfügbar sind, können Sie von den vier Setup-Disketten starten, um das Tool "Chkdsk" bei deaktiviertem Ntfs.sys-Treiber auszuführen. Führen Sie die folgenden Schritte durch, um einen NTFS-Datenträger mithilfe der Wiederherstellungskonsole zu reparieren:
1. Starten Sie den Computer mithilfe einer Microsoft Windows 95/98-Startdiskette mit CD-ROM-Unterstützung (oder von einem anderen Computer mit einem CD-ROM-Laufwerk, indem Sie die Windows 2000-Installations-CD in dieses CD-ROM-Laufwerk einlegen).
2. Wechseln Sie zum Ordner "CD_ROM:\Support\Bootdisk", und führen Sie anschließend "Makeboot.exe" oder "Makebt32.exe" aus, um die vier Windows 2000 Setup-Disketten zu erstellen.
3. Bearbeiten Sie im Editor auf der ersten Setup-Diskette, die Sie in Schritt 2 erstellt haben, die Datei "Txtsetup.sif":
a. Suchen Sie im Abschnitt [FileSystems.Load] nach der Zeile, die mit "ntfs." beginnt.
b. Fügen Sie am Anfang der Zeile ein Semikolon ( ; ) ein, wie das folgende Beispiel zeigt:

[FileSystems.Load]
fat = fastfat.sys
;ntfs = ntfs.sys

c. Speichern Sie die Änderungen.
4. Starten Sie den Computer, auf dem die "Stop 0x24"-Fehlermeldung auftrat, mithilfe der vier Setup-Disketten. Starten Sie durch Drücken der Taste [F10] die Wiederherstellungskonsole, wenn das Dialogfeld Willkommen angezeigt wird.
5. Führen Sie den folgenden Befehl aus, um die beschädigte NTFS-Partition zu reparieren:
chkdsk Laufwerkbuchstabe: /p
6. Geben Sie exit ein, um die Wiederherstellungskonsole zu beenden. Starten Sie anschließend den Computer neu.
Wenn keine dieser Methoden funktioniert, müssen Sie die beschädigte NTFS-Partition möglicherweise löschen, neu erstellen und formatieren und die Partition anhand der letzten als funktionierend bekannten Sicherung des Datenträgers wiederherstellen. Mithilfe des Befehls fdisk in MS-DOS 5.x, MS-DOS 6.x oder Windows 95/98 können Sie NTFS-Partitionen löschen, indem Sie die NON-DOS-Partition markieren und löschen.

Nach chkdsk, besteht die Möglichkeit das du wieder Zugriff auf dein Dateisystem erhälst.
Wenn die ntfs.sys beschädigt sein sollte, kannst du die auch aus dem Ordner i386 von Servicepack2 (wegen der Version) in die beiden genannten Verzeichnisse kopieren.
Dann kannst du auch nochmal einen Virencheck machen.
Vielleicht mit dem Tren Micro Houscall gegenscannen.
http://de.trendmicro-europe.com/consumer/products/housecall_pre.php

Hoffe es hilft

Viele Grüße

Fiona

 

[pheeex]

Ich stehe grade voll aufm Schlauch! Sag mir doch mal bitte, wie ich mit den Disketten meinen PC starten soll. Ich mein, ich muss ja ins DOS, um die Dateien umzubennen.
Nur sag mir doch mal bitte, wie ich das mache. Ich hab leider wirklich keine Ahnung.

 

[Fiona]

Ich habe dir in dem oberen Post einen Link zu den Setup-Disketten gesetzt.
Die kannst du downloaden und damit ein Setup-Diskettensatz für WinXP erstellen.
Auf der Diskette kannst du die Datei Txtsetup.sif bearbeiten und zurückkopieren.
Wahrscheinlich in Txtsetup.sif in Txtsetup.txt umbennen und im Start / Programme / Zubehör/ Editor laden und bearbeiten.
Hinterher wieder umbennen in Txtsetup.sif.
Dadurch solltest du beim laden von NTFS keinen Bluescreen erhalten (laut Prozedur von Microsoft).
Ansonsten ist es genau dasselbe wie von der WinXP-CD.

Vielleicht klappts

Viele Grüße

Fiona

 

[pheeex]

Wenn da doch nur eine *.sif Datei wäre

Bei den 2000er Startdisketten gibt es eine ordentlich *.sif Datei, nur bei den XP Disketten ist es eine *.si_ Datei. Der Inhalt ist nur leider nicht ordentlich lesbar

Als ist versucht habe, mit den 2000er Disketten zu starten (frag mich nicht warum), kam der Fehler, dass er einen Eintrag fastfat vermisst. Aber NTFS hatte ich ausgeblendet


Mein Betrag davor war leider recht ungenau, ich hatte schon massenhaft Disketten: ME, 2000, XP.
Nur mit keiner komme ich ins DOS, ich weiss einfach nicht wie!


EDIT:

Also ich bin jetzt dank der 2000er Bootdisketten mit dem modifizierten SystemLoad Eintrag in der Wiederherstellungskonsole. Aber wie kann ich denn jetzt bitte irgendwie auf die Platten zugreifen? Wenn NTFS-Unterstützung doch deaktiviert ist.

Es kommt ein Bluescreen wenn ich versuche, CHKDSK mit dem Parameter /p auszuführen. ntdll.dll ist diesmal der Übeltäter:

STOP: c0000139 {Einsprungpunkt nicht gefunden}
Der Prozedureinsprungpunkt "RtlComputeCrc32" wurde in der DLL "ntdll.dll" nicht gefunden.



Aber ich könnte jetzt den MBR oder den Bootsektor neu schreiben, sollte ich das versuchen? Ich werde vorher gewarnt, dass das die Partitionstabelle beschädigen kann und bin deshalb ein wenig verunsichert.


EDIT2:

Ich hab in der KB von Microsoft eben was interessantes gefunden: LINK
Nur kann ich persönlich damit leider nur wenig anfangen.

Aber der CHKDSK-Fehler kam bei mir auch. Aber einfach so, als ich ganz normal gebootet habe.

EDIT3:

Hülfe Hülfe!

Ich habe eben nochmal ein bisschen mit Testdisk rumgespielt und gesehen, dass ich damit einfach die Partition löschen kann. Was würde denn dann mit den anderen Partitionen passieren? Alle ausser C: sind mir wichtig. Also C: löschen und windows neu drauf bügeln? Dann wäre ja die fehlerhafte ntfs.sys gelöscht.

Genauso könnte ich einfach den MBR bzw. den Bootsektor von C: neu schreiben. Nur was passiert in diesem Fall mit den restlichen Partitionen?

 

[Fiona]

Bei den 2000er Startdisketten gibt es eine ordentlich *.sif Datei, nur bei den XP Disketten ist es eine *.si_ Datei. Der Inhalt ist nur leider nicht ordentlich lesbar

Sieht so aus, das die auf der WinXP-Diskette komprimiert ist.
Kannst du ja mal extrahieren mit dem Befehl expand und dann versuchen zu editieren.
Info über expand ist hier;
https://www.computerbase.de/forum/threads/run32dll-exe-error.107622/#post-1059536

Kopiere die dann mit dem Originalnamen wie vor der Dekomprimierung wieder zurück.

Viele Grüße

Fiona

Edit;
Ich würde mit Testdisk keine Partition für eine Installation auf gelöscht setzen.
Wenn auf dem Datenträger Fehler sind, kann es bei der Installation Probleme verursachen.

 

[pheeex]

Dank deiner Hilfe bin ich nun schon so weit, dass ich alle Partitionen auf der einen Platte mit CHKDSK reparieren konnte. Allerdings kommt jetzt beim Booten der Fehler, dass die hal.dll im Windowsroot\System32 fehlt.
Ich soll sie erneut installieren.


Und jetzt kommt der Knaller: Ich bin grade dabei Windows erneut zu installieren und bisher klappt alles.

Ich bin ziemlich zuversichtlich, dass alles klappt.

Also Dank dir vielmals Fiona!! Und auch euch anderen danke.


PS: Die Lösung war: PC mit den modifizierten XP-Startdisketten (Filesystem-Eintrag) starten, dann CHKDSK mit dem Parameter /p ausführen und anschliessend XP neu installieren.
Tja so einfach ist es.... wenn man es nur weiss

 

[duke2k]

Ich hab nun auch das selbe Problem wie du ich habs mit der Win2k startdiskette versucht aber ich weiss nie wie ich in die Console rein komm und wenn ich auf reparieren geh soll ich die Win2k Cd einlegen(hab win xp pro).

Bei den WindowsXp bootdisketten gibts ne datei auf der ersten diskete die heisst .sli_ oder so da sollte man ja die Änderungen vornehmen aber wenn ich sie in .txt oder gleich mit den editor öffne zeigt es mir nur irgendwelchen unleserlichen Code an (wilde Zeichen).

Ich bin schon richtig am verzweifeln hab das problem schon vor 1 woche ca gehabt hab damals all meine Daten verloren diesmal wll ich/muss ich mein Sysem retten.

Ich hoffe du kannst mir erklären oder sonst jemand der sich gut auskennt wie du die Änderungen schlussendlich an der Bootdiskette vorgenommen hast.

mfg DuKe2k

 

[pheeex]

AW: Re: Zerstörter MBR bei S-ATA Platten

Sieht so aus, das die auf der WinXP-Diskette komprimiert ist.
Kannst du ja mal extrahieren mit dem Befehl expand und dann versuchen zu editieren.
Info über expand ist hier;
https://www.computerbase.de/forum/threads/run32dll-exe-error.107622/#post-1059536

Kopiere die dann mit dem Originalnamen wie vor der Dekomprimierung wieder zurück.

Ist das nicht die Antwort auf deine Frage? Leider weiß ich auch nicht mehr so ganz genau über die ganze Situation damals bescheid, da das ja schon über nen Jahr her ist.

Ich hoffe, dass das Zitat dir hilft.

Mehr Hilfe gibts falls nötig morgen früh (12-15 Uhr ), jetzt fühle ich mich nicht wirklich im Stande dazu

 

[duke2k]

Ich hab das Problem jetzt auf einen anderen Weg lösen können. Hab mir das Programm NTFS4Dos gesaugt damit chkdisk laufen lassen und den PC dann einfach neugestartet hab nicht mal windows neuinstallieren müssen falls jemand nochmal das Problem hat sollte er es auf jeden fall somal probieren.

Für die erkenntnis habe ich 8 Stunden rumprobiert. Thats life

Danke trotztdem für die Info.

mfg duke2k