Supportnet / Forum / WindowsXP

Hallo, hab mir vor ein paar Tagen irgendein komischen Spymist eingefangen! Es öffnen sich laufend IE Fenster mit nerviger Werbung (Quelle, SpyBlocer, Glauben sie an Außerirdische, blabla). Hab auch schon so ziemlich alles an Programmen laufen lassen (SpyBot, Ad-Aware, MS Antispy, Avast, AVG) um das Problem los zu werden. Ohne Erfolg. Nun weiß ich echt nicht mehr weiter und hoffe ihr könnt mir helfen! Vielleicht hilft es euch wenn ich sage das ich es mir wahrscheinlich auf einer Crackseite eingefangen habe (bitte keine Moralpredigt ;- )und das ich es immerhin schon geschafft habe SpySheriff zu erledigen! thx

haben die programme denn noch was gefunden, dass du dann nicht entfernen kontest? oder kam da nix mehr.

scan auch mal im abgesicherten modus.

genau, gut das du es erwähnst! hatte vergessen zu sagen, das zumindest Ad-Aware immer was findet, es entfernt aber beim nächsten Scan wieder da ist!
hab auch alles im abgesicherten durchlaufen lassen. Ohne Erfolg!

systemwiederherstellung abgeschaltet?

ne das noch nicht!
obs daran liegt??
ich probiers mal fix und meld mich wenns nicht geklappt hat ;)!
danke erstmal

Hat leider mit der Wiederherstellung auch nicht funktioniert!
Also falls es noch irgendwelche Vorschläge gibt, nur her damit!

nicht mit Wiederherstellung sondern ohne ;)

ja klar! mein ich doch! hab mich nur falsch ausgedrückt

vielleicht hilfts noch wenn ich euch sage was ad-aware jedesmal findet!

- immer 12 objekte
- name: tracking cookie
- type: IECacheEntry
- Category: Data Miner

Hast Du HijackThis schon mal laufen lassen ?

das sind normale cookies. die sind nicht gefährlich, müssten aber auch von ad-ware gelöscht werden können.
du sagst, dass imer der IE aufgeht. biste sicher, dass es der IE ist, und nicht ein normales fenster?

ist dein rechner auf dem neusten stand, was updtaes angeht?

Selbstverständlich, hat mir aber auch nicht weitergeholfen.

eben das stört mich ja auch. eigentlich stink normale cookies! trotzdem immer wieder da!
rechner ist aufm neusten stand!
das komische an diesen IE Fenstern ist, das sie zu 70% nicht in der Taskleiste angezeigt werden aber ich damit normal arbeiten kann! die anderen 30% werden aber auch angezeigt!
alles verdammt komisch! hab schon alle foren durch aber nie so ein verzwicktes problem gefunden!

So mal ein kurzes Update der Situation, es wird nämlich immer komplizierter!
Mittlerweile findet auch Ad-Aware nichts mehr, aber die verdammten Pop Ups kommen immer noch!
Hb mal geguckt ob es irgendwelche zusammenhänge zwischen den Cookies gibt uns mir ist da 2-3 mal der Name "falkag" ins Auge gefallen. Naja auch nicht viel neues aber vielleicht hilft es wem

also, beim ganz normalen Surfen öffnen sich - je nach Website - immer mehr oder weniger nervige Fensterchen, Banner und all so´n Quark.

Was läßt Dich erwarten, daß es bei Dir anders ist ?

Wenn Du irgendeinen Filter verwendest, solltest Du uns das sagen. Vielleicht hat der nämlich ´ne Macke wegbekommen.

Na das sich beim surfen Fenster öffnen ist mir auch klar! Aber ich brauch gar nicht beim surfen sein,schon hab ich die Fensterchen auf der Pelle!
Es brauch nur ne Internetverbindung bestehen, das ist ja die Schweinerei!
Hab auch leider keinen Filter der ne Macke hat!
Hab gerade in der Registry die p3p history gelöscht aber war wohl der letzte verzweifelte versuch der nicht geklappt hat!

Überleg dochmal.
Wiederkehrende Cookies bedeutet doch, der IE wuselt im Hintergrund im INet.
Das Fenster musst du ja nicht sehen, läßt sich per Windows-API verstecken.
Und schon wird Zeugs nachgeladen, was deinen Scanner überfordert, sofern er überhaupt noch läuft.
Eine der ersten Aktionen neuerer Trojaner ist es: Scanner und FW mundtot zu machen, was denen auch zunehmends gelingt.
ZA oder ähnliches hilft dir hier auch nicht mehr, da der Schadcode unter der Flagge vom IE segelt, und dem hast du ja mal die Erlaubnis erteilt.

Es hilft dir nur noch der Lage Herr zu werden, System von einem anderen System (Bart, Knoppix) zu untersuchen und Entwanzen, dabei keinesfalls RegKeys übersehen - nur das wird dir nie 100% Sicherheit geben, das noch Reste da sind, die dich in Kürze wieder ärgern.
mfg
Michael

Also kurz gesagt formatieren oder damit leben!?

Hallo reep,

nehme an Du nutzt den IE 6.0?? Dann mach erst mal die Luken von dem Teil dicht.

Hier ist eine Seite wo es recht gut beschrieben ist.

http://www.blafusel.de/ie.html

Gruß

Kismo

Meine ehrliche Meinung?
In diesem Falle ja, es sei denn du hast die Zeit und das Wissen das anders zu beheben, ist aber nicht trivial und ich mache es auch äußerst ungern *seufz*
Kunde ist König.
mfg
Michael

Tja *Z* happens! Und da Zeit und Wissen begrenzt sind werd mich wohl demnächst dazu überwinden müssen!
Nur läßt sich mein netter PC nicht so einfach formatieren aber das ist ein anderes Problem!

Erstmal ein Danke an alle Helfer!

Und falls doch noch der Erleuchete kommt der die ulimative Lösung hat. Bin jederzeit bereit ;)

Was mich wundert, ist, dass scheinbar seriöse Werbung gezeigt wird. FalkAG ist ja eigentlich sowas wie ein Werbeleinwandvermieter im Netz. Und Quelle würde ich jetzt auch nicht bei Spyware vermuten.

Ist das normal?

hallo
ich weise hiermit noch einmal auf Antwort8 hin

das was du hast siet nach Trojaner oder einem Hijacker aus..
belese dich auf auf wwww.hijackthis.de
und nutze das dort abgelegte Analyse /Fix-Pogramm

Leicht wird es auf keinem Fall... und auch nicht in ein paar Minuten erledigt sein.
aber.. du lernst dabei

zeitlich gesehen ist "Format" und "Neuinstallation" aber "effektiver"

Hinweise:
1. mit einem sauberen Zweit-PC die Festplatte nach Viren abscannen
2. danach Starteinträge mit Hijackthis prüfen und insbes. alle dll-Einträge im Run-Schlüssel löschen
3. alle Internetverweise (BHO´s) entfernen
4. alle Bekämpfungsmaßnahmen wenn möglich zuerst im abgesicherten Modus durchführen

und .. soweit möglich Zugriff zum Internet vermeiden

viel Spass cofa

Als Ergänzung:
nicht jede Schadware läßt sich im laufenden Betrieb zuverläßig entfernen - das hat Cofa schlicht vergessen.

Wenn überhaupt, startet das System im abgesicherten Modus nur mit der Eingabeaufforderung - jeglicher Start mit Explorer läßt die Biester gleich wieder aktiv werden.
Ist einfach so, wer sich damit mal befasst hat, wird es bestätigen.
mfg
Michael

Hallo ,

Du hast Dir mächtig was eingefangen. Hier noch mal eine Zusammenfassung der bereits gemachten Vorschläge, mit entsprechenden Links.

Deaktiviere die Systemwiederherstellung unter Start > Systemsteuerung > System > Systemwiederherstellung (Häkchen setzten) Achtung alle alten Wiederherstellungspunkte sind für immer weg.

1. Im geöffneten Internetexplorer unter Extras > Internetoptionen > Allgemein. Dort löscht Du alle Cookies und Dateien und leerst den Verlauf. Danach lade Dir das Programm Spybot und Adaware runter z.B. von hier:

http://www.zdnet.de/downloads/prg/n/v/de0DNV-wc.html

http://php.zdnet.de/downloads/search-wc.php?form_searchstring=adawa...

Jeweils installieren und dann gleich updaten. Lass die suchen und Du wirst staunen was da so alles auf Deinem Rechner ist, was nicht darauf gehört.

Jetzt noch das Programm Regcleaner downloaden z.B. von hier:

http://www.zdnet.de/downloads/prg/x/s/de0AXS-wc.html

suchen lassen. Überflüssige Einträge löschen.

nach dem letzten Download Internetverbindung schließen und wieder alle Cookies und Dateien löschen und den Verlauf leeren. Nochmals Spybot und Adaware laufen lassen, zur Sicherheit. Sollte Spybot jetzt nur noch einen Fehler finden, der sich DSO Exploit nennt, ist nichts schlimmes, ein Bug der demnächst gefixt werden soll.

Solltest Du Dir einen ganz „hartnäckigen“ eingefangen haben, musst Du die Programme Spybot und Adaware im abgesichterten Modus laufen lassen. (F8 beim booten)


Zur Prüfung ob Dein Rechner jetzt sauber ist, solltest Du noch Hijackthis nutzen.

http://www.zdnet.de/downloads/prg/n/m/deGNNM-wc.html

Eine deutsche Auswertung kannst Du dann hier machen lassen.

http://www.hijackthis.de/de

Ist Dein Rechner sauber, nicht vergessen, die Systemwiederherstellung wieder zu aktivieren.


Noch einen Tipp: Sperre alle ActiveX Element und den Dateidownload unter Extras > Internetoptionen > Sicherheit > Stufe anpassen. Nur dann kurz öffnen (die ... für ein Scripting sicher sind und ... Plugins ausführen) wenn auf einer "sicheren" Seite etwas fehlt oder den Dateidownload, wenn Du einen Download machen willst. Die automatische Cookiebehandlung unter Extras > Internetoptionen > Datenschutz > Erweitert würde ich auch umstellen auf: Cookies von Erstanbietern und Sitzungscookies zulassen, Cookies von Drittanbietern sperren.

Gruß

Kismo

Sehr freundlich Kismo! Respekt!

Leider hab die Prozedur schon mindestens 3 mal ohne Erflog gemacht.

Bin aber zumindest so weit gekommen das ich es, so wie es aussieht, bis auf ein Pop Up weg habe! Nachdem ich nun ein paar Einstellungen geändert habe kommt jedesmal wenn sich das Fenster öffnen will folgende Fehlermeldung:

Die Aktuelle Website versucht eine Site im Intranet zu öffnen. Möchte sie dies zulassen?
Aktuelle Site: www.ad-w-a-r-e.de
Internetsite: www.(Adresse jedesmal ne andere).de
JA NEIN

Wenn ich nun auf Nein klicke, kann die Seite nicht angezeigt werden.
puhh langsam ernährt sich das Eichhörnchen, aber es geht voran!

@reep,
du bist nich allein ;-(
Mein Chef hat gestern Abend ´Überstunden´ gemacht und heute Früh ..., das hat mich gleich an deinen Thread erinnert.
Da werden meine Pausen heute wohl etwas knapper ausfallen.
Gruß
Pausenfüller

Logisch, wie soll das auch gehen, ist der oder die Schädlinge schon drin?

Active-X zu deaktivieren ist deswegen sinnlos, da der Schädling via ShellHooks vom Explorer oder IE geladen wird.
Das bekommt man nur in den Griff - von 2nd System aus cleanen und reparieren, sofern das noch möglich ist.
Mit evtl. Merkwürdigkeiten wirst du dich danach auch abfinden müssen.
Ist leider so, auf derart gecleante Systeme gebe auch ich keinerlei Garantie ab, das steht dann auch so vermerkt.
mfg
Michael

@repp,
das Teil war wirklich hinterlistig und mit Spybot, Ad-Aware und AntiVir nicht wirklich auszumachen.
Dabei hatte mein Chef noch Glück, dass auf seiner Kiste aus Starrsinn noch Win98 läuft, da liefen dann zwei verdeckte Aufrufe der cmd.exe ins Leere. Wer weiß, was da noch so im Hintergrund passiert wäre.
Ein paar neue Autostart-Einträge bzw. Run-Befehle in der Registry waren schnell ausgemacht und incl. der Files gelöscht. Das brachte aber nicht viel, es popte weiter lustig im IE. Dann mit ProcessExplorer mal geprüft, was da so im Laufen ist, einige Prozesse gekillt, die Files und die Reg-Einträge gelöscht. Das brachte absolut nichts, es popte weiter lustig im IE. Wieder mit ProcessExplorer geprüft, die Teile waren wieder da, aber unter ganz anderen Namen. Nochmal gekillt, gleiches Ergebnis. Wenn die Dateien und Reg-Schlüssel gelöscht wurden, wurden sie beim Aufruf des IE unter einem anderen Namen neu angelegt, eine im ´Windows´ordner und eine im ´System´ordner. Das Ganze wurde offensichtlich über einen durch mich nicht identifizierbaren Registry-Eintrag gesteuert, welcher beim Aufruf des IE ausgeführt wurde.
Um die Sache zum Abschluss zu bringen, habe ich die Registry von Vorgestern wieder hergesstellt und alle temporären Dateien, die Cookies und den Verlauf gelöscht. Anschließend noch mal nach verdächtigen Dateien und Ordnern mit dem Datum von gestern und heute gesucht und sie im Zweifelsfall erst mal umbenannt.
Das wars dann, die Kiste ist wieder sauber.
Gruß
Pausenfüller

@pausenfüller
hört sich verdächtig nach der Art von Problem habe die mich betrifft!
Danke für die ausführliche Beschreibung aber leider kann ich die Registry nicht auf den alten Stand bringen. Durch das Deaktivieren der Systemwiederherstellung sind die Speicherpunkte alle futsch!
Oder verwechsel ich da jetzt was und die Registry läßt sich anderes wiederherstellen?

Hallo reep,
versuchs doch einfach mal mit dem Programm CWShredder.
mfg
Kati

Hi,
ich habe das selbe Problem... leider schon ziemlich lange unbemerkt.
Was mir 1. aufgefallen ist: Das Programm startet scheinbar immer erst, wenn man IE öffnet - daher ist es mir lange nicht aufgefallen, benutze Firefox.
2. Wenn das Programm (also die adware, oder wie ich sie nennen soll) einmal im IE geladen hat, taucht im Prozessfenster ein "iexplore.exe" auf, der sich nicht mehr killen lässt. (Das ist dann wahrsch. die sichtbare Auswirkung, aber irgendetwas anderes muss natürlich noch im Hintergrund laufen)
3. Ad-Aware findet das Programm trotz aktuellster Updates _nicht_. Es findet jeweils nur die Auswirkungen (Also die schon oben erwähnten Cookies), aber beim nächsten Systemscan sind die bereits wieder da.
4. Norton Antivirus findet gar nichts, ist ja aber auch nicht dazu ausgelegt.

Werde es nun zuerst mal mit "harmloseren" Methoden wie anderen AntiSpy-Programmen probieren, Systemwiederherstellung oder neu formatieren kommt bei mir leider nicht in Frage.

Wenn irgendjemand einen Tipp hat (oder am besten eigene Erfahrungen) mit dem problem hat und vorallem es erfolgreich gelöst hat, schreibt doch bitte.

MfG
tfk

• ad-aware und spybot gleichzeitig benutzen?
• Anti-Spy-Tool, Freeware
• popups blocken