trojaner in win 98/SE/ME

Windows 98-Trojaner
#win98
Es ist eine traurige Tatsache, dass sich mit steigender Aktualisierungsrate von Trojanerscannern wie z.B.: Ad- Aware offensichtlich immer neue, bisher noch nicht bekannte Spionagemodule im Internet Explorer aber auch in den Win 98 Betriebssystemen selbst finden! Das hat mich veranlasst, hierfür eine eigene Seite zu erstellen, die ich immer auf dem mir bekannten, aktuellsten Stand halten werde. So fand Ad- Aware mit dem Referenzfile vom 23.06.2002

noch folgende Spyware Module in der Registry von Win 98 und Win 98 SE Systemen:

Key:

Scanner
Datum

Name und Kommentar

Other key:

23.06.2002

HKEY_CLASSES_ROOT\typelib\ {08d96de3-a2e6-11d1-ada5-00a0c92c179f}

Alexa key:

23.06.2002

HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\extensions\ {c95fe080-8f5d-11d2-a20b-00aa003c157a}

Ezula key:

23.06.2002

HKEY_LOCAL_MACHINE\software\classes\interface\ {618736e0-3c3d-11cf-810c-00aa00389b71}

Alexa related key:

13.05.2005

Dieser Schlüssel wird oft fälschlicherweise Alexa genannt, was aber aus zwei Gründen falsch ist:
1. ihn einfach Alexa zu nennen, würde Verwechslungen mit der Alexa Toolbar bringen, und
2. er wird nicht von Alexa angelegt, sondern ist ein Microsoft Internet Explorer Schlüssel, der auf eine Programmbibliothek von Microsoft zeigt, die wiederum eine lokale Microsoft-HTML-Seite aufruft. Diese verweist auf eine Microsoft-Seite im Internet, und erst diese ruft die Alexa-Suchmaschine auf.

Nach Ansicht von Patrick Kolla, (Spybot) ist es keine gute Lösung
diesen Eintrag einfach nur aus der Registry zu löschen.
Denn der verweist nur auf eine Microsoft-DLL, die wiederum die
Datei C:\Windows\Web\related.htm im Internet Explorer öffnet.
Trägt man in diese HTML-Datei einfach einen anderen Suchdienst ein
(die Replacement-Datei von Spybot verwendet zur Zeit Google),
hat man die verdächtige Umleitung gegen ein positives Feature ausgewechselt,
statt sie einfach zu deaktivieren.

Wollen Sie einen anderen Suchdienst eintragen,
finden Sie die Grundlagen dazu im (englischen)
Support-Forum.
(Stand 13.05.2005)

Warnung!
Diese Webseite sowie die URL
"http://www.net-integration.net"
wird neuerdings von Spybot S&D
als "potenziell gefährlich" eingestuft und entsprechend
der Liste gesperrter URL's blockiert.

Entscheiden Sie bitte selbst, ob Sie das Risiko eingehen
und diese Seite besuchen wollen !
In diesem Falle
übernehme ich keinerlei Haftung.

DER TECHNODOCTOR
(Stand 15.10.2008)

Winsys.exe

16.08.2006

Trojaner oder einfach nur harmlos und überflüssig?

Die Schlüssel und Werte sind teilweise mehrfach vorhanden und werden im Falle des Internet Explorers (ALEXA) sogar nach Inanspruchnahme des Internet Explorer-Reparaturprogrammes wieder neu generiert.

Leider habe ich nun festgestellt, dass selbst Ad-Aware in der jeweils aktuellsten Version
nicht alle Einträge findet und entfernt. Es ist also manuelles Nachbessern angesagt.

Dort findet man im unteren Teil der Textdatei auch die genaue Zeichenfolge der von Ad-Aware entfernten Schlüssel oder Werte.

Die von mir rot umrandete Zeichenfolge markiert man einschließlich der eckigen Klammern mit der rechten Maustaste und übernimmt sie mit "KOPIEREN" in die Zwischenablage! Dann öffnet man mit "REGEDIT" über Start...Ausführen... den Registrierungseditor:

Als nächstes wählt man "BEARBEITEN"...."SUCHEN" und gelangt zu folgendem Eingabefenster:

Man fügt nun die Zeichenfolge aus der Zwischenablage mittels rechter Maustaste..."EINFÜGEN" in das weisse Fenster ein und klickt auf "WEITERSUCHEN" Die Registrierung wird nun automatisch durchsucht und endet entweder mit der Meldung:

Oder es wird ein weiterer Eintrag gefunden, wie folgendes Beispiel zeigt:

In diesem Falle markiert man nur die gefundene Zeichenfolge und entfernt sie über die rechte Maustaste mit "LÖSCHEN". Ich warne ausdrücklich davor, mehr als nur diese Zeichenfolge zu löschen, da dies unabsehbare Folgen für das Betriebssystem haben könnte! Statt dessen setzt man die Suche über den Befehl "WEITERSUCHEN" aus "BEARBEITEN" oder via rechter Maustaste solange fort, bis entweder weitere Einträge gefunden und gelöscht sind, oder die Meldung erscheint, dass die Durchsuchung beendet ist. Danach dürften alle relevanten Einträge sicher entfernt sein, was ein zweiter Suchlauf bestätigen sollte.
Dazu kommt, dass einmal gefundene Einträge mit dem Referenzfile vom 23.06.2002 nach dem Update mit einer aktuelleren Signatur von Ad-Aware fortan überhaupt nicht mehr erkannt werden. Dafür können verschiedene Gründe verantwortlich sein. Lesen Sie bitte HIER mehr darüber.

Ich empfehle daher, nach der Reinigung mit Ad-Aware das entsprechende Logfile
(Bitte klicken)
im Lavasoft Ordner von Ad-Aware mit dem Notepad Editor zu öffnen.