Cool web search-about:blank-PHP-Nuke

Verfasst am: 28.01.2005 14:35

Wer im IE plötzlich mit einer anderen Startseite konfrontiert wird, nämlich about:blank, hat sich ein sehr übles Teil eingefangen incl Pop-Up. (Gifs liegen danach in einem Ordner auf dem PC z.B. Spyware for Nuke.) Gefahrenstufe:Hoch nämlich 10 ! Cool Web search ist nicht cool, sonder leitet auf Fake Seite um und spioniert Nutzerdaten aus.
Logindaten z.B. in PHP-Nuke werden in Files mitgeloggt und gespeichert. ! Benutzername ist ohnehin unverschlüssel und das verschlüsselte Passwort kann sicher mit Leichtigkeit entschlüsselt werden. Die Schwachpunkte von Nuke sind ohnehin offensichtlich. Außerdem sind natürlich auch alle anderen Daten in Gefahr.
Die Entfernung gestaltet sich schwierig. Etliche Programme versagen. Nach dem Neustart ist about:blank wieder da ! Die Reg edit hat zahlreiche Einträge, die dazu führen, dass auch im Autostart die gefährlichen Dateien mit gestartet werden.Zu Überprüfung kann man folgendes aufrufen:
Start - Ausführen - MSCONFIG - AUTOSTART. Dort die Programme kontrollieren und ggf. Häckchen entfernen.
Dennoch werden sie beim nächsten Neustart wieder erscheinen, wenn die Regedit weitere Einträge hat ! Ad-aware hat lediglich einen Teil der Einträge in der regedit erkannt, aber viele Programme versagen hier einfach:
Started deep registry scan
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Possible browser hijack attempt : Software\Microsoft\Internet Explorer\MainStart Pageabout:blank

Possible Browser Hijack attempt Object recognized!
Type : RegData
Data : "about:blank"
Rootkey : HKEY_CURRENT_USER
Object : Software\Microsoft\Internet Explorer\Main
Value : Start Page
Data : "about:blank"

Possible browser hijack attempt : Software\Microsoft\Internet Explorer\MainStart Pageabout:blank

Possible Browser Hijack attempt Object recognized!
Type : RegData
Data : "about:blank"
Rootkey : HKEY_LOCAL_MACHINE
Object : Software\Microsoft\Internet Explorer\Main
Value : Start Page
Data : "about:blank"

Possible browser hijack attempt : Software\Microsoft\Internet Explorer\MainDefault_Page_URLabout:blank

Possible Browser Hijack attempt Object recognized!
Type : RegData
Data : "about:blank"
Rootkey : HKEY_LOCAL_MACHINE
Object : Software\Microsoft\Internet Explorer\Main
Value : Default_Page_URL
Data : "about:blank"

Possible browser hijack attempt : .Default\Software\Microsoft\Internet Explorer\MainStart Page about:blank

Possible Browser Hijack attempt Object recognized!
Type : RegData
Data : "about:blank"
Rootkey : HKEY_USERS
Object : .Default\Software\Microsoft\Internet Explorer\Main
Value : Start Page
Data : "about:blank"

Deep registry scan result :
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
New objects : 4
Objects found so far: 4

Browser-Hijacking: Keinen IE benutzen sondern Firefox !
Do not use IE, if your problem is about:blank !

Verfasst am: 30.01.2005 15:25

Es gibt zahlreiche kostenlose gute Tools, die infizierten Dateien erkennen bzw. bei der Beseitigung hilfreich sind.
Eine Auswahl empfehlenswerter removel Tools ohne Anspruch auf Vollständigkeit :

BHODemon
Hijack This
cwshredder
Sybot Search&Destroy
eSan AntiVirus Toolkit
ad-aware SE
Stinger von McAfee