Wie entferne ich die .dll für CWS unter NTFS WinXP?

#1 Hi

Ich hab schon fast alles ausprobiert und es fast geschafft. Allerdings fehlt mir zu meinem Glück, dass die Killbox mir die betreffende .dll (in meinem Fall logdogm.dll) aus meinem system32-Verzeichnis rauslöscht. Meine Harddisk ist NTFS-formatiert und darauf läuft WinXP Pro SP1.
Die KillBox gibt zwar aus, dass die Datei gelöscht wurde, aber nach dem Neustart wird erneut auf die Datei zugegriffen. Ich gehe mal davon aus, dass sie nicht gelöscht wird.

Das Problem müßte dann, nach dem Löschen und mit der anschließenden Bereinigung der Registratur bei dem Wert für "AppInit_Dlls" doch eigendlich erledigt sein oder täusch ich mich da?

#2 Wenn nach dem Neustart im appinit_dlls etwas lesbares steht bist du auf dem richtigen weg.
Dieses löschen + CWShredder (neuesteVersion) laufen lassen

Welche Anleitung hast du Benutzt ?

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#3 Loesche diese dll und
Deaktiviere die Wiederherstellung
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/gdocid/20030807105707924

Ist das Problem geloest(?)...wieder aktivieren
MfG
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#4 Nach Paffs Beiträgen und der englischen Anleitung hab ich versucht den CWS Müll los zuwerden.

Systemwiederherstellung ist deaktiviert.

Lösche ich mit der Killbox die in der Reg angezeigte Datei. Und entferne dann anschließend nach einem Neustart den Eintrag in der Reg. (Der allerdings immer nur binär zusehen und nicht so lesbar ist.) Und starte anschließend den Computer neu. Dann ist der Eintrag in der Reg wieder vorhanden.
Mein Frage ist dann, ist die gelöschte .dll wirklich gelöscht worden?

Zwar bin ich einige Browserfenster dann "clean". Aber spätestens nach dem zweiten oder dritten Öffnen des Browsers, sieht man schon an der Art und Weise wie der Browser aufpoppt, das CWS bei dem nächsten Browserstart die Startseite sein wird.

Also meine Frage nochmal: Wie lösche ich diese .dll? Und wie kann ich überprüfen ob die KillBox seine Arbeit richtig macht?

Im Programm "pv" wird die .dll auch nach dem Löschen und Neustart weiter als geladene .dll angezeigt.

Schöne Grüße
Calvin

#5

Zitat

Calvin postete

Lösche ich mit der Killbox die in der Reg angezeigte Datei. Und entferne dann anschließend nach einem Neustart den Eintrag in der Reg. (Der allerdings immer nur binär zusehen und nicht so lesbar ist.)
Calvin

Solange du den Eintrag nicht in normal lesen kannst ist der Hijacker aktiv.
Nach dem Neustart nach Killbox muß man es im Klartext lesen können da KillBox eigentlich die Datei löschen sollte
Bist du sicher das du wirklich den richtigen Pfad angegeben hast.

Poste mal bitte einfach genau den Pfad den du in Killbox einträgs

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#6 Mit diesem Pfad "C:\WINDOWS\system32\doglogm.dll" versuch ich die .dll zu löschen.

#7 Welche Anleitung nimmts du

Diese Hier ?
http://board.protecus.de/t9537-3.htm

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#8 Jepp. Mit der Anleitung bin ich auf den versteckten Eintrag in der Reg gekommen.

#9 Hast du den IE geschlossen?

den neusten CWShredder benutzt?

Liegt dein Windows wirklich unter "C:\WINDOWS" ?

Diese beiden Einträge mal angeschaut?
HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html
HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain

Der Eintrag ändert sich bei jedem Neustart, Also immer überprüfen welcher Name der DLL gerade aktuell ist.

Das ist alles wirklich wichtig!!!!!!!!!

Geh die Anleitung wirklich schritt für schritt durch
Am besten ausdrucken

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware

#10 Also...

IE ist nicht aktiv
CWShredder 1.57.0.0 & Adaware mit neuesten Update vom 03.05.

Die englische und deutsche Anleitung bin ich Schritt für Schritt abgegangen.

Die .dll sehe ich mit KillBox an dem Ort c:\Windows\system32\logdogm.dll.
Und die .dll läßt sich nicht mit der KillBox löschen. Entweder wird sie gleich wieder ersetzt oder sie wird gar nicht erst gelöscht.

Der Reg-Eintrag in AppInit_DLLs ist bisher nach mehrmaligen Neustart der selbe geblieben und hat sich nicht sichtbar geändert.

***

Sorry, mein Fehler!

Dass ich mit der KillBox einen Neustart machen muß und erst dabei die .dll-Datei gelöscht werden kann, ist mir grade erst aufgegangen. Und siehe da es hat funktioniert. Die .dll gelöscht und den Wert in der Reg dann als normalen Wert ändern können.

Herzlichen Dank für die Geduld und die Hilfe.

Schöne Grüße
Calvin

#11 @Calvin

Alles klar, Klasse das es noch geklappt hat.
Wenn er nochmal wiederkommt, bitte melden

Gruß paff
__________
http://www.downclockers.com/ourforum/index.php?board=71.0 Reverse Engineering Malware