Spyware finden und entfernen

Inhaltsverzeichnis

• Spyware im Internet Explorer
• Microsoft JAVA Virtual Machine ersetzen/entfernen
• Sun-JavaVM Applet-Cache (Alle Browser)
• Spybot-Search & Destroy
• SpywareBlaster
• CWS-Shredder
• HiJackThis
• Spoonweg

Spyware im Internet Explorer:

Obwohl der Internet Explorer auf modernen Systemen durch den Edge-Browser ersetzt wurde, gibt es noch Nutzer, die ihn auf älteren Windows-Versionen verwenden. Mit den folgenden Einstellungen können Sie den Schutz des Internet Explorers verbessern:

1. Öffnen Sie die “Internetoptionen” im Menü “Extras”.
2. Wechseln Sie zum Reiter “Sicherheit” und wählen Sie die Zone “Internet”.
3. Klicken Sie auf “Stufe anpassen” und nehmen Sie folgende Änderungen vor:
• “ActiveX-Steuerelemente initialisieren und ausführen, die nicht sicher sind”: Deaktivieren
• “ActiveX-Steuerelemente und Plugins ausführen”: Auf “Eingabeaufforderung setzen” oder deaktivieren
• “Download von unsignierten ActiveX-Steuerelementen”: Deaktivieren
• “Java-Einstellungen”: Hohe Sicherheit
4. Bestätigen Sie die Änderungen mit “OK”.

Diese Einstellungen bieten zusätzlichen Schutz vor unerwünschten Programmen wie Dialern. Beachten Sie jedoch, dass manche Webseiten dadurch nicht mehr korrekt angezeigt werden könnten. Es empfiehlt sich, einen aktuellen Browser wie Chrome oder Firefox zu verwenden, um sicherer im Internet zu surfen.

Microsoft JAVA Virtual Machine ersetzen/entfernen

Auf älteren Windows-Systemen stellt die fehleranfällige Java-Virtual-Machine von Microsoft ein Sicherheitsrisiko dar. Es ist ratsam, diese durch die aktuelle Sun-Java VM zu ersetzen oder sie komplett zu entfernen. So geht’s:

1. Öffnen Sie das Ausführen-Fenster über Start > Ausführen und geben Sie folgenden Befehl ein:

   RunDll32 advpack.dll,LaunchINFSection java.inf,UnInstall

   Bestätigen Sie die Deinstallation mit Ja/Yes und starten Sie den Rechner neu.

2. Nach dem Neustart öffnen Sie die Registrierungsdatenbank über Start > Ausführen > regedit und navigieren Sie zu folgenden Schlüsseln:

   • HKEY_LOCAL_MACHINE\Software\Microsoft\Java VM
   • HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\AdvancedOptions\JAVA_VM

   Löschen Sie die Ordner Java VM und JAVA_VM.

3. Löschen Sie die folgenden Ordner und Dateien manuell:

   • %systemroot%\java (Ordner)
   • java.pnf im Ordner %systemroot%\inf
   • jview.exe und wjview.exe im Ordner %systemroot%\system32

   Hinweis: %systemroot% steht für das Windows-Installationsverzeichnis, z.B. c:\windows.

4. Starten Sie den Computer erneut und installieren Sie anschließend die Sun-Java-Version.

Sun-JavaVM Applet-Cache (Alle Browser)

Es wird empfohlen, den Applet-Cache der Sun-Java VM vollständig zu deaktivieren, um schädliche Applets beim Schließen der Webseiten automatisch zu löschen (dies gilt für alle Browser).

Gehen Sie dazu wie folgt vor:

1. Öffnen Sie Start > Einstellungen > Systemsteuerung und klicken Sie auf das Java-Plugin.
2. Wechseln Sie zum Reiter Cache.
3. Entfernen Sie das Häkchen bei Cache aktivieren.

Bestätigen Sie die Änderung mit Übernehmen und schließen Sie das Fenster. Der Applet-Cache ist nun deaktiviert.

Spybot-Search & Destroy

Mit dem Spybot-Search & Destroy-Tool (zum Download) können Sie einen Großteil von Spyware, Adware, Hijackern und Dialern aufspüren und entfernen. So nutzen Sie das Programm effektiv:

1. Führen Sie zuerst ein Programmupdate durch, um die Signaturen auf den neuesten Stand zu bringen.
2. Starten Sie das Programm im Advanced-Modus über Start > Programme > Spybot-Ordner, um alle Funktionen zu nutzen. Alternativ stehen die wichtigsten Funktionen auch im Easy-Mode zur Verfügung.
3. Wählen Sie im linken Menü Search & Destroy, um zur Überprüfen-Funktion zu gelangen. Stellen Sie unter Datensätze ein, nach welchen Kategorien gesucht werden soll (z.B. Spyware, Gebrauchsspuren, Systeminnereien). Eine Erklärung dazu finden Sie über den Hilfe-Button.
4. Klicken Sie auf Überprüfen, um die Suche zu starten.

• Rote Einträge: Markieren Spyware-Probleme, die aus Sicherheitsgründen entfernt werden sollten. Diese sind standardmäßig ausgewählt.
• Schwarze Einträge: Systeminnereien. Falls Sie unsicher sind, lesen Sie die Beschreibung oder fragen Sie um Rat. Entfernen Sie diese Einträge nur, wenn Sie sich sicher sind.
• Grüne Einträge: Gebrauchsspuren. Ihre Entfernung ist in der Regel unproblematisch. Log-Einträge bei NT/Win2000/XP sollten jedoch nicht entfernt werden, da dies zu Systemproblemen führen kann.

Klicken Sie auf ‘Markierte Probleme beheben’, um die ausgewählten Probleme zu entfernen.

Eine nützliche Vorbeugungsmaßnahme ist die Immunisierung, die verhindert, dass Spyware sich im System festsetzt:

1. Klicken Sie auf Immunisieren.
2. Das Programm überprüft, welche Spyware blockiert werden kann und welche bereits geblockt ist.
3. Klicken Sie auf den Button Immunisieren, um die Funktion abzuschließen.

Führen Sie die Immunisierung nach jedem Update aus.

Weitere Funktionen:

• Entfernen von Tracking-Cookies
• Suche nach Spyware/Adware-Programmen in Ordnern
• Schutz und Erweiterung der Hosts-Datei (Werbeblockierung)
• Verwaltung der Startupliste (Hinzufügen, Löschen, Deaktivieren)
• Nützliche Informationen zur weiteren Suche nach Schädlingen

Eine Alternative zu Spybot mit kleinerem Funktionsumfang und ohne Immunisierung ist Adaware.

SpywareBlaster

Der SpywareBlaster (Download/Alternative) identifiziert und blockiert schädliche Programme auf dem PC. So nutzen Sie SpywareBlaster:

Bedienung:

1. Führen Sie ein Programmupdate durch, um die Spyware-Signaturen auf den neuesten Stand zu bringen.
2. Nach dem Herunterladen werden alle neuen Signaturen im Anzeigefenster in Rot angezeigt. Klicken Sie auf “Select All”, um alle neuen Signaturen zu markieren.
3. Klicken Sie auf “Protect Against Checked Items”, um den Rechner gegen die markierte Spyware zu immunisieren.

Erklärung:

SpywareBlaster bietet eine umfassende Blockierung von Spyware und ergänzt die Immunisierungsfunktionen von Spybot oder Adaware. Die Bedienung ist einfach, auch wenn das Programm nur auf Englisch verfügbar ist.

CWS-Shredder

Bedienung:

1. Führen Sie zuerst ein Programmupdate durch, um die Signaturen auf den neuesten Stand zu bringen.
2. Klicken Sie auf ‘FIX->’, um den Rechner nach schadhaften Einträgen zu scannen und diese bei Bedarf zu entfernen.

Erklärung:

Der CoolWebSearch-Trojaner (auch bekannt als Java.Shinwow) nutzt Sicherheitslücken in der Microsoft Java-Virtual-Machine aus, um sich auf dem System zu installieren. Dieser Trojaner manipuliert Browserlinks und zeigt leere Seiten an.

Microsoft bietet zwei Patches an, die das Problem beheben:

• Security-Bulletin MS03-011
• Security-Bulletin MS00-075

Alternativ können Sie die Microsoft JavaVM durch die aktuelle SUN JavaVM ersetzen. Ist der Rechner bereits infiziert, hilft der CWS-Shredder bei der Entfernung des Trojaners.

HiJackThis

HiJackThis (Download) ist ein Tool zur manuellen Entfernung von schädlichen Einträgen, die andere Programme nicht finden oder entfernen können.

Bedienung:

1. Klicken Sie auf ‘Scan’, um alle relevanten Daten im Anzeigefenster aufzulisten. Nach dem Scan wechselt der Button von ‘Scan’ auf ‘Save-Log’.
2. Klicken Sie auf ‘Save-Log’, um das Ergebnis in einer Log-Datei zu speichern. Diese Datei (Hijackthis.log) kann im Forum gepostet werden, um schädliche Einträge zu identifizieren.
3. Sobald die schädlichen Einträge identifiziert sind, markieren Sie diese im Anzeigefenster und klicken Sie auf ‘Fix checked’, um sie zu bereinigen.

Wer unsicher mit den Fundstellen von HiJackThis (HJT) ist, kann diese auch in unser Sicherheitsforum stellen und sich von anderen Nutzern beraten lassen: So lässt sich oft schnell sagen, welche Fundstellen des Tools problematisch sind.

Erklärung:

Wenn die vorherigen Maßnahmen und Tools nicht ausreichen, kann HiJackThis eine manuelle Entfernung ermöglichen. Das Tool erstellt einen Bericht über folgende Elemente:

• Start-/Suchseiten-URLs des Internet Explorers
• Programme im Autostart
• Start-/Suchseiten-URLs von Netscape/Mozilla
• Hosts-Datei-Umleitungen
• Browser Helper Objects (BHOs)
• Toolbars im Internet Explorer
• Aufgerufene und selbststartende Programme in der Registry
• Versteckte Internetoptionen in der Systemsteuerung
• Internetoptionen, die nur für Administratoren zugänglich sind
• Zusätzliche Optionen im Kontextmenü des Internet Explorers
• Zusätzliche Buttons auf der IE-Standardleiste und im Extras-Menü
• Winsock-Hijacker
• Zusätzliche Gruppen in den erweiterten Optionen
• IE-Plugins
• IE-Standard-Prefix-Hijack
• ‘Webeinstellungen zurücksetzen’ Hijack
• Unerwünschte URLs in den vertrauenswürdigen Sites
• ActiveX-Objekte (z.B. Downloader)
• Lop.com-Domain-Hijacker
• Zusätzliche Protokolle und Protokoll-Hijacker
• Benutzer-Stylesheet-Hijack

Spoonweg

Bedienung:

Mit einem Klick auf ‘Trojaner Suchen’ wird der Prozess des Trojaners (SP.exe) beendet. Anschließend werden alle Registry-Einträge, die den Trojaner beim Systemstart ausführen, entfernt. Zum Schluss wird die Trojaner-Datei SP.exe vom Rechner gelöscht.

Erklärung:

Der Spooner-Trojaner manipuliert Browser-Links und leitet diese auf www.ntsearch.com um. Zudem zeigt er einige Webseiten nur als leeres Browserfenster an. Mit dem Tool Spoonweg wird dieser Trojaner vollständig vom System entfernt.