Hartnäckiges CWS Problem

Zuallererst: Ich habe die Suchfunktion im Forum benutzt, und die in einem gefundenen Thread Anleitung benutzt. Hat aber nix genutzt. Ich surfe zu 95% mit Mozilla und nur für Windows Update u.ä. nehm ich den IE6. Habe Microsoft Antispyware installiert. Das Programm meldet mir regelmäßig das sich Coolwebsearch installieren will. Ich klicke also auf Remove, mache nen kompletten Scan - dann wird nix mehr gefunden. Schließlich lasse ich noch Adaware, Spybot und CWSShredder drüberlaufen - die finden auch nix. Doch nach ein bis zweimal Neustarten des Systems (oder Ab- und Anmelden) ist der CWS wieder da ! Was kann ich tun ?

 

Moin,.
Damit bist du nicht alleine:

Und damit auch deinem Problem schon etwas näher gerückt. Schon mal ein Logfile mit Hijackthis erstellt?
Ihrgendwo wird noch eine entscheidende Datei sein, oder sie lädt sich immer nach.
(Manchmal kann es helfen, nur mal so als Tipp, den Browsercache zu löschen, sämtliche temporären Verzeichnisse zu löschen etc............)

Ansonsten kann ich dir nur das hier empfehlen:

 

hi

ich kenn mich eigentlich nicht aus aber ich werf mal so in den raum: deaktiviere mal die sytemwiederherstellung und entferne das teil im abgesicherten modus. starte neu und aktiviere die systemwiederherstellung wieder.

vorausgestzt du benutzt windows xp

mfg david

 

Hallo djtwok !

Weißt du wie die genaue CWS-Variante bei dir heißt? Gibt mehr als 40 Varianten davon . Hier eine Auswahl dazu:

http://www3.ca.com/securityadvisor/pest/pest.aspx?id=453076035

Intermute's CWS-Shredder
( http://www.intermute.com/products/cwshredder.html ) schafft zwar viele, aber auch nicht alle.
Teilweise half auch ein Scan im abgesicherten Modus, aber auch nicht immer nach meiner Erfahrung.

Für Sondervarianten wie CWS Smartkiller (v1/v2) gibt's eigene kleine Removaltools.

 

Die genau Bezeichnung ist mir nicht bekannt, da MS Antispyware nur "Coolwebsearch is triying to install" meldet.
Ich poste hier auf jeden Fall mal das Hijackthis Logfile - mir ist nix aufgefallen was nicht hingehört:

http://www.hijackthis.de/logfiles/8d225c94a0acf726c6812ccfd32a0d99.html

 

fixe mal den Eintrag
R3 - Default URLSearchHook is missing

falls Du nicht in einem Firmennetzwerk bist, oder die Zuordnungen selbst vorgenommen hast, dann ist das mysteriös

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = do.main
O17 - HKLM\Software\..\Telephony: DomainName = do.main
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = do.main
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = do.main

 

@ djtwok

Beim nächsten mal vorher lesen:

http://www.pcwelt.de/forum/thread134046.html

Gruß
Nevok

 

Sorry, kommt nicht mehr vor.
Ich hab das Problem übrigens jetzt - hoffentlich - gelöst:
Die infizierte Datei war shdocvw.dll. Erst habe ich versucht die Datei im abgesicherten Modus zu löschen: Ging nicht trotz Admin Rechten. Habe sie dann unbenannt (in 1.dll). Dann konnte ich sie - trotz Windows Fehlermeldung - mit Tuneup Utilities 2004 Shredder Funktion löschen und durch das Original von meiner Windows XP CD ersetzen.

 

Denkste ! Problem NICHT gelöst ! Windows wurde seit der Radikalentfernung der infizierten Datei von mir 1x im eingeschränkten Benutzermodus gestartet - keine Meldung. Mit Firefox online gewesen (gmx.at). Dann als Admin gestartet (zwecks Updates) - wieder die Meldung das CWS versucht die Datei C:\windows\system32\shdocvw.dll zu starten. Wo steckt das Biest wenn sämtliche Programme per Scan nix finden ????
Das mit dem do.main Zeugs passt so. Habe ich selbst geändert.