AdWare infiziert Dateien

Malware entwickelt sich weiter. Bereits seit einiger Zeit wird AdWare mit Trojanern verglichen. Neuerdings beobachten wir, dass AdWare sich wie ein Datei-Infektinsträger verhält.

Wir registrieren gegenwärtig eine große Anzahl durch AdWare infizierter Dateien: Die Viren sind sehr kompliziert. Sie infizieren mit ihrem Schadcode den Windows‘ explorer.exe und gehören zur Familie Virus.Win32.Bube.

Virus.Win32.Bube.d, beispielsweise, kann verschiedene AdWare und Trojaner herunterladen, z.B.: AdWare.ISearch.d, Trojan-Clicker.Win32.Agent.bn, Trojan.Win32.LowZones.ai und PornWare.Dialer.Salc.

Eine Desinfektion in diesem Falle ist ziemlich verzwickt, da der Explorer.exe ein wichtiger Windows Prozess ist. Außerdem versucht die Malware, eine Säuberung zu verhindern indem sie die Wiederherstellungsoption des Systems funktionsunfähig macht. Sie infiziert den explorer.exe residing in %sysdir%dllcache und verringert so die gesamte System-Sicherheit.

Die Dinge können noch komplizierter werden, wenn der Zugriff durch ein Anti-Virus-Programm auf den infizierten explorer.exe blockiert wird. Aus diesen Gründen schlagen wir folgende Schritte zur Säuberung vor:

Beachten Sie bitte, dass diese Säuberungs-Anleitung nicht für die KAV 5 Serie zutrifft. KAV 5 kann den explorer.exe in normalem Modus desinfizieren. Wie auch immer, ein vollständiger System-Scan ist trotzdem erforderlich, um andere Malware-Dateien zu löschen oder zu desinfizieren.

• Fahren Sie den Safe-Modus hoch.
• Starten Sie eine vollständige System-Überprüfung.
• Vernichten Sie während des Scans den Explorer.exe Prozess über den Taskmanager.
• Säubern Sie alle Dateien, die als Virus.Win32.Bube erkannt wurden.
• Starten Sie den Rechner neu.
• Das System ist jetzt vom Virus.Win32.Bube bereinigt.

Anmerkung:

* Vergewissern Sie sich, dass Sie für die Säuberung der Adware, die Virus.Win32.Bube. geladen hat, den ‚erweiterten“ Modus genutzt haben.
* Die Sicherheits-Einstellungen des Systems können durch Virus.Win32.Bube modifiziert worden sein. Prüfen Sie diese nach der Desinfektion.