Elite toolbar
(The English Original: eTrust)
Alias
Win32/EliteBar!BHO!Trojan[Computer Associates],
Win32.SillyDl.EW[Computer Associates],
Win32/EliteBar!BHO!Dropper[Computer Associates],
Adware/EliteBar[Panda],
Trojan.Win32.EliteBar.f [Kaspersky],
Typ:
Toolbar und Adware
Manuelle Entfernung vom System
Schritt 1
Im Windows-Explorer:
>Extras >Ordneroptionen >den Reiter "Ansicht" >Versteckte Dateien und
Ordner >"alle Dateien und Ordner anzeigen" aktivieren und
>Extras >Ordneroptionen >den Reiter "Ansicht" >Dateien und Ordner
>"Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren.
Schritt 2
Beendigung des Malware Programms
1. Öffne den Windows Task Manager.
2. Suche die unten angegebenen Prozesse in der Liste der laufenden Prozesse.
3. Wähle die zu löschenden Dateien, wähle "beenden".
4. Um zu überprüfen, ob der Prozess beendet ist, schliesse den Taskmanager. Öffne ihn dann gleich nochmal und schau, ob es den Prozess noch gibt.
5. Schliesse dann den Task Manager:
%windows%\etb\pokapoka79.exe
%system%\elitexdx32.exe
%system%\elitekck32.exe
%system%\elitefmj32.exe
%profile%\local settings\temporary internet files\silent_install.exe
%profile%\local settings\temp\suicidetb.exe
toolbar.exe
silent53.exe
silent093.exe
0000635.exe
c4t.exe
elitebar20.exe
elite toolbar.exe
pokapoka63.exe
sideb.exe
sb.exe
protopro.exe
protas.exe
pre8.exe
pokapoka78.exe
pokapoka76.exe
*Hinweis: Sollte der jeweilige Prozess nicht gut angegeben werden,
kannst du dazu den Process Explorer oder Idoswin Free verwenden.
Mit dem Starter kannst du die laufenden Prozesse ebenfalls beenden.
Schritt 3
Du kannst versuchen jene Teile der EliteToolbar, die du findest, mit dem Uninstall Cleaner 1.0 aus der Liste der vorhandenen Programme zu entfernen, falls es mit der Systemsteuerung > Programme hinzufügen/entfernen nicht funktioniert.
Schritt 4
Suche, finde und unregistere mit Regsvr32 folgende DLLs:
nt_hide78.dll
nt_hide76.dll
elitetoolbar.dll
elitetoolbar version 61.dll
elitetoolbar version 60.dll
elitetoolbar version 54.dll
elitetoolbar version 53.dll
81635062.dll
%windows%\elitetoolbar\elitetoolbar version 59.dll
%windows%\elitesidebar\elitesidebar 08.dll
%windows%\etb\nt_hide79.dll
Schritt 5
Du solltest ein Back-Up deiner Registry machen, bevor du sie editierst: back up.
Schritt 6
Öffne den Registry Editor.
Klicke auf Start >ausführen, schreib REGEDIT -> [enter]
(oder verwende Registrar Lite)
Schritt 7
Navigiere zu und lösche die folgenden Unterschlüssel:
HKEY_CLASSES_ROOT\clsid\{0a1d22c3-37be-470c-9c29-e3074ee0574b}
HKEY_CLASSES_ROOT\clsid\{28caeff3-0f18-4036-b504-51d73bd81abc}
HKEY_CLASSES_ROOT\clsid\{825cf5bd-8862-4430-b771-0c15c5ca8def}
HKEY_CLASSES_ROOT\clsid\{be8d0059-d24d-4919-b76f-99f4a2203647}
HKEY_CLASSES_ROOT\clsid\{ed103d9f-3070-4580-ab1e-e5c179c1ae41}
HKEY_CURRENT_USER\software\microsoft\internet explorer\toolbar\webbrowser {825cf5bd-8862-4430-b771-0c15c5ca8def}
HKEY_LOCAL_MACHINE\software\elitum
HKEY_LOCAL_MACHINE\software\elitum\elitetoolbar
HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\toolbar {825cf5bd-8862-4430-b771-0c15c5ca8def}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion \explorer\browser helper objects {ed103d9f-3070-4580-ab1e-e5c179c1ae41}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion \explorer\browser helper objects\{28caeff3-0f18-4036-b504-51d73bd81abc}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion \explorer\browser helper objects\{ed103d9f-3070-4580-ab1e-e5c179c1ae41}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion \run antiware
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion \run system service78
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion \run system service79
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion \uninstall\elitebar internet explorer toolbar
HKEY_LOCAL_MACHINE\software\ohbbackup
Schliesse den Registry Editor.
Schritt 8
Starte deinen Rechner neu in den abgesicherten Modus
Schritt 9
#Lösche diese Files, wenn vorhanden, mit dem Windows Explorer:
%windir%\etb\pokapoka79.exe
%windir%\elitetoolbar\elitetoolbar version 59.dll
%windir%\etb\nt_hide79.dll
%system%\elitefmj32.exe
%system%\elitekck32.exe
%system%\elitexdx32.exe
%windir%\elitesidebar\elitesidebar 08.dll
sideb.exe
silent_install.exe
silent093.exe
silent53.exe
start a business.url
suicidetb.exe
term life.url
toolbar.exe
virus.bmp
wzw.gamefly[1].com
%profile%\local settings\temp\suicidetb.exe
%profile%\local settings\temporary internet files\silent_install.exe
0000635.exe
50kwincash2.bmp
c4t.exe
casino.bmp
dating.bmp
dc14.tst
dc5.tmp
default.tbr
dental insurance.url
elite toolbar.exe
elite.inf
elite.ocx
81635062.dll
adult.tbr
elitebar20.exe
elitesidebar 08.dll
elitetoolbar version 53.dll
elitetoolbar version 54.dll
elitetoolbar version 59.dll
elitetoolbar version 60.dll
elitetoolbar version 61.dll
elitetoolbar version (irgendeine Nummer).dll
elitetoolbar.dll
etb.ini
etl
findemails.bmp
human resources.url
international travel.url
nt_hide76.dll
nt_hide78.dll
nt_hide79.dll
nt_hide(irgendeine Nummer).dll
pokapoka63.exe
pokapoka76.exe
pokapoka78.exe
pokapoka79.exe
pokapoka(irgendeine Nummer).exe
pre8.exe
protas.exe
protopro.exe
ringtones.bmp
sb.exe
search.mnu
searchpeople.bmp
shop.bmp
Sys29" = "%system%\win[3 random letters]32.exe
"kalvsys" = "%system%\kalv[3 random letters]32.exe"
"etbrun" = "%system%\elit[3 random letters]32.exe"
"antiware" = "%system%\elit[3 random letters]32.exe"
"System Service[NUMBER]" = "%windir%\etb\pokapoka[NUMBER].exe"
Hinweis:
%windir%, %system%, %profile%, %ProgramFiles% sind Variable (?).
Normalerweise ist dies C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), oder C:\Windows\System32 (Windows XP), der Programme-Ordner, User Name.
Schritt 10
Boote in den normalen Modus.
Schritt 11
Die Einträge im Windows Hosts File editieren.
Diese Adware verändert das Windows Hosts File. Windows verwendet das
Hosts file, um den Besuch zu Internet Deiten zu beschleunigen. Es kann jedoch
dergestalt mißbraucht werden, dass dein Rechner bestimmte Seiten nicht
erreichen kann oder zu einer Seite geleitet wird, die du nicht angesteuert hast.
Da es leider nicht möglich ist, herauszufinden, welche Einträge diese Adware
dem Windows Hosts File hinzugefügt hat, ist es am einfachsten alle Einträge
zu editieren, ausser der Zeile für den 127.0.0.1 localhost. (Wenn du in einem
Netzwerk arbeitest, konsultiere vorher den Network Administrator oder die IT/EDV Abteilung.)
Hinweis: Der Ort des Windows Hosts File kann variieren und
manche Rechner führen dieses Hosts File nicht.
Es kann auch noch weitere Kopieen dieses Files an verschiedenen Orten geben.
Folge der Anleitung deines Betriebssystems:
* Windows 95/98/Me/NT/2000
1. START > suche > Dokumente und Ordner.
2. Suche unter (C: ) und sorge dafür, dass auch in den Unterordnern gesucht wird.
3. Gib als Suchauftrag an:
hosts
4. Suche
5. Klicke jedes Hosts File das du findest mit der rechten maustaste an und gib an "öffnen mit
6. "Wähle "verwende immer dieses Programm zum öffnen".
7. Scrolle solange bis du Notepad findest.
8. Wenn sich der File öffnet, lösche alle Linien bis auf diese:
127.0.0.1 localhost
9. Schliesse Notepad und speichere das File. Achte darauf, dass das File keine Endung hat.
* Windows XP
1. START > Suche.
2. Alle Dateien und Ordner.
3. Schreib unter "Alles oder nur den datei Namen":
hosts
4. Such auf der örtlichen "Festplatte" oder auf (C: ).
5. klicke auf die Option für Fortgeschrittene.
6. Suche im System Ordner.
7. Suche in den Unter-Ordnern.
8. gib ein Suche.
9. gib ein "jetzt suchen".
10. Klicke jedes Hosts File das du findest mit der rechten maustaste an und gib an "öffnen mit
11. "Wähle "verwende immer dieses Programm zum öffnen".
12. Scrolle solange bis du Notepad findest.
13. Wenn sich der File öffnet, lösche alle Linien bis auf diese:
127.0.0.1 localhost
14. Schliesse Notepad und speichere das File. Achte darauf, dass das File keine Endung hat.
Alternativ kannst du auch HijackThis verwenden, um das Hosts File zu editieren:
1.Boote in den abgesicherten Modus.
2. Schliesse alle Programme einschliesslich Internet Explorer.
3. Suche das Hosts-File auf, du findest es unter C:\Windows
4. Lass Hijackthis laufen
Config< Misc Tools < Open Hosts file Manager < Delete line <
lösche alles bis auf:
# 102.54.94.97 rhino.acme.com # Quellserver
# 38.25.63.10 x.acme.com # x-Clienthost
127.0.0.1 localhost
Das Hosts File ersetzen:
Lade das hosts.zip runter.
Entpacke es mit einem Zip-Programm (TUGZip ist kostenlos) in
einen "temp" Ordner und füge es dann seinem Platz zu.
Schritt 12
Lade den Disk Cleaner runter.
Lass den Disk Cleaner laufen
Setze ein Häkchen in alle Fächer, die gereinigt werden müssen:
Temporary Internet Files und Temporary System Files, Cache, History (Windows XP: Prefetch)
und in soviele Fächer wie möglich.
Schritt 13
Scanne deinen Rechner mit einem Full-System-Scan mit dem Panda Active Online-Scan.
Lass das Programm alles entfernen, was es findet.
Der Scan kann ca 2-3 Stunden dauern.
Speichere das Logfile des Scans.
Boote deinen Rechner danach neu auf.
Für den Online Scan bitte die Sicherheitsvorkehrungen im Internet-Explorer heruntersetzen und ActiveX erlauben.
Vergiss nicht, die Sicherheitseinstellungen nach dem Scan wieder hochzustellen.
Windows XP und ME: bitte die Systemwiederherstellung deaktivieren, den Rechner booten, dann die SWH wieder aktivieren. Vergib einen neuen Systemwiederherstellungspunkt.
Schwerpunktmäßige Übersetzung des englischen Originals/Translated from the English Website of eTrust into German by Ruby.
Removaltool
EliteToolbar Remover V.2.1.2
Hinweis: Dieses hervorragende Freeware-Removal-Tool kann im normalen
und im abgesicherten Modus laufen.
Es entfernt die Elitebar, die Pokapoka-Dateien und mehr.
Dem Tool liegt eine Bedienungsanleitung (Readme) und eine Liste der Malware bei, die es löscht.
Die deutsche Bedienungsanleitung findet sich hier.
Quellnachweis: Spywareguide, CA, Spywareinfo, Foro de Spyware u.a.
Frei ins Deutsche übertragen von /Free Translation from English to German by Ruby
