CoolWebSearch O CWS toma posse da sua HomePage, mandando para os websites filiados informação sobre si. Comunica os sites visitados por si, mandando esses dados para os servidores CWS. Adicionalmente tenta-se manter invisivel no sistema infectado,de forma a ficar indetectável ao software anti-spyware.
Quando o COOLWEBSEARCH infecta um sistema a sua "Home Page" pode passar a ser uma das seguintes:
Lista de CoolWebSearch
* CWS.Aff.iedll * CWS.Aff.Winshow * CWS.Aff.Madfinder * CWS.Aff.Tooncomics
O spyware apoderou-se da sua HomePage. Para começar deve ter o Ad-aware , o Spybot S&D ,o Spysweeper ,o Hijackthis , (você deve criar uma pasta, por exemplo com o nome Hijackthis e pôr lá depois o ficheiro .exe (executável) do Hijackthis visto que ele não cria nenhuma pasta ( não o deixe sem ser dentro duma pasta própria ). Faça o download também do Mvregclean e do Cwshredder . Depois de ter todos instalados e feito os respectivos updates, reinicie o computador em "Safe Mode" ( F8 ao reiniciar o pc ), ponha as "Pastas e Ficheiros ocultos" a aparecerem ( em "Gestao de Pastas"> "Ver" > "Mostrar Ficheiros e Pastas Ocultos" ). A seguir desactive o "Restauro do sistema" ( Meu computador> Propriedades> Restauro do sistema> e ponha um visto em "Desativar o restauro do sistema em todas as unidades". Configure as "tools" do Spybot ( tem que estar em "Advanced Mode" ), pondo um visto em BHOs e em PÁGINAS DO "BROWSER". Corra todos os programas, menos o HIJACKTHIS e elimine todas as entradas. Fixe a localização onde estão os ficheiros do spyware, que eventualmente terão o nome "hjlkimg.dll" ou algo parecido. Agora era boa altura para fazer um "Backup do REGISTO". Faça-o e depois configure também o HIJACKTHIS em "Misc Tools"> "MAIN"> ponha um visto em "Make Backups Before Fixing Itens". Feche todas as janelas que tenha abertas, Internet Explorer, programas, os Meus Documentos, tudo sem excepçao. Corra o Hijackthis e se lhe aparecer por ex. "HomeOldsp" ou "jkhlkj.dll" ou "about_blank" ou qualquer ficheiro "BHO", apague-os ( veja mais abaixo exemplos de entradas ). Além de apagar estas entradas no Hijackthis, ( atençao algumas entradas do Hijackthis são legitimas ) apague também as respectivas pastas e/ou ficheiros em "C:\windows" ou em "system32". Corra todos os programas anti-spyware e elimine as entradas encontradas. Lembre-se que todo este processo deve ser feito em "SAFE MODE" ( F8 ao iniciar o computador ). Por fim reinicie o computador e reactive o "RESTAURO DO SISTEMA". O "Mysearchnow" é mais uma alteraçao feita pelo famigerado "CoolWebSearch" no Internet Explorer. O processo de eliminaçao total deste "spyware" é o seguinte: Primeiro faça o download do HIJACKTHIS Depois de o ter no seu disco, instale-o numa pasta própria, pois ele não cria uma pasta propria ,portanto você vai criar uma ,por ex. nos "Meus documentos". Para isso clique em "criar nova pasta" e dê-lhe um nome (ex. HIJACKTHIS ou algo a seu gosto). Faça o download do AD-AWARE SE e também do SPYBOT S&D . Coloque todos os ficheiros e pastas sem estarem ocultos ( opçoes de pastas ), desactive o "Restauro do sistema" ( Meu Computador > Propridades > Restauro do Sistema> visto em "Desactivar Restauro do ........").br> De seguida arranque em "Modo seguro" ( F8 no arranque do computador ). Corra o HIJACKTHIS e ponha um visto nas seguintes linhas : R0-HKCU\Software\Microsoft\Internet Explorer\Main,Start Page=http://mysearchnow.com R0-HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant=http://mysearchnow.com/searchbar.html R1-HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar=http://mysearchnow.com/searchbar.html R1-HKCU\Software\Microsoft\Internet Explorer\Main,Search Page=http://mysearchnow.com/searchbar.html R3-URLSearchHook: (no name)_{ 00D6A7E7-4A97-456F-848A-3B75BF7554D7 }-(no file) 03- Toolbar: pool intra-{ 5A894A7F-29E9-0FD1-6329-C696E0C20DB5 }-C:\ PROGRA~1\MEETHE~1\Road Up.dll 04-HKLM\..\Run [ real boob ] C:\PROGRA~1\ Dart hope load\Dvd Htm Noun.exe 016-DPF: { 093F9CF8-0DE1-491C-95D5-5EC257BD4CA3 }-http://akamai.downloadv3.com/binaries/IA/dtc32_EN_XP.cab 016-DPF: { 1D6711C8-7154-40BB-8380-3DEA45B69CBF }(Web P2P installer)- 016-DPF: { 5F426A93-0821-47D2-A126-5A48A874B289 } (DialerWeb Class)-http://212.145.159.194/251065/dialercab/WebRecomendada.cab 016-DPF: { 6986A6CF-9D58-11D6-91C2-00E02964E8E3 } (IntPagomaster Class)-http://www.peterpaulxxx.com/iconos/dialer/pagomast.cab 016-DPF: { 73F0FD85-BD47-4A95-86D1-DE38860462C1 } (PremiunHTML Class)-http://213.254.243.5/data/dialercab/IberoDialerHTML.cab 016-DPF: { DF7A9F1F-E06B-4BE7-A27E-1BE7EA5AFC1C } (Infosistemas Class)-http://www.infodialer300.com/perfiles2/infosistemas3000.cab 016-DPF: { EFB22865-F3BC-4309-ADFA-C8E078A7F762 } (SysWebTelecomint Class)-http://sponsoradulto.com/enSysWebTelecom.cab Depois de pôr o "visto " nestas entradas veja também AQUI outras entradas que possa ter para apagar e além disso apague todas as entradas que tenham no final "Mysearchnow.com" ou "Searchnow" ou "About_Blank".Carregue em "Fix checked" para eliminar as entradas que selecionou ( ATENÇÃO = Apague só as entradas referidas, aparecem muitas entradas no HIJACKTHIS que NÃO SÃO PARA APAGAR ). Agora actualize o AD-AWARE, depois vá a "Settings"> "Tweaks" > "Scanning Engine" e seleccione a opção "Unload recognized processes during scanning". Agora vá a "Menu Settings" > "Tweaks" > "Cleaning Engine" e selecione "Let Windows remove files in use after reboot". Clique em "Scan Now" e active "Use Custom scanning options" e "Activate In-depth Scan". De seguida elimine todo o spyware que o "AD-AWARE" encontre. Corra o "SPYBOT S&D", clique em "Check for problems". Depois em "Fix select problems" para eliminar tudo que ele encontrar. Como complemento talvez não seja má ideia instalar o FIREFOX ( mas mantenha o Internet Explorer também no computador, para actualizar o Windows ). | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
