Webroboter kann jeder haben; Instabilität und Abstürze als Folge - 500 Beiträge pro Seite

[tommyausol]

Hallo,

hab dieses Thema zwar schon im allgemeinen gepostet, aber hier wird mehr gelesen, und das geht jeden an, der regelmäßig surft oder sich mal freeware downloadet. Daher hier nochmal mein dringlicher Hinweis an alle; überprüft euren Rechner auf Webroboter, ich hätte niemals gedacht, dass ich gleich zwei auf meinem Rechner hab.

Also, ich wunderte mich, warum ich in letzter Zeit andauernd Verbindungsabbrüche habe und warum meine kostenlose firewall(zonealarm) meldet, dass ein Programm namens tsadbot versucht, Verbindung zum Netz herzustellen. Ein genauerer Blick verwies mich auf den Ordner C/Programme/Timesink, aus dem dieses lästige tool stammt. Kurz und gut, manuell lies sich dieses Programm nicht entfernen, Internetrechesche war erforderlich, und die zeigte, dass ich noch weitere Werberoboter auf meinem System hatte (comet, obwohl ich auch diese vorher manuell gelöscht hatte). Ohne zonealarm wäre ich nicht einmal auf die Idee gekommen, das ein Werberobot auf meinem System haust; und ich dachte eher an meinem Provider, das der an der instabilen Verbindung und Verbindungsaufbauproblemen schuld sei. Ich kann wirklich nur jedem raten, sich das Tool ad-aware herunterzuladen und sein System zu überprüfen. Gebt mal einfach in eine Suchmaschine (z.B. www.google.de) den Begriff timesink ein). Eingefangen hab ich mir diesem Mist durch den kostenlosen download von Pop-up stopper, ein tool, was das Aufpoppen von werbefenstern verhindert, nett, aber das damit so ein Käse zusammenhängt, hat mir keiner gesafgt.


hier ist ad-aware zum kostenlosen download erhältlich
http://www.wintotal.de/softw/viren.htm

Ad-aware hat bei mir insgesamt 6 Registry Einträge gelöscht sowie zwei Ordner und unzählige, wenn auch harmlose cookies. Das Programm hat auch nur Werbrobots angezeigt, also die Empfehlung zum Löschen waren richtig, man steuert das Löschen von Webrobotern manuell.

Zu dem Thema aus dem Netz:

(von freewareguide)

Was ist Adware?
Neben Webseiten, Providern und anderen Anbietern haben auch Programmautoren die Einnahmequelle der Werbung für sich entdeckt, u.a. auch als Reaktion auf eine abnehmende Zahlungsmoral im Sharewarebereich, aber auch als neues Konzept, dem sich sogar große Anbieter wie z.B. Corel bereits anschließen. Wogegen im Prinzip nichts einzuwenden ist, kann der Nutzer doch selbst entscheiden, in welchem Maße für ihn Werbung akzeptabel ist bzw. ab wann er ein derartiges Programm nicht mehr nutzen mag. Begegnet uns Werbung doch in allen Bereichen des Lebens...

Wo ist das Problem?
Leider gehen die "Roboter", die von den Programmen genutzt werden, die Werbung automatisch herunterzuladen und in dem Maße anzuzeigen, wie sie bezahlt werden, in ihrem Eifer offenbar weit über das vom Benutzer einsehbare Ausmaß hinaus.

Die Installation des Roboters erfolgt oft unerkannt vom Nutzer und zumeist bleibt er bei der Deinstallation des "Wirtsprogrammes" erhalten.
Die Roboter starten und laufen auch ohne dass das Wirtsprogramm aktiv ist oder auch nur war. Die Roboter starten automatisch mit dem System oder dem Browser, um stets im Hintergrund Werbung herunterzuladen, sozusagen prophylaktisch.
Zwar wird der Roboter bei DFÜ/ISDN erst nach Aufnahme einer Verbindung aktiv, kann diese aber unter Umständen aufrecht erhalten, wird sie nicht explizit getrennt.
Dabei werden Datenmengen aus dem Netz geladen, die kaum in einem realistischen Verhältnis zum Nutzen, also der angezeigten Werbung und dem Nutzwert des Wirtsprogrammes stehen können. Die c`t sagt in Ausgabe 9/2000, Seite 30: "Binnen der ersten Minuten des Datenaustausches legt das Programm mehrere hundert Bannerdateien von jeweils einigen KByte auf der Festplatte ab."
Es werden auch eine nicht unerhebliche Menge an Daten vom eigenen Rechner zum Server des Werbeanbieters übertragen. Da es sich um selbsttätige Programme handelt, greifen die üblichen Schutzmechanismen der Browser natürlich nicht. Vorwürfe der Spionage und Einordnung dieser Roboter als "Trojaner" konnten bis dato allerdings nicht bestätigt werden...
Nachvollziehbar sind dagegen häufige Vorwürfe, dass diese Roboter in nicht unerheblichem Maße die Systemstabilität negativ beeinflussen. Häufigere, scheinbar unmotivierte Abstürze ließen laut diverser Nutzerberichte nach der Deinstallation wieder nach.

Den Werbe-Roboter loswerden?
Es gibt zwei Konzepte, das eine heißt, alle Internetzugriffe der entsprechenden Programme zu unterbinden, z.B. mit Hilfe von ZoneAlarm, was auch die Funktionalität der Programme am ehesten gewährleistet. Trotzdem erfordert es zum einen die stetige Verwendung dieses "Blockers" und auch entsprechenden Sachverstand. Eine Entfernung der entsprechenden "Werberoboter" ist also immer noch eine wichtige Alternative. Hierzu bietet sich vor allem das gründliche Programm "AD-aware" an. Trotzdem gehe ich hier noch einmal auf die entsprechende Werbesoftware gesondert ein:

Aureate/Radiate
Diese Firma hat auf die Vorwürfe in der Art reagiert, dass es zusätzlich zu den Deinstallationsroutinen der eigentlichen Software ein eigenes Programm, das Aureate/Radiate Remove Utility (84,0 KB) zur Verfügung stellt, welches nach Deinstallation der betroffenen werbefinanzierten Programme den Werberoboter komplett löschen soll. Trotzdem ist eine Reinigung mit dem Programm "Ad-Aware" empfehlenswerter.
Conducent/TimeSink
In alten Versionen wurde die unangenehme steige Laufzeit des Roboters durch das Programm TSADBOT.EXE geleistet. Die Lauffähigkeit des "Wirtsprogrammes" wurde zumeist nicht dadurch beeinflusst, wenn dieser Roboter entfernt wurde (s.u.). Aktuelle Versionen von "TimeSink" verzichten ganz auf die Installation dieses Roboters und somit läuft der Werbemechanismus nur, wenn auch das "Wirtsprogramm" aktiv ist. Dafür ist dann aber der verbleibende Mechanismus (soweit ich weiß) nicht entfernbar, ohne die Lauffähigkeit des "Wirtsprogrammes" zu beeinträchtigen.
Das Programm TSADBOT.EXE befindet sich im Ordner "TimeSink" innerhalb des "Programme"-Ordners bzw. dem entsprechenden Ordners. Da es automatisch aktiv wird, muss es erst beendet werden, um es löschen zu können. Hierzu löscht man in der Registrierung unter "HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion Run" den Schlüssel "TimeSink Ad Client" (z.B. mit Hilfe des Startup Control Panel) und startet das System neu. Eine andere Möglichkeit ist das Beenden des Prozesses mit einem entsprechenden Programm (z.B. Another Task Manager) vor der Löschung.
CyDoor
Dieser Anbieter betont besonders, seine Netzzugriffe auf das absolut Notwendige minimiert zu haben und keine persönlichen Daten zu erfragen und weiterzuleiten. Ein lobenswerter Ansatz, und meine subjektiven Erfahrungen bestätigen dies. Darum möchte ich gerne weitere Erfahrungen sammeln: Email. Trotzdem, die Entfernung mit "Ad-Aware" funktioniert einwandfrei.
Web3000
Kein anderer Werbeträger klinkt sich derart drastisch in das System ein, was (zumindest bei meinen Tests) auch zu drastischen Performance- Einbrüchen führte. Auch wirbt "Web3000" nicht in dem Programm, von dem es installiert wird, sondern klinkt sich in die Titel- und Statuszeile der Browser ein. Jede Beziehung zwischen Programm und Werbung geht also verloren. Eine Deinstallation gelingt am besten mit "Ad-Aware", aber z.B. bei dem Programm "NetSonic" hilft nur, dieses vorher auch komplett zu entfernen.
ICQ
Auch der weltweit beliebteste "Instant Messenger" beinhaltet plötzlich seit Version 2000b Werbung, und dies nicht nachvollziehbar seit Installation der aktuellsten Version, sondern diese Funktionalität wurde überraschend im laufenden Betrieb unangekündigt aktiviert. Zwar läuft hier der "Roboter" nur im Zusammenhang mit dem Programm, aber es ist wohl Sinn dieses Programmes, möglichst vollzeitig aktiviert zu sein. Die Routinen, die verwendet werden, sind ICQ-eigene, aber es ließ nicht lange auf sich warten, bis eine Anleitung zur Deaktivierung der Werbung in Netz zu finden war: Adbusters. Vorsicht, diese (englische) Anleitung ist eher etwas für den erfahreren Bastler.
WebHancer
WebHancer ist am ehesten sogenannte "Spyware" in dem Sinn, dass es selbst im Programm keine Werbung anzeigt, sondern nur Daten zum Surfverhalten sammelt. Mit dem angenehmen Nebeneffekt, dass es keinen Einfluß auf die Funktionalität des "Wirtsprogrammes" hat. Und mit (aktuellem) "Ad-Aware" geht die restlose Entfernung problemlos, auch wenn sie einen Neustart beinhaltet.

Welche Programme sind betroffen?
Ich kann hier nur die Programme betrachten, die ich auch selber vorstelle. Mehr oder weniger komplette/korrekte Listen finden sich bei den Herstellern selber, bei Aureate/Radiate, CyDoor und Web3000.

Programmname Werbeanbieter Funktioniert ohne Werbe-Roboter
GenoPro Web3000 ja
Babylon CyDoor ja
Audiogalaxy Satellite WebHancer ja
Check&Get Conducent/TimeSink ja*
Crystal FTP Aureate/Radiate ja
ReGet Free Conducent/TimeSink ja*
ICQ 2000b eigener ja



* Bei "Conducent/TimeSink" gilt diese Angabe nur für oben beschriebene Entfernung des Programmes TSADBOT.EXE, nicht für die komplette Entfernung. Dies führt dazu, dass der Werbemechanismus nur dann aktiv ist, wenn auch das "Wirtsprogramm" läuft, also die oben beschriebenen negativen Effekte halbwegs ausgehebelt werden, die verwendenden Programme aber trotzdem noch Werbung herunterladen und anzeigen.

Weitere Links:


Spyware - Am I infected?
Einige detailierte Informationen und weitere Links.
SpyChecker
Interaktive Liste "infizierter" Programme mit vielen Zusatzinformationen.
List of Known Spyware Infested Software
Ziemlich aktuelle Gesamtliste.
HomeP@ge Magazin Spezial - Achtung Spione!
Etwas reißerischer Bericht inkl. Tool, beschränkt auf "Aureate/Radiate".
CiTay.de - Links
Kleine Sammlung weiterer hilfreicher Programme zum Thema und mehr...

aus www.wintotal.de/artikel/adware/adware.htm

Die Probleme mit dem Internet Explorer 5.5 sind überall zu finden. In Newsgroups und sonstigen Foren wird gefachsimpelt, warum der IE 5.5 auf dem einen oder anderen System sich einfach mit Fehlern verabschiedet oder keine Seiten angezeigt werden. Anstatt immer den Fehler bei Microsoft zu suchen, sollte man auch andere Fehlerquellen in Betracht ziehen. Aufgrund eigener Erfahrungen und Feststellungen von Winmag-Autor Dave Methvin (WinMag-Letter vom 26.01.2001) sind oft sogenannte Weberoboter in AdWare für Fehlfunktionen im Internet Explorer 5 verantwortlich. In der KB von Microsoft finden sich dazu konkret sogar 2 Einträge:

Invalid Page Fault Error Messages If You Run IE 5.5 and Aureate Radiate (Q259684):
http://support.microsoft.com/support/kb/articles/Q259/6/84.A…

Invalid Page Fault Error Messages If You Install IE 5.5 and Gator Software (Q253364):
http://support.microsoft.com/support/kb/articles/Q253/3/64.A…

Gerade der erste Eintrag sollte einem zu denken geben. Immerhin sind Aureate und Radiate "Marktführer" in Sachen Werberoboter. Über 250 Programme finden sich auf deren Liste unter http://www.radiate.com/consumers/products.html


Bei den Werberobotern handelt es sich um Systeme, mit denen die sogenannte AdWare mit Werbebannern versorgt wird. Welche Systeme auf dem Markt sind, wie man diese erkennt und vieles mehr hat Freewareguide in einem Special behandelt unter http://www.freewareguide.de/win9x/adware.shtml.


Warum diese Weberoboter von AdWare, Alexa, Aureate/Radiate v1.0-v3.0, Comet, Cursor v1.0 and v2.0, Cydoor, Doubleclick, DSSAgent, Flyswat, Gator, TimeSink v1.0 und v2.0, Web3000 und Webhancer ?


Nun, die Softwarehersteller sehen nur geringe Einnahmequellen durch die Registrierung. Daher wird die Software kostenlos vertrieben und blendet dafür Bannerwerbung ein. Gerade Software, welche für den Einsatz im Internet konzipiert ist kann hier Vorteile verbuchen, da bei aktiver Verbindung sich leichter Banner auf den heimischen PC schleusen lassen. Ein bekannter Vertreter ist z.B. der Downloadmanager Gozilla!. Während die Systeme von Aureate und Co. noch "harmlos" zur Sache gehen, ärgert gerade der Conducent/TimeSink-Bot die Anwender, da dieser gleich Unmengen von Banner auf den PC lädt, selbst wenn die Applikation gar nicht benutzt wird.


Ob sich der Einsatz einer Software lohnt, die im Hintergrund die Datenrate mindert und dabei eventuell noch für Probleme sorgt, muss jeder selbst entscheiden. Auf WinTotal ist sog. AdWare gesondert gekennzeichnet. Systeme mit TimeSink werden grundsätzlich nicht aufgenommen. Opera oder ACDSee senden immerhin nur wöchentlich neue Banner und sind die Zwangswerbung sicherlich wert. Nicht aber jeder lumpige FTP-Client, solange es gute Freewarealternativen gibt.


Bei Problemen mit dem IE sollte man zuerst mal prüfen, ob nicht ein Werberoboter dafür verantwortlich ist. Unter http://www.wintotal.de/softw/virpack.htm findet sich Ad-Aware 4 von Lavasoft zum Download. Das Programm testet das System auf mögliche Weberoboter und kann diese entfernen. Allerdings laufen danach die meisten werbefinanzierten Programme nicht mehr. Zudem werden mit dem "Cleanlauf" meist auch die Uninstall-Funktionen der Programme beeinträchtig. Sollte Ad-Aware Alarm schlagen, gilt es die betreffende Applikation erst normal zu deinstallieren und nach einem erneuten Testlauf mögliche Reste von Weberobotern.


Radiate stellt übrigens unter http://www.radiate.com/privacy/remover.html ein eigenes Tool bereit, um sich selber zu entfernen.


Ich jedenfalls schau ab sofort auf allen Rechnern mit IE-Problemen erst mal im Systemverzeichnis, ob sich dort eine ADVERT.DLL findet !


PCDMicha, alias Michael Appelt, 28.01.2001

[HJL@WOL]

@tommy aus ol

I-net Sicherheit (sollte) uns alle angehen. Es ist eines meiner (Kardinal-) Themen. Daher ruhig wiederholen - wiederholen - wiederholen. Bis es auch zu dem letzten noch nicht informierten Interessierten durchgedrungen ist.

Ad-Aware 4.6 wird in vielen Fachforen als " Blindgänger " deklariert. Wenn man eine " Basis-Säuberung " des Systems vorgenommen hat, z.B. mit " Opt-Out "

1. Steve Gibson`s security site
//www.grc.com ( Opt-Out, shields up, IP-Agent )

dann, ja dann zeigt Ad-Aware plötzlich kaum noch " Neues " d. h. findet plötzlich nichts mehr.

2. Thema Firewalls
- die kostenlose Variante von Zonealarm ist für normale
Zwecke durchaus empfehlenswert - //www.zonealarm.com -
Manche in den versch. Boards behaupten jedoch, es würde " superintelligent " zurückspionieren - was ich pers. nicht annehme. Wenn irgendjemand etwas derartiges nachweisen könnte, wäre das ein massiver " Einbruch " für Zonealarm. Dann müssten die " Werbeeinnahmen " grösser sein als die Sicherheitssparte ?!?
a. Zonealarm Pro legt eine Münze obendrauf - im doppelten Sinne. Es zeigt die Daten des Angreifers ( sofern nicht " state-of-art " - hacking - IP-Adresse etc. ) Leider ist es nicht umsonst, was ich verstehe. Das Bedauerliche ist, dass man es nicht " austesten kann " wie z.B.
b. BlackIce 2.5 - die dasselbe macht wie Zonealarm Pro hier kann man allerdings über die folgende Site -
b.1. //www.wincomplete.com/security_&_privacy - oder
b.2. //www.networkice.com
die Programme herunterladen. Mit BlackIce bin ich sehr zufrieden ! Ziegt es mir doch an einem simplen Beispiel, wer was von mir will, sieht z. B. so aus :

Time : 04/06/01 23:42:45
Attack : Sub seven port probe
Intruder : FUCKUP
-
IP : 62.224.71.180
Node: FUCKUP
Group: Workgroup
MAC : 444553540000
DNS : p3EE047B4.dip.t-dialin.net

UPS - ich hoffe ioch habe niemandem auf den Schlips getreten ! Nein - mir wurde auf den Schlips getreten !!!
Dieser Vorgang war einer der vielen " Echten " !

Darüberhinaus können Sie mittels Online-Help Näheres zum Prozedere der " Ausfindigmachung " des Attackers via RIPE erfahren. Daher erstklassig zum Learnen ! Testen möglich !

3. Daneben sollten sie auch ein Programm namens " HistoryKill " runterladen.
a. //www.wincomplete.com/security_&_privacy
b. //www.swanksoft.com
Sehr nützliches Tool - leider bleiben immer noch Spuren von Downloads aus dem Internet in der Registry übrig - Nobody`s perfect !

4. Mein Lieblingsspielzeug ist " Spy-Blocker ", zeigt es mir doch recht deutlich, dass ich selbst bei z.B. der DirektAnlagebank von " Schnüffel-Attacken " verfolgt werde. Vor kurzem habe ich deswegen sogar die Diraba angerufen. Das Sicherheitsteam war leider gerade " abwesend " ! ???!!!
Dies nehme ich zum Anlass und werde mir eine " neue " mir symphatischere Bank " aussuchen ! Wist übrigens auch dabei. Nur dort habe ich einen " kostenlosen " Aufenthalt und die Kameraden müssen ja auch irgendwie zum Geld kommen. Akzeptiere ich also ! Ich blocke ab soweit ich kann !

An alle ( guten ) Hacker meinen ganz persönlichen Dank !

Gäbe es Euch nicht - und ich duze Sie, weil ich nur mir absolut symphatische Kameraden duze - wäre dem BIG BROTHER - noch leichter Tür und Tor geöffnet, also weiter testen und informieren ! - T h a n k Y o u V e r y M u c h !!!

- - -

Weiterinformieren schadet also nicht - Mehrfachpostings folglich auch nicht !

Gruss

HJL

[isf69]

danke tommy, ich hab mich auch schon gewundert, was dieses ganze aureate und timesink zeug soll. aureate hatte ich von getright, konnte man aber auch mit einem getright tool entfernen (bei eingabe eines gültigen codes ;-)).

so long,
gruss, joel

[DerStaatsanwalt]

Woher bekomme ich den Spy Blocker??

Gruss DerStaatsanwalt

[HJL@WOL]

@DerStaatsanwalt

Spy Blocker - without Gew(ä)ehr

//noads.hypermart.net

verträgt sich sehr gut in Kombination mit den Firewalls
Zonealarm 2.44 / BlackIce 2.5 also keine " Zwistigkeiten "

Gruss

HJL