[Tuto] Analyse d'un rapport HijackThis

[Pwalodwa]

Comme je vois régulièrement des posts concernant les logs de HijackThis (je suis passé par là aussi), je me suis dit qu'il serait peut-être intéressant d'expliquer à quoi correspondent les entrées.

Si vous trouvez une bêtise dans mes expliquations n'hésitez pas à me corriger.

 

R0, R1, R2, R3 - Internet Explorer (démarrage et pages de recherche)

Si vous connaissez les URL présentent ici, pas de problème.

Dans le cas contraîre, cochez et réparez

 

F0, F1, F2, F3 - Démarrage automatique via les fichiers INI

Supprimez tous les F0

Pour les autres programmes, référez-vous à la liste ici

 

N1, N2, N3, N4 - Netscape & Mozilla (démarrage et pages de recherche)

Pareil que pour IE (n'en déplaise aux gens qui pensent qu'il ne peut y avoir de problèmes qu'avec les programmes de Billou)

Par contre, il 'y a que deux ou trois sites capables de modifier ces valeurs

 

O1 - Redirections des URL

exemple: O1 - Hosts: 256.12.63.222 zebulon.fr

A moins que vous ne sachiez pourquoi vous avez une redirection, cochez et réparez

 

O2 - BHO (=Browser Helper Objects)

Si vous ne reconnaissez pas un nom de fichier "BHO" présent, référez-vous à la liste ici

 

O3 - IE toolbars

Si vous ne reconnaissez pas une "toolbar" présente ici, référez-vous à la liste ici

 

04 - Démarrage automatique depuis la BDR ou le menu démarrer

Si vous ne reconnaissez pas un programme présent ici, référez-vous à la liste ici

 

O5 - Options Internet Explorer cachées

A moins d'avoir vous-même fait une manoeuvre pour cacher les options IE, cochez et réparez

 

06 - Options Internet Explorer "restricted"

A moins d'avoir vous-même fait une manoeuvre pour empêcher les modifications des options IE, cochez et réparez

! Spybot S&D et d'autres programmes de "sécurité" peuvent faire apparaître cette clef.

 

07 - Regedit "restricted"

Pareil que pour le 06, mais pour la regedit.

A moins que ce ne soit volontaire, cochez et réparez

 

08 - Options "clic droit" dans IE

exemple: O8 - Extra context menu item: Download Using MassDownloader - file://*******

Comme d'habitude, si vous ne reconnaissez pas quelquechose ici -> cocher, réparer...

 

09 - Boutons supplémentaires dans IE

Encore une fois: inconnu = à éliminer

 

010 - Hijack Winsock

Si quelquechose apparaît ici, lancez SpyBot S&D (ou assimilé)

En principe virez tout (mais je ne garantis rien)

 

011- Groupe supplémentaire dans les options d'Internet Explorer

Si vous voyez "CommonName" virez le

 

012 - Plugins IE

En principe aucun problème, mais vous pouvez toujours désactiver un plugin dont vous ne voulez plus

 

013 - Hijack IE

Virez tout

 

014 - "Reset Web Settings"

En principe vous ne devriez rien avoir ici.

Si vous avez quelquechose cela doit être une url de votre FAI (ca peut être l'IP de votre routeur)

Si l'url est inconnue, effacez sans remords

 

015 - "Trusted Zone"

Si vous n'avez pas ajouté vous-même un site présent ici -> direction poubelle

 

016 - Downloaded Program Files

Vous devirez avoir ici des cab de windows update, des plugin macromédia, etc...

Si quelquechose vous semble louche -> destroy!

 

017

En principe vous ne devriez rien avoir ici.

Si vous avez quelquechose cela doit être une url de votre FAI (ca peut être l'IP de votre routeur)

Si l'url est inconnue, effacez sans remords

 

018 - Protocols

Eliminez les protocols "cn" (CommonName), "ayb" (Lop.com) et "relatedlinks" (Huntbar).

D'autres aussi, mais je ne sais pas lesquels

 

019 - Hijack .css

En principe il ne doit rien y avoir ici non plus, mais si votre browser est particulièrement lent ou que des pop-ups apparaissent sans raisons, enlevez la clef (Je pense que seul "coolwebsearch.com" modifie la clef ici, mais c'est à confirmer)

Modifié le 22 juin 2004 par Pwalodwa

[Invité tesgaz]

Salut Pwalodwa

 

C'est sympa de ta part, mais, tu regardes dans lles articles, le tutoriel est déja fait :

http://www.zebulon.fr/articles/HijackThis.php

[Pwalodwa]

Oui, bon, ben...

Enfin, en cherchant les infos au moins j'aurais appris à quoi correspondaient les clef dans HijackThis

[ipl_001]

Bonsoir P, tesgaz, bonsoir à tous,

 

010 - Hijack Windsock

Il ne s'agit pas de la chaussette du vent mais de Winsock... c'est juste pour plaisanter que je traduis !

[Pwalodwa]

j'ai quand même corrigé ca