jak czytac logi hijackthis?

[skowrona]

Mam pytanie jak nauczyć sie prawidłowo czytać logi HijackThis. Takie podstawowe wirusy potrafie sam znaleźć i usunąć bez dawania logów na forum i chciałbym powiększyć swoja wiedze. Czy sa jakieś kursy albo coś

[Lukesh]

R0; R1; R2; R3 - Są to strony startowe i wyszukiwarki (najczęściej dotyczą IE). Wpisy R0 i R1 powinny być usuwane, chyba, że są to strony ustawione przez Ciebie (np. http://www.google.pl, http://www.onet.pl itd. itp.) Wpis R3 usuwamy zawsze, chyba, że jest tutaj program, króry znamy i sami instalowaliśmy!
N1; N2; N3; N4 - To są strony startowe Mozilli i Netscape.
F0; F1; F2; F3 - W Windows 9x i Me jest to F0 i F1 a w Windows NT/2000/XP/2003 jest to F2 i F3. Wpisy te dotyczą pliku win.ini oraz system.ini.
01 - To są przekierowania pliku HOSTS.
02 - Browser Helper Objects a w skrócie BHO. To są pluginy poszerzające możliwości naszej przeglądarki. Mogą być pożyteczne jak i szkodliwe. Do ich identyfikacji może nam posłużyć strona Sysinfo.org. Wpisujemy tylko numerki (CLSID) znajdujące się pomiędzy klamrami czyli {}.
03 - Paski narzędziowe, które możemy zlokalizować w Rejestrze w HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar.
04 - Są to programu uruchamiające się wraz ze startem systemu i możemy je zlokalizować w Rejestrze w kluczach:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\R un
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Ru n
Co do ewentualnego usuwania może nam posłużyć strona Sysinfo/Startup.org.
05 - Po prostu ikona Opcji Internetowych lub jej blokada. Jeśli sam nie zablokowałeś tejże ikony, to oczywiście to naprawiasz.
06 - Wpisy dotyczące Opcji Internetowych IE zablokowane przez "Administratora".
07 - Podobnie jak wyżej, tyle, że blokada dotyczy Rejestru.
08 - Dodatkowe opcje w menu kontekstowym (prawoklik) IE. Można je zlokalizować w Rejestrze w kluczu HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt.
09 - Tzw. Extra Button czyli Dodatkowe przyciski w głównym pasku narzędziowym lub dodatkowe opcje w menu "Narzędzia" w IE.
010 - Jest to nic innego jak "zerwany łańcuch Winsock". Niestety HJT nie potrafi naprawić wpisów Unknown file in Winsock LSP. Do tego musimy użyć niewielkiego narzędzia LSP-Fix. Jest kilka "dobrych" wyjątków takich wpisów i przeważnie dotyczą one zainstalowanych Firewalli.
011 - Jest to dodatkowa opcja (wpis) w Opcjach Internetowych w zakładce Zaawansowane. Można to zlokalizować w Rejestrze w kluczu HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions.
012 - Są to pluginy do IE. Można je zlokalizować w Rejestrze w kluczu HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\plugins.
013 - Tzw. Prefixy czyli to, co ma dopisać domyślnie przeglądarka wtedy, kiedy wpisujemy adres www bezpośrednio do paska wyszukiwarki. Domyślnym jest http://:. Lokalizacja w Rejestrze znajduje się w HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefixes.
014 - Jest to Resetowanie domyślnych ustawień IE. Można je znaleźć w pliku C:\WINDOWS\inf\iereset.inf.
015 - Strony www w "Zaufanych Witrynach". W Rejestrze znajdziemy je w HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains.
016 - Kontrolki ActiveX.
017 - Szkodliwe podmiany serwerów DNS. Jeśli znajduje się tutaj wpisy dostarczone Ci przez Twojego Dostawcę Internetowego, to oczywiście zostawiasz.
018 - Dodatkowe protokoły najczęściej zmienione przez szkodliwe oprogramowanie. Dane dotyczące protokołów można znaleźć w Rejestrze w kluczach HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID.
019 - Są to tzw. Niestandardowe Style Użytkownika. Często ich pojawienie skutkuje spowolnieniem przeglądarki i wyskakujących PopUp. Najczęściej powodują to trojany CWS a więc najlepszym rozwiązaniem jest użycie CWSShreder'a.
020 - Są to wartości Applnit_DLL oraz klucze WinlogonNotify znajdujące się w HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows oraz HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify. Niestety HJT nie do końca sobie z tym radzi, więc po skanowaniu należy ręcznie usunąć zarażony plik w trybie awaryjnym!
021 - SSODL czyli ShellServiceObjectDelayLoad. Obiekty ładowane po explorer.exe a więc po załadowaniu systemu. Odpowiednie klucze to HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectD elayLoad.
Z tym wpisem również nie radzi sobie HJT a więc po skanowaniu należy w trybie awaryjnym usunąć plik z dysku!
022 - Autouruchamianie instrukcji zawartych w Harmonogramie Zadań. Informacje na ten temat można znaleźć w Rejestrze w kluczu HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTask Scheduler .
023 - Są to niestandardowe Usługi uruchamiane na systemach Windows NT/2000/XP/2003. Te wpisy pokazują tylko niestandardowe usługi czyli te dodane przez dodatkowy program. Bardzo często wykorzystywane przez różnego rodzaju robactwo!

źródło: http://www.pcformat.pl/forum/showthread.php?tid=1143

[musg]

podaj źródło skąd to skopiowałeś

[skowrona]

Lukesh dzieki o takie coś mi chodziło

[garfield2]

gulek

Ostatnio zmieniony przez Lukesh dnia Dzisiaj o 10:47, w całości zmieniany 1 raz