HijackThis er et gratis værktøj fra Trend Micro. Det blev oprindeligt udviklet af Merijn Bellekom, en studerende i Holland. Spyware fjernelse software som Adaware eller Spybot S & D gør et godt stykke arbejde med at opdage og fjerne de fleste spyware programmer, men nogle spyware og browser hijackers er for lidenskabelige for selv disse fantastiske anti-spyware værktøjer.
HijackThis er skrevet specifikt til at opdage og fjerne browser hijacks eller software, der overtager din webbrowser, ændrer din standard hjemmeside og søgemaskine og andre ondsindede ting. I modsætning til typiske anti-spyware-software bruger HijackThis ikke signaturer eller målretter mod bestemte programmer eller webadresser til at opdage og blokere. HanackThis søger snarere efter de tricks og metoder, der bruges af malware, til at inficere dit system og omdirigere din browser.
Ikke alt, der vises i HijackThis logfilerne er dårlige ting, og det skal ikke alle fjernes. Faktisk, ret modsat. Det er næsten garanteret, at nogle af genstande i dine HijackThis logfiler vil være legitim software, og at fjerne disse genstande kan påvirke dit system negativt eller gøre det helt ubrugeligt. Brug af HijackThis er meget ligesom redigering af Windows-registreringsdatabasen selv. Det er ikke raketvidenskab, men du bør bestemt ikke gøre det uden nogen ekspert vejledning, medmindre du virkelig ved hvad du laver.
Når du har installeret HijackThis og kører det for at generere en logfil, er der en bred vifte af fora og websteder, hvor du kan sende eller uploade dine logdata. Eksperter, der ved, hvad de skal kigge efter, kan så hjælpe dig med at analysere logdata og rådgive dig om hvilke emner der skal fjernes, og hvilke som skal forlade alene.
For at downloade den aktuelle version af HijackThis kan du besøge det officielle websted på Trend Micro.
Her er et overblik over HijackThis logbogsposterne, som du kan bruge til at hoppe til de oplysninger, du leder efter:
- R0, R1, R2, R3 - Internet Explorer Start / Søgesider URL'er
- F0, F1 - Autoloading programmer
- N1, N2, N3, N4 - Netscape / Mozilla Start / Søge sider URLs
- O1 - Værdier fil omdirigering
- O2 - Browser Helper Objects
- O3 - Internet Explorer værktøjslinjer
- O4 - Autoloading programmer fra Registry
- O5 - IE Indstillinger ikon er ikke synligt i Kontrolpanel
- O6 - IE Valg af adgang begrænset af Administrator
- O7 - Regedit adgang begrænset af Administrator
- O8 - Ekstra elementer i IE højreklikmenu
- O9 - Ekstra knapper på hoved IE-knapværktøjslinjen eller ekstra elementer i menuen IE 'Tools'
- O10 - Winsock hijacker
- O11 - Ekstra gruppe i IE 'Avancerede indstillinger' vindue
- O12 - IE plugins
- O13 - IE DefaultPrefix kapring
- O14 - 'Reset Web Settings' kapring
- O15 - Uønsket site i Trusted Zone
- O16 - ActiveX-objekter (også downloadede programfiler)
- O17 - Lop.com domænekapere
- O18 - Ekstra protokoller og protokollkapere
- O19 - Bruger stilark kapning
- O20 - AppInit_DLLs Registreringsværdi autorun
- O21 - ShellServiceObjectDelayLoad Registreringsnøgle autorun
- O22 - SharedTaskScheduler Registreringsnøgle autorun
- O23 - Windows NT Services
R0, R1, R2, R3 - IE Start og Søg sider
Hvad det ligner:R0 - HKCU Software Microsoft Internet Explorer Main, Startside = http://www.google.com/R1 - HKLM Software Microsoft InternetExplorer Main, Default_Page_URL = http://www.google.com/R2 - (denne type bruges ikke af HijackThis endnu)R3 - Standard URLSearchHook mangler Hvad skal man gøre:Hvis du genkender URL'en i slutningen som din hjemmeside eller søgemaskine, er det OK. Hvis du ikke gør det, skal du tjekke det og få HijackThis rette det. For R3-emnerne skal du altid rette dem, medmindre det nævner et program du genkender, som Copernic. Hvad det ligner:F0 - system.ini: Shell = Explorer.exe Openme.exeF1 - win.ini: run = hpfsched Hvad skal man gøre:F0-emnerne er altid dårlige, så reparer dem. F1-emnerne er som regel meget gamle programmer, der er sikre, så du bør finde mere information om filnavnet for at se om det er godt eller dårligt. Pacmans opstartsliste kan hjælpe med at identificere et emne. Hvad det ligner:N1 - Netscape 4: user_pref "browser.startup.homepage", "www.google.com"); (C: Programmer Netscape Users default prefs.js)N2 - Netscape 6: user_pref ("browser.startup.homepage", "http://www.google.com"); (C: Dokumenter og Indstillinger Bruger Programdata Mozilla Profiler defaulto9t1tfl.slt prefs.js)N2 - Netscape 6: user_pref ("browser.search.defaultengine", "engine: //C%3A%5CProgram%20Files%5CNetscape%206%5Csearchplugins%5CSBWeb_02.src"); (C: Dokumenter og Indstillinger Bruger Programdata Mozilla Profiler defaulto9t1tfl.slt prefs.js) Hvad skal man gøre:Normalt er Netscape og Mozilla hjemmeside og søgningssiden sikkert. De sjældent bliver kapret, kun Lop.com har været kendt for at gøre dette. Skulle du se en webadresse, du ikke genkender som din startside eller søgeside, har HijackThis rettet det. Hvad det ligner:O1 - Værter: 216.177.73.139 auto.search.msn.comO1 - Værter: 216.177.73.139 search.netscape.comO1 - Værter: 216.177.73.139 ieautosearchO1 - Værtsfilen er placeret på C: Windows Help hosts Hvad skal man gøre:Denne kapring vil omdirigere adressen til højre for IP-adressen til venstre.Hvis IP ikke tilhører adressen, bliver du omdirigeret til et forkert sted hver gang du indtaster adressen. Du kan altid have HijackThis rette disse, medmindre du bevidst sætter disse linjer i din værtsfil. Den sidste genstand forekommer nogle gange i Windows 2000 / XP med en Coolwebsearch-infektion. Opløs altid denne genstand, eller reparer CWShredder automatisk. Hvad det ligner:O2 - BHO: Yahoo! Companion BHO - {13F537F0-AF09-11d6-9029-0002B31F9E59} - C: PROGRAMFILER YAHOO! COMPANION YCOMP5_0_2_4.DLLO2 - BHO: (ingen navn) - {1A214F62-47A7-4CA3-9D00-95A3965A8B4A} - C: PROGRAMFILER POPUP ELIMINATOR AUTODISPLAY401.DLL (fil mangler)O2 - BHO: Forbedret MediaLoads - {85A702BA-EA8F-4B83-AA07-07A5186ACD7E} - C: PROGRAMFILER MEDIALOADS ENHANCED ME1.DLL Hvad skal man gøre:Hvis du ikke genkender navnet på Browser Helper Object, kan du bruge TonyKs BHO & Toolbar List til at finde det ved klassen ID (CLSID, tallet mellem krøllet parenteser) og se om det er godt eller dårligt. I BHO-listen betyder 'X' spyware og 'L' betyder sikkert. Hvad det ligner: O3 - Toolbar: & Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C: PROGRAMFILER YAHOO! COMPANION YCOMP5_0_2_4.DLLO3 - Værktøjslinje: Popup Eliminator - {86BCA93E-457B-4054-AFB0-E428DA1563E1} - C: PROGRAMFILER POPUP ELIMINATOR PETOOLBAR401.DLL (fil mangler)O3 - Værktøjslinje: rzillcgthjx - {5996aaf3-5c08-44a9-ac12-1843fd03df0a} - C: WINDOWS APPLICATION DATA CKSTPRLLNQUL.DLL Hvad skal man gøre:Hvis du ikke genkender en værktøjslinjes navn direkte, skal du bruge TonyKs BHO & Toolbar List til at finde det ved klassen ID (CLSID, tallet mellem curly brackets) og se om det er godt eller dårligt. I værktøjslinjelisten betyder 'X' spyware og 'L' sikkert. Hvis det ikke er på listen, og navnet ser ud til at være en tilfældig tegnstreng, og filen er i mappen 'Programdata' (som den sidste i eksemplerne ovenfor), er det nok Lop.com, og du burde definitivt have HijackThis fix det. Hvad det ligner:O4 - HKLM .. Kør: ScanRegistry C: WINDOWS scanregw.exe / autorunO4 - HKLM .. Run: SystemTray SysTray.ExeO4 - HKLM .. Kør: ccApp "C: Programmer Almindelige filer Symantec Shared ccApp.exe"O4 - Opstart: Microsoft Office.lnk = C: Programmer Microsoft Office Office OSA9.EXEO4 - Global Opstart: winlogon.exe Hvad skal man gøre:Brug PacMans opstartsliste til at finde indgangen og se om det er godt eller dårligt. Hvis emnet viser et program, der sidder i en Startup-gruppe (som det sidste punkt ovenfor), kan HijackThis ikke reparere varen, hvis dette program stadig er i hukommelse. Brug Windows Task Manager (TASKMGR.EXE) for at lukke processen før fastsættelse. Hvad det ligner: O5 - control.ini: inetcpl.cpl = no Hvad skal man gøre:Medmindre du eller din systemadministrator har skjult et ikon fra Kontrolpanel, skal HijackThis rette det. Hvad det ligner:O6 - HKCU Software Policies Microsoft Internet Explorer Begrænsninger til stede Hvad skal man gøre:Medmindre du har indstillingen Spybot S & D 'Lås hjemmeside fra ændringer' aktiv, eller hvis systemadministratoren sætter dette på plads, skal du reparere HijackThis. Hvad det ligner:O7 - HKCU Software Microsoft Windows CurrentVersion Policies System, DisableRegedit = 1 Hvad skal man gøre:Har altid HijackThis rette dette, medmindre systemadministratoren har lagt denne begrænsning på plads. Hvad det ligner: O8 - Ekstra kontekstmenupunkt: & Google Search - res: // C: WINDOWS DOWNLOADED PROGRAMFILER GOOGLETOOLBAR_EN_1.1.68-DELEON.DLL / cmsearch.htmlO8 - Ekstra kontekst menupunkt: Yahoo! Søg - fil: /// C: Programmer Yahoo! Fælles / ycsrch.htmO8 - Ekstra kontekst menupunkt: Zoom & In - C: WINDOWS WEB zoomin.htmO8 - Ekstra kontekst menupunkt: Zoom O & ud - C: WINDOWS WEB zoomout.htm Hvad skal man gøre:Hvis du ikke genkender navnet på varen i højreklikmenuen i IE, skal du reparere HijackThis. Hvad det ligner: O9 - Ekstra-knap: Messenger (HKLM)O9 - Extra 'Tools' menuen: Messenger (HKLM)O9 - Ekstraknap: AIM (HKLM) Hvad skal man gøre:Hvis du ikke genkender navnet på knappen eller menupunktet, skal du reparere HijackThis. Hvad det ligner: O10 - Hijacked internetadgang af New.NetO10 - Broken internetadgang på grund af LSP provider 'c: progra ~ 1 fælles ~ 2 værktøjslinje cnmib.dll' manglerO10 - Ukendt fil i Winsock LSP: c: programfiler newton kender vmain.dll Hvad skal man gøre:Det er bedst at reparere disse ved hjælp af LSPFix fra Cexx.org eller Spybot S & D fra Kolla.de. Bemærk, at "ukendte" filer i LSP-stakken ikke bliver rettet af HijackThis for sikkerhedsproblemer. Hvad det ligner: O11 - Valggruppe: CommonName CommonName Hvad skal man gøre:Den eneste kaprer fra nu, der tilføjer sin egen optagegruppe til vinduet IE Advanced Options, er CommonName. Så du kan altid have HijackThis rette dette. Hvad det ligner: O12 - Plugin for .spop: C: Programmer Internet Explorer Plugins NPDocBox.dllO12 - Plugin for .PDF: C: Programmer Internet Explorer PLUGINS nppdf32.dll Hvad skal man gøre:De fleste af tiden er disse sikkert. Kun OnFlow tilføjer et plugin her, som du ikke vil have (.ofb). Hvad det ligner: O13 - DefaultPrefix: http://www.pixpox.com/cgi-bin/click.pl?url=O13 - WWW Prefix: http://prolivation.com/cgi-bin/r.cgi?O13 - WWW. Prefix: http://ehttp.cc/? Hvad skal man gøre:Disse er altid dårlige. Har HijackThis rette dem. Hvad det ligner: O14 - IERESET.INF: START_PAGE_URL = http: //www.searchalot.com Hvad skal man gøre:Hvis webadressen ikke er leverandøren af din computer eller din internetudbyder, har HijackThis rettet det. Hvad det ligner: O15 - Trusted Zone: http://free.aol.comO15 - Trusted Zone: * .coolwebsearch.comO15 - Trusted Zone: * .msn.com Hvad skal man gøre:For det meste tilføjer kun AOL og Coolwebsearch stille websteder til den tillidstillede zone. Hvis du ikke selv har tilføjet det angivne domæne til den betroede zone, har HijackThis rettet det. Hvad det ligner: O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cabO16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab Hvad skal man gøre:Hvis du ikke genkender navnet på objektet eller den webadresse, den blev downloadet fra, har HijackThis rettet det. Hvis navnet eller webadressen indeholder ord som 'dialer', 'casino', 'free_plugin' osv., Skal du helt sikkert rette det. Javacools SpywareBlaster har en enorm database af ondsindede ActiveX-objekter, der kan bruges til at kigge på CLSID'er. (Højreklik på listen for at bruge Find-funktionen.) Hvad det ligner: O17 - HKLM System CCS Services VxD MSTCP: Domæne = aoldsl.netO17 - HKLM System CCS Services Tcpip Parametre: Domæne = W21944.find-quick.comO17 - HKLM Software .. Telefoni: DomainName = W21944.find-quick.comO17 - HKLM System CCS Services Tcpip .. {D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domæne = W21944.find-quick.comO17 - HKLM System CS1 Services Tcpip Parametre: SearchList = gla.ac.ukO17 - HKLM System CS1 Services VxD MSTCP: NameServer = 69.57.146.14,69.57.147.175 Hvad skal man gøre:Hvis domænet ikke er fra din internetudbyder eller virksomhedens netværk, skal du reparere HijackThis. Det samme gælder for 'SearchList'-posterne. For posterne "NameServer" (DNS-servere), Google til IP eller IP'er, og det bliver nemt at se, om de er gode eller dårlige. Hvad det ligner: O18 - Protokol: relaterede links - {5AB65DD4-01FB-44D5-9537-3767AB80F790} - C: PROGRA ~ 1 COMMON ~ 1 MSIETS msielink.dllO18 - Protokol: mctp - {d7b95390-b1c5-11d0-b111-0080c712fe82}O18 - Protocol hijack: http - {66993893-61B8-47DC-B10D-21E0C86DD9C8} Hvad skal man gøre:Kun få kapere vises her. De kendte onde er 'cn' (CommonName), 'ayb' (Lop.com) og 'relatedlinks' (Huntbar), du skal have HijackThis rette dem. Andre ting, der opstår, er heller ikke bekræftet sikkert endnu, eller kapret (dvs. CLSID er blevet ændret) af spyware. I sidste tilfælde har HijackThis rettet det. Hvad det ligner: O19 - Bruger stilark: c: WINDOWS Java my.css Hvad skal man gøre:I tilfælde af en afmatning af browseren og hyppige popups har HijackThis rettet denne vare, hvis det vises i logfilen. Men da kun Coolwebsearch gør dette, er det bedre at bruge CWShredder til at rette det. Hvad det ligner: O20 - AppInit_DLLs: msconfd.dll Hvad skal man gøre:Denne registreringsværdi placeret på HKEY_LOCAL_MACHINE Software Microsoft Windows NT CurrentVersion Windows indlæser en DLL i hukommelse, når brugeren logger ind, hvorefter den forbliver i hukommelsen indtil aflogning. Meget få legitime programmer bruger det (Norton CleanSweep bruger APITRAP.DLL), oftest bruges det af trojanske eller aggressive browser hijackere. I tilfælde af en "skjult" DLL-indlæsning fra denne registreringsværdi (kun synlig ved brug af 'Rediger binære data'-indstillingen i Regedit) kan dll-navnet være præfikset med et rør' | ' for at gøre det synligt i loggen. Hvad det ligner: O21 - SSODL - AUHOOK - {11566B38-955B-4549-930F-7B7482668782} - C: WINDOWS System auhook.dll Hvad skal man gøre:Dette er en ukodificeret autorunmetode, som normalt bruges af et par Windows-systemkomponenter. Elementer opført på HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion ShellServiceObjectDelayLoad indlæses af Explorer, når Windows starter. HijackThis bruger en hvidliste af flere meget almindelige SSODL-elementer, så når et element vises i logfilen, er det ukendt og muligvis skadeligt. Behandle med stor forsigtighed. Hvad det ligner: O22 - SharedTaskScheduler: (ingen navn) - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} - c: windows system32 mtwirl32.dll Hvad skal man gøre:Dette er en ukodificeret autorun til kun Windows NT / 2000 / XP, som bruges meget sjældent. Indtil videre bruger kun CWS.Smartfinder det. Behandles med omhu. Hvad det ligner: O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - C: Programmer Kerio Personal Firewall persfw.exe Hvad skal man gøre:Dette er en liste over ikke-Microsoft-tjenester.Listen skal være den samme som den, du ser i Msconfig-funktionen i Windows XP. Flere trojanske kapacere bruger en hjemmelavet service i adittion til andre startups for at geninstallere sig. Det fulde navn er normalt vigtigt, som f.eks. 'Netværkssikkerhedstjeneste', 'Workstation Logon Service' eller 'Remote Procedure Call Helper', men det interne navn (mellem parenteser) er en sønstrøm, som 'Ort'. Den anden del af linjen er ejeren af filen i slutningen, som det ses i filens egenskaber. Bemærk, at fastsættelse af en O23-genstand vil kun stoppe tjenesten og deaktivere den. Tjenesten skal slettes fra registreringsdatabasen manuelt eller med et andet værktøj. I hijackThis 1.99.1 eller højere kan knappen "Delete NT Service" i sektionen Misc Tools bruges til dette. F0, F1, F2, F3 - Autoloading programmer fra INI filer
N1, N2, N3, N4 - Netscape / Mozilla Start & Søg side
O1 - Hostfile omdirigeringer
O2 - Browser Helper Objects
O3 - IE værktøjslinjer
O4 - Autoloading programmer fra Registry eller Startup gruppe
O5 - IE Indstillinger ikke synlige i Kontrolpanel
O6 - IE Valg af adgang begrænset af Administrator
O7 - Regedit adgang begrænset af Administrator
O8 - Ekstra elementer i IE højreklikmenu
O9 - Ekstra knapper på hoved IE værktøjslinje eller ekstra elementer i menuen IE 'Tools'
O10 - Winsock kapre
O11 - Ekstra gruppe i IE 'Avancerede indstillinger' vindue
O12 - IE plugins
O13 - IE DefaultPrefix kapring
O14 - 'Reset Web Settings' kapring
O15 - Uønskede websteder i Trusted Zone
O16 - ActiveX-objekter (også downloadede programfiler)
O17 - Lop.com domænekapsler
O18 - Ekstra protokoller og protokollkapere
O19 - Bruger stilark kapning
O20 - AppInit_DLLs Registreringsværdi autorun
O21 - ShellServiceObjectDelayLoad
O22 - SharedTaskScheduler
O23 - NT Services
