Pagsasalin ng Data sa Pag-log Upang Tulungan Alisin ang mga Trojan Hijacker at Browser
HijackThis ay isang libreng tool mula sa Trend Micro. Ito ay orihinal na binuo ni Merijn Bellekom, isang estudyante sa The Netherlands. Ang spyware removal software tulad ng Adaware o Spybot S & D ay isang mahusay na trabaho ng pag-detect at pag-alis ng karamihan sa mga programang spyware, ngunit ang ilang mga spyware at mga hijacker sa browser ay masyadong lihim para sa kahit na ang mga mahusay na anti-spyware utilities.
HijackThis ay partikular na nakasulat upang makita at alisin ang mga hijacker ng browser, o software na tumatagal sa iyong web browser, binabago ang iyong default na home page at search engine at iba pang mga nakakahamak na bagay. Hindi tulad ng tipikal na anti-spyware software, HijackThis ay hindi gumagamit ng mga lagda o target ang anumang partikular na programa o URL upang makita at harangan. Sa halip, HijackAng hitsura nito para sa mga trick at pamamaraan na ginagamit ng malware upang mahawa ang iyong system at i-redirect ang iyong browser.
Hindi lahat ng bagay na nagpapakita sa HijackThis log ay masamang bagay at hindi dapat lahat ay alisin. Sa katunayan, ang kabaligtaran. Halos garantisadong na ang ilan sa mga item sa iyong HijackThis mga log ay magiging lehitimong software at ang pag-aalis ng mga item na iyon ay maaaring makaapekto sa iyong system o gawing ganap na hindi mababago. Paggamit ng HijackThis ay isang pulutong tulad ng pag-edit ng Windows Registry ang iyong sarili. Ito ay hindi rocket science, pero hindi mo dapat gawin ito nang walang gabay sa dalubhasa kung hindi mo talaga alam kung ano ang iyong ginagawa.
Sa sandaling i-install mo ang HijackThis at patakbuhin ito upang makabuo ng isang log file, mayroong maraming iba't ibang mga forum at site kung saan maaari kang mag-post o mag-upload ng iyong data ng log. Ang mga eksperto na alam kung ano ang hahanapin ay maaaring makatulong sa iyo na pag-aralan ang data ng pag-log at ipaalam sa iyo kung aling mga item ang aalisin at kung alin ang mag-iiwan.
Upang i-download ang kasalukuyang bersyon ng HijackThis, maaari mong bisitahin ang opisyal na site sa Trend Micro.
Narito ang isang pangkalahatang-ideya ng HijackThis mga entry sa log na maaari mong gamitin upang lumaktaw sa impormasyon na iyong hinahanap para sa:
- R0, R1, R2, R3 - Mga pahina ng URL ng Start / Search sa Internet Explorer
- F0, F1 - Mga programa ng pag-uusap
- N1, N2, N3, N4 - Netscape / Mozilla Start / Search pages URLs
- O1 - Pag-redirect ng file ng host
- O2 - Mga Helper ng Browser Helper
- O3 - Mga toolbar ng Internet Explorer
- O4 - Mga programa mula sa Registry
- O5 - icon ng Mga Pagpipilian sa IE na hindi nakikita sa Control Panel
- O6 - Access sa Mga Pagpipilian sa IE na pinaghihigpitan ng Administrator
- O7 - Regedit access na pinaghihigpitan ng Administrator
- O8 - Mga karagdagang item sa IE right-click menu
- O9 - Mga dagdag na pindutan sa pangunahing toolbar ng IE button, o dagdag na mga item sa menu na 'Tools' ng IE
- O10 - Winsock hijacker
- O11 - Dagdag na pangkat sa window ng IE 'Mga Advanced na Opsyon'
- O12 - IE plugins
- O13 - IE DefaultPrefix hijack
- O14 - 'I-reset ang Mga Setting ng Web' na hijack
- O15 - Hindi nais na site sa Trusted Zone
- O16 - ActiveX Objects (aka Nai-download na Program Files)
- O17 - Lop.com domain hijackers
- O18 - Mga dagdag na protocol at hijacker ng protocol
- O19 - Mag-hijack ng style sheet ng user
- O20 - AppInit_DLLs Registry na halaga autorun
- O21 - ShellServiceObjectDelayLoad Registry key autorun
- O22 - SharedTaskScheduler Registry key autorun
- O23 - Mga Serbisyo sa Windows NT
R0, R1, R2, R3 - Mga pahina ng IE Start at Search
Ano ang hitsura nito:
R0 - HKCU \ Software \ Microsoft \ Internet Explorer \ Main, Start Page = http://www.google.com/
R1 - HKLM \ Software \ Microsoft \ InternetExplorer \ Main, Default_Page_URL = http://www.google.com/
R2 - (ang ganitong uri ay hindi ginagamit ng HijackThis pa)
R3 - Nawawala ang default na URLSearchHook
Anong gagawin:
Kung nakilala mo ang URL sa dulo bilang iyong homepage o search engine, OK lang. Kung wala ka, lagyan ito ng tsek at may HijackThis ayusin ito. Para sa mga item R3, palaging ayusin ang mga ito maliban kung ito pagbanggit ng isang programa na iyong kinikilala, tulad ng Copernic.
F0, F1, F2, F3 - Mga programa ng pag-uusap mula INI na mga file
Ano ang hitsura nito:
F0 - system.ini: Shell = Explorer.exe Openme.exe
F1 - win.ini: run = hpfsched
Anong gagawin:
Ang mga bagay na F0 ay laging masama, kaya ayusin ang mga ito. Ang mga item sa F1 ay kadalasang napaka-lumang mga programa na ligtas, kaya dapat kang makahanap ng higit pang impormasyon sa filename upang makita kung ito ay mabuti o masama. Ang Lista ng Startup ng Pacman ay makakatulong sa pagtukoy ng isang item.
N1, N2, N3, N4 - Netscape / Mozilla Start & amp; Pahina ng paghahanap
Ano ang hitsura nito:
N1 - Netscape 4: user_pref "browser.startup.homepage", "www.google.com"); (C: \ Program Files \ Netscape \ Users \ default \ prefs.js)
N2 - Netscape 6: user_pref ("browser.startup.homepage", "http://www.google.com"); (C: \ Documents and Settings \ User \ Application Data \ Mozilla \ Profiles \ defaulto9t1tfl.slt \ prefs.js)
N2 - Netscape 6: user_pref ("browser.search.defaultengine", "engine: //C%3A%5CProgram%20Files%5CNetscape%206%5Csearchplugins%5CSBWeb_02.src"); (C: \ Documents and Settings \ User \ Application Data \ Mozilla \ Profiles \ defaulto9t1tfl.slt \ prefs.js)
Anong gagawin:
Karaniwan nang ligtas ang pahina ng homepage at paghahanap ng Netscape at Mozilla. Sila ay bihira na nakarating na na-hijack, tanging ang Lop.com ay kilala na gawin ito. Dapat mong makita ang isang URL na hindi mo nakikilala bilang iyong homepage o pahina ng paghahanap, may HijackThis ayusin ito.
O1 - Hostsfile redirections
Ano ang hitsura nito:
O1 - Mga nagho-host: 216.177.73.139 auto.search.msn.com
O1 - Mga nagho-host: 216.177.73.139 search.netscape.com
O1 - Mga nagho-host: 216.177.73.139 ieautosearch
O1 - Ang file ng host ay matatagpuan sa C: \ Windows \ Help \ hosts
Anong gagawin:
Aalisin ng hijack na ito ang address sa kanan sa IP address sa kaliwa. Kung ang IP ay hindi kabilang sa address, ikaw ay maaring i-redirect sa isang maling site sa tuwing ipasok mo ang address. Maaari kang laging may HijackThis ayusin ang mga ito, maliban kung sadyang inilagay mo ang mga linyang iyon sa iyong file ng Host.
Ang huling item kung minsan ay nangyayari sa Windows 2000 / XP na may impeksiyon na Coolwebsearch. Palaging ayusin ang item na ito, o awtomatikong pag-aayos ng CWShredder ito.
O2 - Mga Helper ng Browser Helper
Ano ang hitsura nito:
O2 - BHO: Yahoo! Kasamang BHO - {13F537F0-AF09-11d6-9029-0002B31F9E59} - C: \ PROGRAM FILES \ YAHOO! \ COMPANION \ YCOMP5_0_2_4.DLL
O2 - BHO: (walang pangalan) - {1A214F62-47A7-4CA3-9D00-95A3965A8B4A} - C: \ PROGRAM FILES \ POPUP ELIMINATOR \ AUTODISPLAY401.DLL (nawawala ang file)
O2 - BHO: MediaLoads Enhanced - {85A702BA-EA8F-4B83-AA07-07A5186ACD7E} - C: \ PROGRAM FILES \ MEDIALOADS ENHANCED \ ME1.DLL
Anong gagawin:
Kung hindi mo direktang kilalanin ang isang pangalan ng Browser Helper Object, gamitin ang Listahan ng BHO & Toolbar ng TonyK upang mahanap ito ng class ID (CLSID, ang numero sa pagitan ng kulot na bracket) at tingnan kung mabuti o masama ito. Sa BHO List, 'X' ay nangangahulugang spyware at 'L' ay nangangahulugang ligtas.
O3 - IE toolbars
Ano ang hitsura nito:
O3 - Toolbar: & Yahoo! Kasamang - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C: \ PROGRAM FILES \ YAHOO! \ COMPANION \ YCOMP5_0_2_4.DLL
O3 - Toolbar: Popup Eliminator - {86BCA93E-457B-4054-AFB0-E428DA1563E1} - C: \ FILES PROGRAM \ POPUP ELIMINATOR \ PETOOLBAR401.DLL (file missing)
O3 - Toolbar: rzillcgthjx - {5996aaf3-5c08-44a9-ac12-1843fd03df0a} - C: \ WINDOWS \ APPLICATION DATA \ CKSTPRLLNQUL.DLL
Anong gagawin:
Kung hindi mo direktang kilalanin ang pangalan ng toolbar, gamitin ang Listahan ng BHO & Toolbar ng TonyK upang mahanap ito ng class ID (CLSID, ang numero sa pagitan ng kulot na mga bracket) at tingnan kung ito ay mabuti o masama. Sa Listahan ng Toolbar, ang 'X' ay nangangahulugang spyware at 'L' ay nangangahulugang ligtas. Kung hindi ito sa listahan at ang pangalan ay tila isang random na string ng mga character at ang file ay nasa folder na 'Application Data' (tulad ng huling isa sa mga halimbawa sa itaas), marahil ito ay Lop.com, at ikaw ay dapat na mayroong HijackThis fix ito.
O4 - Mga programa mula sa Pag-aanunsiyo mula sa Registry o Startup group
Ano ang hitsura nito:
O4 - HKLM \ .. \ Run: [ScanRegistry] C: \ WINDOWS \ scanregw.exe / autorun
O4 - HKLM \ .. \ Run: [SystemTray] SysTray.Exe
O4 - HKLM \ .. \ Run: [ccApp] "C: \ Program Files \ Common Files \ Symantec Ibinahagi \ ccApp.exe"
O4 - Startup: Microsoft Office.lnk = C: \ Program Files \ Microsoft Office \ Office \ OSA9.EXE
O4 - Global Startup: winlogon.exe
Anong gagawin:
Gamitin ang Startup List ng PacMan upang mahanap ang entry at tingnan kung ito ay mabuti o masama.
Kung ang item ay nagpapakita ng isang programa na nakaupo sa isang Startup group (tulad ng huling item sa itaas), HijackThis hindi maaaring ayusin ang item kung ang program na ito ay pa rin sa memorya. Gamitin ang Windows Task Manager (TASKMGR.EXE) upang isara ang proseso bago ang pag-aayos.
O5 - Mga Pagpipilian sa IE na hindi nakikita sa Control Panel
Ano ang hitsura nito:
O5 - control.ini: inetcpl.cpl = no
Anong gagawin:
Maliban kung ikaw o ang iyong administrator ng system ay sadyang nakatago ang icon mula sa Control Panel, may HijackThis ayusin ito.
O6 - Access sa Mga Pagpipilian sa IE na pinaghihigpitan ng Administrator
Ano ang hitsura nito:
O6 - HKCU \ Software \ Policies \ Microsoft \ Internet Explorer \ Restrictions kasalukuyan
Anong gagawin:
Maliban kung mayroon kang opsyon na Spybot S & D na 'I-lock ang homepage mula sa mga aktibo', o ilagay ng iyong administrator ng system sa lugar, ayusin ang HijackThis ayusin ito.
O7 - Regedit access na pinaghihigpitan ng Administrator
Ano ang hitsura nito:
O7 - HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System, DisableRegedit = 1
Anong gagawin:
Laging may HijackIto ayusin ito, maliban kung ang iyong administrator ng system ay ilagay ang paghihigpit na ito sa lugar.
O8 - Mga karagdagang item sa IE right-click menu
Ano ang hitsura nito:
O8 - Dagdag na item sa menu ng konteksto: & Paghahanap ng Google - res: // C: \ WINDOWS \ DOWNLOAD FILES PROGRAM \ GOOGLETOOLBAR_EN_1.1.68-DELEON.DLL / cmsearch.html
O8 - Dagdag na item sa menu ng konteksto: Yahoo! Search - file: /// C: \ Program Files \ Yahoo! \ Common / ycsrch.htm
O8 - Dagdag na item sa menu ng konteksto: Mag-zoom & In - C: \ WINDOWS \ WEB \ zoomin.htm
O8 - Dagdag na item sa menu ng konteksto: Mag-zoom O & ut - C: \ WINDOWS \ WEB \ zoomout.htm
Anong gagawin:
Kung hindi mo nakikilala ang pangalan ng item sa menu ng right-click sa IE, may HijackThis ayusin ito.
O9 - Mga dagdag na pindutan sa pangunahing toolbar ng IE, o dagdag na mga item sa IE & # 39; Mga Tool & # 39; menu
Ano ang hitsura nito:
O9 - Dagdag na pindutan: Messenger (HKLM)
O9 - Mga dagdag na 'Mga Tool' na Mga tool: Messenger (HKLM)
O9 - Dagdag na pindutan: AIM (HKLM)
Anong gagawin:
Kung hindi mo nakilala ang pangalan ng pindutan o menu item, mayroon HijackThis ayusin ito.
O10 - Mga hijacker ng Winsock
Ano ang hitsura nito:
O10 - Na-hijack na Internet access sa pamamagitan ng New.Net
O10 - Nawawalang pag-access sa Internet dahil sa nawawalang LSP provider c: \ progra ~ 1 \ common ~ 2 \ toolbar \ cnmib.dll
O10 - Hindi kilalang file sa Winsock LSP: c: \ program files \ newton nakakaalam \ vmain.dll
Anong gagawin:
Pinakamainam na ayusin ang mga ito gamit ang LSPFix mula sa Cexx.org, o Spybot S & D mula sa Kolla.de.
Tandaan na ang mga 'hindi kilalang' mga file sa LSP stack ay hindi maayos sa pamamagitan ng HijackThis, para sa mga isyu sa kaligtasan.
O11 - Dagdag na pangkat sa IE & # 39; Advanced na Mga Pagpipilian & # 39; window
Ano ang hitsura nito:
O11 - Pangkat ng Mga Pagpipilian: [CommonName] CommonName
Anong gagawin:
Ang tanging hijacker sa ngayon na nagdaragdag ng sarili nitong mga pangkat ng pagpipilian sa window ng IE Advanced na Mga Pagpipilian ay CommonName. Kaya maaari mong laging may HijackThis ayusin ito.
O12 - IE plugins
Ano ang hitsura nito:
O12 - Plugin para sa .spop: C: \ Program Files \ Internet Explorer \ Plugins \ NPDocBox.dll
O12 - Plugin para sa .PDF: C: \ Program Files \ Internet Explorer \ PLUGINS \ nppdf32.dll
Anong gagawin:
Karamihan sa mga oras na ito ay ligtas. Nagdagdag lamang ang OnFlow ng isang plugin dito na hindi mo nais (. Bb).
O13 - IE DefaultPrefix hijack
Ano ang hitsura nito:
O13 - DefaultPrefix: http://www.pixpox.com/cgi-bin/click.pl?url=
O13 - WWW Prefix: http://prolivation.com/cgi-bin/r.cgi?
O13 - WWW. Prefix: http://ehttp.cc/?
Anong gagawin:
Ang mga ito ay laging masama. Magkaroon ng HijackAto ayusin ang mga ito.
O14 - & # 39; I-reset ang Mga Setting ng Web & # 39; hijack
Ano ang hitsura nito:
O14 - IERESET.INF: START_PAGE_URL = http: //www.searchalot.com
Anong gagawin:
Kung ang URL ay hindi ang provider ng iyong computer o ang iyong ISP, may HijackThis ayusin ito.
O15 - Hindi Gustong mga site sa Trusted Zone
Ano ang hitsura nito:
O15 - Pinagkakatiwalaang Sona: http://free.aol.com
O15 - Pinagkakatiwalaang Zone: * .coolwebsearch.com
O15 - Trusted Zone: * .msn.com
Anong gagawin:
Karamihan sa mga oras lamang AOL at Coolwebsearch tahimik na magdagdag ng mga site sa Trusted Zone. Kung hindi mo idagdag ang nakalistang domain sa Trusted Zone sa iyong sarili, may HijackThis ayusin ito.
O16 - ActiveX Objects (aka Nai-download na Program Files)
Ano ang hitsura nito:
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
Anong gagawin:
Kung hindi mo nakilala ang pangalan ng bagay, o ang URL na na-download mula sa, mayroon itong HijackThis ayusin ito. Kung ang pangalan o URL ay naglalaman ng mga salita tulad ng 'dialer', 'casino', 'free_plugin' atbp, tiyak ayusin ito. Ang Javacool's SpywareBlaster ay may malaking database ng mga nakakahamak na bagay sa ActiveX na maaaring magamit para sa pagtingin sa CLSID. (Mag-right click sa listahan upang magamit ang function na Find.)
O17 - Lop.com domain hijacks
Ano ang hitsura nito:
O17 - HKLM \ System \ CCS \ Services \ VxD \ MSTCP: Domain = aoldsl.net
O17 - HKLM \ System \ CCS \ Services \ Tcpip \ Parameters: Domain = W21944.find-quick.com
O17 - HKLM \ Software \ .. \ Telephony: DomainName = W21944.find-quick.com
O17 - HKLM \ System \ CCS \ Services \ Tcpip \ .. \ {D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domain = W21944.find-quick.com
O17 - HKLM \ System \ CS1 \ Services \ Tcpip \ Parameters: SearchList = gla.ac.uk
O17 - HKLM \ System \ CS1 \ Services \ VxD \ MSTCP: NameServer = 69.57.146.14,69.57.147.175
Anong gagawin:
Kung ang domain ay hindi mula sa iyong ISP o network ng kumpanya, mayroon ang HijackThis ayusin ito. Ang parehong napupunta para sa mga entry sa 'SearchList'. Para sa mga entry na 'NameServer' (mga DNS server ), ang Google para sa IP o IP at madali itong makita kung sila ay mabuti o masama.
O18 - Mga dagdag na protocol at hijacker ng protocol
Ano ang hitsura nito:
O18 - Protocol: relatedlinks - {5AB65DD4-01FB-44D5-9537-3767AB80F790} - C: \ PROGRA ~ 1 \ COMMON ~ 1 \ MSIETS \ msielink.dll
O18 - Protocol: mctp - {d7b95390-b1c5-11d0-b111-0080c712fe82}
O18 - Protocol hijack: http - {66993893-61B8-47DC-B10D-21E0C86DD9C8}
Anong gagawin:
Lamang ng ilang mga hijacker lumitaw dito. Ang mga kilalang baddies ay 'cn' (CommonName), 'ayb' (Lop.com) at 'relatedlinks' (Huntbar), dapat mayroon kang HijackThis ayusin ang mga iyon. Ang iba pang mga bagay na nagpapakita ay hindi pa nakumpirma na ligtas, o na-hijack (ie ang CLSID ay nabago) ng spyware. Sa huling kaso, may HijackThis ayusin ito.
O19 - Mag-hijack ng style sheet ng user
Ano ang hitsura nito:
O19 - User style sheet: c: \ WINDOWS \ Java \ my.css
Anong gagawin:
Sa kaso ng paghina ng browser at mga madalas na pag-popup, ayusin ang HijackThis ayusin ang item na ito kung nagpapakita ito sa log. Gayunpaman, dahil lamang ginagawa ng Coolwebsearch na ito, mas mahusay na gamitin ang CWShredder upang ayusin ito.
O20 - AppInit_DLLs Registry na halaga autorun
Ano ang hitsura nito:
O20 - AppInit_DLLs: msconfd.dll
Anong gagawin:
Ang halaga ng Registry na matatagpuan sa HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Windows ay naglo-load ng isang DLL sa memorya kapag nag-log ang user, pagkatapos nito ay nananatili sa memorya hanggang sa logoff. Napakakaunting mga lehitimong programa ang gumagamit nito (Ang Norton CleanSweep ay gumagamit ng APITRAP.DLL), kadalasan ginagamit ito ng mga trojans o aggressive hijacker ng browser.
Sa kaso ng isang 'nakatagong' pag-load ng DLL mula sa halaga ng Registry na ito (makikita lamang kapag gumagamit ng opsyon na 'I-edit ang Binary Data' sa Regedit) ang pangalan ng dll ay maaaring prefix na may isang pipe '|' upang makita ito sa log.
O21 - ShellServiceObjectDelayLoad
Ano ang hitsura nito:
O21 - SSODL - AUHOOK - {11566B38-955B-4549-930F-7B7482668782} - C: \ WINDOWS \ System \ auhook.dll
Anong gagawin:
Ito ay isang undocumented autorun na pamamaraan, karaniwang ginagamit ng ilang bahagi ng Windows system. Ang mga item na nakalista sa HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ ShellServiceObjectDelayLoad ay ikinarga ng Explorer kapag nagsisimula ang Windows. HijackThis gumagamit ng isang whitelist ng ilang mga napaka-karaniwang mga item SSODL, kaya kapag ang isang item ay ipinapakita sa log na ito ay hindi kilala at marahil ay nakakahamak. Tratuhin nang may matinding pangangalaga.
O22 - SharedTaskScheduler
Ano ang hitsura nito:
O22 - SharedTaskScheduler: (walang pangalan) - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} - c: \ windows \ system32 \ mtwirl32.dll
Anong gagawin:
Ito ay isang undocumented autorun para sa Windows NT / 2000 / XP lamang, na ginagamit napaka bihira. Sa ngayon lamang ginagamit ng CWS.Smartfinder ito. Treat na may pag-aalaga.
O23 - Mga Serbisyo sa NT
Ano ang hitsura nito:
O23 - Serbisyo: Kerio Personal Firewall (PersFw) - Kerio Technologies - C: \ Program Files \ Kerio \ Personal Firewall \ persfw.exe
Anong gagawin:
Ito ang listahan ng mga serbisyong hindi pang-Microsoft. Ang listahan ay dapat na kapareho ng nakikita mo sa Msconfig utility ng Windows XP. Ang ilang mga hijacker ng trojan ay gumagamit ng isang gawang-bahay na serbisyo sa adittion sa iba pang mga startup upang muling i-install ang kanilang mga sarili. Ang buong pangalan ay karaniwang mahalaga-tunog, tulad ng 'Network Security Service', 'Workstation Logon Service' o 'Remote Procedure Call Helper', ngunit ang panloob na pangalan (sa pagitan ng mga braket) ay isang string ng basura, tulad ng 'Ort'. Ang ikalawang bahagi ng linya ay ang may-ari ng file sa dulo, tulad ng nakikita sa mga katangian ng file.
Tandaan na ang pag-aayos ng isang item ng O23 ay hihinto lamang sa serbisyo at hindi paganahin ito. Ang serbisyo ay kailangang tanggalin mula sa Registry nang manu-mano o sa ibang tool. Sa HijackThis 1.99.1 o mas mataas, ang pindutan na 'Tanggalin ang Serbisyo ng NT' sa seksyong Misc Tools ay maaaring gamitin para sa mga ito.