Anleitung: HijackThis

BataAlexander

Was ist HijackThis?

HijackThis ist ein kostenloes Werkzeug von TrendMirco, welches den Computer auf Veränderungen durch Spyware, Malware oder anderen ungewollten Programmen untersucht. Nach dieser Untersuchung (Scan) erstellt HijackThis eine Reportdatei mit den Ergebnissen.

Hinweis: Bitte postet uns keine HijackThis Logs! Dieses Tool ist bereits überholt und wird nur aus historischen Gründen hier erklärt.

Wichtig: HijackThis legt nicht fest, welche Einträge gut oder böse sind, auch die automatische Auswertung auf HijackThis Logfileauswertung bietet nur einen Anhaltspunkt. Führe bitte keine Änderungen durch bis Du von einem erfahren Computer Benutzer dazu aufgefordert wurdest.

Download von HJT:

Trend Micro bietet drei Varianten zum Herunterladen an

• Als Programm mit Installer

• Als .zip Archiv

• Als ausführbare Datei (HijackThis.exe)

Für das Entpacken der .zip Version benötigste Du ein zip Programm wie z.B. 7-zip , WinZip oder WinRAR
Für alle Versionen gilt: Nach dem Download das Programm in einem zuvor eigens erstellten Ordner entpacken [1],
damit HJT Backups von den gefixten Einträgen anlegen kann.
Wichtig: Bei Fehlbedienung kann im Bedarfsfall auf die Backups zurückgegriffen werden.

[1] z.B. C:\Programme\HiJackThis

Fehlermeldung beim Start von HJT:

- MSVBVM60.DLL fehlt! -> VBRun60.exe installieren
- HJT startet nicht -> Einige Arten der Schädling verhindern das Starten des Prgramms. Hier hilft es die Datei HiJackThis.exe umzubennen in z.B. test.com. Wichtig ist es dabei die Endung auf .com zu ändern!


Einsetzen von HJT - Log-File erstellen:

1. Wenn Du die Version mit eigenem Installler gewählt hast, wirst Du gefragt, wohin HJT installiert werden soll



[Benutzer der Installer Version machen bei 3. weiter]
2. Navigiere nun zum Ordner 'C:\Programme\HiJackThis' [2] und starte HJT per Doppelklick auf 'HiJackThis.exe'.

[2] Wenn der Ordner wie unter [1] erstellt wurde, ansonsten in den entsprechenden Ordner


3. Beim ersten Start erhältst Du folgende Meldung die bestätigt werden muss, indem Du auf "I Accept" klickst.


4. Es öffnet sich das Programmfenster 'Main Menu'.
Klicke auf den rot markierten Button 'Do a system scan and save a logfile':


4. Nach dem Scan erscheint nun das HJT Log-File im geöffneten Notepad. Dieses Log-File wird automatisch im Installationsordner von HJT als hijackthis.txt gespeichert


Das erstellte Log-File besteht aus 3 Bereichen:
Oberer Bereich(grün): Systeminformationen - Patchstand
Mittlerer Bereich(blau): Aktuell laufende Prozesse
Unterer Bereich(rot): R0 bis O23 Einträge


Wichtig: Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://trojaner-board.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.
Auch persönliche Informationen wie Klarnamen (z.B. c:\dokumente und einstellungen\horst mustermann\hjt.exe) editieren in z.B. c:\dokumente und einstellungen\XXX\hjt.exe

Einsetzen von HJT - Auswertung:

1. Möglichkeit: Du wertest dein Log-File selbst mit Hilfe der nachfolgenden Seiten aus:
Pacmans-Startuplist BC Startuplist Reger24 HJT Dateisuche Google


Allerdings musst du bei der Auswertung ganz genau wissen, was du tust. Sicherheitshalber solltest du das 1. Logfile auch nicht löschen oder überschreiben. Falls bei der Auswertung und dem anschließenden "Fixen" etwas schief geht, können wir daraus den Ausgangszustand ersehen.

2. Möglichkeit: Bei Unsicherheit wendest Du Dich an das Board und postest ein aktuelles HJT Log-File.
Wichtig: Durchsuche das Log-File nach persönlichen Informationen, wie z.B. deinen Realname, und editiere diese, bevor Du es postest.

Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://trojaner-board.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.
Auch persönliche Informationen wie Klarnamen (z.B. c:\dokumente und einstellungen\horst mustermann\hjt.exe) editieren in z.B. c:\dokumente und einstellungen\XXX\hjt.exe

Alternativ, je nach verwendete Forensoftware:
Woltlab Burning Board: Optionen -> Haken entfernen bei 'Urls automatisch umwandeln'!
vBulletin Board: Zusätzliche Einstellungen -> Haken entfernen bei 'Links automatisch umwandeln'!

Die Logfiles sollten in Code Tags [code]Hier zwischen kommt Dein Logfile! :)[/code] gepostet werden (im Editor kannst Du auf die "#" drücken um die Code Tags zu erzeugen), dies verhindert Umbrüche und die Logs sind für die Helfer leichter zu lesen. Dies gilt im übrigen für alle Logs, die Du im Laufe einen Threads erstellst.

Einsetzen von HJT - Einträge fixen:

Die Auswertung ist nun abgeschlossen und die verdächtigen Einträge sollten im abgesicherten Modus bei deaktivierter Systemwiederherstellung wie folgt entfernt werden -> Vor den genannten Einträgen einen Haken setzen und auf 'Fix Checked' klicken.

010 - Einträge dürfen nicht gefixt werden. Winsock-Veränderungen werden mit dem Programm LSP-Fix repariert.
Aus Sicherheitsgründen wird HijackThis Einträge wo "unknow Filename" steht nicht entfernen.

O23 - Einträge sollten ebenfalls nicht gefixed werden. Weder der Dienst noch die Datei werden gelöscht. Dienste werden von HijackThis nur auf Disabled gesetzt welches bewirkt das der Dienst beim nächstem Neustart nicht mehr gestartet wird. Erfahrungsgemäß schlägt dies aber bei den meisten Einträgen fehl.
Eine allternative für erfahrene Nutzer ist den Dienst über
Start --> Ausführen --> services.msc ( eingeben ) --> OK
zu deaktivieren und diesen dann mittels HijackThis --> Misc Tool Selection --> Delete an NT Service entfernt. Danach muss ebenfalls die Datei noch gelöscht werden.


Abschliessende Frage noch mit 'Ja' bestätigen.


Anschliessend müssen auch die Malware Dateien entfernt werden, denn sonst hat die ganze Prozedur keinen Sinn.
Fixen alleine beseitigt die Dateien nicht!

Ein vollständiges Tutorial gibt es hier zu lesen: BleepingComputer.com ( deutsch )

Miniaturansicht angehängter Grafiken