Neues HJt TUT

BataAlexander

Hallo Forum,

ich hatte sie noch in der Schublade und bevor sie dort schimmelt, poste ich sie mal hier zu freien Diskussion.
Ich habe micht sehr an die gute, alte Anleitung gehalten, bis auf die Punkte die keinen Sinn (mehr) machen oder Links die nicht mehr funktionieren und einige Ergänzungen (Links, CodeTags, Download Versionen) gemacht.

-------

Was ist HijackThis?

HijackThis ist ein kostenloes Werkzeug von TrendMirco, welches den Computer auf Veränderungen durch Spyware, Malware oder anderen ungewollten Programmen untersucht. Nach dieser Untersuchung (Scan) erstellt HijackThis eine Reportdatei mit den Ergebnissen.

Wichtig: HijackThis legt nicht fest, welche Einträge gut oder böse sind, auch die automatische Auswertung auf HijackThis Logfileauswertung bietet nur einen Anhaltspunkt. Führe bitte keine Änderungen durch bis Du von einem erfahren Computer Benutzer dazu aufgefordert wurdest.

Download von HJT:

Trend Micro bietet drei Varianten zum Herunterladen an

• Als Programm mit Installer

• Als .zip Archiv

• Als ausführbare Datei (HijackThis.exe)

Für das Entpacken der .zip Version benötigste Du ein zip Programm wie z.B. 7zip
Für alle Versionen gilt: Nach dem Download das Programm in einem zuvor eigens erstellten Ordner entpacken [1],
damit HJT Backups von den gefixten Einträgen anlegen kann.
Wichtig: Bei Fehlbedienung kann im Bedarfsfall auf die Backups zurückgegriffen werden.

[1] z.B. C:\Programme\HiJackThis

Fehlermeldung beim Start von HJT:

- MSVBVM60.DLL fehlt! -> VBRun60.exe installieren
- HJT startet nicht -> Einige Arten der Schädling verhindern das Starten des Prgramms. Hier hilft es die Datei HiJackThis.exe umzubennen in z.B. test.com. Wichtig ist es dabei die Endung auf .com zu ändern!


Einsetzen von HJT – Log-File erstellen:

1. Wenn Du die Version mit eigenem Installler gewählt hast, wirst Du gefragt, wohin HJT installiert werden soll



[Benutzer der Installer Version machen bei 3. weiter]
2. Navigiere nun zum Ordner 'C:\Programme\HiJackThis' [2] und starte HJT per Doppelklick auf 'HiJackThis.exe'.

[2] Wenn der Ordner wie unter [1] erstellt wurde, ansonsten in den entsprechenden Ordner


3. Beim ersten Start erhältst Du folgende Meldung die bestätigt werden muss, indem Du auf "I Accept" klickst.


4. Es öffnet sich das Programmfenster 'Main Menu'.
Klicke auf den rot markierten Button 'Do a system scan and save a logfile':


4. Nach dem Scan erscheint nun das HJT Log-File im geöffneten Notepad. Dieses Log-File wird automatisch im Installationsordner von HJT als hijackthis.txt gespeichert


Das erstellte Log-File besteht aus 3 Bereichen:
Oberer Bereich(grün): Systeminformationen - Patchstand
Mittlerer Bereich(blau): Aktuell laufende Prozesse
Unterer Bereich(rot): R0 bis O23 Einträge



Einsetzen von HJT – Auswertung:

1. Möglichkeit: Du wertest dein Log-File selbst mit Hilfe der nachfolgenden Seiten aus:
Pacmans-Startuplist BC Startuplist CLSID List Reger24 HJT Dateisuche Google


Allerdings musst du bei der Auswertung ganz genau wissen, was du tust. Sicherheitshalber solltest du das 1. Logfile auch nicht löschen oder überschreiben. Falls bei der Auswertung und dem anschließenden "Fixen" etwas schief geht, können wir daraus den Ausgangszustand ersehen.

2. Möglichkeit: Bei Unsicherheit wendest Du Dich an das Board und postest ein aktuelles HJT Log-File.
Wichtig: Durchsuche das Log-File nach persönlichen Informationen, wie z.B. deinen Realname, und editiere diese, bevor Du es postest.

Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://trojaner-board.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.

Alternativ, je nach verwendete Forensoftware:
Woltlab Burning Board: Optionen -> Haken entfernen bei 'Urls automatisch umwandeln'!
vBulletin Board: Zusätzliche Einstellungen -> Haken entfernen bei 'Links automatisch umwandeln'!

Die Logfiles sollten in Code Tags [CODE]Hier zwischen kommt Dein Logfile! :)[/CODE] gepostet werden (im Editor kannst Du auf die "#" drücken um die Code Tags zu erzeugen), dies verhindert Umbrüche und die Logs sind für die Helfer leichter zu lesen. Dies gilt im übrigen für alle Logs, die Du im Laufe einen Threads erstellst.

Einsetzen von HJT – Einträge fixen:

Die Auswertung ist nun abgeschlossen und die verdächtigen Einträge sollten im abgesicherten Modus bei deaktivierter Systemwiederherstellung wie folgt entfernt werden -> Vor den genannten Einträgen einen Haken setzen und auf 'Fix Checked' klicken.

010 - Einträge dürfen nicht gefixt werden. Winsock-Veränderungen werden mit dem Programm LSP-Fix repariert.
O23 - Einträge sollten erst gefixed werden, wenn zuvor der Dienst beendet wurde: Start -> Ausführen -> services.msc -> OK -> Rechtsklick auf z.B. Remote Procedure Call (RPC) Helper -> Eigenschaften -> "Starttyp" deaktiviert und "Dienststatus" beenden einstellen -> Übernehmen


Abschliessende Frage noch mit 'Ja' bestätigen.


Anschliessend müssen auch die Malware Dateien entfernt werden, denn sonst hat die ganze Prozedur keinen Sinn.
Fixen alleine beseitigt die Dateien nicht!

-------
Sagt was, nehmts auseinander, wat Ihr wollt.