Neues HJt TUT
 

Hallo Forum,

ich hatte sie noch in der Schublade und bevor sie dort schimmelt, poste ich sie mal hier zu freien Diskussion.
Ich habe micht sehr an die gute, alte Anleitung gehalten, bis auf die Punkte die keinen Sinn (mehr) machen oder Links die nicht mehr funktionieren und einige Ergänzungen (Links, CodeTags, Download Versionen) gemacht.

-------

Was ist HijackThis?

HijackThis ist ein kostenloes Werkzeug von TrendMirco, welches den Computer auf Veränderungen durch Spyware, Malware oder anderen ungewollten Programmen untersucht. Nach dieser Untersuchung (Scan) erstellt HijackThis eine Reportdatei mit den Ergebnissen.

Wichtig: HijackThis legt nicht fest, welche Einträge gut oder böse sind, auch die automatische Auswertung auf HijackThis Logfileauswertung bietet nur einen Anhaltspunkt. Führe bitte keine Änderungen durch bis Du von einem erfahren Computer Benutzer dazu aufgefordert wurdest.

Download von HJT:

Trend Micro bietet drei Varianten zum Herunterladen an

• Als Programm mit Installer

• Als .zip Archiv

• Als ausführbare Datei (HijackThis.exe)

Für das Entpacken der .zip Version benötigste Du ein zip Programm wie z.B. 7zip
Für alle Versionen gilt: Nach dem Download das Programm in einem zuvor eigens erstellten Ordner entpacken [1],
damit HJT Backups von den gefixten Einträgen anlegen kann.
Wichtig: Bei Fehlbedienung kann im Bedarfsfall auf die Backups zurückgegriffen werden.

[1] z.B. C:\Programme\HiJackThis

Fehlermeldung beim Start von HJT:

- MSVBVM60.DLL fehlt! -> VBRun60.exe installieren
- HJT startet nicht -> Einige Arten der Schädling verhindern das Starten des Prgramms. Hier hilft es die Datei HiJackThis.exe umzubennen in z.B. test.com. Wichtig ist es dabei die Endung auf .com zu ändern!


Einsetzen von HJT – Log-File erstellen:

1. Wenn Du die Version mit eigenem Installler gewählt hast, wirst Du gefragt, wohin HJT installiert werden soll



[Benutzer der Installer Version machen bei 3. weiter]
2. Navigiere nun zum Ordner 'C:\Programme\HiJackThis' [2] und starte HJT per Doppelklick auf 'HiJackThis.exe'.

[2] Wenn der Ordner wie unter [1] erstellt wurde, ansonsten in den entsprechenden Ordner


3. Beim ersten Start erhältst Du folgende Meldung die bestätigt werden muss, indem Du auf "I Accept" klickst.


4. Es öffnet sich das Programmfenster 'Main Menu'.
Klicke auf den rot markierten Button 'Do a system scan and save a logfile':


4. Nach dem Scan erscheint nun das HJT Log-File im geöffneten Notepad. Dieses Log-File wird automatisch im Installationsordner von HJT als hijackthis.txt gespeichert


Das erstellte Log-File besteht aus 3 Bereichen:
Oberer Bereich(grün): Systeminformationen - Patchstand
Mittlerer Bereich(blau): Aktuell laufende Prozesse
Unterer Bereich(rot): R0 bis O23 Einträge



Einsetzen von HJT – Auswertung:

1. Möglichkeit: Du wertest dein Log-File selbst mit Hilfe der nachfolgenden Seiten aus:
Pacmans-Startuplist BC Startuplist CLSID List Reger24 HJT Dateisuche Google


Allerdings musst du bei der Auswertung ganz genau wissen, was du tust. Sicherheitshalber solltest du das 1. Logfile auch nicht löschen oder überschreiben. Falls bei der Auswertung und dem anschließenden "Fixen" etwas schief geht, können wir daraus den Ausgangszustand ersehen.

2. Möglichkeit: Bei Unsicherheit wendest Du Dich an das Board und postest ein aktuelles HJT Log-File.
Wichtig: Durchsuche das Log-File nach persönlichen Informationen, wie z.B. deinen Realname, und editiere diese, bevor Du es postest.

Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://trojaner-board.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.

Alternativ, je nach verwendete Forensoftware:
Woltlab Burning Board: Optionen -> Haken entfernen bei 'Urls automatisch umwandeln'!
vBulletin Board: Zusätzliche Einstellungen -> Haken entfernen bei 'Links automatisch umwandeln'!

Die Logfiles sollten in Code Tags [CODE]Hier zwischen kommt Dein Logfile! :)[/CODE] gepostet werden (im Editor kannst Du auf die "#" drücken um die Code Tags zu erzeugen), dies verhindert Umbrüche und die Logs sind für die Helfer leichter zu lesen. Dies gilt im übrigen für alle Logs, die Du im Laufe einen Threads erstellst.

Einsetzen von HJT – Einträge fixen:

Die Auswertung ist nun abgeschlossen und die verdächtigen Einträge sollten im abgesicherten Modus bei deaktivierter Systemwiederherstellung wie folgt entfernt werden -> Vor den genannten Einträgen einen Haken setzen und auf 'Fix Checked' klicken.

010 - Einträge dürfen nicht gefixt werden. Winsock-Veränderungen werden mit dem Programm LSP-Fix repariert.
O23 - Einträge sollten erst gefixed werden, wenn zuvor der Dienst beendet wurde: Start -> Ausführen -> services.msc -> OK -> Rechtsklick auf z.B. Remote Procedure Call (RPC) Helper -> Eigenschaften -> "Starttyp" deaktiviert und "Dienststatus" beenden einstellen -> Übernehmen


Abschliessende Frage noch mit 'Ja' bestätigen.


Anschliessend müssen auch die Malware Dateien entfernt werden, denn sonst hat die ganze Prozedur keinen Sinn.
Fixen alleine beseitigt die Dateien nicht!

-------
Sagt was, nehmts auseinander, wat Ihr wollt. :)

Schaut richtig gut aus! :party:

eine Anm. aus aktuellem Anlass :D:

Bitte nicht den rpc kicken! Das zB wird auch mal überlesen. Eine harmlosere Variante wäre zB upnp

cheers

Hi,
ich wär dafür, die Sache mit den Links editieren noch in den Teil "logfile erstellen" zu schreiben.
So kriegen es auch die Leute mit, die von usn aufgefordert ein Logfile zu erstellen.

lg myrtille

Sollte man denn eigentlich diese Option miteinbauen?

http://img138.imageshack.us/img138/4875/hjt9lx7.jpg

Würde man dies konsequent fordern, wären Dateivergleiche erst mal einfacher, sicherlich aber auch der Aufwand ein Log zu prüfen.

Wegen fehlenden Feedback, poste ich einfach mal die Version 1.2 :)

Was ist HijackThis?

HijackThis ist ein kostenloes Werkzeug von TrendMirco, welches den Computer auf Veränderungen durch Spyware, Malware oder anderen ungewollten Programmen untersucht. Nach dieser Untersuchung (Scan) erstellt HijackThis eine Reportdatei mit den Ergebnissen.

Wichtig: HijackThis legt nicht fest, welche Einträge gut oder böse sind, auch die automatische Auswertung auf HijackThis Logfileauswertung bietet nur einen Anhaltspunkt. Führe bitte keine Änderungen durch bis Du von einem erfahren Computer Benutzer dazu aufgefordert wurdest.

Download von HJT:

Trend Micro bietet drei Varianten zum Herunterladen an

• Als Programm mit Installer

• Als .zip Archiv

• Als ausführbare Datei (HijackThis.exe)

Für das Entpacken der .zip Version benötigste Du ein zip Programm wie z.B. 7zip
Für alle Versionen gilt: Nach dem Download das Programm in einem zuvor eigens erstellten Ordner entpacken [1],
damit HJT Backups von den gefixten Einträgen anlegen kann.
Wichtig: Bei Fehlbedienung kann im Bedarfsfall auf die Backups zurückgegriffen werden.

[1] z.B. C:\Programme\HiJackThis

Fehlermeldung beim Start von HJT:

- MSVBVM60.DLL fehlt! -> VBRun60.exe installieren
- HJT startet nicht -> Einige Arten der Schädling verhindern das Starten des Prgramms. Hier hilft es die Datei HiJackThis.exe umzubennen in z.B. test.com. Wichtig ist es dabei die Endung auf .com zu ändern!


Einsetzen von HJT - Log-File erstellen:

1. Wenn Du die Version mit eigenem Installler gewählt hast, wirst Du gefragt, wohin HJT installiert werden soll



[Benutzer der Installer Version machen bei 3. weiter]
2. Navigiere nun zum Ordner 'C:\Programme\HiJackThis' [2] und starte HJT per Doppelklick auf 'HiJackThis.exe'.

[2] Wenn der Ordner wie unter [1] erstellt wurde, ansonsten in den entsprechenden Ordner


3. Beim ersten Start erhältst Du folgende Meldung die bestätigt werden muss, indem Du auf "I Accept" klickst.


4. Es öffnet sich das Programmfenster 'Main Menu'.
Klicke auf den rot markierten Button 'Do a system scan and save a logfile':


4. Nach dem Scan erscheint nun das HJT Log-File im geöffneten Notepad. Dieses Log-File wird automatisch im Installationsordner von HJT als hijackthis.txt gespeichert


Das erstellte Log-File besteht aus 3 Bereichen:
Oberer Bereich(grün): Systeminformationen - Patchstand
Mittlerer Bereich(blau): Aktuell laufende Prozesse
Unterer Bereich(rot): R0 bis O23 Einträge


Wichtig: Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://trojaner-board.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.
Auch persönliche Informationen wie Klarnamen (z.B. c:\dokumente und einstellungen\horst mustermann\hjt.exe) editieren in z.B. c:\dokumente und einstellungen\XXX\hjt.exe

Einsetzen von HJT - Auswertung:

1. Möglichkeit: Du wertest dein Log-File selbst mit Hilfe der nachfolgenden Seiten aus:
Pacmans-Startuplist BC Startuplist CLSID List Reger24 HJT Dateisuche Google


Allerdings musst du bei der Auswertung ganz genau wissen, was du tust. Sicherheitshalber solltest du das 1. Logfile auch nicht löschen oder überschreiben. Falls bei der Auswertung und dem anschließenden "Fixen" etwas schief geht, können wir daraus den Ausgangszustand ersehen.

2. Möglichkeit: Bei Unsicherheit wendest Du Dich an das Board und postest ein aktuelles HJT Log-File.
Wichtig: Durchsuche das Log-File nach persönlichen Informationen, wie z.B. deinen Realname, und editiere diese, bevor Du es postest.

Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://trojaner-board.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.
Auch persönliche Informationen wie Klarnamen (z.B. c:\dokumente und einstellungen\horst mustermann\hjt.exe) editieren in z.B. c:\dokumente und einstellungen\XXX\hjt.exe

Alternativ, je nach verwendete Forensoftware:
Woltlab Burning Board: Optionen -> Haken entfernen bei 'Urls automatisch umwandeln'!
vBulletin Board: Zusätzliche Einstellungen -> Haken entfernen bei 'Links automatisch umwandeln'!

Die Logfiles sollten in Code Tags [CODE]Hier zwischen kommt Dein Logfile! :)[/CODE] gepostet werden (im Editor kannst Du auf die "#" drücken um die Code Tags zu erzeugen), dies verhindert Umbrüche und die Logs sind für die Helfer leichter zu lesen. Dies gilt im übrigen für alle Logs, die Du im Laufe einen Threads erstellst.

Einsetzen von HJT - Einträge fixen:

Die Auswertung ist nun abgeschlossen und die verdächtigen Einträge sollten im abgesicherten Modus bei deaktivierter Systemwiederherstellung wie folgt entfernt werden -> Vor den genannten Einträgen einen Haken setzen und auf 'Fix Checked' klicken.

010 - Einträge dürfen nicht gefixt werden. Winsock-Veränderungen werden mit dem Programm LSP-Fix repariert.
O23 - Einträge sollten erst gefixed werden, wenn zuvor der Dienst beendet wurde: Start -> Ausführen -> services.msc -> OK -> Rechtsklick auf z.B. Nachrichtendienst -> Eigenschaften -> "Starttyp" deaktiviert und "Dienststatus" beenden einstellen -> Übernehmen


Abschliessende Frage noch mit 'Ja' bestätigen.


Anschliessend müssen auch die Malware Dateien entfernt werden, denn sonst hat die ganze Prozedur keinen Sinn.
Fixen alleine beseitigt die Dateien nicht!

Frag mal Cad, aber danke soweit. :party:

Cad gefragt: Kann man letzten Absatz:

Rot und Fett machen, quasi so:

Anschliessend müssen auch die Malware Dateien entfernt werden, denn sonst hat die ganze Prozedur keinen Sinn.
Fixen alleine beseitigt die Dateien nicht!

Na, was meint der Gua?

super cad & Bata!
sieht echt super aus. danke für eure mühe.

.daguru

Edit: jetzt müsste es passen ;)

:) Nicht falsch verstehen Gua

Du warst so schnell :daumenhoc....ich war noch am tippen, da stand es schon unter Anleitungen.


Edit: Ging nur um die Optik am Schluss...das die User das auf keinen Fall übersehen

Edit2: Die Arbeit hat bata gemacht und der Dank gehört allein Ihm :)

Edit3 @bata....nö...siehe Edit 2...Du hattest die Arbeit!

Korrekturlesen ist auch Arbeit. Demnach kann das Eure stehen bleiben.

Grins, Du hast den Smiley vergessen

cad

"Calculate MD5..." bietet den Vorteil, das man sehen kann, ob Dateien, die unter O4 Gelistet sind wirklich vorhanden sind, oder ob die Eintraege nur noch ueberbleibsel sind, da Hijackthis diese Eintraege nicht mit (file missing) meldet. Ansonsten bietet sie in meinen Augen keinen grossen Vorteil.

Ok, also interpretiere ich die Tendenz, brauch man auch nicht wirklich, raus.
Danke :)

Das hat jetzt nicht unbedingt etwas mit Hijackthis Logs zu tun, aber wenn man Hijackthis nutzt um eine Uninstall Liste zu erstellen, kann man diese Eintraege mit der Uninstall Database von Bleeping Combuter vergleichen, wenn man mit einem Eintrag nichts anfangen kann: http://www.bleepingcomputer.com/uninstall/

Die anderen tools unter miscs tools section (Ads spy, hostsfilemanager usw) sind auch sehr gut und einfach zu bedienen, aber das wuerde wohl den Rahmen eines solchen Tutorials sprengen.