Meine HJT-Anleitung, ->zieht um Einstellungen

[Grinko]

Da ich meinen Funpic-Account in nächster Zeit löschen will und einige User noch Gebrauch meiner bescheidenen Anleitung für HJT machen, poste ich sie nun hier rein, damit sie nicht im Datennirvana verschwindet.
Hierbei handelt es sich nur um das Copy&Paste meiner Seite.
----------------------------------------------------------------
HijackThis

Mittlerweile ist HJT eines der wichtigsten Programme bei einem Befall von sog. “Browser Hijackern” (dt. Browser-Entführer) oder anderen schädlichen Objekten. Es zeigt dabei nur eine Liste, die ein Nicht-Experte kaum versteht, aber gepostet in Foren (z.B. Rokop Security) den Experten sofort zeigt, was sich im System so alles befindet.

Diese Anleitung soll einerseits eine grundlegende Hilfestellung für die Bedienung von HJT sein, andererseits auch die verschiedenen Einträge und deren richtige Interpretierung erklären.

WICHTIG: Ich habe diese Anleitung nach bestem Wissen und Gewissen erstellt. Jedoch kann selbst ich mich irren. Solltet ihr einen Fehler finden, bitte eine kurze Mail an mich. Ich kann für evtl. Schäden nicht haftbar gemacht werden!

Diese Seite soll ausserdem lediglich eine Hintergrundinformation liefern, bei akuten Browser-Hijacker-Befall solltet ihr euch an diese Seite halten: Rokop Securitys Erste Hilfe bei Browser Hijackern

PS: E-Mails beantworte ich gerne, aber bitte nicht zu viele auf einmal

-------------------------------------------------------------------
Startet man das Programm, sieht man zuerst das:

Scan: HJT beginnt mit dem Sammeln von Informationen und zeigt diese im weißen Feld.
Fix checked: Momentan deaktiviert, weil noch keine Informationen gesammelt wurden. Dazu später mehr.
Info on selected item: Diese Option zeigt nicht, was das für ein Eintrag ist und was er macht, sondern liefert allgemeine Informationen zur Gruppe, in der sich dieser Eintrag befindet.
Die Gruppen sind mit Buchstaben-Zahlen-Kombinationen gekennzeichnet, die sich vor jedem Eintrag befinden, Beispiel: R0, R1, O2, O4, usw.
Info: Liefert allgemeine Informationen zu HijackThis, eine Versionshistory und detailierte (englische) Erklärungen zu den einzelnen Gruppen. So etwas auf Deutsch findet ihr hier auch, aber nur mit den wichtigsten, die auf jedem System vorzufinden sind.
Config: Allgemeine Einstellungen. Diese sind schon richtig konfiguriert, eine Änderung ist selten nötig. Unter “Backups” kann man Sicherungen zurückspielen (bei Problemen) und unter “Misc” kann man HJT updaten oder eine spezielle Autostartliste erstellen. Es kann sein, dass sich ein Schädling so gut versteckt, dass selbst HJT ihn nicht findet. Dann kann ein Forenmitglied diese Liste anfordern, welche den Unterschied hat, dass sie sich auf alle Autostarts konzentriert statt auf das ganze System. Ich werde jedoch (noch) nicht näher darauf eingehen, Details bitte beim jeweiligen Forenmitglied erfragen.


Also lassen wir HJT erstmal arbeiten. Klick auf Scan.

Auf meinem System bietet sich dann folgendes:


Die zwei Änderungen: Im vorher leeren Feld befinden sich nun die Einträge, die HJT gefunden hat.Als zweites wandelt sich der “Scan” button in “Save log”. Ein Experte vermag nun sofort “gute” von suspekten Einträgen zu unterscheiden und die suspekten zu löschen.
Der unerfahrene Anwender kann aber mit dieser Liste nicht viel anfangen. Deswegen kann HJT diese Liste in einer Textdatei speichern.

Also klick auf Save log (dt, speichere einen Bericht)

(Die Maus ist hier nicht sichtbar)

Nun kann man diese Datei an einem beliebigen Platz speichern.

Öffnen wir mal die Datei. (Sollte beim Öffnen ein Programm-Auswahlfeld kommen beim Öffnen, wähle Notepad oder Editor)
Sie sieht so aus:

-----------------------
So sieht die geöffnete Datei aus. Der Inhalt variiert von Computer zu Computer.

Der Kopf des Logs scheint auf den ersten Blick unwichtig, jedoch kann man aus ihm wichtige Informationen herauslesen:

Logfile of HijackThis v1.97.7
Scan saved at 08:27:57, on 23.06.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

In der ersten Zeile kann man die Versionsnummer von HJT sehen. Man kann in Foren darauf hingewiesen werden, dass die verwendete HJT-Version veraltet ist. Es kann sein, dass einige Schädlinge von dieser alten Version nicht gefunden werden, aber die neuen Versionen von HJT gegen diese Art von Manipulation immun sind. Updaten kannst du einfach, indem du dir HJT nochmal herunterlädst (Link siehe Programmliste).

Die zweite Zeile gibt die Zeit des Scans an.

Die dritte zeigt die Version des Betriebssystems. Windows steckt leider voller Sicherheitslücken, die mit Patches nach und nach gestopft werden. Viele Schädlinge nutzen Sicherheitslücken aus und sind bei gepatchten Systemen wirkungslos.
Anhand der Versionsnummer kann man erkennen, ob das System auf dem neuesten Stand ist. Man muss nur die Versionsnummer, die bei Windows gerade aktuell ist, mit der auf dem System vergleichen. Stimmen sie überein, ist das System auf dem neuesten Stand, ist die auf dem System niedriger, ist das System veraltet.

Patches kann man über die Verknüpfung im Startmenü beziehen (Windows-Update) oder man besucht mit dem Internet Explorer www.windowsupdate.com.

Dasselbe gilt für den IE: Viele Browser Hijacker nutzen Lücken aus, die mit den Patches geschlossen werden. Anhand der IE-Versionsnummer in der vierten Zeile kann man erkennen, ob der IE veraltet und deswegen anfällig ist.

Nun kommen wir zum ersten Teil der Liste: die Running Processes (dt. momentan laufende Prozesse)
-----------------------------
Die Running Processes

Es läuft immer, wenn der Computer eingeschaltet ist (also auch gerade jetzt, wo du diesen Text liest) eine Reihe Programme im Hintergrund. Diese Liste zeigt alle Programme, die zum Zeitpunkt des Scans im Hintergrund liefen.

Als Beispiel mein System:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\InetSecurity\Sygate Firewall\Smc.exe
C:\WINDOWS\system32\spoolsv.exe
F:\Programme\NOD32\nod32krn.exe
C:\WINDOWS\System32\svchost.exe
F:\Programme\RealVNC\winvnc4.exe
C:\WINDOWS\Explorer.EXE
F:\Programme\NOD32\nod32kui.exe
F:\Programme\Miranda IM\miranda32.exe
C:\Dokumente und Einstellungen\Bruno\Desktop\HijackThis.exe

Man muss hier lernen, suspekte von normalen Prozessen zu unterscheiden.

Eine Hilfe bietet hier Google oder die Prozessliste von Sysinfo; das einfachste ist es, den Prozessnamen ins Suchfeld einzutippen und sich die Ergebnisse anzusehen. Besonders die Resultate mit dem Namen “Process Information” geben einem Informationen über die Art dieses Prozesses.

Typische Windows-Prozesse sind:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe (Mehrere davon gleichzeitig sind normal)
C:\WINDOWS\system32\spoolsv.exe

VORSICHT! Viele Schädlingsautoren versuchen den Anwender reinzulegen, indem sie die Wurmdatei (den Schädling) ähnlich benennen wie Windows-Prozesse. Dem Anwender fällt das meist nicht auf. Aber sobald eine Datei auch nur einen geringen Unterschied in Name/Pfad hat, ist es eine völlig andere Datei mit möglicherweise schädlichen Funktionen!

Abhängig vom System gibt es eine Reihe weiterer Prozesse wie Virenscanner, Firewalls, Grafik/Drucker/Soundkartentreiber usw. Auch hier hilft Google.

Auf meinem System sind das diese:

C:\Programme\InetSecurity\Sygate Firewall\Smc.exe --> Ist meine Sygate Firewall
F:\Programme\NOD32\nod32krn.exe --> NOD32 Antivirus System
F:\Programme\NOD32\nod32kui.exe --> NOD32 Antivirus System
F:\Programme\RealVNC\winvnc4.exe --> RealVNC Remote Fernsteuerungsprogramm
F:\Programme\Miranda IM\miranda32.exe --> Miranda Messenger
C:\Dokumente und Einstellungen\Bruno\Desktop\HijackThis.exe --> HJT hat sich selbst gefunden

Eine große Hilfe sind da die Pfadangaben. Die Programme hier finden sich in Pfaden, in denen ich bewusst Programme installiert habe. Also haben diese Programme einen sog. “Wächter” oder “Agenten” und sind meist unschädlich (aber manchmal auch unnötig, wie RealPlayerTask oder QuickTimePlayerAgent. Benutzt die Einstellungen im Hauptprogramm um die Agenten auszuschalten), weil man ja bewusst diese Programme installiert hat. Auch WindowsXPprozesse lernt man nach und nach kennen, die häufigsten habe ich oben aufgelistet.

Wenn man dann kennt, welche Programme für das System normal sind, fallen einem unbekannte Prozesse dann sofort auf.

Schwieriger wird es bei Systemen von anderen Personen, deren installierte Programme man ja nicht kennt. Aber mit der Zeit lernt man häufige Programme wie Treiber oder aber Wurmprozesse schnell kennen und notfalls hilft Google weiter.

Findet ihr einen schädlichen Prozess und es wurde von den Experten gesagt, dass ihr ihn löschen sollt, könnt ihr euch an die Entfernungsanleitung auf Seite 5 halten.

Jedoch ist diese Liste nur eine Momentaufnahme und viele Hijacker haben keinen Prozess, der ständig mitläuft. Kommen wir also zur nächsten Liste von HijackThis:
------------------------------

Der Beitrag wurde von Bo Derek bearbeitet: 22.05.2005, 17:11

[Grinko]

Die letzte Liste enthält größtenteils Informationen über die Registry.

Die Registry ist die Datenbank von Windows, in der so gut wie alles an Konfigurationen und Einstellungen gespeichert wird.

Ihr findet eine detaillierte und komplette Liste der einzelnen Gruppen bei Merijn.org, aber das Ziel dieser Anleitung soll es sein, die wichtigsten davon zu erklären.

Hier die Liste von meinem System:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.alltheweb.com/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\INETSE~1\SYGATE~1\smc.exe -startgui
O4 - HKLM\..\Run: [nod32kui] "F:\Programme\NOD32\nod32kui.exe" /WAITSERVICE
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O10 - Broken Internet access because of LSP provider 'imon.dll' missing

Jeder Eintrag beginnt mit einer Buchstaben-Zahlen-Kombination, die anzeigt, wo sich der Eintrag in der Registry befindet. (Es gibt auch einige leere Einträge, die sind aber selten)

Z.B. enthalten alle R-Einträge Pfadangaben für den Internet Explorer.
Also fangen wir an, das Log zu analysieren.

R0-R4 enthalten die Einstellungen für die Standard-Home bzw. Search Seite.

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.alltheweb.com/

In meinem Log ist die Standard-Home Seite auf www.alltheweb.com gestellt. Hier gilt: Überprüfen, ob gewollt. Ich habe die alltheweb-Seite selbst eingestellt, weil ich es so wollte, aber Hijacker können die Startseiten auch verändern.

O2-Browser Helper Objects (BHO’s)
Einige Programme haben diese BHOs, um Zusatzfunktionen für den IE zu bieten. Manche Hijacker missbrauchen aber diese Option, deswegen wird jede BHO in HJT aufgeführt. Hier gilt: Wenn Programm unbekannt, näher informieren und wenn nötig löschen. Schauen wir uns einmal meine an:

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Reader\ActiveX\AcroIEHelper.dll
Wie man sieht, führt die Pfadangabe zum weitverbreiteten Adobe Acrobat Reader, der zum Lesen von PDF-Dateien nötig ist. Dieser BHO sieht also vertrauenswürdig aus und wenn man sich näher informiert, wird man erfahren, dass diese BHO nötig ist, um PDF-Dateien gleich im Internet Explorer lesen zu können.
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
Auch hier führt die Pfadangabe zum Programme-Ordner, und zwar zum Spionageprogramme-Entferner Spybot Search&Destroy. Dieses Programm verfügt über eine Funktion, den IE zu immunisieren, was zwar nicht kompletten, aber wenigstens etwas Schutz gibt. Dafür läuft dieser BHO.

Es gibt aber auch suspekte BHO, die den Hijack verursachen, z.b.:

O2 - BHO: (no name) - {5602F03E-D3E3-416B-B797-F8565D542AD1} - C:\WINNT\System32\niice.dll
O2 - BHO: (no name) - {BD3A5B89-A0E9-4611-9EE6-EC29227983F2} - C:\WINNT\System32\niice.dll

Die meisten Schädlinge verstecken sich im system32 oder Windows-Ordner, weil der Anwender dann verunsichert ist, was er löschen darf und was nicht.

Jedoch hat Windows keinen integrierten BHO, deswegen ist dieser Eintrag gleich suspekt.
Wenn man zur Sicherheit noch Google oder die Experten von Rokop fragt, kann man die letzten Zweifel aus dem Weg räumen: Das ist der Hijacker.

Meiner Meinung nach finden sich die häufigsten Hijacker als BHOs, haben keinen Namen (HijackThis meldet “no name”) und die Datei ist eine .dll Datei mit seltsamen Namen im Systemordner.

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
Dieser Eintrag gehört standardmäßig zu XP.

Nun kommen wir zum O4-Eintrag: Den Autostart
Einige Programme müssen mit Windows geladen werden, aber Schädlinge können sich auch mitladen lassen, um sich z.B. weiterzuverbreiten. Diese Programme sind in den Running Processes verzeichnet, aber um einen Autostart herbeizuführen, muss man entweder eine Verknüpfung im Autostartordner (Start->Programme->Autostart) zum Programm anlegen, was Schädlinge selten tun weil sofort sichtbar, oder es wird ein Eintrag in der Registry erstellt. HJT listet alle Autostarteinträge mit O4 auf.

O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\INETSE~1\SYGATE~1\smc.exe -startgui
O4 - HKLM\..\Run: [nod32kui] "F:\Programme\NOD32\nod32kui.exe" /WAITSERVICE

Die meisten Schädlinge findet man in den Running Processes und in den O4-Einträgen.

Wie man in meinem Log sieht, ist das erste (smc) die Sygate Firewall und die zweite der Virenscanner. Am häufigsten sind aber die, die in Systemordnern liegen und verwirrende Namen haben. Wenn man die Windowsprozesse kennt und auch Treiber usw. schon gesehen hat, kann man auch hier normale von seltsamen unterscheiden. Die suspekten kann man, wenn als Schädling bekannt, gleich löschen oder wenn unbekannt wie sonst auch Google fragen.

O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
Diese Einträge sind meist ungefährlich. Es kann sein, dass sie unnötig sind und deswegen entfernt werden können. Z.B. ist ICQ im Internet Explorer Fenster so ziemlich sinnlos.

O10 - Broken Internet access because of LSP provider 'imon.dll' missing
Das ist ein Fehlalarm, verursacht durch NOD32 Antivirus. IMON ist der Mailscanner.
Die Internetverbindung läuft einwandfrei.
In der neuen HJT-Version erscheint dieser Eintrag nicht mehr.
Es gibt aber auch Malware, die so einen Eintrag verursacht, diese sollte NICHT manuell gelöscht werden. Nähere Informationen dazu hier.

Hier noch etwas suspektes:
O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cab
O16 - DPF: {11111111-1111-1111-1111-111191113457} - file://c:\ied_s7.cab
O16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111193457} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111193458} - file://c:\x.cab
O16 - DPF: {23232323-2323-2323-2323-232323231122} - file://c:\x.cab
O16-Einträge zeigen Programmteile, die aus dem Internet geladen wurden. Man kann grundsätzlich alle O16-Einträge gefahrlos löschen, da diese nach dem Ausführen als “Leichen” auf der Festplatte verbleiben. Diese eine hier gezeigte ist aber ein schädlicher Programmteil.

Der Rest..
Ich kann hier nicht alle möglichen Hijackermethoden aufzählen, das wäre zuviel. Wer sich mehr über die verschiedenen Einträge informieren will, kann Merijn besuchen (Link oben) und sich dort über die einzelnen Einträge näher informieren. Die mir bekannte häufigste Hijackermethode ist aber immer über BHO (O2-Einträge).

Nun kommen wir zum Entfernen von Schädlingen.
--------------------------------------------------
Es gibt zwei Arten, die ich euch zeigen will. Das Entfernen von Schädlingen, die als running process laufen und im O4 verzeichnet sind und das Entfernen von Hijackern.

Komen wir zuerst zu den Grundsätzen des Entfernens mit HJT.

Nach dem Scan kann man im Hauptfenster einen oder mehrere Einträge markieren:

Ich habe hier nur die harmlosen ICQ-Button-Einträge markiert, natürlich sollten dann die Schädlingseinträge oder die Einträge, die von den Experten genannt wurden markiert werden. Nur habe ich im Moment keine

Nun kann man, wenn man sich wirklich sicher ist was man da tut, auf das hervorgehobene “Fix checked” klicken und die Einträge werden nur aus der Registry gelöscht.

Das bezeichnet man als “fixen”. Wenn im Forum jemand sagt “Fixe diesen Eintrag”, ist diese Prozedur gemeint.

Kommen wir nun zum Entfernen von Hijackern.

“Fixe” den O2 Eintrag, der als der Hijacker identifiziert wurde.
Der sieht normalerweise so aus:

O2 - BHO: (no name) - {***Viele Zahlen und Buchstaben***} - C:\WINDOWS\System32\***Unbekannter Dateiname***.dll


Nun gehst du über Suchen oder gehst zur entsprechenden Pfadangabe zum Ort, wo die .dll Datei liegt. Diese löscht du dann. Manche kann man nicht sofort löschen, Details siehe weiter unten.



Anders sieht es bei schädlichen “running processes” aus, da man die nicht einfach löschen kann. Einige Hijack-DLLs kann man auch nicht löschen, der “Zugriff wird verweigert”. Solange der Schädling im Speicher ist, greift er auf die Datei zu und Windows löscht diese Datei dann nicht. Deswegen gehen wir in den abgesicherten Modus.

Starte den Computer neu und drücke während dem Booten F8.
(F8 ist dabei die häufigste, aber nicht immer die richtige Taste, man kann sich hier näher informieren)

Wähle aus dem Menü die “Abgesicherter Modus” Option. Nun kommst du in ein Windows, das ausser sich selbst nichts mitläd, der Schädling startet nicht mit.

Bei Würmern etc.: “Fixe” den O4-Autostarteintrag und benutz die Windows-Suchfunktion um die Schädlingsdatei zu finden, oder du klickst dich mittels Explorer zur entsprechenden Pfadangabe, wo die Datei liegt (Siehe O4 Eintrag, dort steht Pfadangabe+Dateiname). Diese löscht du dann.
Bei Browser Hijackern fixe den Eintrag mit dem Hijacker (meistens O2) und lösche die entsprechende DLL.

Ein Virenscanner bleibt trotzdem Pflicht. (Solange es kein Norton ist )
--------------------------------------------------

Thanks to ImageShack for Free Image Hosting

Thx an Jörg für die Hilfe

Der Beitrag wurde von Joerg bearbeitet: 23.01.2005, 22:02

[Voyager]

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - h**p://software-dl.real.com/212f1e21087c45...RdxIE601_de.cab

der online installierte realplayer ist nicht zwangsweise böse, wenn man von der zwangsaktivierung/registrierung und der werbung absieht.

und der letzte satz war bestimmt ironie...

Der Beitrag wurde von bond7 bearbeitet: 23.01.2005, 17:22

[Grinko]

Das ist mir beim Kopieren auch aufgefallen, ich habe beim erstellen einfach aus einem der Logs hier einen von jemanden genannten O16-Eintrag genommen. Aber im Prinzip können alle O16 Einträge weg, ob gefährlich oder nicht Schaun mer mal, ob ich einen anderen finde.

[raman]

Wie sieht das eigentlich mit den "O16" Autocad Eintraegen aus? Ich habe mich noh nie getraut die entfernen zu lassen.