Nous sommes le 17-08-2025 et il est 07:30

VIRUS

• Définitions
• Antivirus

MALWARES

• Définitions
• Recueil de plaintes
• Logiciels

FAILLES

• Définitions
• Parefeu
• Logiciels annexes

E-MAILs

• Définitions
• Prévention
• Logiciels

FAMILLE

• Définitons
• Prévention
• Peer to Peer

PUBLICITES

• Définitions

TUTORIELS

• Tutoriels Logiciels
• Manipulations

TESTS

• Tests

Recherche :

Tutoriel Hijackthis

• INSTALLATION DU LOGICIEL
• PREPARATION
• NETTOYAGE

Analyse d'un rapport

Tutoriel traduit et adapté d'aprés l'original de Merijn et les différents autres que l'on peut trouver sur le web.

Hijacking -> détournement.
Hijackthis est un logiciel qui signale des emplacements du systéme susceptibles d'être modifiés par certains types de spywares (principalement les hijackers.).
l'analyse de ces points permet de déterminer la légitimité ou non de certains programmes ou fichiers. Avant de décider de leur supression.
Attention toute analyse de ce type nécéssite un maximum d'attention et peut si elle est mal faite entrainer des conséquences négatives pour l'ordi.
Si vous n'êtes pas sur de ce que vous faites abstenez vous et demendez de l'aide.
En tout les cas pensez a effectuer des sauvegardes avant tout.
Ici seule l'analyse du rapport génèré par ce logiciel sera abordé.

Présentation générale

Entête

Un fichier log Hijackthis comprends d'abord un entête celui ci se présente de cette maniére:Y est indiquée la version du logiciel que vous utilisez ; l'heure et la date du rapport ; et enfin les versions de windows et d'Internet Explorer installées.
Vous pourrez ainsi vérifier que les versions des logiciels sont a jour.
Une version ancienne est une porte ouverte a une infection future...une mise a jour s'impose.

Processus en cours

Ensuite vous trouverez La liste des processus en cours ainsi que leur localisation. Voici un exemple :Elle vous donnera la localisation des différent processus en cour. A la fin de l'analyse, il sera judicieux de vérifier les dossiers concernant les lignes nocives et de détruire les fichiers incriminés si ils s'y trouvent encore.
Enfin vous trouverez la liste des lignes a analyser:

Les lignes .

R0- R1- R2- R3 -Adresses des pages de recherches et de démarage d'Internet Explorer.
F0- F1 -Programmes chargés automatiquement -fichiers .INI
N1-N2-N3-N4 -Pages de démarage pour Netscape et mozilla.
01 -Fichier host redirections.
02 -BHO (Aides a la navigation.)
03 -Barres d'outils Internet Explorer.
04 -Programmes démarrage automatique avec windows.
05 -Icones IE non visibles dans le panneau de configuration.
06 -Options IE restreintes par l'administrateur.
07 -Accés a regedit restreint par l'administrateur.
08 -Commandes supplémentaires du clic droit (menu contextuel)
09 -Boutons ou élements supplémentaires du menu ou de la barre d'outil IE.
10 -Pirates winsoks
11 -Groupes supplémentaires des "options avancées" de IE.
12 -Plugins IE.
13 -Piratages des préfixes par défault.
14 -Piratages de la réinitialisation de la configuration web.
15 -Sites non désirés de la zone de confiance.
16 -Controles ActivesX + "fichiers programmes" téléchargés.
17 -hijakers du domaine lop.com.
18 -Pirates de protocole et de protocoles supplémentaires.
19 -Piratage de la feuille de style utilisateur.
20 -Valeur de Registre AppInit_DLLs en démarrage automatique.
21 -Clé de Registre ShellServiceObjectDelayLoad en démarrage automatique.
22 -Clé de Registre SharedTaskScheduler en démarrage automatique.
23 -Services windows NT.

Interprétation du rapport

Analyse manuelle Logs Hijackthis.

R0- R1- R2- R3 Adresses des pages de recherches et de démarage d'Internet ExplorerSi les liens correspondent a vos pages d'acceuil ou de recherche, conservez, sinon cochez.
En R3 si vous reconnaissez un programme que vous avez installé gardez le (coprenic par exemple.) sinon cochez.
Vérification :domaines de CoolWebSearch
Haut
F0-F1Programmes chargés automatiquement -fichiers .INI F0- Toujours mauvais, cochez.
F1- De vieux programmes, souvent sans problémes. Vous pouvez chercher des infos par leur nom de fichier.
Vérification :Pacman's Startup List
Haut
N0-N1-N2-N3Pages de démarage pour Netscape et mozilla.En général pas piratées. Seul Lop.com le fait parfois. Si vous reconnaissez vos pages de démarage et recherche , pas de soucis.
Haut
01Fichier host redirections.Ceci redirige les sites mentionnés a doite vers l'IP de a gauche. A moins que vous ne les ayez mis vous même dans votre fichier host ces lignes sont a cocher. Si certaines sont dues a coolwebsearch vous pourrez utiliser Cwshredder pour l'éliminer (télécharger la stand-alone version).
Haut
02BHO (Aides a la navigation.)Si vous ne reconnaissez pas le nom du bho (ici Acrobat.7 et Spybot le troisiéme SponsorAdulto est néfaste.)effectuez une recherche, Pour cela copiez les chiffres entre parenthéses et collez les dans le champs de recherches.
Vérification :
Sysinfo.org / CastelCops / Spyware Data
Haut
03Barres d'outils Internet Explorer.Si vous ne reconnaissez pas le nom de la barre d'outil (ici Norton .)vous devrez les rechercher en copiant les chiffres entre parenthéses et en les collant dans les champs de recherches.
Vérification :
CastelCops / Spyware Data
Haut
04Programmes démarrage automatique avec windows.En ce qui concerne les programmes lancés au démarrage vous pouvez chercher en plusieurs endroits : Si l'élément a corriger est actif il vous faudra le désactiver (par le gestionnaire des taches) avant de pouvoir l'éliminer .Certains élements ne sont pas nocifs mais supperflus vous pourrez les enlevér afin de gagner quelques ressources supplémentaires.
Vérification :
Pacman's Startup List/Etrust-Pestpatrol/Answers that works / Spyware Data / Bleeping Computer
Haut
05Icones IE non visibles dans le panneau de configuration.A cocher, a moins que vous ou l'administrateur n'ayez sciement caché l'icone du panneau de configuration.
Haut
06Options IE restreintes par l'administrateur.Si vous même ou l'administrateur de l'ordi n'avez pas mis ces restrictions elles sont a cocher.
Haut
07Accés a regedit restreint par l'administrateur.A cocher sauf si vous, ou l'administrateur de l'ordi avez restreint l'accés a l'éditeur de registre.
Haut
08Commandes supplémentaires du clic droit (menu contextuel)Si vous ne savez pas de quoi il s'agit vous pouvez cocher.
Ici des composants du a Incrédimail et Excel.
Haut
09Boutons ou élements supplémentaires du menu ou de la barre d'outil IEVérification :
Spywareaid / Castelcops
Haut
10Pirates winsocks Vérification :
CastelCops / Spyware Data .
Pour les corriger on peut aussi utiliser LSPFix ou utiliser Spybot Search and Destroy.
Haut
11Groupes supplémentaires des "options avancées" de IE.Le seul pirate qui rajoute cette ligne semble pour l'instant être CommonName; donc cocher cette ligne.
Haut
12Plugins IE.La plupart son sains sauf Onflow (.ofb).
Haut
13Piratages des préfixes par défaulToujours réparer.
Haut
14Piratages de la réinitialisation de la configuration web.Généralement piratage si l'adresse n'est pas celle de votre fournisseur d'accés cochez la, parfois cela peut être celle du constructeur du pc ( HP..vérifiez.).
Haut
15Sites non désirés de la zone de confiance.Si vous n'avez pas placé vous même ces sites dans la zone de confiance ; cochez.
Haut
16Controles ActivesX + "fichiers programmes" téléchargés.Si vous ne reconnaissez pas le nom de l'objet ; si vous trouvez des noms de type Dialer, Casino, Free...etc cochez.
Vous pouvez aussi vérifier en vous aidant de la liste de spywareblaster: onglet Internet explorer-->cliquer droit dans la liste-->find et entrez le numéro qui se trouve entre les parenthéses.
Si vous le trouvez dans la liste cochez pour nettoyer.
Vérification :
Spyware Data / CastelCops
Haut
17hijakers du domaine lop.com.Vérification :
NS Lookup / Assiste
Retour
18Pirates de protocole et de protocoles supplémentaires.Peu de hijackers ici, Les plus connus sont 'cn' (CommonName), 'ayb' (Lop.com) et 'relatedlinks' (Huntbar),cochez tout ce qui apparaît et n'est pas totalement sain.
Vérification :
Castelcops
Haut
19Piratage de la feuille de style utilisateur.Un ralentissement de votre navigateur et de fréquentes pop-up...cochez. Il est préférable d'utiliser CWShredder pour régler la chose.
Haut
20Valeur de Registre AppInit_DLLs en démarrage automatique. Cette valeur de la base de Registre située dans HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows charge une DLL en mémoire lorsque l'utilisateur se loggue, après quoi elle y reste jusqu'au logoff. Très peu de programmes réguliers l'utilise (Norton CleanSweep emploie APITRAP.DLL), le plus souvent elle est utilisée par des chevaux de Troie ou des pirates de navigateurs agressifs.
Vérification :
Castelcops
Haut
21Clé de Registre ShellServiceObjectDelayLoad en démarrage automatique.C'est une méthode de lancement au démarrage non documentée, normalement utilisée par peu de composants système de Windows. Les éléments listés dans HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad sont chargés par l'Explorateur au démarrage de Windows. HijackThis utilise une whitelist de plusieurs SSODL très courants, si bien que quand un élément est listé dans le log, il est inconnu et peut-être bien malicieux. A traiter avec une prudence extrême.
Vérification :
Castelcops
Haut
22Clé de Registre SharedTaskScheduler en démarrage automatique. Méthode de lancement au démarrage non documentée pour Windows NT/2000/XP seulement,très rarement utilisée. A traiter avec prudence.
Vérification :
Castelcops
Haut
23Services windows NT.
Vérification :
Castelcops / Spywareaid
Retour

Analyse automatique Logs Hijackthis.

Attention, Ils vont vous donner une idée générale de la situation ; cependant ils ne sont pas infaillibles. A vous de vérifier manuellement là ou vous avez un doute....
Certaines fois des éléments dangereux seront ignorés et vice versa.L'utilisation de ces analyseurs automatique est a interpréter avec précautions. Rien ne vaut une vérification manuelle.

• Hijackthis evaluation
• Help2Go
• Iamnotageek

J'espère que ce petit tutoriel vous aura rendu service.
Si quelques points restaient confus n'hésitez pas a me le signaler sur le forum.

Les autres tutos.

Ce sont ces tutos qui ont servi de bases a celui ci.
Je remercie les auteurs pour ces tutos, ainsi que pour le travail phénoménal acccompli dans le cadre de la lutte anti malware.

• Tuto original de Merijn
• Le tuto d'interprétation sur Zébulon.
• La fiche Hijackthis d' Assiste.
• Protocole de décontamination Assiste.
• Le tuto de formation a l'analyse sur Zébulon.