HijackThis és una eina gratuïta de Trend Micro. Va ser originalment desenvolupat per Merijn Bellekom, estudiant a Holanda. El programari d'eliminació de programari espia, com ara Adaware o Spybot S & D, fa un bon treball de detecció i eliminació de la majoria de programes espia, però alguns pirates informàtics i spyware són massa insidiosos per a aquestes grans utilitats anti-spyware.
HijackThis s'escriu específicament per detectar i eliminar els segrestadors del navegador, o el programari que es fa càrrec del vostre navegador web, altera la vostra pàgina d'inici predeterminada i el motor de cerca i altres coses malicioses. A diferència del programari anti-spyware típic, HijackThis no utilitza signatures ni s'orienta cap programa específic o URL per detectar i bloquejar. Més aviat, HijackThis busca els trucs i mètodes utilitzats per malware per infectar el vostre sistema i redirigir el navegador.
No tot el que es mostra en els registres HijackThis és una cosa dolenta i no s'ha de treure tot. De fet, tot el contrari. Gairebé es garanteix que alguns dels elements dels vostres registres HijackThis seran legítims i l'eliminació d'aquests elements pot afectar negativament el vostre sistema o fer-lo completament inoperant. Usant HijackThis és molt similar a editar el Registre de Windows vostè mateix. No és una ciència de coets, però definitivament no hauríeu de fer-ho sense cap guia d'experts, tret que realment sàpiguen què feu.
Una vegada que instal·leu HijackThis i executeu-lo per generar un fitxer de registre, hi ha una àmplia varietat de fòrums i llocs on podeu publicar o carregar les vostres dades de registre. Els experts que saben què cercar poden ajudar-vos a analitzar les dades de registre i us informaran sobre quins elements eliminar i quins deixen en solitari.
Per descarregar la versió actual d'HijackThis, podeu visitar el lloc oficial a Trend Micro.
Aquí teniu un resum de les entrades de registre HijackThis que podeu utilitzar per saltar a la informació que cerqueu:
- R0, R1, R2, R3 - URL d'inici / cerca d'Internet Explorer
- F0, F1 - Programes d'autoimpressió
- N1, N2, N3, N4 - Netscape / Mozilla Inici / Cerca pàgines URL
- O1 - Redirecció d'arxius hosts
- O2 - Objectes d'ajuda del navegador
- O3 - Barres d'eines d'Internet Explorer
- O4 - Programes d'autoimpressió del Registre
- O5: la icona d'opcions d'IE no visible al Tauler de control
- O6 - Accés a Opcions d'IE restringit per l'administrador
- O7 - Accés regedit restringit per l'administrador
- O8 - Elements extres en el menú contextual de IE
- O9: botons addicionals a la barra d'eines principal del botó IE, o elements addicionals al menú Eines "Eines"
- O10 - El secuestrador de Winsock
- O11 - Grup extra a la finestra d'Opcions avançades d'IE
- O12 - Complements IE
- O13 - Segrest secció predeterminada IE
- O14 - "Restablir configuració web" segrestat
- O15: lloc no desitjat a la zona de confiança
- O16 - Objectes ActiveX (també coneguts com a fitxers de programes descarregats)
- O17 - segrestadors del domini de Lop.com
- O18 - Protocols addicionals i segrestadors de protocol
- O19 - Segrest del full d'estil d'usuari
- O20 - AppInit_DLLs Valor de registre autorun
- O21 - ShellServiceObjectDelayLoad clau de registre autorun
- O22 - SharedTaskScheduler Registre clau autorun
- O23 - Serveis de Windows NT
R0, R1, R2, R3 - Pàgines d'inici i de cerca de IE
El que sembla:R0 - HKCU Software Microsoft Internet Explorer Main, Pàgina d'inici = http://www.google.com/R1 - HKLM Software Microsoft InternetExplorer Main, Default_Page_URL = http://www.google.com/R2 - (aquest tipus no és utilitzat per HijackThis encara)R3 - Falta URLSearchHook per defecte Què fer:Si reconeixes l'URL al final com a pàgina d'inici o motor de cerca, està bé. Si no ho feu, marqueu-lo i tingui HijackThis arreglar-ho. Per als elements R3, fixeu-los sempre que no mencioni un programa que reconeguis, com Copernic. El que sembla:F0 - system.ini: Shell = Explorer.exe Openme.exeF1 - win.ini: run = hpfsched Què fer:Els elements F0 sempre són dolents, així que corregiu-los. Els elements F1 solen ser programes molt antics que són segurs, de manera que hauríeu de trobar més informació sobre el nom del fitxer per veure si és bo o dolent. La llista d'inici de Pacman pot ajudar a identificar un element. El que sembla:N1 - Netscape 4: usuari_pref "browser.startup.homepage", "www.google.com"); (C: Archivos de programa Netscape Users default prefs.js)N2 - Netscape 6: user_pref ("browser.startup.homepage", "http://www.google.com"); (C: Documents and Settings User Application Data Mozilla Profiles defaulto9t1tfl.slt prefs.js)N2 - Netscape 6: user_pref ("browser.search.defaultengine", "engine: //C%3A%5CProgram%20Files%5CNetscape%206%5Csearchplugins%5CSBWeb_02.src"); (C: Documents and Settings User Application Data Mozilla Profiles defaulto9t1tfl.slt prefs.js) Què fer:En general, la pàgina d'inici de Netscape i Mozilla i la pàgina de cerca són segurs. Ells rarament són segrestats, solament Lop.com s'ha sabut fer això. Si veieu una URL que no reconegui com a pàgina d'inici o pàgina de cerca, HijackThis la soluciona. El que sembla:O1 - Ordinadors: 216.177.73.139 auto.search.msn.comO1 - Ordinadors: 216.177.73.139 search.netscape.comO1 - Ordinadors: 216.177.73.139 ieautosearchO1: el fitxer Hosts es troba a C: Windows Help hosts Què fer:Aquest segrest redirigirà l'adreça a la dreta a l'adreça IP a l'esquerra.Si la IP no pertany a l'adreça, se us redirigirà a un lloc incorrecte cada vegada que introduïu l'adreça. Sempre podeu tenir HijackThis arreglar-los, tret que poseu aquestes línies de manera conscient al vostre fitxer Hosts. L'últim element de vegades es produeix a Windows 2000 / XP amb una infecció de Coolwebsearch. Fixeu sempre aquest element, o bé CWShredder la repareu automàticament. El que sembla:O2 - BHO: Yahoo! Companion BHO - {13F537F0-AF09-11d6-9029-0002B31F9E59} - C: FILES PROGRAMA YAHOO! COMPANION YCOMP5_0_2_4.DLLO2 - BHO: (sense nom) - {1A214F62-47A7-4CA3-9D00-95A3965A8B4A} - C: FILES PROGRAMA POPUP ELIMINATOR AUTODISPLAY401.DLL (falta d'arxiu)O2 - BHO: MediaLoads Enhanced - {85A702BA-EA8F-4B83-AA07-07A5186ACD7E} - C: PROGRAMES FILES MEDIALOADS ENHANCED ME1.DLL Què fer:Si no reconeixeu directament un nom de l'Objecte d'Ajuda del navegador, utilitzeu la llista de barra d'eines BHO i de TonyK de TonyK per trobar-lo amb l'identificador de classe (CLSID, el nombre entre claudàtors) i veure si és bo o dolent. A la llista BHO, 'X' significa programari espia i 'L' significa segur. El que sembla: O3 - Barra d'eines: & Yahoo! Companion - (EF99BD32-C1FB-11D2-892F-0090271D4F88} - C: FILES PROGRAMA YAHOO! COMPANION YCOMP5_0_2_4.DLLO3 - Barra d'eines: eliminador d'elements emergents: (86BCA93E-457B-4054-AFB0-E428DA1563E1} - C: FILES PROGRAMA POPUP ELIMINATOR PETOOLBAR401.DLL (falta d'arxiu)O3 - Barra d'eines: rzillcgthjx - {5996aaf3-5c08-44a9-ac12-1843fd03df0a} - C: WINDOWS DATA D'APLICACIÓ CKSTPRLLNQUL.DLL Què fer:Si no reconeixeu directament el nom d'una barra d'eines, utilitzeu la llista de barres d'eines BHO i de TonyK per trobar-lo amb l'identificador de classe (CLSID, el nombre entre claudàtors) i veure si és bo o dolent. A la llista de la barra d'eines, 'X' significa programari espia i 'L' significa segur. Si no és a la llista i el nom sembla una cadena aleatòria de caràcters i el fitxer es troba a la carpeta "Dades de l'aplicació" (com l'últim dels exemples anteriors), probablement sigui Lop.com, i definitivament hauríeu de tenir una correcció HijackThis ho. El que sembla:O4 - HKLM .. Executa: ScanRegistry C: WINDOWS scanregw.exe / autorunO4 - HKLM .. Executa: SystemTray SysTray.ExeO4 - HKLM .. Executa: ccApp "C: Archivos de programa Arxius comuns Symantec Shared ccApp.exe"O4 - Startup: Microsoft Office.lnk = C: Archivos de programa Microsoft Office Office OSA9.EXEO4 - Global Startup: winlogon.exe Què fer:Utilitzeu la llista d'inici de PacMan per trobar l'entrada i veure si és bo o dolent. Si l'element mostra un programa assegut en un grup d'inici (com l'últim element anterior), HijackThis no pot arreglar l'element si aquest programa encara està en memòria. Utilitzeu l'Administrador de tasques de Windows (TASKMGR.EXE) per tancar el procés abans de solucionar-lo. El que sembla: O5 - control.ini: inetcpl.cpl = no Què fer:A menys que vostè o l'administrador del sistema haguessin ocults conscientment la icona del Tauler de control, HijackThis la solucioni. El que sembla:O6 - HKCU Software Policies Microsoft Internet Explorer Restriccions presents Què fer:A menys que tingueu l'opció Spybot S & D "Bloqueja la pàgina d'inici dels canvis", o l'administrador del sistema ho posi al lloc, teniu HijackThis soluciona això. El que sembla:O7 - HKCU Software Microsoft Windows CurrentVersion Policies System, DisableRegedit = 1 Què fer:Sempre teniu HijackThis soluciona això, tret que l'administrador del sistema hagi posat aquesta restricció al vostre lloc. El que sembla: O8 - Element del menú contextual addicional: & Google Search - res: // C: WINDOWS PROGRAMES DESCÀRREGUATS FIL GOOGLETOOLBAR_EN_1.1.68-DELEON.DLL / cmsearch.htmlO8 - Element del menú contextual addicional: Yahoo! Search - file: /// C: Archivos de programa Yahoo! Common / ycsrch.htmO8 - Element del menú contextual addicional: Zoom & In - C: WINDOWS WEB zoomin.htmO8 - Element del menú contextual addicional: Zoom O & ut - C: WINDOWS WEB zoomout.htm Què fer:Si no reconeixes el nom de l'element al menú del botó dret del ratolí a IE, tens HijackThis arreglar-ho. El que sembla: O9 - Botó extra: Messenger (HKLM)O9 - Menú extra de 'Eines': Messenger (HKLM)O9 - Botó extra: AIM (HKLM) Què fer:Si no reconeixes el nom del botó o l'element del menú, tens HijackThis per solucionar-ho. El que sembla: O10 - Accés a Internet segrestat per New.NetO10: accés a Internet trencat a causa de l'error del proveïdor LSP: c: progra ~ 1 common ~ 2 toolbar cnmib.dll 'O10 - Fitxer desconegut en Winsock LSP: c: arxius de programa newton sap vmain.dll Què fer:És millor solucionar-los utilitzant LSPFix des de Cexx.org o Spybot S & D des de Kolla.de. Tingueu en compte que els fitxers 'desconeguts' de la pila LSP no seran solucionats per HijackThis, per qüestions de seguretat. El que sembla: O11 - Grup d'opcions: CommonName CommonName Què fer:L'únic secuestrador a partir d'ara que afegeix el seu propi grup d'opcions a la finestra Opcions avançades d'IE és CommonName. Així que sempre podeu tenir HijackThis solucionar això. El que sembla: O12 - Complement per. Spop: C: Archivos de programa Internet Explorer Plugins NPDocBox.dllO12 - Complement per .PDF: C: Archivos de programa Internet Explorer PLUGINS nppdf32.dll Què fer:La majoria de les vegades aquestes són segures. Només OnFlow afegeix un connector aquí que no voleu (.ofb). El que sembla: O13 - DefaultPrefix: http://www.pixpox.com/cgi-bin/click.pl?url=O13 - Prefix de WWW: http://prolivation.com/cgi-bin/r.cgi?O13 - WWW. Prefix: http://ehttp.cc/? Què fer:Sempre són dolents. HijackThis corregeix-los. El que sembla: O14 - IERESET.INF: START_PAGE_URL = http: //www.searchalot.com Què fer:Si l'URL no és el proveïdor de l'ordinador ni del vostre proveïdor d'Internet, HijackThis la soluciona. El que sembla: O15 - Zona de confiança: http://free.aol.comO15 - Zona de confiança: * .coolwebsearch.comO15 - Zona de confiança: * .msn.com Què fer:La majoria de les vegades només AOL i Coolwebsearch afegeixen silenciosament llocs a la Zona de confiança. Si no heu afegit el domini de la llista a la zona de confiança, heu solucionat-ho. El que sembla: O16 - DPF: Yahoo! Xat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cabO16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab Què fer:Si no reconeixeu el nom de l'objecte o l'URL des d'on es va baixar, HijackThis la soluciona. Si el nom o l'URL conté paraules com 'marcador', 'casino', 'free_plugin', etc., definitivament, corregiu-lo. El SpywareBlaster de Javacool té una enorme base de dades d'objectes ActiveX maliciosos que es poden utilitzar per buscar CLSID. (Feu clic amb el botó dret a la llista per utilitzar la funció Buscar). El que sembla: O17 - HKLM System CCS Services VxD MSTCP: Domain = aoldsl.netO17 - HKLM System CCS Services Tcpip Parameters: Domain = W21944.find-quick.comO17 - HKLM Software .. Telefonia: DomainName = W21944.find-quick.comO17 - HKLM System CCS Services Tcpip .. {D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domini = W21944.find-quick.comO17 - HKLM System CS1 Services Tcpip Parameters: SearchList = gla.ac.ukO17 - HKLM System CS1 Services VxD MSTCP: NameServer = 69.57.146.14,69.57.147.175 Què fer:Si el domini no és del vostre ISP o de la vostra xarxa empresarial, poseu-ho HijackThis solucioneu-lo. El mateix passa amb les entrades 'SearchList'. Per a les entrades 'NameServer' (servidors DNS), Google per a la IP o IP i serà fàcil veure si són bons o dolents. El que sembla: O18 - Protocol: enllaços relacionats - {5AB65DD4-01FB-44D5-9537-3767AB80F790} - C: PROGRA ~ 1 COMMON ~ 1 MSIETS msielink.dllO18 - Protocol: mctp - {d7b95390-b1c5-11d0-b111-0080c712fe82}O18 - Protocol segrest: http - (66993893-61B8-47DC-B10D-21E0C86DD9C8} Què fer:Només uns pocs segrestadors apareixen aquí. Els dolents coneguts són 'cn' (CommonName), 'ayb' (Lop.com) i 'linked links' (Huntbar), hauríeu de tenir HijackThis arreglar-los. Altres aspectes que es mostren no estan confirmats ni segurs o són segrestats (és a dir, el CLSID ha estat canviat) per spyware. En l'últim cas, tingui HijackThis arreglar-ho. El que sembla: O19 - Full d'estil d'usuari: c: WINDOWS Java my.css Què fer:En el cas d'una desacceleració del navegador i d'elements emergents freqüents, HijackThis soluciona aquest element si apareix al registre. Tanmateix, atès que només Coolwebsearch fa això, és millor utilitzar CWShredder per solucionar-ho. El que sembla: O20 - AppInit_DLLs: msconfd.dll Què fer:Aquest valor del Registre ubicat a HKEY_LOCAL_MACHINE Software Microsoft Windows NT CurrentVersion Windows carrega un fitxer DLL a la memòria quan l'usuari inicia sessió, després del qual es queda a la memòria fins que es tanca la sessió. Molt pocs programes legítims ho utilitzen (Norton CleanSweep utilitza APITRAP.DLL), la majoria dels troians o segrestadors agressius de navegació utilitzen la majoria dels usuaris. En cas d'una càrrega DLL 'oculta' des d'aquest valor del Registre (només visible quan s'utilitza l'opció "Editar dades binàries" a Regedit), el nom dll pot estar prefixat amb una canonada '|' per fer-lo visible al registre. El que sembla: O21 - SSODL - AUHOOK - (11566B38-955B-4549-930F-7B7482668782} - C: WINDOWS System auhook.dll Què fer:Aquest és un mètode d'autorun indocumentat, normalment utilitzat per alguns components del sistema de Windows. Els elements enumerats a HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion ShellServiceObjectDelayLoad són carregats per l'Explorador quan s'inicia Windows. HijackThis usa una llista blanca de diversos articles SSODL molt comuns, de manera que cada vegada que un element es mostra en el registre, es desconeix i potser és maliciós. Tracte amb molta cura. El que sembla: O22 - SharedTaskScheduler: (sense nom) - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} - c: windows system32 mtwirl32.dll Què fer:Aquest és un autorun indocumentat només per a Windows NT / 2000 / XP, que s'utilitza molt poques vegades. Fins ara solament CWS.Smartfinder la utilitza. Tracta amb cura. El que sembla: O23 - Servei: Kerio Personal Firewall (PersFw) - Kerio Technologies - C: Archivos de programa Kerio Personal Firewall persfw.exe Què fer:Aquesta és la llista de serveis que no són de Microsoft.La llista hauria de ser la mateixa que la que veieu a la utilitat Msconfig de Windows XP. Diversos pirates informàtics troians utilitzen un servei casolà en adició a altres iniciatives per reinstal·lar-se. El nom complet sol ser important, com ara "Servei de seguretat de xarxa", "Servei d'inici de sessió d'estació de treball" o "Assistent de trucades de procediment remot", però el nom intern (entre claudàtors) és una cadena d'escombraries, com "Ort". La segona part de la línia és el propietari del fitxer al final, tal com es veu a les propietats del fitxer. Tingueu en compte que la fixació d'un element O23 només atura el servei i el desactiva. El servei ha de ser eliminat del Registre manualment o amb una altra eina. En HijackThis 1.99.1 o posterior, es pot utilitzar el botó 'Suprimeix el servei NT' a la secció Misc Tools. F0, F1, F2, F3 - Programes d'autoimpressió d'arxius INI
N1, N2, N3, N4 - Pàgina d'inici i cerca de Netscape / Mozilla
O1 - Redireccions del fitxer hosts
O2 - Objectes d'ajuda del navegador
O3 - Barres d'eines IE
O4 - Programes d'autoimpressió del grup Registre o inici
O5 - Opcions d'IE no visibles al Tauler de control
O6 - Accés a Opcions d'IE restringit per l'administrador
O7 - Accés regedit restringit per l'administrador
O8 - Elements extres en el menú contextual de IE
O9 - Botons addicionals a la barra d'eines principal de l'IE, o elements addicionals al menú Eines "Eines"
O10: segrestadors de Winsock
O11 - Grup extra a la finestra d'Opcions avançades d'IE
O12 - Complements IE
O13 - Segrest secció predeterminada IE
O14 - "Restablir configuració web" segrestat
O15 - Llocs no desitjats a la zona de confiança
O16 - Objectes ActiveX (també coneguts com a fitxers de programes descarregats)
O17 - Seqüències del domini de Lop.com
O18 - Protocols addicionals i segrestadors de protocol
O19 - Segrest del full d'estil d'usuari
O20 - AppInit_DLLs Valor de registre autorun
O21 - ShellServiceObjectDelayLoad
O22 - SharedTaskScheduler
O23 - Serveis NT
