[Apprentissage] - Quelques liens sur Hijactkhis, fonctionnements, tutos, trucs persos.

Le 01 Août 2007 à 13h25

Liens d'auto-formation

• La référence, Bleeping Computer :
  Tuto Bleeping Computer (traduit par NickW de assiste).

• Zebulon :
  Tutorial d'interprétation des listes d'HijackThis
  Formation à l'analyse de rapports HijackThis

• Malekal :
  Tutorial et Guide HijackThis par Malekal morte

Il est important de prendre connaissance de ces liens, afin de comprendre le fonctionnement de l'outil, ses limites, ses capacités. Vous verrez, en lisant ces tutoriels, qu'il est important de connaitre un minimum le système pour pouvoir isoler les entrées infectieuses.

Liens complémentaires d'analyses d'un rapport HijackThis

Cette liste n'est pas exaustive, elle n'est là que pour vous donner un exemple de bases de données publiques.

N° version windows (j'utilise le robot de Hijackthis.de pour m'assurer que les versions windows sont à jour) [list]http://HijackThis.de/fr

Running processes

http://www.processlibrary.com/
http://www.wintotal.de/Spyware/index.php
http://www.generation-nt.com/processus/
http://siri.urz.free.fr/Fix/ChangeLog.php

O2 & O3

http://www.castlecops.com/CLSID.html

O4

http://www.castlecops.com/StartupList.html
http://www.sysinfo.org/startuplist.php
http://assiste.com.free.fr/p/pacman/pacman_startup_list.html

O9

http://www.castlecops.com/O9.html

O10

http://www.castlecops.com/LSPs.html

O16

http://www.castlecops.com/ActiveX.html

O17

http://www.all-nettools.com/toolbox

O18

http://www.castlecops.com/O18.html

O20

http://www.castlecops.com/O20.html

O21

http://www.castlecops.com/O21.html

O22

http://www.castlecops.com/O22.html

O23

http://www.castlecops.com/O23.html

[/list]


Pratique, faites en une barre d'outils

Sous Firefox, je me suis également fait une barre d'analyse afin de ne pas perdre de temps. [list]

• faites un clic-droit à droite de Outils ? et cochez Barre personnelle afin de l'afficher.
  [*]par défaut, vous y trouverez déja quelques liens, supprimez ceux dont vous n'avez pas besoin


• Pour insérer un lien, vous pouvez le faire glisser en maintenant le clic-gauche de la souris enfoncée d'une page internet ou de votre marque-page jusqu'à la barre


• Vous pouvez également marquer la page via l'onglet Marque-pages et sélectionner Barre personnelle dans la fenêtre Créer dans puis Ok


• Vous pourrez modifier les noms de ces raccourcis en faisant un clic-droit puis Propriétés. Choisissez des noms courts afin de visualiser toute votre barre d'un seul coup d'oeil.

Une capture de ma barre d'analyse pour vous donner une idée : [/*][/list]


Liens supplémentaires

• Rogues ou softs infectés possédant leur uninstall : http://www.bleepingcomputer.com/uninstall/


• Clients P2P infecté (merci Tesgaz) : http://kppfree.altervista.org/spylist.html


• Le centre de contrôle de Ipl_001 : http://ipl001.free.fr/IT/IT-CC.html


• Une page de SecUser regroupant divers fix : http://www.secuser.com/telechargement/desinfection.htm
  
  
  Liste rogues


• http://www.spywarewarrior.com/rogue_anti-spyware.htm


• http://assiste.free.fr/p/faux_utilitaires/...es_frameset.php
  
  
  Recherche du nom d'un malware, de ses clés bdr et processus en fonction d'un fichier identifié ou de son nom :


• http://fileinfo.prevx.com/filesearch.asp


• http://www3.ca.com/securityadvisor/pest/pest.aspx
  
  
  Scans de fichiers en ligne


• http://www.virustotal.com/fr/


• http://virusscan.jotti.org/
  
  


• J'attire votre attention également sur les petites fiches de Malekal morte :
  Guide de suppression des spywares/malwares

Pour poursuivre

Voila, je pense que vous y verrez un peu plus clair. Ce qu'il faut bien réaliser, c'est qu'il y a quelques années (que je n'ai pas connues) HijackThis servait à identifier et traiter les infections. Il suffisait dans la plupart des cas, de corriger une entrée registre, et ensuite de supprimer le fichier associé.
Aujourd'hui cela n'est quasiment plus vrai, les infections ont évolué ; HijackThis ne vous servira qu'à identifier l'infection en début d'analyse, et à corriger enfin les entrées registres en fin d'analyse !

Exemple

Cette entrée O4, une entrée registre en Run qui va donc exécuter l'exe "pointé" au démarrage du système :

Citation

O4 - HKLM..Run: [icq.com] rundll32.exe "C:WINDOWSsystem32bwfxskly.dll",forkonce



Une recherche sur Castlecops-O4 avec en mot-clé icq.com n'indiquera pas la malveillance de l'entrée. Une recherche avec le nom de la DLL n'aura pas de référence. Pourtant nous sommes là en présence d'un vundo nouvelle mouture, assez pénible à éradiquer. Corriger cette ligne uniquement ne vous servira à rien, et la suppression du fichier ne vous sera pas possible en l'état.

Comment faire ? Comment reconnaître alors ?

• Première chose, comprendre un minimum le système. Savoir ce que signifie une entrée, et l'objet de son emplacement dans les lignes HijackThis. Les tutoriels pointés plus haut sont là pour ça.


• Deuxième chose ; lorsque l'on ne connait pas une entrée. Chercher et chercher. Fouillez d'abord les bases de données indiquées, elles sont là pour référencer les entrées génériques et connues.


• Enfin, en cas d'absence d'informations => google.
  Un bon helper sait chercher l'information qui lui manque. Regardez comment est traité un fichier, et surtout par qui. Choisissez vos références, n'allez pas singer n'importe qui.

L'humilité est indispensable dans une désinfection. Personne n'est en mesure de tout connaître.

• La meilleure des méthodes pour apprendre est de faire ses propres analyses de son côté, tout seul sans faire prendre de risques à qui que ce soit, et de les comparer avec la procédure recommandée par un helper. Ne pas hésiter non plus à poser des questions en MP.


• Si vous vous décidez à intervenir dans un sujet, soyez humbles et ne faites que ce dont vous êtes sûrs.


• Respectez une méthodologie précise dans vos interventions : cette page d'Ipl_001 vous révèle ce vers quoi il faudrait idéalement tendre. Notez que si vous commencer à intervenir sur un sujet, vous devez vous sentir capable d'aller au terme de la désinfection.


• Respectez les sujets, si un helper intervient dans un sujet, c'est à lui qu'il revient de le finir, sauf s'il l'indique expressément. C'est non seulement une marque de politesse pour l'internaute, et pour le helper, mais c'est surtout une précaution par rapport à un internaute sans doute paniqué par ce qui lui arrive.


• Enfin, n'hésitez pas à apporter cette mention sur vos premières interventions, en début de post, en recopiant le BBcode ci-dessous (prenez soin de prendre connaissance des règles d'intervention suivant les forums ; certains ne tolèrent pas qu'un membre non qualifié réponde aux demandes d'analyse) :
  

  Code

  Veuillez attendre la confirmation d'un membre AidoAntivirus avant toute manipulation

  Qui donnera :

  Citation

  Veuillez attendre la confirmation d'un membre AidoAntivirus avant toute manipulation.

Mais encore ?

La désinfection d'un système ne doit pas se limiter à traiter l'infection. Vous devez rétablir le système en accompagnant l'internaute dans la désinstallation et suppression des différents outils utilisés, en l'aidant à rétablir ses paramètres d'affichage si vous les avez changés par exemple, etc.
Il vous faudra également indiquer et pointer les défaillances du système ou de l'utilisateur afin que l'utilisateur puisse à l'avenir s'en prémunir. Remettre ou mettre des protections en place fait partie de la désinfection. Faire effectuer une mise à jour de sécurité d'un logiciel fait partie de la protection générale du système.
Enfin, aiguiller l'internaute sur Malware Complaints afin de faire prendre en compte son infection et les dommages que cela lui a occasionné.
Tout au long des désinfections que vous serez amenés à prendre en charge, soyez toujours à l'affût du fichier infectieux non référencé afin de le faire parvenir aux différents analystes tels que S!Ri, MAD, Il-Mafioso, !aur3n7 ou Malekal morte. La réactivité aux fichiers nouveaux est très importante. Il vaut mieux "uploader" un fichier connu à la mauvaise personne (qui se chargera de la transmettre si le fichier est intéressant) que ne pas le faire du tout.

Bonne chasse

Le 01 Août 2007 à 13h27

Le 01 Août 2007 à 17h31

Le 02 Août 2007 à 03h19

Le 08 Août 2007 à 22h44

Le 08 Août 2007 à 23h44

Le 26 Août 2007 à 19h10

Le 18 Octobre 2007 à 22h34

Le 21 Octobre 2007 à 16h16

Le 06 Novembre 2007 à 15h00