Cours particuliers HijackThis, svp ?

Fermé
Utilisateur anonyme - 10 sept. 2005 à 10:39
 Utilisateur anonyme - 15 oct. 2005 à 10:14
Hello !

Je me permets ici de créer ma-boîte-à-questions-bêtes-théoriques-de-base-pour-interpréter-les-logs-de-HijackThis (gnarf gnarf gnarf)

J'ai un tutorial d'interpétation (sur zebulon.fr) et je surfe déjà discrètement sur les différents posts pour me faire une idée, grâce aux interventions des cracks du forum Virus/Sécurité qui s'activent à nous aider sur leur temps, et qui ont réussi à éveiller ma curiosité sur le sujet et me refiler le virus d'entraide, ils se reconnaîtront ;-)
Ma demande de formation interactive vient donc en complément de çà, pour quelques questions générales théoriques qui peuvent me venir au fil des lectures.

!!! Je suis partageuse !!! --->>> je ne m'offusquerai donc pas que d'autres forumers profitent de mon post pour poser leurs-questions-bêtes-made-in-chez-eux :-)

EN REVANCHE ! Pour résoudre les infections et attaques ciblées réelles, vaut mieux créer votre post à part - vivement conseillé - sinon ça complique la tâche des intervenants, car chaque cas est particulier ! Merci de comprendre...

J'espère que les modérateurs ET ceux qui me connaissent un peu (pour m'avoir déjà aidée sur CCM) ne m'en voudront pas pour cette initiative sans les avoir au préalable consultés. Mais je suis tombée du lit ce matin avec çà dans la tête, et quand j'ai une id dans la tête je l'ai pas au....... Bref ! Je ne vais pas recommencer à raconter ma vie, je sais m'arrêter... des fois... (Meuh oui Madame ! Farpètement...)

De toute façon, m'aidera qui peut, quand il peut, s'il le veut surtout :-) (c'est dit sans hypocrisie)

En tout cas, merci d'avance à ceux qui auront le temps de partager leur savoir, je sais qu'ils n'en sont pas avares sur le forum :-)


J'ouvre le bal des questions (j'avais prévenu qu'elles étaient bêtes) :

** quelles lignes vous regardez en priorité dans un log pour repérer un problème ?

** quand on voit une ligne 09 où il est précisé "(file missing)" à la fin, peut-on la fixer sans danger si on est certain qu'on a effectivement supprimé le bouton en question de la barre d'outils IE ? Et s'il apparaît dans Hijack n'est-ce pas parce qu'il y a une histoire de désinstall/désactivation incomplète de la fonction ?

** pourquoi des fois faut un mode sans échec pour faire un scan Hijack, et des fois pas ? Ou alors j'ai mal lu...


Merci !
Bubye !

190 réponses

Utilisateur anonyme
11 sept. 2005 à 14:27
salut balltrap, lili, regis

lol, il est gratiné celui là !
0
balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 332
11 sept. 2005 à 16:56
oui mais il permet d utiliser certain prog
et voir si il pense a tous
0
Utilisateur anonyme
11 sept. 2005 à 17:03
salut balltrap

c'est ce qu'on dit... lol

elle va chercher un moment je pense, mais bon, c'est pas les logs de ce genre qui manquent sur le forum ;-)
0
balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 332
11 sept. 2005 à 17:11
oui mais au moin il peuvent mettre se qu il veulent sans risque
tu suivrat cela cette semaine si tu a le temp
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Utilisateur anonyme
11 sept. 2005 à 17:21
oui, pas de problemes.

j'ai fais un petit tuto pour hijack, et j'aimerais avoir ton avis.
rien de bien extraordinaire par rapport à ce qui ce fait, mais je voudrais savoir ce que tu en pense et si tu vois des trucs à virer ou à rajouter.
http://get.yourfile.net/fs79733.zip

merci
0
balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 332
11 sept. 2005 à 17:37
bien mais deux trois bricole anaudine
pour les processus tu peur rajouter de bien verifier l ortographe
a une lettre pres cela peut etre un virus

pour les 04 tu peut rajouter comme dit plus haut
de verifier l emplacement (windows/ou systeme32)

les 09 meme si mis en missing a verifier car c et un bug d e hijackthis
idem pour les 023

ceci dans les 010
Etre vraiment sur avant de faire utiliser ce programme, que le fichier est mauvais
a mettre en plus gros et rouge si possible

pour 017

j est trouver sur un log une atrivo qui etais bonne ???


combien de temp tu vas pouvoir le garder en telechargement
perso j arrive pas a mettre des fichiers sur se site d ebergement
0
Utilisateur anonyme
11 sept. 2005 à 17:49
ok, je vais modifier
meme si j'ai un gros doute pour atrivo, mais je vais l'enlever

pour l'instant, il est en hébergement pour 1 jour, mais apparement il ne sont pas tres tatillons sur la durée d'hébergement, quelques fois ca reste plusieurs jours en ligne.

si tu as des idées qui trainent n'hésite pas.
0
Utilisateur anonyme
11 sept. 2005 à 18:21
Vous croyez que je ne vous vois pas comploter à ma perte ?!!!?? Bande de sadiques lol
Oué bah monsieur Balltrap, si j'ai bien lu Droopy-Moe, le deuxième TP de log c'est pas au hasard que tu l'as choisi... bah tu sais ce kesske je vais faire, c trouver le post du log en question et recopier tout le processus de réparation qui lui a été proposé, les doigts dans le nez !

Bon sérieusement, je m'y mets, j'avais d'autres questions bêtes mais je vais chercher toute seule dans les tuto et je reviens avec un début de proposition !

Quentin, c'est oui si tu veux bien m'aider... Mais comme je viens de le dire, avec tout ce que vous m'avez donné, je me dois au moins de poster une première tentative toute seule, on verra mieux les lacunes à combler.

Bises à tous les trois :-)
0
Utilisateur anonyme
11 sept. 2005 à 18:42
n'hésite pas pour les questions, poses les !

je viens d'uploader un petit tuto pour hijack ici:
http://get.yourfile.net/ym79767.zip

si ca t'interresse, jete y un oeil

a++
0
Utilisateur anonyme
11 sept. 2005 à 20:35
ok alors ma question était pour le début du log, au niveau des dossiers système et de démarrage. Des fois, dans certains log, j'ai déjà vu la même ligne répétée plusieurs fois. C'est révélateur d'un problème, ça se fait supprimer ou alors on n'y accorde pas d'importance si c'est une mauvaise manip de répétition de l'utilisateur ?
Tu peux me préciser à quoi sert le processus svchost.exe ? Le vrai exe, pas les trojans. Du moment que svchost.exe ne figure pas en 04 y'a rien de grave c bien çà ?

Merci pour les tuto Moe !

<<----------Ad'taleur !! ---------->>
0
Utilisateur anonyme
11 sept. 2005 à 21:04
salut

Pour svchost, il peut y en avoir plusieurs dans la liste des processus actifs, c'est normal
http://support.microsoft.com/?kbid=314056
par contre svchost dans les 04 c'est pas bon du tout.

Pour :
la même ligne répétée plusieurs fois
tu parle des 04 je suppose ?

c'est pas un bug, si le processus est mauvais, il faut faire supprimer toutes les lignes qui concernent le processus, c'est simplement qu'il est inscrit dans plusieurs clés de demarrage dans le registre

par exemple:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RUN
contient les programmes concernant uniquement l'utilisateur qui à ouvert la session

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RUN
contient les programmes communs à tous les utilisateurs

a++
0
balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 332
11 sept. 2005 à 21:20
salut
de toute facon les svchost se trouve toujours en systeme32
0
Utilisateur anonyme
11 sept. 2005 à 21:28
ohlala... j'y arriverai pas, y'a tellement de choses à vérifier... à votre niveau vous mettez combien de temps pour éplucher un log comme mon TP ?
0
balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 332
11 sept. 2005 à 21:35
avec l abitude environ5a 10 minute sauf si des prog incertain nous pose probleme et nous oblige a faire plusieurs recherche
0
Utilisateur anonyme
11 sept. 2005 à 21:40
oui, d'accord avec balltrap

ca va venir, t'inquiète

apres, ca dépend si tu as déjà eu à faire à un type d'infection ou pas
dans le premier cas, ca saute aux yeux immédiatement, tu reconnais tout de suite et suffit de connaitre la procédure pour virer l'infection.
Mais plus le pc est infecté et plus la manip est le temps de recherche est long si tu veux faire un nettoyage correct

Dans le second cas ca demande pas mal de recherches...

a+
0
Utilisateur anonyme
11 sept. 2005 à 21:41
Et une semaine pour un débutant, ça le fait ??? Non, oublie la question lol
0
balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 332
11 sept. 2005 à 21:43
oui bien sur sans aucun probleme
c est normal tu ne les connait pas donc
je te conseil de survoler les log ou l ont est intervenu
et de faire des comparaisons et par deduction tu vas trouver
de toute facon meme si tu te trompe apres je te mettrais la solution ou moe si je suis pas la
0
Utilisateur anonyme
11 sept. 2005 à 21:47
Vous êtes très patients, c'est vraiment gentil.
Je vais arrêter de vous poser les questions une à une, vaut mieux que je les regroupe en un seul post histoire de pas monopoliser le haut de colonne du forum.

Ad'taleur !
0
balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 332
11 sept. 2005 à 21:52
pas grave il vaut mieux les poser une a une et etre sur d avoir compris que de le faire en bloc et risquer d en sauter
0
Utilisateur anonyme
11 sept. 2005 à 22:41
Moe ? Balltrap ? Je vous embrasse, j'arrive à rien ce soir je sature, mon taf m'a crevée pour que je me remette au log pour ce soir... bon courage à vous au forum... Bonne nuit :-))
0