HijackThis log lezen en analyseren

[Zerveza]

Als een donderslag bij heldere hemel lijkt het wel, ineens was er het programma HijackThis en half GOT staat er vol mee. Te pas en te onpas worden er log`s gepost alsof het nix is.

Nu zijn er inmiddels ook kenners die in 1 oogopslag kunnen zien wat SpyWare is en wat een Virus.... Hoe kom ik daar ook achter.

=> het antwoord google zie ik hier al verschijnen, maar sommige logs zijn bijna twee pagina`s groot, erg omslachtig om al die keys in Google te gooeien.
=> wat betekenen al die O1 O2 etc.. )

[momania]

Heb je dit wel eens doorgelezen: [rml][ Howto] Spyware scannen en opruimen[/rml]
Daar staat het imo toch allemaal aardig goed uitgelegd.

[Ramzzz]

En wat is "obfuscated"? Het zijn wel de items die ik niet weg krijg met Hijack ths, maar wel met CWSshredder. Tijdelijk, dat wel. Ze zijn net zo snel weer terug...

[cutter]

http://www.spywareinfo.com/~merijn/htlogtutorial.html de maker heeft ook een aardige uitleg. Als je maar vaak genoeg met dit soort logs bezig bent ontwikkel je een soort 'fingersputzengefuhl' voor de entries.

[wildhagen]

Vaak kom je door logisch nadenken al een heel eind. Na een tijdje ken je de standaard normale processen ook wel. Vaak kan je uit de lokatie waar een file staat al opmaken of het verdacht is of niet.

En voor de dingen die dan overblijven kan je idd google gebruiken.

[Verwijderd]

Of: http://home.hccnet.nl/mvanrijnen/files/findspy.rar

Zal er is aan gaan werken, kan je een hijackthis log in plaatsen, en hij probeert de running processes te identificeren (spy of clean). BHO's en RegKeys worden nog niet gecontroleerd.

Is echter een 1e probeersel, maar als er behoefte aan 's wil ik er best nog ff aan werken.

[ Voor 9% gewijzigd door Verwijderd op 10-06-2004 13:43 ]

[Zerveza]

Verwijderd schreef op 10 juni 2004 @ 13:43:
Of: http://home.hccnet.nl/mvanrijnen/files/findspy.rar

Zal er is aan gaan werken, kan je een hijackthis log in plaatsen, en hij probeert de running processes te identificeren (spy of clean). BHO's en RegKeys worden nog niet gecontroleerd.

Is echter een 1e probeersel, maar als er behoefte aan 's wil ik er best nog ff aan werken.

doet deze combinatie dan niet excact hetzelfde als ad-aware?

[WimB]

Verwijderd schreef op 10 juni 2004 @ 13:43:
Of: http://home.hccnet.nl/mvanrijnen/files/findspy.rar

Zal er is aan gaan werken, kan je een hijackthis log in plaatsen, en hij probeert de running processes te identificeren (spy of clean). BHO's en RegKeys worden nog niet gecontroleerd.

Is echter een 1e probeersel, maar als er behoefte aan 's wil ik er best nog ff aan werken.

Ik kan het programmaatje niet downloaden.

Hoe kijkt deze of het een goed proces is of niet? Vergelijkt hij de procesnaam met een lijst in een database? Of kijkt hij echt naar het proces, ongeacht de naam?

[Verwijderd]

WimB schreef op 11 juni 2004 @ 12:01:
[...]


Ik kan het programmaatje niet downloaden.

Hoe kijkt deze of het een goed proces is of niet? Vergelijkt hij de procesnaam met een lijst in een database? Of kijkt hij echt naar het proces, ongeacht de naam?

In principe (op dit moment) wordt alleen de executable naam opgezocht via een niet nader te noemen website, dit worden er meerdere met een cache achtige functie erbij om dat soort sites niet te veel te belasten

Zou wel interessant zijn om op de een of andere manier bv. MD5 van bestanden te vergelijken, zowel tegen een lijst van goedgekeurde hashes als absoluut foute.

[ Voor 12% gewijzigd door Verwijderd op 11-06-2004 12:05 ]

[WimB]

Heeft er iemand een mirror voor dat progje?

Verwijderd schreef op 10 juni 2004 @ 13:43:
BHO's en RegKeys worden nog niet gecontroleerd.

Dit kan daarbij zeker helpen: http://www.sysinfo.org/bholist.php
X = slecht en L = goed