Esimerkki:
(O2 - BHO: (no name) - {C9457F9B-7E87-11D9-AE37-0050952D8F60} - C:\WINDOWS\SYSTEM\KNLI.DLL)
Rivi saa X-merkinnän Malwareremovalin sivuston BHO-laatikossa.
Rekisteriarvo poistetaan fixaamalla rivi hijackthissilla.
Lisäksi rivissä cnäkyvä tiedosto tulee poistaa: C:\WINDOWS\SYSTEM\KNLI.DLL <– KNLI.DLL-tiedosto

O3 - Internet Explorer työkalukenttiä (toolbars)

03-alkuisten kanssa toimitaan kuten 02-alkuisten kanssa. Mutta tässä kohdassa on huomioitava haittaohjelman sijainti. Koska ohjelma sijaitsee program files/ohjelmatiedostot kansiossa, se kannattaa poistaa tällöin windowsin lisää/poista valikon kautta. Jos se ei onnistu normaalitilassa, niin kannattaa yrittää vikasietotilassa. (F8 käynnistyksen yhteydessä)

O4 - Automaattisesti latautuvat ohjelmat rekisteristä

Nämä ohjelmat latautuvat käynnistyksen yhteydessä. Osa niistä on tarpeellisia. Joukossa voi olla myös “turhia” ohjelmia, joiden käynnistäminen onnistuu tarvittaessa käsin. Myös monet haittaohjelmat, kuten virukset ja vakoojat saattavat näkyä login tässä osiossa. Turhat ja haitalliset ohjelmat hidastavat koneen toimintaa, joten kannattaa harkita, mille ohjelmille antaa luvan käynnistyä koneen käynnistämisen yhteydessä.

Käynnistyviä ohjelmia voi säädellä seuraavasti: Kirjoita windowsin käynnistä-valikon suorita-kenttään msconfig. Valitse oikealla sijaitseva käynnistys-välilehti. Jos joukossa on ohjelmia, joita et halua käynnistyvän automaattisesti, ota ruksi ohjelman kohdalta pois. Valitse sitten käytä. Ohjelma häviää myös hijackthis-login tästä osiosta.

Automaattisesti latautuvien ohjelmien joukossa voi olla viruksia, vakoojia ym .muita haittaohjelmia. Voit tarkistaa ohjelman laillisuuden kopioimalla 04-alkuisesta logista hakasulkeiden sisällä olevan tekstin ja tarkastaa se esimerkiksi Malwareremoval-sivossa:

Yllä olevasta esimerkkilogista pitää fixata:
O4 - HKLM\..\Run: [Srv32 spool service] C:\WINDOWS\System\spoolsrv32.exe
ja poistaa tuo spoolsrv32.exe tiedosto jos löytyy. Tiedosto löytyy tuosta polusta: C:\WINDOWS\System\spoolsrv32.exe. Jotta tiedosto löytyisi piilotiedostot pitää laittaa näkyviin. Ole tarkkana merkinnöissä, haittaohjelmat muistuttavat joskus hyötyohjelmia ja tiedostonimissä saattaa olla vain yhden kirjaimen ero!!! Ja älä fixaa mitään, ellet ole varma, miten pahis poistetaan.

O5 - IE määritteitä joiden ikoni ei näy ohjauspanelissa

Jollet sinä tai koneesi järjestelmänvalvoja ole tietoisesti piilottanut kuvaketta ohjauspaneelista, fixaa rivi hijackilla.

O6 - IE piilotettuja määritteitä (pääkäyttäjän piilottamat/estämät asetukset)

Tässä näkyy, jos joko sinä tai haittaohjelma on estänyt Internet Explorerin “kotisivun” muuttamisen.

O7 - Rekisterieditorin määritteitä (pääkäyttäjän piilottamat/estämät asetukset)

Jollei koneen järjestelmän valvoja ole asettanut näitä rajoituksia, voit fixata rivin Hijackilla.

O8 - Lisätyt asiat/toiminteet IE:n valikkoon (löytyy hiiren kakkospainikkeen alta)

Jollet tunnista nimikettä IE:n valikosta hiiren kakkospainikkeen alta, voit fixata rivin Hijackilla.

O9 - Lisäpainikkeet IE:n pääpainikkeisiin tai IE:n ‘työkalu’ ?valikkoon

Jos et tunnista näppäimen nimeä IE: työkaluvalikosta, on syytä tarkistaa rivin laillisuus. Siellä voi esimerkiksi olla: Sun Java console ja Windows Messenger. Tässä kohdassa ei voi siis luottaa (file missing-tiedosto kateissa) ilmoitukseen, vaan tarkasta rivi kopioimalla tuo numerosarja FB5F1910-F110-11d2-BB9E-00C04F795683 tänne. Jos se osoittautuu haittaohjelman tekemäksi, fixaa rivi Hijackilla.

O10 - Winsock kaappaus

On paljon haittaohjelmia, jotka näkyvät Hijackthis-logissa, mutta niitä ei saa poistaa Hijackthis-ohjelman “fix checked” toiminnolla. Väärin poistettu ohjelma saattaa vahingoittaa koneen interneyhteyden. Sellaisia haittaohjelmia on mm. New.Net/NewDotNet, webhancer…. Lähtökohtaisesti ohjelmat poistetaan ohjauspaneelin lisää/poista sovelluksen kautta. Esimerkiksi New.Net poistuu täydellisesti juuri sitä kautta.

Tuossa poistetavien ohjelmien lista (koonnut Ad-aware): linkki. 010-alkuisen rivin dll-tiedoston laillisuuden voi tarkastaa Systemlookupissa. Jos tuloksena on haittaohjelma, se poistetaan, kuten esimerkissä 1.

---

ESIMERKKI 1:

---

O10 - Hijacked Internet access by New.Net
1. poistetaan ohjauspaneelin kautta

---

ESIMERKKI 2:

---

Rikkoontuneen internetyhteyden korjaus:O10 - Broken Internet access because of LSP provider ‘c:\progra~1\common~2\toolbar\cnmib.dll’ missing
1. Lataa LspFix-niminen ohjelma.
2. Tallenna se esim. työpöydälle ja klikkaa kuvaketta.
3. Laita ruksi kohtaan “I know what I am doing”.
4. Etsi lsp-listasta cnmib.dll
5. Katso, että se on oikeanpuoleisessa remove-laatikossa ja poista se.

O11 - Lisämääritteitä IE:n ‘Advanced Options’ ikkunaan/välilehdelle

Tämä rivi näkyy vain, jos rekisteriä on muokattu lisäämään ylimääräinen valikko internet-asetusten lisäasetuksiin. Internet Explorer tekee myös merkinnän tähän riviin. Kaappaajat (hijackker’s) lisäävät muutoksia “own options group” lisämääritteisiin, jotka näkyvät IE:n Advanced options-välilehdellä. [työkalut >internet-asetukset >lisäasetukset]. Haittaohjelman voi poistaa “Fix checked” toiminnolla.

O12 - IE:n pluginit tiedostomäärittelille tai MIME-tyypeille

Plug-in on selaimeen liitettävä ohjelma, joka laajentaa selaimen toimintaa. Suurinosa plug-in- sovelluksista ovat laillisia, mutta joukosta löytyy myös haittaohjelmia. Useimmat näistä riveistä on turvallisia. Haittaohjelmat ovat usein *.ofb-päätteisiä.

O13 - IE vakiomääritteiden kaappauksia (esim. URL-muunnoksia)

IE-vakiomäärite on asetus windowsissa, joka määrittelee kuinka osoiterivi käsitellään kun se on kirjoitettu ilman mm. http://, ftp:// alkua. Oletusasetuksia voidaan muuttaa rekisteriä muokkaamalla. Muokkauksen tekee lähespoikkeuksetta selainkaappari, joten rivi on syytä “fixata” Hijackthis-ohjelmalla.

O14 - Muutoksia IERESET.INF tiedostossa

Tämä rivi asettaa selaimeen oletussivun, mikä tulee IE:n aloitussivuksi, jos asetukset “nollataan”. Jos rivillä näkyvä url-osoite ei ole järjestelmänvalvojan, koneen valmistajan (acer, hp jne.) tai palveluntarjoajasi (sonera, elisa jne.) asettama osoite, voit fixata rivin hijackilla.

O15 - Sivustot jotka on määritelty “luotettuun alueeseen” (Trusted Zone)

Useimmat selainkaappait lisäävät sivustoja luotettavaksi luokitelluiksi sivuiksi. Mikäli sivusto ei mielestäsi ole luotetettava, voit poistaa sen fixaamalla rivin Hijackthis-ohjelmalla.

O16 - Ladattuja ohjelmatiedostoja (esim. ActiveX Objekteja)

Jos et tunnista kohteen nimeä, on syytä tarkastaa rivin laillisuus. Se onnistuu kopioimalla lihavoitu CLSID-numerosarja tänne. Toinen vaihtoehto on tarkistaa rivin laillisuus Spywareblaster-ohjelmalla seuraavasti:

1. Käynnistä spywareblaster
2. Valitse internet explorer-välilehti.
3. Ilmestyy “Item name”-taulukko.
4. Laita hiiri taulukon päälle ja paina hiiren oikeaa näppäintä.
5. Valitse find ja kopioi siihen CLSID-numerosarja (lihavoituna esimerkissä).
6. Jos kohde löytyy luettelosta, se on PAHIS ja se täytyy fixata Hijackilla.

O17 - Lop.com domain kaappaukset

Jos domain ei kuulu palveluntarjoallesi tai yhtiön tietoverkolle, fixaa se hijackthis:llä. Sama koskee “SearchList” kohteita. “NameServer” (DNS serveri) kohteiden hyvyyden tai pahuuden voi tarkistaa hakemalla Googlesta kyseistä IP:tä. Jos sinulla on modeemiyhteys niin tarkista silloin kyseiset osoitteet palvelusta http://www.dnsstuff.com onko ne sinun palvelutarjoajasi osoitteita. Jos sinulla on kiinteä ADSL yhteys, normaalisti tässä kohtaa ei ole IP-osoitteita ellei käyttäjä ole laittanut itse kiinteitä asetuksia tai käyttäjällä on kiinteä julkinen IP-osoite.

O18 - Lisäprotokollat ja protokollakaapparit

Tätä toimintatapaa käytetään muuttamaan tietokoneesi käyttämät standardit protokolla-ajurit niihin, mitkä kaappari määrittää.Tarkasta CLSID-numerosarja Systemlookupissa.

O19 - Käyttäjän tyylisäännöstön kaappaus

Jos tämä kohde löytyy hijacklokistasi ja selaimessasi on oireita(hidastelua ja ponnahdusikkunoiden jatkuvaa ilmestymistä), niin voit korjata kohteen hijackilla. Muista myös poistaa kyseinen css-tiedosto roskakoriin.

O20 - AppInit DLL:n Rekisteriarvon automaattinen suorittaminen

Tämä rekisteriarvo joka sijaitsee (HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows) lataa DDL:n muistiin kun käyttäjä kirjautuu sisään, jonka jälkeen se pysyy muistissa kunnes käyttäjä kirjautuu ulos. Vain todella harvat lailliset ohjelmat käyttävät sitä (Norton CleanSweep käyttää APITRAP.dll), ja useimmiten se on joko troijalaisen tai agressiivisen selainkaapparin käyttämä. Jos “piilotettu” DLL latautuu tästä rekisteriarvosta (näkyy vain käytettäessä Edit Binary Data-vaihtoehtoa Regeditissä) DDL:n nimeen voi saada lisätä alkuliitteen “l” jotta se näkyisi lokissa.

O21 - ShellServiceObjectDelayLoad (SSODL) rekisteriarvon automaattikäynnistys

Tämä on dokumentoimaton automaattisuorituksen metodi, joka on yleensä muutaman Windowsin järjestelmä-komponentin käyttämä. Explorer lataa Windowsin käynnistyessä kohteet jotka ovat listattuina: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ ShellServiceObjectDelayLoad. HijackThis tunnistaa useita yleiseimpiä SSODL kohteita (valkoinen lista), joten jos kohteita ilmestyy lokiin, ovat ne tuntemattomia ja mahdollisesti pahiksia. Käsittele näitä kohteita erityisen huolellisesti!

O22 - SharedTaskScheduler rekisteriarvon automaattikäynnistys

Tämä on todella harvinainen dokumentoimaton automaattisuoritus joka löytyy vain Windows NT/2000/XP:stä. Tällä hetkellä vain CWS.Smartfinder käyttää sitä. Käsittele huolellisesti!

O23 - Käynnissä olevia prosesseja (NT-services)

Nämä ovat ei-Microsoft palveluita. Listan pitäisi olla samannäköinen kuin Windows XP:n Msconfig-työkalun listan. Useat troijalaiset kaapparit käyttävät kotitekoisia palveluita muiden automaattisten käynnistysten lisäksi, asentaaakseen itsensä uudelleeen.

Kokonimi on yleensä tärkeältä kuulostava esim. “Network Security Service”, “Workstation Logon Service” tai “Remote Procedure Call Helper”, mutta sisäinen nimi (sulkujen sisällä) on rivi roskaa esim. O???rtñåȲ$Ó. Toinen osa rivistä on tiedoston omistaja, joka näkyy tiedoston ominaisuuksista.

Huomaa, että 023-kohteen fixaaminen vain pysäyttää ja estää sen toiminnan.

Palvelu pitää poistaa rekisteristä manuaalisesti tai toisella työkalulla. On kolme tapaa poistaa palvelu käytöstä: HijackThis sisältää versiosta 1.99.1 lähtien painikkeen “Delete NT Service”(Poista NT Palvelu) Misc Tools-osiossa, jolla poisto voidaan suorittaa:

Poisto-ohje numero 1:

1. Valitse käynnistä -> suorita -> kirjoita: services.msc ->ok
2. Etsi listalta sammutettavan palvelun nimi, tuplaklikkaa, paina seis ja valitse käynnistymistavaksi “ei käytössä”.
3. Käynnistä hijackthis> delete an NT service , kopioi > liitä (palvelun nimi) ja klikkaa OK

Poisto-ohje numero 2.

1. Suorita kenttään cmd
2. sc stop (palvelun nimi) ja enter
3. sc delete (palvelun nimi) ja enter

Poisto-ohje numero 3: Palvelujen poisto bat-tiedostolla:

HUOMAA: Jos palvelun nimessä on enemmän kuin yksi sana, sisällytä nimi lainausmerkkeihin. Kun poistat palvelua, palvelunnimi korvautuu HijackThis lokissa näkyvällä toisella nimellä joka on suluissa. Jos näitä sulkuja ei ole, se poistetaan samalla nimellä kuin suljetaankin.

ESIMERKKI:

O23 - Service: System Startup Service (SvcProc)
Poiston yhteydessä nimenä käytetään sulkujen sisällä olevaa sanaa Tupla-klikkaa Poisto.bat. filua työpöydälläsi, ikkuna avautuu ja sulkeutuu. Tämä on normaalia.

Merijn Bellekom kyllästyi selainkaappauksiin ja teki jo legendaariseen maineeseen yltäneen ohjelman Hijackthis:n. Ohjelman nimi on hauska “kaappaapas tämä”. Ohjelma on erittäin tehokas työväline haittaohjelmien poistoon, mutta myös liian tehokas väärinkäytettynä. Eli pidä nyrkkisääntönä “Älä tee mitään sellaista Hijackthis-ohjelmalla, mistä olet vähääkään epävarma“. Epävarmoissa tilanteissa kysy aina apua Virustorjunta.net-keskustelualueelta.

Ohjelman asennus ja login scannaaminen

Lataa Trend Micro HijackThis.

1. Tallenna HJTInstall.exe työpöydällesi.
2. Käynnistä kuvakkeesta HJTInstall.
3. Klikkaa Install.(Ohjelma asentuu C:\Program Files\Trend Micro\HijackThis)
4. Asennusohjelma luo HijackThis-kuvakkeen työpöydälle.
5. Kun asennus on valmis, se käynnistää HijackThisin.
6. Klikkaa Do a system scan and save a logfile-painiketta. Ohjelma aloittaa skannauksen ja lokin pitäisi avautua Muistioon.
7. Tallenna HijackThis-loki vaikka työpöydälle, että saat sen kätevästi avattua pian.

Listaa ohjelmat, jotka poistetaan lisää/poista sovelluksen avulla

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Uninstall Manager”-laatikko
5. Valitse “Save list”

Luo käynnistyslista

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Rastita 2 kohtaa “Generate StartupList log”-laatikon vierestä
5. Klikkaa valintaa “Generate StartupList log”

Poista NT Palvelu

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Delete an NT service”
5. Laita poistettavan palvelun nimi (katso ohje tulkintaopas)
6. Valitse ok ja käynnistä kone uudelleen

Yksittäisen tiedoston poisto

Joskus haittaohjelmien tiedostot eivät poistu, ei sitten millään. Tähän ongelmaan voi auttaa seuraava toiminto:

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Delete File on Reboot”
5. Etsi poistettava tiedosto
6. Tupla-klikkaa kyseistä tiedostoa.
7. HijackThis kysyy haluatko käynnistää uudelleen. Klikkaa “Yes”.

Useamman tiedoston poisto

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Delete File on Reboot”
5. Etsi poistettava tiedosto
6. Tupla-klikkaa kyseistä tiedostoa.
7. HijackThis kysyy haluatko käynnistää uudelleen. Klikkaa “No”.
8. Vasta kuin kaikki haluamasi tiedostot on poistettu, valitse lopuksi “Yes”

Tapa käynnissä oleva prosessi

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Open Process Manager”
5. Klikkaa prosessia jonka haluat tappaa
6. Valitse”Yes”

Palauta rivejä takaisin

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “BackUps”
4. Rastita rivi jonka haluat takaisin palauttaa
5. Valitse “Restore”
6. Klikkaa “Yes”
7. Käynnistä uudelleen

Poista ohjelma Poistolistastasi

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Uninstall Manager”
5. Valitse poistettava ohjelma
6. Valitse “Delete this entry”
7. Klikkaa “Yes”

Tarkista käynnissä olevan prosessin ominaisuudet

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Open Process Manager”
5. Tupla-klikkaa prosessia jonka ominaisuudet haluat nähdä

Skannaa piilotetut datavirrat

1. Avaa HiJackThis
2. Valitse “Configure”
3. Valitse “Misc Tools”
4. Valitse “Open ADS Spy..”
5. Valitse “Scan”
6. Valitse “Save Log…”

Lähde: virustorjunta.net nimimerkki Rawe