Formation à l’analyse de rapports HijackThis

11,1K

Interprétation de rapport HijackThis

Les principes du nettoyage
Récapitulons !
. le système a été nettoyé selon les méthodes classiques : maintenance disque, maintenance base de registres, scans anti-virus, anti-spyware, anti-troyen
. le système présente encore des dysfonctionnements
. un examen par HijackThis est effectué en mode sans échec, toutes autres fenêtres fermées, de manière à effectuer un premier nettoyage avec les éléments visibles dans ce mode sans qu’ils soient protégés par des processus en cours
. un examen par HijackThis est effectué en mode normal, toutes autres fenêtres fermées, et fournit une liste d’éléments.
HJT n’utilise pratiquement pas de filtres sauf pour les éléments Rx (URL de MicroSoft) et pour les dernières catégories O20 à O22 (listes noires). Noter qu’il est possible de lancer HijackThis en mode technique sans aucun filtrage.

Cette liste comporte plusieurs parties :
. les processus c’est à dire tous les modules qui sont actifs, dans la mémoire de l’ordinateur et qui sont susceptibles de gêner le nettoyage du système (après analyse)… gêner la suppression des lignes par HJT / gêner la suppression des fichiers sur le disque lui-même. Ces processus ne comportent pas de case et donc, il n’est pas possible de les supprimer en cochant les lignes. Noter qu’il y a dans HJT, un gestionnaire de processus
. des lignes classées dans différentes rubriques de Rx-Pages de démarrage et de recherche d’IE à O22-Clé de Registre SharedTaskScheduler en démarrage automatique
. les services correspondant à la catégorie O23-NT Services
Dernier apport d’HJT, ils constituent un précieux moyen d’intervention !

Il faut que je vous parle là, de l’ambiance sur les forums US vers la fin 2003.
J’étais sur Computing.Net et nous avions à aider des internautes infectés… parfois, nous avions des cas coriaces d’infections avec détournement de pages de démarrage IE, d’apparition de barres de recherche, etc. il y avait quelques trucs tentés pour essayer de “déverrouiller” les pages de démarrage détournées (“Hijacked”) ; nous utilisions des recherches sur disque et dans la base de registres avec comme clés, les inscriptions repérées ici ou là sur l’écran… je me souviens que parfois, sur Computing, nous ne pouvions que baisser les bras en conseillant de poser la question sur SpyWareInfo où des spécialistes faisaient des merveilles avec des méthodes à coucher dehors !
Sur SpywareInfo, il y avait de merveilleux experts en sécurité ainsi que sur d’autres forums. C’est alors qu’il y a eu un DDos de trop sur ces sites de sécurité US ! Ca a abouti à une alliance antispyware : l’ASAP – Alliance of Security Analysis Professionals !
Il y a eu mise en commun des travaux antispy et une collaboration tous azimuts avec les administrateurs de chaque forum qui ont été nommés administrateurs sur l’ensemble des forums de l’ASAP ! même chose pour les développeurs ! même chose pour les experts ! Mise en place de centres de formation, etc.
Chacun des experts et développeurs s’est attaché à un spyware et y est allé de ses utilitaires, qui pour analyser, qui pour éradiquer, de plus en plus sophistiqués et efficaces.
Merijn Bellekom, étudiant en chimie Hollandais, développeur à ses heures sur SWI s’est mis au développement de plusieurs utilitaires dont CWShredder (spécialité de Merijn, la redoutée catégorie des Cool Web Search) et dont HijackThis conçu en collaboration sur le forum : un outil pour repérer les malwares en scrutant tous les emplacements de la base de registres où ils se logeaient !
La guerre antispyware était déclenchée avec la nécessité d’améliorations suite aux astuces de pirates qui trouvent sans arrêt de nouveaux moyens d’activation de leurs parasites !
HijackThis a ceci de merveilleux qu’il n’est pas basé sur une liste de nasties mais sur le fait que pour être actifs, ils doivent se faire référencer dans la BdR, dans des emplacements sous étroite surveillance !

Bref !

Cette fameuse liste processus / éléments d’activation / services comporte des éléments légitimes ou néfastes, sachant que les processus ont pour origine un “élément d’activation” ou un “service”.
Analyser cette liste d’éléments consiste à repérer les lignes néfastes !
Un ordinateur est une machine “bête” et logique ! Dites-vous bien que tout ce qui y est en fonctionnement a été demandé d’une manière ou d’une autre ! Dit autrement, s’il y a dysfonctionnement, la cause est sûrement sous vos yeux, dans la liste !!! Pas de mystère, pas d’intervention surhumaine (il pourrait à la rigueur, y avoir utilisation d’un nouveau moyen d’infection non scruté par HJT mais bon…)… vous avez les éléments infectieux sous les yeux et le jeu consiste à les trouver ! 😉

Une infection, un dysfonctionnement se traduisent par un processus.
Un processus vient des éléments d’activation ou des services.
Certains “éléments d’activation” tels que Rx ne sont que des conséquences, pas des causes… le filet se resserre ! chercher du côté des O2, O3, Fx, O4, O16 à O22, O23… les autres ne font que détourner (transformer) une fonction demandée par l’internaute…
La cause est sous vos yeux !

Chacun des éléments doit être contrôlé en le recherchant (pour diverses raisons, ces recherches sont tout un art) dans :
– des bases de données de références spécialisées par rubrique (voir le paragraphe “les bases de données de référence”, voir “rubrique par rubrique” pour connaître les bases de données)
Ce point est très important c’est pourquoi je le répète : un programme n’est pas néfaste en lui-même mais néfaste à un emplacement donné (un programme de même nom mais situé dans un répertoire anormal doit être soupçonné) et une catégorie donnée (un programme peut avoir sa place dans les processus de par un service mais pas dans les lignes O4)… la base de données qui est relative aux processus n’est pas du tout la base de données relative aux programmes en démarrage automatique !

– sur un moteur de recherche sur le Web comme Google ; hélas, avec toutes ces infections de malwares, les moteurs de recherche sont envahis par des discussions sur des forums et de fichiers log ; la recherche devient là tout un art :
— si je trouve un lien Google vers un éditeur antimalware, c’est le bonheur !
— si je trouve un/des liens vers des discussions de forums, je choisis en fonction de la réputation des forums (voir “les forums spécialisés”) et je vérifierai de même la notoriété des intervenants… si j’ai un intervenant réputé, je saurai si mon module est un nasty et également comment il a réussi à éradiquer çà ! c’est le bonheur !
— si je ne trouve que des liens vers des forums de seconde zone, je ferai avec…
– si je ne trouve ni dans une base de données, ni sur un moteur de recherche, c’est presque le bonheur car vu tout ce qui est indexé sur le Web, il s’agit sans doute d’un nom de programme aléatoire créé de toute pièce par le malware ! prudence toutefois !

Les pirates utilisent la technique du social engineering (ingénierie sociale en Français) pour tâcher de ne pas être repérés, qui consiste à tromper l’utilisateur en utilisant un nom de fichier se rapprochant d’un nom existant… pour impressionner et s’en tirer sans coche… mais l’infection sera sans doute encore là, au redémarrage !!!
Les pirates ne se laissent pas faire comme çà et brouillent les cartes en abusant l’internaute par des aspects techniques sérieux qui lui font considérer le programme néfaste comme étant un légitime !
Un exemple est constitué par :
– le programme MSLagent est néfaste (Adware.Slagent / trojan.simcss.b)
– le programme DSLagent est légitime (obligatoire pour certains modems DSL par USB)
– le programme C:\MSagent.exe est néfaste (TROJ_NEGASMS.A)
– le programme MSagent, néfaste, peut aussi être un “Browser hijacker, redirecting to buldog-search.com”
– le dossier C:\Windows\MSagent est légitime (élément standard de Windows)
– MCagent.exe est légitime (scan online de McAfee).
Ce cas est monnaie courante !
Un autre exemple est Instant Access qui peut être :
– un module légitime faisant partie de l’application TextBridge (reconnaissance de caractères)

– un élément néfaste

Doucement ! Attention aux confusions !
Le paragraphe “Soupçons d’infection” rapporte un certain nombre de conseils d’experts sur le sujet !

Je vous le répète, un ordi est une machine bête, tout ce qui se passe (réinfection) correspond à un processus !

Les pirates utilisent aussi un système de réinfection en croisant plusieurs malwares qui remettent les choses en place si, au redémarrage, certains éléments infectieux manquent ! en ce cas, il faut prendre garde à tout fixer d’un coup (l’époque où on enlevait gentiment certaines lignes évidentes, puis ensuite quelques autres est révolue) !
Il y a aussi des systèmes de ré-infection dynamiques ! vous supprimez une valeur dans la base de registres, elle disparaît… attendez quelques minutes et la revoilà qui réapparaît sous vos yeux ! Si ça se produit lors d’un nettoyage manuel, vous imaginez par HJT !… il y a un processus qui vous fait ce coup !!!
Le domaine des malwares est vivant et la guerre continue des 2 côtés : pirates et alliés !

Finalement pas si simple de détecter les éléments infectieux du système !

Les bases de données de référence
Comme dit plus haut, les éléments listés par HJT doivent être séparés entre légitimes (à conserver) et néfastes (à éliminer = “fixer”, en les cochant).
Pour décider, il faut rechercher chaque programme sur l’Internet, dans l’ordre :
– dans des bases de données spécialisées (par rubrique),
– sur le site Web des éditeurs d’utilitaires de sécurité,
– sur les forums (en vérifiant la qualité du forum et de l’internaute qui poste) ; un paragraphe ci-dessous propose quelques lignes sur ce point.
Concernant les bases de données spécialisées, insistons sur le fait qu’on recherche un programme de ligne O4 (Démarrage) dans une StartupList et non dans une ProcessList (ou TaskList) et encore moins une BHOList parce qu’un programme peut être normal en démarrage mais pas ailleurs !
Les bases de données disponibles sont constituées par des experts à partir de la collecte, sur les forums, des programmes rencontrés !

Chaque base de données peut avoir sa légende propre mais distingue les éléments X=infectieux, inconnus, inutiles, légitimes, obligatoires, etc.
Observer la base de données et lire les explications disponibles pour apprendre à l’utiliser !
L’élément à rechercher dans la base dépend de la rubrique.

Par exemple, pour l’élément

à rechercher dans une BHOList (eg TonyKlein’s), c’est le CLSID 0000CC75-ACF3-4cac-A0A9-DD3868E06852 qui sert de clé de recherche et qui fournit l’élément ouvert à débat que PCA-Sécurité considère comme néfaste !
Pour l’élément

à rechercher dans une StartupList (eg PacMan’s), c’est SpySweeper.exe qui est la clé de recherche. Utiliser également le nom [entre crochets] comme clé de recherche parce que, parfois, le nom du programme est aléatoire (inventé par le malware). Bien se souvenir qu’Unix et l’Internet utilisent des “/” comme séparateurs de répertoires dans le chemin et l’adresse Web ainsi que Windows pour ses commutateurs (paramètre, switch, ici /0) tandis que Windows utilise “\” comme séparateur dans le chemin sur disque.
Pour l’élément à structure complexe

s’il n’était pas évidemment néfaste (logé dans un répertoire temporaire), le programme à rechercher serait se.dll qui est en fait un paramètre du programme rundll32, lequel est un lanceur de programme dll !

Je rapporte ici le mode de travail de griggione…

Comme on peut le voir, griggione, spécialiste en interprétation de fichiers log HJT s’il en est, conserve sous la main, un grand nombre de bases de données pour vérifier la légitimité de chaque élément. Merci à toi, griggione ! on connaît tes secrets, tu peux trembler maintenant ! LOL 😉

Sans que cette liste soit exhaustive, voici une liste de bases de données :

Les soupçons d’infection
Rechercher tous les programmes dans une base de données de référence est quelque chose de très long et fastidieux ! Avec la pratique, on acquiert de l’expérience et on a en tête, des noms de programmes légitimes et des éléments qui font soupçonner un malware.
Il est impossible de citer tous les programmes et même toutes les applications légitimes mais voici des emprunts aux experts de SpyWareInfo concernant leurs soupçons d’infection :

Voici quelques ajouts de mon cru :

Les différentes sortes de rubriques

HJT a été développé pour avoir sous les yeux les éléments de la base de registres à surveiller.
Y ont été listées :
– des rubriques permettant de soupçonner une infection, des rubriques altérées suite à un malware. Le contenu de ces rubriques est la conséquence de malwares et non la cause : les fixer n’enlèvera pas le malware pour autant :
Rx, Nx, O3, O14
– des rubriques qui empêchent la réparation :
O5, O6, O7
– des rubriques qui causeront des dysfonctionnements si on emploie les fonctions correspondantes de Windows ou d’Internet Explorer :
O1, O8, O9, O10, O11, O12, O13, O15, O16, O17, O18, O19
– des rubriques causant directement l’infection par l’activation d’un élément infectieux logé sur le disque dur :
Fx, O2, O4, O20, O21, O22, O23

Rubrique par rubrique