HijackThis日志细解正文（九）：组别——O5

www.rising.com.cn 2004-8-5 16:32:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O5项与控制面板中被屏蔽的一些IE选项相关，一些恶意程序会隐藏控制面板中关于IE的一些选项，这可以通过在control.ini文件中添加相关命令实现。

2. 举例

O5 - control.ini: inetcpl.cpl=no
这里隐藏了控制面板中的internet选项

3. 一般建议

除非您知道隐藏了某些选项（比如公司网管特意设置的），或者是您自己如此设置的，否则应该用HijackThis修复。

HijackThis日志细解正文（十）：组别——O6

www.rising.com.cn 2004-8-5 16:39:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O6提示Internet选项（打开IE——工具——Internet选项）被禁用。管理员可以对Internet选项的使用进行限制，一些恶意程序也会这样阻挠修复。这里用到的注册表项目是
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions

2. 举例

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
这里禁用了internet选项

3. 一般建议

除非您知道禁用了internet选项（比如网吧使用了一些管理软件），或者是您自己有意设置的（通过改注册表或者使用一些安全软件），否则应该用HijackThis修复。

HijackThis日志细解正文（十一）：组别——O7

www.rising.com.cn 2004-8-5 16:43:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O7提示注册表编辑器（regedit）被禁用。管理员可以对注册表编辑器的使用进行限制，一些恶意程序也会这样阻挠修复。这可以通过对注册表如下键的默认值的修改实现
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System

2. 举例

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
这里禁用了注册表编辑器。

3. 一般建议

除非您知道禁用了注册表编辑器（比如公司使用了一些管理软件），或者是您自己有意设置的（通过改注册表或者使用一些安全软件），否则应该用HijackThis修复。

HijackThis日志细解正文（十二）：组别——O8

www.rising.com.cn 2004-8-5 16:43:00 信息源:瑞星公司 作者:风之咏者
 

1. 项目说明

O8项指IE的右键菜单中的新增项目。除了IE本身的右键菜单之外，一些程序也能向其中添加项目。相关注册表项目为
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt

2. 举例

O8 - Extra context menu item: 使用网际快车下载 - C:\PROGRAM FILES\FLASHGET\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\PROGRAM FILES\FLASHGET\jc_all.htm
这是网际快车（FlashGet）添加的。
O8 - Extra context menu item: &Download by NetAnts - C:\PROGRA~1\NETANTS\NAGet.htm
O8 - Extra context menu item: Download &All by NetAnts - C:\PROGRA~1\NETANTS\NAGetAll.htm
这是网络蚂蚁（NetAnts）添加的。
O8 - Extra context menu item: 使用影音传送带下载 - C:\PROGRA~1\Xi\NETTRA~1\NTAddLink.html
O8 - Extra context menu item: 使用影音传送带下载全部链接 - C:\PROGRA~1\Xi\NETTRA~1\NTAddList.html
这是影音传送带（Net Transport）添加的。
O8 - Extra context menu item: 导出到 Microsoft Excel(&x) - res://F:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
这是Office添加的。

3. 一般建议

如果不认得新添加的项目，其所在路径也可疑，可以用HijackThis修复。建议最好先在www.google.com上查一下。暂时未在网上找到O8项的列表。

HijackThis日志细解正文（十三）：组别——O9

www.rising.com.cn 2004-8-5 15:01:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

  O9提示额外的IE“工具”菜单项目及工具栏按钮。前面O3是指工具条，这里是新增的单个工具栏按钮和IE“工具”菜单项目。相关注册表项目为
HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions registry key

2. 举例

O9 - Extra button: QQ (HKLM)
就是IE工具栏上的QQ按钮。
O9 - Extra button: UC (HKLM)
IE工具栏上的UC按钮。
O9 - Extra button: FlashGet (HKLM)
IE工具栏上的网际快车（FlashGet）按钮。
O9 - Extra `Tools` menuitem: &FlashGet (HKLM)
IE“工具”菜单中的网际快车（FlashGet）项。
O9 - Extra button: NetAnts (HKLM)
IE工具栏上的网络蚂蚁（NetAnts）按钮。
O9 - Extra `Tools` menuitem: &NetAnts (HKLM)
IE“工具”菜单中的网络蚂蚁（NetAnts）项。
O9 - Extra button: Related (HKLM)
IE工具栏上的“显示相关站点”按钮。
O9 - Extra `Tools` menuitem: Show &Related Links (HKLM)
IE“工具”菜单中的“显示相关站点”项。
O9 - Extra button: Messenger (HKLM)
IE工具栏上的Messenger按钮。
O9 - Extra `Tools` menuitem: Windows Messenger (HKLM)
IE“工具”菜单中的“Windows Messenger”项。

3. 一般建议

  如果不认得新添加的项目或按钮，可以用HijackThis修复。

4. 疑难解析

  （暂无）

HijackThis日志细解正文（十四）：组别——O10

www.rising.com.cn 2004-8-5 15:09:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

  O10项提示Winsock LSP(Layered Service Provider)“浏览器劫持”。某些间谍软件会修改Winsock 2的设置，进行LSP“浏览器劫持”，所有与网络交换的信息都要通过这些间谍软件，从而使得它们可以监控使用者的信息。著名的如New.Net插件或WebHancer组件，它们是安装一些软件时带来的你不想要的东西。相关的中文信息可参考——
http://tech.sina.com.cn/c/2001-11-19/7274.html

2. 举例

O10 - Hijacked Internet access by New.Net
  这是被广告程序New.Net劫持的症状（可以通过“控制面板——添加删除”来卸载）。
O10 - Broken Internet access because of LSP provider `c:\progra~1\common~2\toolbar\cnmib.dll` missing
  这一般出现在已清除间谍软件但没有恢复LSP正常状态的情况下。此时，网络连接可能丢失。
O10 - Unknown file in Winsock LSP: c:\program files\newton knows\vmain.dll
  这是被广告程序newtonknows劫持的症状，相关信息可参考http://www.pestpatrol.com/PestInfo/n/newtonknows.asp

3. 一般建议

  一定要注意，由于LSP的特殊性，单单清除间谍软件而不恢复LSP的正常状态很可能会导致无法连通网络！如果您使用杀毒软件清除间谍程序，可能遇到如上面第二个例子的情况，此时可能无法上网。有时HijackThis在O10项报告网络连接破坏，但其实仍旧可以连通，不过无论如何，修复O10项时一定要小心。

  遇到O10项需要修复时，建议使用专门工具修复。

（1）LSPFix http://www.cexx.org/lspfix.htm

（2）Spybot-Search&Destroy（上面提到过，但一定要使用最新版）

  这两个工具都可以修复此问题，请进一步参考相关教程。

4. 疑难解析

  某些正常合法程序（特别是一些杀毒软件）也会在Winsock水平工作。比如
O10 - Unknown file in Winsock LSP: c:\windows\system32\kvwsp.dll

  这一项就属于国产杀毒软件KV。所以，在O10项遇到“Unknown file in Winsock LSP”一定要先查询一下，不要一概修复。

HijackThis日志细解正文（十五）：组别——O11

www.rising.com.cn 2004-8-5 15:12:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O11项提示在IE的高级选项中出现了新项目。相关注册表项目可能是
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions

2. 举例

O11 - Options group: [CommonName] CommonName
  这个是已知需要修复的一项。
O11 - Options group: [!CNS]
O11 - Options group: [!IESearch] !IESearch
  这2个是国内论坛上的HijackThis扫描日志里最常见的O11项，分属3721和百度，去留您自己决定。如果想清除，请先尝试使用“控制面板——添加删除”来卸载相关程序。

3. 一般建议

  遇到CommonName应该清除，遇到其它项目请先在网上查询一下。

4. 疑难解析

  （暂无）

HijackThis日志细解正文（十六）：组别——O12

www.rising.com.cn 2004-8-5 15:14:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

  O12列举IE插件（就是那些用来扩展IE功能、让它支持更多扩展名类型文件的插件）。相关注册表项目是HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\plugins

2. 举例

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O12 - Plugin for .PDF: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
  这两个都属于Acrobat软件。

3. 一般建议

  绝大部分这类插件是安全的。已知仅有一个插件（OnFlow，用以支持文件类型.ofb）是恶意的，需要修复。遇到不认得的项目，建议先在网上查询一下。

4. 疑难解析

  （暂无）

HijackThis日志细解正文（十七）：组别——O13

www.rising.com.cn 2004-8-5 15:22:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

  O13提示对浏览器默认的URL前缀的修改。当在浏览器的地址栏输入一个网址而没有输入其前缀（比如http://或ftp://）时，浏览器会试图使用默认的前缀（默认为http://）。相关注册表项目包括HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix\
当此项被修改，比如改为http://www.AA.BB/?那么当输入一个网址如www.rising.com.cn时，实际打开的网址变成了——http://www.AA.BB/?www.rising.com.cn

2. 举例

O13 - DefaultPrefix: http://www.pixpox.com/cgi-bin/click.pl?url=
O13 - WWW Prefix: http://prolivation.com/cgi-bin/r.cgi?
O13 - WWW. Prefix: http://ehttp.cc/?
O13 - DefaultPrefix: http://%6E%6B%76%64%2E%75%73/ （翻译过来就是http://nkvd.us/）
O13 - WWW Prefix: http://%6E%6B%76%64%2E%75%73/ （翻译过来就是http://nkvd.us/））
O13 - DefaultPrefix: c:\searchpage.html?page=
O13 - WWW Prefix: c:\searchpage.html?page=
O13 - Home Prefix: c:\searchpage.html?page=
O13 - Mosaic Prefix: c:\searchpage.html?page=

3. 一般建议

  著名恶意网站家族CoolWebSearch可能造成此现象。建议使用CoolWebSearch的专杀——CoolWebSearch Shredder （CWShredder.exe）来修复，本帖前部已提到过此软件，并给出了相关小教程的链接。

  如果使用CWShredder.exe发现了问题但却无法修复（Fix），请在安全模式使用CWShredder.exe再次修复（Fix）。

  如果使用CWShredder.exe后仍然无法修复或者根本未发现异常，再使用HijackThis来扫描修复。

4. 疑难解析

  对于searchpage.html这个“浏览器劫持”（上面例子中最后4个就是它的现象），请参考 【原创】近期论坛中2个较常被提到的恶意网页的解决方法(searchpage.html和http://aifind.info/)

  简单说，就是——“对于searchpage.html这个问题，上面提到的CWShredder.exe可以修复（Fix），普通模式不能修复的话，请在安全模式使用CWShredder.exe修复（Fix），修复后清空IE临时文件(打开IE浏览器——工具——internet选项——删除文件，可以把“删除所有脱机内容”选上)，重新启动。”

HijackThis日志细解正文（十八）：组别——O14

www.rising.com.cn 2004-8-5 15:26:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

  O14提示IERESET.INF文件中的改变，也就是对internet选项中“程序”选项卡内的“重置WEB设置”的修改。该IERESET.INF文件保存着IE的默认设置信息，如果其内容被恶意程序改变，那么一旦您使用“重置WEB设置”功能，就会再次激活那些恶意修改。

2. 举例

  O14 - IERESET.INF: START_PAGE_URL=http://www.searchalot.com

3. 一般建议

  如果这里列出的URL不是指向你的电脑提供者或Internet服务提供者（ISP），可以使用HijackThis修复。

4. 疑难解析

（暂无）

HijackThis日志细解正文（十九）：组别——O15

www.rising.com.cn 2004-8-5 15:26:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

  O15项目提示“受信任的站点”中的不速之客，也就是那些未经您同意自动添加到“受信任的站点”中的网址。“受信任的站点”中的网址享有最低的安全限制，可以使得该网址上的恶意脚本、小程序等更容易躲过用户自动执行。相关注册表项目
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains

2. 举例

O15 - Trusted Zone: http://free.aol.com

3. 一般建议

  如果不认得该网站，建议使用HijackThis来修复。

4. 疑难解析

（暂无）

HijackThis日志细解正文（二十）：组别——O16

www.rising.com.cn 2004-8-5 15:29:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O16 - 下载的程序文件，就是Downloaded Program Files目录下的那些ActiveX对象。这些ActiveX对象来自网络，存放在Downloaded Program Files目录下，其CLSID记录在注册表中。

2. 举例

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
用来看flash的东东，相信很多朋友都安装了。
O16 - DPF: {DA984A6D-508E-11D6-AA49-0050FF3C628D} (Ravonline) - http://download.rising.com.cn/ravkill/rsonline.cab
瑞星在线查毒。

3. 一般建议

如果不认得这些ActiveX对象的名字，或者不知道其相关的下载URL，建议使用搜索引擎查询一下，然后决定是否使用HijackThis来修复该项。如果名字或者下载URL中带有“sex”、“adult”、“dialer”、“casino”、“free_plugin”字样， 一般应该修复。HijackThis修复O16项时，会删除相关文件。但对于某些O16项，虽然选择了让HijackThis修复，却没能够删除相关文件。若遇到此情况，建议启动到安全模式来修复、删除该文件。

4. 疑难解析

（暂无）

HijackThis日志细解正文（二十一）：组别——O17

www.rising.com.cn 2004-8-5 15:30:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O17提示“域劫持”，这是一些与DNS解析相关的改变。已知会造成此现象的恶意网站为Lop.com。上面在解释O1项时提到过，当在浏览器中输入网址时，如果hosts文件中没有相关的网址映射，将请求DNS域名解析以把网址转换为IP地址。如果恶意网站改变了您的DNS设置，把其指向恶意网站，那么当然是它们指哪儿您去哪儿啦！

2. 举例

O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = aoldsl.net
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W21944.find-quick.com
O17 - HKLM\Software\..\Telephony: DomainName = W21944.find-quick.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domain = W21944.find-quick.com
017 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.57.146.14,69.57.147.175

3. 一般建议

如果这个DNS服务器不是您的ISP或您所在的局域网提供的，请查询一下以决定是否使用HijackThis来修复。已知Lop.com应该修复，似乎已知的需要修复的O17项也就此一个。

4. 疑难解析

（暂无）

HijackThis日志细解正文（二十二）：组别——O18

www.rising.com.cn 2004-8-5 15:32:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O18项列举现有的协议（protocols）用以发现额外的协议和协议“劫持”。相关注册表项目包括
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID等等。

通过将您的电脑的默认协议替换为自己的协议，恶意网站可以通过多种方式控制您的电脑、监控您的信息。

HijackThis会列举出默认协议以外的额外添加的协议，并列出其在电脑上的保存位置。

2. 举例

O18 - Protocol: relatedlinks - {5AB65DD4-01FB-44D5-9537-3767AB80F790} - C:\PROGRA~1\COMMON~1\MSIETS\msielink.dll
O18 - Protocol: mctp - {d7b95390-b1c5-11d0-b111-0080c712fe82}
O18 - Protocol hijack: http - {66993893-61B8-47DC-B10D-21E0C86DD9C8}

3. 一般建议

已知`cn` (CommonName)、`ayb` (Lop.com)和`relatedlinks` (Huntbar)是需要用HijackThis修复的。其它情况复杂，可能（只是可能）有一些间谍软件存在，需要进一步查询资料、综合分析。

4. 疑难解析

（暂无）

HijackThis日志细解正文（二十三）：组别——O19

www.rising.com.cn 2004-8-5 15:34:00 信息源:瑞星社区 作者:风之咏者


1. 项目说明

O19提示用户样式表（stylesheet）“劫持”，样式表是一个扩展名为.CSS的文件，它是关于网页格式、颜色、字体、外观等的一个模板。相关注册表项目
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Styles\: User Stylesheets

此外，此项中也可能出现.ini、.bmp文件等。

2. 举例

O19 - User stylesheet: c:\WINDOWS\Java\my.css
O19 - User stylesheet: C:\WINDOWS\Web\tips.ini
O19 - User stylesheet: C:\WINDOWS\win32.bmp

3. 一般建议

已知，datanotary.com会修改样式表。该样式表名为my.css或者system.css，具体信息可参考
http://www.pestpatrol.com/pestinfo/d/datanotary.asp
http://www.spywareinfo.com/articles/datanotary/
该“浏览器劫持”也属于CoolWebSearch家族，别忘了上面多次提到的专杀。

当浏览器浏览速度变慢、经常出现来历不明的弹出窗口，而HijackThis又报告此项时，建议使用HijackThis修复。如果您根本没使用过样式表而HijackThis又报告此项，建议使用HijackThis修复。