Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Windows Windows Vista Sécurité [INFO] : un bon remplaçant à HiJackThis : ZHPDiag

[INFO] : un bon remplaçant à HiJackThis : ZHPDiag

22 réponses
Avatar
Herser
Bonsoir toutes et tous

Nous conseillons souvent, en cas d'infection, à ceux qui viennent ici,
l'outil HiJackThis (=HJT)
http://www.hijackthis.de/fr

Cet outil diagnostique les processus en cours, et les inscrit, par
catégorie, dans un fichier log.
L'analyse de ce log permet, entre autres, de repérer des malveillants.

Malheureusement, depuis la reprise par TrendMicro, l'outil n'évolue plus :
http://www.trendsecure.com/portal/fr/tools/security_tools/hijackthis

De plus l'analyse sur site du log n'est plus à jour depuis 2006
Des malwares récents passent au travers, les faux positifs ne sont plus
corrigés.
Il est donc déconseillé de se contenter d'envoyer le log sur le site HJT.

Nous utilisons alors Zeb Help Process (ZHP) de Nicolas Coolman (Zebulon)
pour une première analyse :
http://www.premiumorange.com/zeb-help-process/index.html
Cet outil d'analyse est quotidiennement mis à jour par les "helpers" des
forums de désinfection.

Mais l'outil d'analyse (ZHP) dépend alors de l'outil de diagnostic (HJT)

D'où la création par Nicolas Coolman d'un outil propre de diagnostic,
compatible ZHP
C'est ZHPDiag qui arrive à maturité :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
Le travail important de Nicolas et les tests et correctifs amenés par les
experts sécurité de ces forums permettent de dépasser HJT.

Conclusion : - utiliser ZHPDiag en place de HJT.
- faites ensuite analyser le log par des "helpers
formés"

Vous apprendrez aussi à leur contact

Et bon week end avant la rentrée (scolaire)

Herser
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3
Avatar
JF
Newsgroup d'origine du message :
news://msnews.microsoft.com/microsoft.public.fr.windows.vista.securite
(si vous lisez ce message dans un forum c'est qu'il a été copié)
Michel Claveau - MVP :

Bonsoir !


Bonjour !

J'ai essayé. Ça me semble un bon début.

Quelques critiques (constructives, pour améliorer le soft) :
- J'ai crée un bouton supplémentaire, et une barre d'outils avec 3 boutons,
pour IE. Les deux sont bien trouvés, mais ils sont désactivés dans IE, et
cela n'est pas vu par ZHP

- J'ai créé et installé de nouveaux protocoles dans Internet Explorer. Ils
ne sont pas détectés. D'ailleurs, cette section me semble incomplète.

- Sinon, un truc qui me semble intéressant à analyser, c'est les menus
contextuels (clic-droit) de l'xplorateur.

@+



Écris à Nicolas, il tient compte des remarques constructives.

--
Salutations, Jean-François
Avatar
Herser
Michel Claveau - MVP wrote:
Re !

J'ai aussi une tâche planifiée, à l'ouverture de session, qui n'est
pas détectée.

@+

MCI



Re !

Je n'avais pas réagi.
En fait ZHPDiag a des options + complètes
Clique sur Options (le tournevis)
Et coche la 1° ligne Tâches planifiées, par exemple
En fait coche tout, mais c'est beaucoup + long
Mais + complet
Tu auras peut-être des réponses

Herser
Avatar
migau
"Herser" a écrit dans le message de groupe de discussion
:
Bonsoir toutes et tous

Nous utilisons alors Zeb Help Process (ZHP) de Nicolas Coolman (Zebulon)



Herser



bonjour

j'ai installé ce soft, qui me semble bien,

par contre une petite question
lors de l'installation, on se retrouve avec une icône supplémentaire
dans le panneau de configuration
BDE administrator

je pense que ceci sert à se connecter à la base de données
en espérant qu'il n' y ait pas de mouchard dedans.
pouvez vous m'en dire un peu plus sur le contenu ,
d'avance merci.

migau
Avatar
Herser
migau wrote:
"Herser" a écrit dans le message de groupe de
discussion

Bonsoir toutes et tous

Nous utilisons alors Zeb Help Process (ZHP) de Nicolas Coolman
(Zebulon)



Herser



bonjour

j'ai installé ce soft, qui me semble bien,

par contre une petite question
lors de l'installation, on se retrouve avec une icône supplémentaire
dans le panneau de configuration
BDE administrator

je pense que ceci sert à se connecter à la base de données
en espérant qu'il n' y ait pas de mouchard dedans.
pouvez vous m'en dire un peu plus sur le contenu ,
d'avance merci.

migau



Bonjour migau

Aucun danger
Comme tu l'as deviné ce logiciel est programmé pour utiliser une base de
données :
Borland Database Engine = BDE
D'ailleurs au cours de l'installation, il t'a demandé où tu voulais
installer ce gestionnaire de base.
ZHP utilise plusieurs bases *.db pour :
- les lignes HJT ou ZHPDiag
- la liste des malwares
- la liste des clés registre CLSID
- la liste des processus
etc....

A chaque mise à jour ces bases sont complétées et corrigées.

D'autres programmes utilisent BDE comme Avast.

Herser
Avatar
migau
"Herser" a écrit dans le message de groupe de discussion
:
migau wrote:
"Herser" a écrit dans le message de groupe de
discussion

Bonsoir toutes et tous

Nous utilisons alors Zeb Help Process (ZHP) de Nicolas Coolman
(Zebulon)



Herser



bonjour

j'ai installé ce soft, qui me semble bien,

par contre une petite question
lors de l'installation, on se retrouve avec une icône supplémentaire
dans le panneau de configuration
BDE administrator

je pense que ceci sert à se connecter à la base de données
en espérant qu'il n' y ait pas de mouchard dedans.
pouvez vous m'en dire un peu plus sur le contenu ,
d'avance merci.

migau



Bonjour migau

Aucun danger
Comme tu l'as deviné ce logiciel est programmé pour utiliser une base de
données :
Borland Database Engine = BDE
D'ailleurs au cours de l'installation, il t'a demandé où tu voulais
installer ce gestionnaire de base.
ZHP utilise plusieurs bases *.db pour :
- les lignes HJT ou ZHPDiag
- la liste des malwares
- la liste des clés registre CLSID
- la liste des processus
etc....

A chaque mise à jour ces bases sont complétées et corrigées.

D'autres programmes utilisent BDE comme Avast.

Herser



merci pour ce complément d'information

bon après midi

migau



Avatar
Geo
Bonsoir

Il y a un truc qui me gêne c'est le bouton zphFix.
Dans la tradition Anglo-saxonne on peut penser que cela veut dire
"Corriger", dans l'optique d'une diffusion mondiale, je ne conteste
pas, ou pas trop.
Mais là ça ne corrige rien.
A moins que ce ne soit tout bonnement du français tronqué et que ça
veuille dire qu'on fixe sur l'écran les lignes qu'on doit (veut) garder
? Honnêtement, je n'ai pas compris s'il fallait et quand s'en servir.


Dans le style franglais il y a aussi quelques taches :
"Ce bouton permet de supprimer certains tools de diagnostic et/ou de
désinfection"
"Ce bouton permet de visualiser le rapport de suppression ou de coller
un rapport d'un fichier en provenance d'un helper de forum sécurité"

Alors qu'il y a eu des efforts comme "pilote (driver)".

Bonne continuation.

--
A+
Avatar
Herser
Geo wrote:
Bonsoir



Bonsoir Geo

Il y a un truc qui me gêne c'est le bouton zphFix.
Dans la tradition Anglo-saxonne on peut penser que cela veut dire
"Corriger", dans l'optique d'une diffusion mondiale, je ne conteste
pas, ou pas trop.
Mais là ça ne corrige rien.



ZPHFix (ou nettoyeur de rapports) est une extension (plug in) récente de ZHP
Qui s'inspire de HiJackThis et de son Fix
En fait, cela permet en *cochant* les lignes malveillantes ou inutiles de
les *supprimer*.
C'est donc un outil à manier avec prudence.
Le principe est de faire un diagnostic avec ZHPDiag à envoyer sur NG ou
Forum spécialisé
Le "Helper "(celui qui aide) utilise ZHP, plus d'autres outils, plus surtout
son expérience pour éradiquer les malwares.
ZHPFix regroupe toutes les lignes connues comme malicieuses ou non traitées
ou inutiles
Il faut ensuite faire le tri, avec expérience, cocher les lignes à supprimer
du PC et "fixer"
On y trouve souvent ctfmon par exemple, processus que tu connais.
Et inutile si on ne se sert que de la langue Fr.

Mais ce n'est pas le seul outil pour corriger, car beaucoup de malwares se
régénèrent au prochain reboot.


A moins que ce ne soit tout bonnement du français tronqué et que ça
veuille dire qu'on fixe sur l'écran les lignes qu'on doit (veut)
garder ? Honnêtement, je n'ai pas compris s'il fallait et quand s'en
servir.



Voir ci- dessus

Dans le style franglais il y a aussi quelques taches :
"Ce bouton permet de supprimer certains tools de diagnostic et/ou de
désinfection"



C'est sûr que "outils" serait mieux.

"Ce bouton permet de visualiser le rapport de suppression ou de coller
un rapport d'un fichier en provenance d'un helper de forum sécurité"



Le terme "helper" est passé dans les "moeurs" des forums de sécurité.
C'est mieux que "aidant" peu employé en français
et + simple que "celui qui peut vous aider"


Alors qu'il y a eu des efforts comme "pilote (driver)".




Cette équipe de l'espace sécurité dont Nicolas Coolman est un pilier n'est
pas franco-française.
Elle a l'ambition de travailler avec des spécialistes de divers pays et
l'anglais est bien sûr leur langue commune.
Dans ZPH tu as un bouton option qui permet une traduction dans les
principales langues d'origine européenne.
Les membres de cet espace essaie de lutter contre cette plaie de + en +
gênante.
En mettant leur force en commun, même si parfois il y a des guéguerres de
clan
Beaucoup sont impliqués dans les principaux logiciels de sécurité.
Et ils ne travaillent pas que sur Zebulon
D'ailleurs ils ont invité JF et récemment moi-même à les rejoindre.

Pour en savoir plus, tu connais Gérard Mélone (ip_001) :
MVP,
administrateur de l'espace sécurité
membre très actif depuis 2002

Quelques liens :
http://ipl001.gm.free.fr/Espace_Securite.html
http://ipl001.gm.free.fr/Zeb_ES.html

En dehors des aspects sécurité pour lesquels ces outils sont d'abord créés,
il sont aussi des outils système.
Comme Process Explorer ou Process Monitor, ils listent les processus.
Mais il les regoupent aussi en catégories les rendant plus lisibles

Bonne continuation.



A toi aussi

Herser
Avatar
Geo
Bonjour Herser

Merci pour ces explications à une heure aussi avancée.

Le terme "helper" est passé dans les "moeurs" des forums de sécurité.
C'est mieux que "aidant" peu employé en français
et + simple que "celui qui peut vous aider"



J'ai l'impression que ce mot est utilisé sur la même page dans un autre
sens, en particulier avec un H majuscule.

Ceci dit, j'ai toujours un peu de mal à comprendre, est-ce qu'on n'a
pas voulu tout mettre sur un seul outil alors qu'il vaut mieux un outil
différent par acteur ? Un pour le patient et un pour le médecin ?
Mais je suis peut-être mal réveillé.

--
A+
Avatar
Herser
Geo wrote:
Bonjour Herser

Merci pour ces explications à une heure aussi avancée.

Le terme "helper" est passé dans les "moeurs" des forums de sécurité.
C'est mieux que "aidant" peu employé en français
et + simple que "celui qui peut vous aider"



J'ai l'impression que ce mot est utilisé sur la même page dans un
autre sens, en particulier avec un H majuscule.

Ceci dit, j'ai toujours un peu de mal à comprendre, est-ce qu'on n'a
pas voulu tout mettre sur un seul outil alors qu'il vaut mieux un
outil différent par acteur ? Un pour le patient et un pour le médecin
? Mais je suis peut-être mal réveillé.



Bonne remarque, qui rejoins d'ailleurs ton H maj.
Comme en médecine, il y a de l'automédicamentation.
L'antivirus (bien nommé pour l'analogie médicale), et les antimachins en
sont.

Quand ça devient complexe ou que le "malade" est novice on fait appel à
l'expert.
L'expert (le helper) va demander un diagnostic avec ZHPDiag (ou HJT, ou
autres RSIT.....).
Il est tentant pour l'aidé d'essayer de se guérir à partir de ces outils.
On insiste, mais jamais assez, sur le danger de faire n'importe quoi.

Tout comme il est difficile d'empêcher un malade de consulter des sites
internet sur ses symptômes,
il est difficile d'empêcher un utilisateur d'essayer de se débrouiller tout
seul.
Et il est vrai que des outils permettent une première désinfection avec ces
"Fix"
Fix qui sont quand même intéressants pour ceux qui maîtrisent un peu.

Et on trouve "en vente libre" des outils efficaces mais encore + dangereux
comme :
http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
Ou même l'anti-rootkit GMER :
http://www.malekal.com/tutorial_GMER.php

Par contre certains outils ne sont pas "en vente libre" et réservés aux
Helpers reconnus
ZHP a ainsi une version Helper : ZHPH encore + performante
Ces outils ne sont accessibles qu'avec des passes.
On emploie souvent le terme Helper avec H maj, dans ce cas.
Tu connais privatenews, il existe des sécuriténews/forums même s''ils
s'appellent autrement.

Deux raisons à cela :
- celle que tu indiques, on est sûr ainsi que le "praticien" est formé
C'est bien un outil pour médecin, et pas pour patient ou "faux médecin".
- et, pour moi essentiel, ces outils ne sont pas accessibles aux pirates (en
théorie bien sûr).
Les pirates passent du temps sur les sites de sécurité pour avoir une
longueur d'avance.
J'utilise souvent l'analogie avec le dopage (encore médicale).
Les "dopeurs" sont en contact avec des médecins spécialistes.

Quand quelqu'un bénéficie de l'accès à ces espaces, il s'engage à ne pas
divulguer certaines données.
Comme tout MVP pour Microsoft.

En espérant répondre à tes interrogations....

Herser
Avatar
Geo
Bonjour Herser

En espérant répondre à tes interrogations....



Oui, je pense.
merci.

Me reste plus qu'à faire le tri en fonction de mon niveau de compétence
ou d'incompétence.

Bonne journée

--
A+
1 2 3