HijackThis - Analyse des lignes O16 - ActiveX Objects (aka Downloaded Program Files)

Les lignes O16
Les lignes O16 d'une analyse HijackThis font ressortir les programmes de type "Contrôles ActiveX" qui ont été téléchargés. Ces lignes donnent également les emplacement depuis lesquels les fichiers ont été téléchargés. Ceci permet, lors d'une analyse d'un journal HijackThis par quelqu'un qui n'est pas devant la machine analysée, de télécharger lui-même ces fichiers et de les faire analyser par un service multi-antivirus en ligne (par exemple VirusTotal analysera ce fichier avec 32 antivirus - Autres antivirus gratuits en ligne).

Comment faire pour analyser les contrôles ActiveX ?
Si vous êtes devant la machine, localisez les fichiers (les contrôles ActiveX) là où vous les aviez téléchargé et utilisez VirusTotal ou un autre antivirus gratuit en ligne.

Si vous n'êtes pas devant la machine ou si le fichier téléchargé a été installé mais son téléchargement, lui, n'est plus disponible, faites l'une ou l'autre de ces manipulations pour le re-télécharger (sans l'installer !) puis utilisez VirusTotal ou un autre antivirus gratuit en ligne.


Méthode non recommandée

• Créez, si ce n'est déjà fait, un répertoire réservé aux téléchargements (par exemple c:\document and settings\..votre login..\téléchargements à analyser)
  Copiez l'url du contrôle ActiveX (la partie droite de la ligne O16) et collez-la dans la zone d'adresse de votre navigateur (dans un nouvel onglet ou une nouvelle instance de votre navigateur) et envoyer. Une boîte de dialogue va s'ouvrir et vous demander si vous souhaitez exécuter le contrôle ActiveX ou le télécharger. Ne l'exécutez pas ! Chosissez de le télécharger dans votre emplacement réservé aux téléchargements.
  Faites analyser ce fichier par VirusTotal ou un autre antivirus gratuit en ligne.
  

Cette méthode n'est pas recommandée car si vos réglages sont mal faits ou si vous commettez une faute, le contrôle ActiveX risque d'être exécuté au lieu d'être simplement téléchargé.

Méthode Recommandée
Allez sur un forum quelconque, par exemple sur nos forums et créez un nouveau fil de discussion (n'importe où, cela est sans importance puisque vous ne l'enregistrerez pas

Lancements automatiques au démarrage de Windows
Pour O16	L'

• O16 correspond à .
  Sy
  
  

Startup CLSID BHOs Toolbar ActiveX Processus LSPs Robots Alternatives                           Exemple O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cab O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab Que faire ? Si vous ne reconnaissez pas le nom d'un objet désigné ici ou l'URL depuis laquelle il est téléchargé, effacez-le ("Fix") avec HijackThis. Si le nom de l'URL contient un mot comme 'dialer', 'casino', 'free_plugin' etc. ..., effacez-le à coup sûr sans vous poser de question. SpywareBlaster a une énorme base de données de contrôles ActiveX malveillants qui peut être utilisée pour rechercher une clé CLSID. (Clic droit sur la liste pour accéder à la fonction "Recherches" (Find)). Castlecops maintiend une liste de tous les contrôles ActiveX (par leur CLSID).