FRST Handleiding - Hoe gebruik je Farbar Recovery Scan Tool

kape · 13 mei

Farbar's Recovery Scan Tool

De meest recente versie van FRST kan je hier downloaden:

Farbar Recovery Scan Tool (FRST) is een diagnosetool met de ingebouwde mogelijkheid om via voorbereide scripts oplossingen aan te bieden voor met malware besmette computers. Het tool werkt zowel in normale modus als in veilige modus. Indien de computer opstartproblemen heeft, kan het ook ingezet worden in de Windows herstelomgeving. Deze laatste mogelijkheid is erg nuttig bij het behandelen van problemen die voorkomen tijdens het opstarten van de computer.

Informatie over de handleiding.

Deze handleiding werd origineel geschreven door emeraldnzl in overleg met Farbar en in samenwerking met BC (Bleeping Computer) en G2G (Geeks to Go). Emeraldnzl heeft zich inmiddels uit het project teruggetrokken en nu wordt de handleiding onderhouden en up-to-date gehouden door picasso in overleg met Farbar. De toelating van picasso en Farbar is vereist voor het gebruik van deze handleiding of het quoten van delen van deze handleiding op andere websites. Hou er rekening mee dat deze handleiding origineel opgesteld werd voor de ondersteuning van malwarehelpers op forums en niet voor individuele gebruikers.

Vertalingen

Frans

Nederlands (Nederland) = HijackThis.nl

Inhoudstafel

1. Inleiding

2. Standaard Scangebieden

3. Hoofdscan (FRST.txt)

Processen
Register
Internet
Services en Drivers
NetSvcs
Nieuwe mappen en bestanden laatste maand en Gewijzigde mappen en bestanden laatste maanden
Bestanden om te verplaatsen of te verwijderen
Bepaalde inhoud van TEMP
Bekende DLL’s
Bamital & volsnap
Koppelingen
Herstelpunten
Geheugeninfo
Schijven en MBR & Partitietabel
LastRegBack

4. Bijkomende scan (Addition.txt)

Accounts
Veiligheidscentrum (Security Center)
Geïnstalleerde programma’s
Aangepaste CLSID
Geplande taken
Snelkoppelingen & WMI
Geladen Modules
Alternate Data Streams
Veilige Modus
Bestandskoppeling
Internet Explorer vertrouwde/beperkte toegang
Hosts inhoud
Andere gebieden
MSCONFIG/TASK MANAGER uitgeschakelde items
Firewallregels
Herstelpunten
Defecte Apparaatbeheer Apparaten
Eventlog fouten
Geheugeninfo
Schijven
MBR & Partitietabel

5. Andere optionele scans

Toon BCD
Drivers MD5
Snelkoppelingen (Shortcut.txt)
90 Dagen-bestanden
Bestanden zoeken
Zoek in register

6. Instructies/Commando’s

CloseProcesses:
CMD:
Copy:
CreateDummy:
CreateRestorePoint:
DeleteJunctionsInDirectory:
DeleteKey: and DeleteValue:
DeleteQuarantine:
DisableService:
EmptyTemp:
ExportKey: and ExportValue:
File:
FilesInDirectory: and Folder:
FindFolder:
Hosts:
ListPermissions:
Move:
nointegritychecks on:
Powershell:
Reboot:
Reg:
RemoveDirectory:
RemoveProxy:
Replace:
Restore From Backup:
RestoreErunt:
RestoreMbr:
RestoreQuarantine:
SaveMbr:
SetDefaultFilePermissions:
StartBatch: — EndBatch:
StartPowershell: — EndPowershell:
StartRegedit: — EndRegedit:
TasksDetails:
testsigning on:
Unlock:
VerifySignature:
VirusTotal:
Zip:

7. Canned Speeches

kape · 13 mei

Inleiding

Sterke punten van FRST zijn de eenvoud en gebruiksvriendelijkheid. Regels die verwijzen naar besmette items kunnen worden geïdentificeerd, gekopieerd uit het log, geplakt in een kladblok en opgeslagen. Met een simpele klik op een knop doet het tool dan de rest. Dit laat ook een grote flexibiliteit toe, waardoor nieuwe infecties snel kunnen worden geïndentificeerd en toegevoegd aan een fix.

Met welke Windows-versies werkt het ?

Farbar's Recovery Scan Tool is ontwikkeld om te werken met Windows XP, Windows Vista, Windows 7, Windows 8 en Windows 10 besturingssystemen. Er zijn twee versies beschikbaar, een 32-bits en een 64-bits versie.

Aandacht: FRST64 werkt niet op Windows XP 64-bits versies.

Diagnose

FRST maakt een log van verschillende gebieden binnen het Windows besturingssysteem. Dit log kan gebruikt worden bij de eerste probleemanalyse en verstrekt systeeminformatie.

Het tool wordt constant bijgewerkt. Een belangrijk onderdeel daarvan is het toevoegen van nieuwe informatie i.v.m. de identificatie van malware. Om die reden wordt ook sterk aanbevolen om geregeld een update te doen. Indien de computer verbonden is met het internet, wordt er een automatische controle uitgevoerd naar updates bij het openen van FRST. Een melding verschijnt en de laatste versie kan dan worden gedownload.

Indien er zich nieuwe infecties voordoen, een update niet mogelijk is of er geen internetverbinding (om welke reden dan ook) beschikbaar is, moet de malware-expert op de hoogte zijn van de laatste ontwikkelingen op het vlak van malware om tot een snelle vaststelling van de problemen te komen. Een leek kan dan ook beter hulp zoeken bij deze experten wanneer er nieuwe infecties verschijnen of wanneer het voor hen zelf moeilijk is om het probleem op hun computer te identificeren.

Net zoals vele andere scanners, gebruikt FRST standaard ook whitelisting (veilige items). Dit voorkomt het opmaken van erg lange logs. Indien je toch een volledig log wil zien, kan je het vinkje weghalen bij de whitelist-filters. Bereid je dan wel voor op een erg lang log, dat bij gebruik op forums voor analyse zal moeten opgeladen worden als bijlage.

FRST gebruikt een whitelist voor de standaard MS-registeritems.
Bij Services en Driverss worden niet alleen de standaard MS-services, maar ook alle andere legitieme services en drivers op de whitelist gezet.
Een service of driver zonder een bedrijfsnaam wordt niet aan de whitelist toegevoegd.
Beveiligingsprogramma’s (antivirus of firewall) komen niet op de whitelist.
De SPTD-service komt niet op de whitelist.

Voorbereiding voor gebruik

FRST moet uitgevoerd worden als “administrator”. Alleen als het tool wordt uitgevoerd door een gebruiker met administratorrechten zal het correct werken. Indien het tool niet wordt uitgevoerd als “administrator”, verschijnt er in de hoofding van FRST.txt hierover een “waarschuwing”.

In sommige gevallen beletten beveiligingsprogramma’s de volledige werking van het tool. In het algemeen is er geen probleem, maar wees attent op het feit dat een beveiligingsprogramma de scan met FRST kan belemmeren. Bij het uitvoeren van een fix is het aangewezen om programma’s als Comodo eerst uit te schakelen, omdat deze het tool hinderen om de taken correct uit te voeren. Indien je geplaagd wordt door een rootkit, is het een algemene aanbeveling om slechts één fix tegelijkertiid uit te voeren en te wachten op het resultaat ervan, alvorens je een ander tool uitvoert.

Het is niet noodzakelijk om een back-up van het register te maken. FRST maakt zelf een back-up van het register tijdens de eerste scan. Deze back-up kan je vinden in %SystemDrive%\FRST\Hives (in de meeste gevallen dus bij C:\FRST\Hives). Zie in het onderdeel Restore From Back-up voor meer details.

FRST is beschikbaar in meerdere talen. Helpers neigen al eens naar het gebruik van Engels als keuzetaal bij hun probleemanalyse. Wanneer een helper of een gebruiker een Engelstalig log wenst, hoef je alleen het woord English toe te voegen aan de programmanaam. Dat ziet er dan zo uit: EnglishFRST.exe, EnglishFRST64.exe, FRSTEnglish.exe of FRSTEnglish64.exe. Het log dat je dan als resultaat krijgt is Engelstalig.

FRST opstarten

De gebruiker wordt aanbevolen om FRST naar het bureaublad te downloaden. Daar kan je dan dubbelklikken op het icoon van FRST, de disclaimer aanvaarden en het programma opstarten.

Het icoon van FRST ziet er als volgt uit:

Aandacht: De gebruiker moet de juiste (compatibele) versie gebruiken. Er zijn 32-bits en 64-bits versies. Als je niet zeker weet welke versie je nodig hebt, download dan beide versies en tracht deze op te starten. Enkel één versie – compatibel aan het systeem – zal werken. Dit is dan de correcte versie voor het gebruikte systeem.

Als FRST wordt geopend zal je eerst de startpagina zien. Die ziet er zo uit:

5af834e59dcea-Farbar_-_Nederlandse_Start

Nadat de scan voltooid is, worden er – in een kladblok – kopieën opgeslagen op dezelfde locatie waar FRST gestart werd. Zowel bij de eerste scan als alle volgende scans – buiten de herstelomgeving - wordt er een FRST.txt-log en een Addition.txt-log aangemaakt.

Kopieën van deze logs worden opgeslagen in %SystemDrive%\FRST\Logs (in de meeste gevallen zal dit dus bij C:\FRST\Logs zijn)

Fixen

Opgelet - Belangrijk

In de scanmodus brengt Farbar Recovery Scan Tool geen wijzigingen aan en heeft het geen invloed op de werking van de computer.

Echter

FRST is erg effectief bij het uitvoeren van opdrachten. Bij het uitvoeren van een fix waarbij de opdracht gegeven wordt om een item te verwijderen, zal het tool dit - in 99 % van de gevallen – ook probleemloos doen. Dit ondanks het feit dat er een aantal veiligheidsmaatregelen zijn ingebouwd, die een ruime basis hebben om het verwijderen van infecties niet te verstoren. De gebruiker van het tool dient zich hiervan bewust te zijn. Indien het tool op een foutieve wijze wordt gebruikt (wanneer er bv. opdracht wordt gegeven om essentiële bestanden te verwijderen), kan dit ertoe leiden dat het tool ervoor zorgt dat de computer niet meer kan opstarten.

Indien je twijfels hebt omtrent bepaalde items in een log van FRST, vraag dan zeker hulp bij experts vóór je een fix opstelt en uitvoert.

FRST bezit een uitgebreide reeks commando’s en switches die gebruikt kunnen worden om computerprocessen te sturen en om problemen die ontdekt werden te herstellen.

Voorbereiding van een script

1. Fixlist.txt-methode – om problemen die je ontdekt hebt te fixen, kopieer je de lijnen uit het FRST-log en plak je deze in een kladblok. Dit geef je de naam fixlist.txt en sla je op in dezelfde map waarin FRST wordt opgestart.

Aandacht: Het is belangrijk dat Kladblok gebruikt wordt. De fix zal niet worden uitgevoerd indien Word of een ander tekstprogramma wordt gebruik.

2. Ctrl+y-methode – deze combinatie kan gebruikt worden om automatisch een leeg logbestand aan te maken, dat je dan kan aanvullen. Start FRST, druk op de combinatietoetsen Ctrl+y om het bestand te openen, plak er de fix in en sla deze op met de combinatietoetsen Ctrl+s met als naam fixlist.txt.

3. Klembord-methode – voeg de regels van de fix in tussen de opdrachten Start:: en End:: (zie hieronder).

Quote

Start::

Inhoud script

End::

Laat de gebruiker de volledige inhoud, - met inbegrip van Start:: en End:: - kopiëren en klik dan op de “Fixen”-button.

Unicode

Om items met Unicode-tekens te fixen, dient het script opgeslagen te worden in Unicode, zo niet zullen de Unicode-tekens verloren gaan. De combinatie Ctrl+y slaat het tekstbestand op in Unicode. Indien fixlist.txt manueel wordt samengesteld, dient de juiste codering gekozen te worden in het kladblok (zie onderstaand voorbeeld).

Voorbeeld

Quote

S2 楗敳潂瑯獁楳瑳湡t; 㩃停潲牧浡䘠汩獥⠠㡸⤶坜獩履楗敳䌠牡⁥㘳尵潂瑯楔敭攮數 [X]
ShortcutWithArgument: C:\Users\Public\Desktop\Gооglе Сhrоmе.lnk -> C:\Users\User\AppData\Roaming\HPRewriter2\RewRun3.exe (QIIXU APZEDEEMFA) -> 1 0 <===== Cyrillic
2016-08-17 14:47 - 2016-08-17 16:23 - 00000000 _____ C:\ProgramData\Ｇooｇle Ｃhroｍe.lnk.bat

Kopieer en plak de items in het kladblok, klik op “Opslaan als ….”, onder XXXXX selecteer je Unicode, geef het de naam fixlist.txt en sla het op. Indien je de gegevens uit kladblok opslaat zonder Unicode te selecteren, zal het kladblok een “waarschuwing” geven. Indien je toch verdergaat met opslaan, zal je na sluiten en heropenen van het document het volgende zien:

Quote

S2 ????????t; ??????????????????????????? [X]
C:\Users\Public\Desktop\G??gl? ?hr?m?.lnk
2016-08-17 14:47 - 2016-08-17 16:23 - 00000000 _____ C:\ProgramData\Google Chrome.lnk.bat

En FRST zal er niet in slagen om deze fix te verwerken.

Gewijzigde gebruikersnamen

Sommige gebruikers veranderen logs door de gebruikersnaam te verwijderen of te vervangen. Om zeker te zijn dat de juiste items worden verwijderd bij een computer met slechts één gebruiker, kan je de verwijderde of vervangen gebruikersnaam vervangen door CurrentUserName. FRST zal deze sleutel dan automatisch omzetten naar een correcte gebruikersnaam.

Aandacht: Deze methode wordt niet ondersteund in de Windows herstelomgeving.

Om te voorkomen dat FRST gedurende lange tijd zou runnen, ten gevolge van foute scripts of andere onverwachte gebeurtenissen, is de maximale duur van de fix ingesteld op 40 minuten.

Items die verplaatst worden door de fix, worden opgeslagen in %SystemDrive%\FRST\Quarantine (in de meeste gevallen zal dit dus C:\FRST\Quarantine zijn), tot het opruimen en verwijderen van FRST.

Voor meer gedetailleerde informatie over het samenstellen van een fix, zie verder.

FRST verwijderen

Om alle mappen en bestanden die aangemaakt werden door FRST en het tool zelf te verwijderen, wijzig je de naam FRST.exe of FRST64.exe in uninstall.exe en laat je het tooltje terug lopen. Deze handeling vereist opnieuw opstarten en werkt enkel buiten de herstelomgeving.

kape · 13 mei

Standaard Scangebieden

Zowel bij de eerste als alle volgende scans – buiten de Windows herstelomgeving – wordt er een FRST.txt-log en een Addition.txt-log aangemaakt. Dit Addition.txt-log wordt niet gemaakt indien FRST wordt uitgevoerd in de Windows-herstelomgeving.

Scans uitgevoerd in normale modus

Hoofdscan

Processen

Register

Internet

Services

Drivers

NetSvcs

Mappen en bestanden aangemaakt tijdens laatste maand

Mappen en bestanden gewijzigd tijdens laatste maand

Bestanden in de root van sommige directories

Bestanden om te verplaatsen of te verwijderen

Sommige bestanden in TEMP

Sommige 0 byte-mappen en -bestanden

Bamital & volsnap

LastRegBack

Bijkomende Scan

Accounts

Security Center

Geïnstalleerde programma’s

Aangepaste CLSID

Geplande Taken

Snelkoppelingen & WMI

Geladen Modules

Alternate Data Streams

Veilige Modus

Bestandskoppeling

Internet Explorer vertrouwde/beperkte toegang

Hosts inhoud

Andere gebieden

MSCONFIG/TASK MANAGER, uitgeschakelde items

Firewallregels

Herstelpunten

Defecte Apparaatbeheer-apparaten of -drivers

Eventlog fouten

Geheugeninfo

Schijven

MBR & Partitietabel

Optionele scans

Lijst BCD

Drivers MDS

Shortcut.txt

Addition.txt

Bestanden laatste 90 dagen

Zoeken bestanden

Zoeken register

Scans in de Windows-herstelomgeving

Hoofdscan

Register

Services

Drivers

NetSvcs

Mappen en bestanden aangemaakt tijdens laatste maand

Mappen en bestanden gewijzigd tijdens laatste maand

Bestanden om te verplaatsen of te verwijderen

Sommige bestanden in TEMP

Bekende DLL’s

Bamital & volsnap

Bestandskoppeling

Herstelpunten

Geheugeninfo

Schijven

MBR & Partitietabel

LastRegBack

Optionele Scans

Lijst BCD

Drivers MDS

Bestanden laatste 90 dagen

Zoeken bestanden

kape · 13 mei

HOOFDSCAN (FRST.txt)

Koptekst

Dit is een voorbeeld van een koptekst:

Quote

Scanresultaten van Farbar Recovery Scan Tool (FRST) (x64) Versie: 20-10-2017

Gestart door User (administrator) op DESKTOP-3DJ40NK (21-10-2017 14:15:41)

Gestart vanaf C:\Users\User\Desktop

Geladen Profielen: User (Beschikbare Profielen: User & Administrator)

Platform: Windows 10 Pro Version 1709 16299.19 (X64) Taal: Nederlands (Nederland)

Internet Explorer Version 11 (Standaardbrowser: FF)
Boot Modus: Normal

Bestuderen van de verschillende onderdelen van deze koptekst kan nuttige informatie opleveren:

Eerste lijn: toont welke variant (32-bits of 64-bits) en welke versie van FRST is uitgevoerd. De versie van FRST is erg belangrijk. Een oudere versie heeft niet de meest recente mogelijkheden van FRST.

Tweede lijn: toont welke gebruiker het tool heeft opgestart en met welke rechten. Bovendien wordt hier ook de computernaam en de datum en tijd van het runnen van het tool weergegeven. In sommige gevallen kan een gebruiker een oud log plaatsen. Dat is dan merkbaar op deze regel.

Derde lijn: toont vanop welke locatie FRST werd uitgevoerd. Dit kan belangrijk zijn om de fix op te maken, indien FRST werd uitgevoerd vanop een andere locatie dan het bureaublad.

Vierde lijn: toont met welk account (profiel) de gebruiker van de gebruikersgroep was ingelogd en (tussen haakjes) welke profielen er beschikbaar zijn op de computer, ook deze die bij het gebruik van FRST niet geladen werden

Aandacht. : Wanneer je inlogt op Windows, wordt alleen de gebruikersgroep van de gebruiker geladen. Als de gebruiker inlogt met een ander account zonder herstarten (via “andere gebruiker” of “uitloggen”), wordt de tweede gebruikersgroep ingeladen, maar wordt de eerste gebruikersgroep niet uitgelogd. In dat geval zal FRST de registeritems van beide gebruikers ivermelden, maar niet die van andere gebruikersgroepen die niet werden geladen.

Vijfde lijn: hier wordt de Windows-versie getoond, met inbegrip van belangrijke updates (“Versie en OS” bij Windows 10, “Update” bij Windows 8.1. en “Service Pack” bij Windows 7 en ouder), samen met de ingestelde taal. Hier kan je eventueel uit afleiden of er problemen zijn met updates, indien deze niet de meest actuele zijn.

Zesde lijn; toont de versie van Internet Explorer en de standaardbrowser.

Zevende lijn: toont de modus waarin de scan is uitgevoerd.

Tot slot wordt de link getoond naar de handleiding van FRST.

Aandacht: De informatie in de koptekst – wanneer het tool is uitgevoerd in de Windows-herstelomgeving - is bijna identiek, hoewel korter omdat de gebruikersprofielen niet worden ingeladen.

Waarschuwingen die getoond worden in de koptekst:

Als er opstartproblemen zijn, verschijnt de waarschuwing “AANDACHT, kan de systeemgroep niet laden”. Dit is een aanduiding dat de systeemgroep ontbreekt. Deze systeemgroep herstellen kan eventueel via de opdracht LastRegBack: (zie later).

"Default: Controlset001". Dit geeft aan welk CS van het systeem de standaard-CS is. Waarvoor heb je dat nodig ? Normaal heb je dit niet nodig, tenzij je in de CS die geladen wordt bij het opstarten van Windows wil kijken of je hierin veranderingen wil aanbrengen. Wijziingen aanbrengen in elk ander beschikbaar CS zal geen effect hebben op je computer.

Processen

Er kunnen twee redenen zijn waarom je een proces zou willen stoppen. Ten eerste: je wil een beveiligingsprogramma uitschakelen dat een fix zou kunnen verhinderen. Ten tweede: je wil een fout proces stoppen en daarna de map of het bestand waarmee het verbonden is verwijderen.

Om een proces te stoppen, voeg je de noodzakelijke lijnen toe uit de FRST-scan.

Voorbeeld

Quote

(Symantec Corporation) C:\Program Files\Norton Security Suite\Engine\5.2.2.3\ccSvcHst.exe
(IObit) C:\Program Files\IObit\Advanced SystemCare 6\ASCService.exe

Een Fixlog.txt zal verschijnen met volgende melding: procesnaam => Process closed successfully

Indien je een fout proces wil stoppen en de daarmee verbonden bestanden of mappen wil verwijderen, moet je alle items afzonderlijk toevoegen aan je fix:

Voorbeeld:

Quote

(Spigot, Inc.) C:\Program Files (x86)\Common Files\Spigot\Search Settings\SearchSettings.exe
(Spigot Inc) C:\Program Files (x86)\Common Files\Spigot\Search Settings\SearchSettings64.exe
C:\Program Files (x86)\Common Files\Spigot

Register

Alle registeritems (sleutels en waarden) die geselecteerd werden uit je FRST-log en werden opgenomen in je fixlist, zullen verwijderd worden. FRST beschikt over een krachtige routine voor het verwijderen ervan. Alle sleutels of waarden die beschikken over onvoldoende rechten of null ingesloten waarden hebben, zullen toch verwijderd worden. Alle sleutels en waarden die niet verwijderd kunnen worden wegens “toegang geweigerd”, worden opgeslagen en in de planning geplaatst om te verwijderen bij het herstarten van het systeem. Enkel de sleutels en waarden die beschermd worden door een “kernel driver” worden niet verwijderd. Deze kunnen slechts verwijderd worden nadat de “kernel driver” die ze beschermt effectief verwijderd of uitgeschakeld is.

Het kopiëren van registeritems uit het log naar de fix, kan tot één van de volgende twee acties leiden op het geselecteerde item:

het herstellen van de standaardsleutel (default sleutel).
het verwijderen van de sleutel.

Indien items uit het log - die verband houden met Winlogon values (Userinit, Shell, System), LSA en AppInit_DLLs gekopieerd worden naar fixlist.txt, herstelt het tool de standaardwaarden van Windows.

Aandacht: Indien er in AppInit_DLLs een slecht pad aanwezig is, zal FRST enkel dit specifieke pad weghalen uit AppInit_DLLs, zonder de rest te verwijderen.

Hiervoor hoef je geen batch of regfix te maken. Dit geldt ook voor andere belangrijke sleutels die door malware aangetast werden.

Opm.: FRST komt niet aan bestanden die door de registersleutels werden geladen of die momenteel worden uitgevoerd. Bestanden die moeten verplaatst worden, dienen afzonderlijk in de lijst te worden opgenomen met het volledige pad zonder bijkomende informatie.

Run-items en Runonce-items die naar fixlist.txt worden gekopieerd, zullen uit het register worden verwijderd. De bestanden die ze laden of uitvoeren, zullen echter niet worden verwijderd. Indien je deze toch zou willen verwijderen, moet je deze afzonderlijk vermelden in je fix.

Om bvb. een foutief Run-item samen met het bestand te verwijderen, moet je het vermelden in fixlist.txt zoals hieronder (de eerste lijn wordt rechtstreeks uit het log gekopieerd).

Quote

HKLM\...\Run: [3ktQnKPKDDuPsCd] C:\Users\User\AppData\Roaming\xF9HhFtI.exe [334848 2012-08-03] ()
C:\Users\User\AppData\Roaming\xF9HhFtI.exe

In het geval dat Notify-sleutels in fixlist.txt worden opgenomen en ze tussen de standaardsleutels staan, zal het tool de waarde (DllName) die verbonden is aan deze sleutel herstellen. Indien de sleutel geen standaardsleutel (default) is, zal deze worden verwijderd.

Alle items uit de Image File Execution Options toegevoegd aan fixlist.txt zullen worden verwijderd.

Wanneer een bestand of een snelkoppeling in de Startup-map wordt ontdekt, zal FRST dit vermelden in Startup:-items. Indien het bestand een snelkoppeling is, zal de volgende lijn het doel van de snelkoppeling vermelden (bvb. het uitvoerbaar bestand dat opgestart wordt door deze snelkoppeling). Indien je zowel de snelkoppeling als het uitvoerbaar bestand wil verwijderen, moet je beiden toevoegen aan de fix.

Voorbeeld

Quote

Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk [2013-09-11]
ShortcutTarget: runctf.lnk -> C:\Users\User\1800947.exe ()

Aandacht: De eerste lijn verplaatst alleen de snelkoppeling. De tweede lijn verplaatst hier het 1800947.exe-bestand. Indien je enkel de tweede lijn in de fix vermeldt, zal het uitvoerbaar bestand worden verwijderd, maar blijft de snelkoppeling in de Startup-map staan. Bij het opnieuw opstarten van het systeem, zal er een foutmelding verschijnen, vermits de snelkoppeling het uitvoerbaar bestand wil opstarten, terwijl dit niet meer te vinden is.

In het geval dat malware Untrusted Certificates of Software Restriction Policies wil misbruiken, zal je in het log items zien verschijnen die er zo uit zien:

Quote

HKLM\ DisallowedCertificates: AD4C5429E10F4FF6C01840C20ABA344D7401209F (Avast Antivirus/Software) <==== ATTENTION

Quote

HKLM Group Policy restriction on software: C:\Program Files\AVAST Software <====== ATTENTION

Om beveiligingsprogramma’s te deblokkeren, dien je deze regels in de fixlist op te nemen.

Aandacht: de Software Restriction Policies detection werkt generiek (algemeen) en kan resulteren in het flaggen van andere legitieme items die aangemaakt werden om het systeem te beschermen tegen infecties. Zie ook: How to manually create Software Restriction Policies to block ransomware.

FRST ontdekt ook de aanwezigheid van Group Policy Objects (Registry.pol en Scripts), die kunnen worden misbruikt door malware. Google Chrome (zie later bij Chrome) en Windows Defender in Registry.pol zullen afzonderlijk gerapporteerd worden.

Quote

GroupPolicy: Restriction - Windows Defender <======= ATTENTION

Voor andere policies en scripts krijg je enkel een generieke (algemene) melding zonder details:

Quote

GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION

Om de policies te herstellen, kan je deze regels toevoegen aan fixlist.txt. FRST zal dan de GroupPolicy-mappen verkorten en een herstart forceren.

Voorbeeld:

Quote

C:\Windows\system32\GroupPolicy\Machine => moved successfully

C:\Windows\system32\GroupPolicy\GPT.ini => moved successfully

Aandacht: De detectie is ingesteld voor een standaard computer zonder speciaal ingestelde policies. Dit zou er toe kunnen leiden dat legitieme items die ingesteld zijn via gpedit.msc toch geflagged worden.

Als systeemherstel is uitgeschakeld via Group Policy, zal dit op de volgende manier gemeld worden:

Quote

HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig] <===== ATTENTION

Door het invoeren van deze lijn in fixlist.txt zal de hele sleutel worden verwijderd (standaard bestaat dit niet).

Aandacht: FRST geeft ook een waarschuwing in Addition.txt als systeemherstel is uitgeschakeld, zelfs als dit niet is uitgeschakeld via Group Policy, maar door de gebruiker zelf. In dat geval voert FRST niets uit. De gebruiker moet ervan verwittigd worden om systeemherstel in te schakelen. Er is geen Group Policy die het inschakelen ervan belemmert.

Internet

Afgezien van enkele uitzonderingen, zullen de items die naar fixlist.txt gekopieerd worden, ook verwijderd worden. Bij registeritems die verbonden zijn met mappen of bestanden, moeten deze mappen en bestanden afzonderlijk worden toegevoegd om verplaatst te worden. Dit geldt niet voor browsergegevens (uitgezonderd Internet Explorer). Zie de beschrijving later voor meer details daarover.

Winsock

Items die niet op de standaardlijst zijn opgenomen, worden in het log getoond. Indien een Catalog5-item werd toegevoegd om te fixen, dan zal FRST één van deze twee zaken uitvoeren:

1. in het geval van gekaapte standaarditems (default), worden deze standaarditems hersteld.

2. in het geval van aangepaste items, zullen deze worden verwijderd en zullen de catalogusitems worden hernummerd.

Indien er Catalog9-items dienen gefixed te worden, wordt aanbevolen om "netsh winsock reset" te gebruiken.

Quote

cmd: netsh winsock reset

Als er dan nog steeds Catalog9-items moeten hersteld worden, kunnen deze opgenomen worden in de fix. In dat geval zal FRST deze items verwijderen en de catalogusitems hernummeren.

Opgelet: een onderbroken string zal de computer beletten om verbinding te maken met het internet.

Een verbroken internetverbinding – wegens ontbrekende winsock-items – zal in het log worden gerapporteerd als volgt:

Quote

Winsock: -> Catalog5 - Broken internet access due to missing entry. <===== ATTENTION
Winsock: -> Catalog9 - Broken internet access due to missing entry. <===== ATTENTION

Om dit probleem op te lossen, dienen de items opgenomen te worden in fixlist.txt.

Hosts

Als er aangepaste items zijn bij Hosts zal er in het internetgedeelte van het log van FRST.txt volgende lijn verschijnen:

Quote

Hosts: There are more than one entry in Hosts. See Hosts section of Addition.txt

Indien het Hosts-bestand niet gevonden wordt, verschijnt er een melding dat het tool geen hosts kan vinden.

Om de hosts te resetten, kopieer je deze lijn en plak je ze in fixlist.txt. Hierdoor worden de hosts gereset. In Fixlog.txt zal je een lijn vinden die deze reset bevestigt.

TCPIP en andere items

Alle items die opgenomen worden in fixlist.txt zullen worden verwijderd.

Aandacht: In het geval van een StartMenuInternet hijacking voor IE, FF, Chrome en Opera, zullen de standaarditems in de whitelist opgenomen zijn. Wanneer deze items verschijnen in het FRST-log, betekent dit dat er een niet-standaarditem wordt getoond. De kans bestaat dat er dan – al dan niet – iets mis is met het toegangspad in het register. Verder onderzoek moet dan uitgevoerd worden. Indien er een problem is, kan het item worden toegevoegd in fixlist.txt, waardoor het standaard registeritem zal worden hersteld.

Internet Explorer

Browser pages, SearchScopes (homepage van de browsers) en andere items zonder binding met bestanden of mappen: afhankelijk van het type, zal FRST de sleutels verwijderen uit het register of ze herstellen naar hun standaardwaarde.

Voorbeeld:

Quote

HKU\S-1-5-21-1177238915-220523388-1801674531-1003\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://isearch.omiga-plus.com/?type=hp&ts=1416067288&from=adks&uid=WDCXWD2500BEVT-22ZCT0_WD-WX31A20C4172C4172
SearchScopes: HKU\S-1-5-21-1177238915-220523388-1801674531-1003 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://isearch.omiga-plus.com/web/?type=ds&ts=1416067288&from=adks&uid=WDCXWD2500BEVT-22ZCT0_WD-WX31A20C4172C4172&q={searchTerms}

URLSearchHooks, BHOs, Toolbars, Handlers en Filters kunnen naar de fix gekopieerd worden en de sleutel in het register zal verwijderd worden. Bijhorende mappen en bestanden moeten afzonderlijk worden toegevoegd indien deze moeten worden verwijderd.

Voorbeeld:

Quote

BHO: shopperz -> {d0174004-bb12-464b-b666-9ba9bdbd750a} -> C:\Program Files\shopperz\Gaalmi64.dll [2015-08-05] ()
BHO-x32: shopperz -> {d0174004-bb12-464b-b666-9ba9bdbd750a} -> C:\Program Files\shopperz\Gaalmi.dll [2015-08-05] ()
C:\Program Files\shopperz

Edge

FRST vermeldt wanneer een Edge HomeButtonPage aangepast werd,, Session Restore werd ingeschakeld en andere Extensies werden geïnstalleerd.

Quote

Edge HomeButtonPage: HKU\S-1-5-21-3306840180-458517910-2511866134-1001 -> hxxp://www.istartsurf.com/?type=hp&ts=1439478262&z=019d9423eacc473501fd356gez9c7t5z3mbb5g9g9q&from=obw&uid=CrucialXCT250MX200SSD1_1528100C4588100C4588
Edge Session Restore: HKU\S-1-5-21-3306840180-458517910-2511866134-1001 -> is enabled.
Edge Extension: Adblock Plus -> 10_EyeoGmbHAdblockPlus_d55gg7py3s0m0 => C:\Program Files\WindowsApps\EyeoGmbH.AdblockPlus_0.9.6.0_neutral__d55gg7py3s0m0 [2016-08-14]

De HomeButtonPage en Session Restore-meldingen die in fixlist.txt werden opgenomen, zullen verwijderd worden uit het register.

Van de extensies die in fixlist.txt werden opgenomen, zal de registersleutel verwijderd worden en zal de bijhorende map worden verplaatst.

Firefox

FSRT vermeldt FF-sleutels en FF-profielen (indien aanwezig), ongeacht het feit of FF geïnstalleerd is of niet. Wanneer er meerdere Firefox-versies of Firefox-klonen zijn, zal FRST de voorkeuren vermelden (user.js, Extensions en SerachPlugins) van alle profielen. Ook niet-standaardprofielen – toegevoegd door adware – zullen gemarkeerd worden.

Wanneer de preferences (voorkeuren) in fixlist.txt worden geplakt, zullen de registerwaarden worden verwijderd. De volgende keer als Firefox of de Firefox-kloon wordt opgestart, zullen opnieuw de standaardinstellingen (default) worden ingesteld. De vermeldingen worden als volgt ingevoerd (deze lijnen komen rechtstreeks uit het log.

Quote

FF Homepage: Mozilla\Firefox\Profiles\v5cxxsxx.default -> hxxp://www.nicesearches.com?type=hp&ts=1476183215&from=3a211011&uid=st500dm002-1bd142_z2aet08txxxxz2aet08t&z=0559c0a5d07470648e70698g0zdmbqfg7b1c6o6g3q
FF Homepage: Firefox\Firefox\Profiles\v5cxxsxx.default -> hxxp://www.searchinme.com/?type=hp&ts=1476182952551&z=55578e764da22757c48433bg7z8m7q1g1b6tac4t4m&from=official&uid=ST500DM002-1BD142_Z2AET08TXXXXZ2AET08T

FRST verifieert Add-ons digital signatures. Niet-ondertekende Add-ons worden gelabeld.

Voorbeeld:

Quote

FF Extension: Web Protector - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\v5uc809j.default\Extensions\{a95d417e-c6bc-decc-ba54-456315cd7f2d} [2015-09-06] [not signed]

FF-extensies en andere lijnen kunnen opgenomen worden in fixlist.txt en zullen dan verwijderd worden.

Chrome

FSRT vermeldt Chrome-sleutels en Chrome-profielen (indien aanwezig), ongeacht het feit of Chome geïnstalleerd is of niet. Wanneer er meerdere profielen zijn, zal FRST het laatste profiel lezen en de voorkeuren vermelden van dit profiel. Extensies worden in alle profielen gedetecteerd. Ook niet-standaardprofielen – toegevoegd door adware – zullen gemarkeerd worden.

De scan naar voorkeuren, bevat aangepaste HomePage en StartupUrls, ingeschakelde Session Restore-items en sommige aangepaste gegevens van de provider.

Quote

CHR HomePage: Default -> hxxp://www.nuesearch.com/?type=hp&ts=1473242946&z=77f63c84f08249bbf085524g1z0m0ceodz4o6tdz9z&from=che0812&uid=WDCXWD2000BB-00RDA0_WD-WMANL114693546935
CHR StartupUrls: Default -> "hxxp://www.nuesearch.com/?type=hp&ts=1473242946&z=77f63c84f08249bbf085524g1z0m0ceodz4o6tdz9z&from=che0812&uid=WDCXWD2000BB-00RDA0_WD-WMANL114693546935"
CHR DefaultSearchURL: Default -> hxxp://www.nuesearch.com/search/?type=ds&ts=1473242946&z=77f63c84f08249bbf085524g1z0m0ceodz4o6tdz9z&from=che0812&uid=WDCXWD2000BB-00RDA0_WD-WMANL114693546935&q={searchTerms}
CHR Session Restore: Default -> is enabled.

De HomePage en StartupUrls die opgenomen zijn in fixlist.txt worden verwijderd. Het verwerken van andere Chrome-instellingen, kan leiden tot een gedeeltelijke reset van Chrome. De gebruiker zal dan de volgende melding zien: “Chrome heeft ontdekt dat sommige instellingen corrupt zijn geraakt door andere programma’s en herstelt ze naar de originele instellingen (defaults).”

FRST zal ook New Tab-omleidingen ontdekken, die veroorzaakt werden door extensies. Voor het verwijderen van deze omleidingen, moet je de bijhorende extensie (indien aanwezig) identificeren en deze verwijderen via de aangepaste Chrome-tools (zie verder):

Quote

CHR NewTab: Default -> Active:"chrome-extension://algadicmefalojnlclaalabdcjnnmclc/stubby.html"
CHR Extension: (RadioRage) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\algadicmefalojnlclaalabdcjnnmclc [2017-04-07]

FRST is niet in staat om een extensie te verwijderen. De extensie wordt nog steeds getoond in de lijst van de extensies en de daaraan verbonden map zal door Chrome hersteld worden. Om deze reden is het beter deze Chrome extensions-lijnen niet op te nemen in de fix, maar daarvoor de eigen Chrome-tools te gebruiken:

Quote

Typ chrome://extensions in de werkbalk en druk Enter. Klik op het prullenbak-icoon achter de extensie die je wil verwijderen. Er verschijnt een venster om dit te bevestigen. Klik dan op Verwijderen.

Een uitzondering geldt voor een extensie-installer (CHR HKLM en HKU-labels) die in het register te vinden is. Indien dit item is opgenomen in fixlist.txt, zal de sleutel worden verwijderd.

Sommige adware gebruikt Group Policy om veranderingen in extensies of andere functies te blokkeren.

Quote

GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

Lees de Group Policy Opject-beschrijving onder Register voor meer details.

Opera

FRST vermeldt de Opera-sleutels en –profielen (indien aanwezig), ongeacht of Opera geïnstalleerd is.

De Opera-scan is momenteel beperkt tot StartMenuInternet, StartupUrls, Session Restore en extensies:

Quote

OPR StartupUrls: "hxxp://searchinterneat-a.akamaihd.net/h?eq=U0EeCFZVBB8SRggadghZAFsUQxhHIlxZTA1JEwEOeQsJWBQTFwQUIgoJAFhGFwMFIk0FA1oDB0VXfV5bFElXTwh3MlxZEkwDRGFRIVpT"
OPR Session Restore: -> is enabled.
OPR Extension: (iWebar) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\gnjbfdmiommbcdfigaefehgdndnpeech [2015-01-15]

Het toevoegen van StartupUrls of SessionRegistry-items in fixlist.txt leidt tot het verwijderen van deze items.

Het toevoegen van extensies aan fixlist.txt zorgt ervoor dat de extensies verplaatst worden. Het toevoegen van een afzonderlijk pad is niet noodzakelijk.

Hoewel het niet langer actief is, zal het getoonde item nog te vinden zijn bij de browserextensies. Gebruik de Opera-tools om deze te verwijderen (zie hieronder).

Quote

Open Opera en typ opera://extensions in de werkbalk en druk Enter. Om individuele extensies te verwijderen, klik op de X voor elk item en dan op OK.

Voor zoekmachines die niet in het log tetoond worden, is de beste optie om eerst het programma volledig te verwijderen, daarna het system opnieuw op te starten en het programma opnieuw te installeren.

Services en Drivers

De opmaak van Services en Drivers ziet er als volgt uit:

Quote

RunningState StartType ServiceName; ImagePath or ServiceDll (CompanyName)

RunningState – de letter naast het nummer geeft de Running State weer:

R=Running
S=Stopped
U=Undetermined

De cijfers bij het “StartType” zijn:

0=Boot
1=System
2=Auto
3=Demand
4=Disabled
5=Assigned by FRST when it is unable to read the start type

Wanneer je een [X] ziet op het einde van een item, betekent dit dat FRST de bestanden niet kon vinden die verbonden zijn aan de specifieke Service of Driver en dat het tool in de plaats ervan de ImagePath of ServiceDll heeft geplaatst die in het register te vinden was.

FRST scant naar een aantal bekende infecties en verifieert de digitale handtekening van de bestanden van Services en Drivers. Wanneer een bestand geen digitale handtekening heeft, wordt dit gerapporteerd.

Voorbeeld:

Quote

==================== Services (Whitelisted) =================
R2 DcomLaunch; C:\Windows\system32\rpcss.dll [512512 2010-11-20] (Microsoft Corporation) [File not signed]
R2 RpcSs; C:\Windows\system32\rpcss.dll [512512 2010-11-20] (Microsoft Corporation) [File not signed]

Een systeembestand van Microsoft dat geen digitale handtekening heeft (not signed), dient vervangen te worden door een goede kopie. Om dat te fixen, gebruik je de instructie Replace:

Aandacht: De controle op de digitale handtekeningen is niet beschikbaar in de herstelomgeving

Om een foute service of driver service te verwijderen, kopieer je de lijn uit het log naar fixlist.txt. Alle bestanden die eraan gekoppeld zijn, moeten afzonderlijk worden toegevoegd.

Voorbeeld:

Quote

R2 Khiufa; C:\Users\User\AppData\Roaming\Eepubseuig\Eepubseuig.exe [174432 2016-04-13] ()
C:\Users\User\AppData\Roaming\Eepubseuig

Het tool sluit alle service-items die zijn toegevoegd aan fixlist.txt en verwijdert de service-sleutel.

Aandacht: FRST rapporteert of het stoppen van services die worden uitgevoerd geslaagd is of niet. Ongeacht of de service is gestopt, zal FRST proberen om deze te verwijderen. Wanneer de uitgevoerde service is verwijderd, zal FRST de gebruiker verwittigen hoe de fix moet voltooid worden en dat het systeem moet herstart worden. Daarna zal FRST het systeem herstarten. Op het einde van het fixlog zal je een regel vinden over de noodzakelijke herstart. Indien een service niet wordt uitgevoerd, zal FRST deze verwijderen zonder een herstart te forceren.

Er zijn twee uitzonderingen waarbij een service zal worden hersteld i.p.v. verwijderd. In het geval van thema’s en Windows Management Instrumentation die door malware zijn aangetast, zal je het volgende zien:

Quote

S2 Themes; C:\Windows\system32\themeservice.dll [44544 2009-07-14] (Microsoft Corporation) [DependOnService: iThemes5]<==== ATTENTION

Quote

S2 Winmgmt; C:\ProgramData\3qz8qm8z8.gsa [188169 2014-03-29] (Microsoft Corporation)

De items zullen hersteld worden naar hun standaardinstelling (default), wanneer ze opgenomen zijn in fixlist.txt.

Aandacht: Indien FRST helemaal geen toegang krijgt tot een service, zal het volgende in het log merkbaar zijn:

Quote

"1b36535375971e1b" => service could not be unlocked. <===== ATTENTION

Een dergelijke melding kan wijzen op aanpassingen door een rootkit of op een corrupt register. In dat geval is de hulp van een expert nodig om de problemen te identificeren en op te lossen.

NetSvcs

Bekende legitieme items staan op een whitelist. Net als bij andere gescande gebieden die een whitelist gebruiken, betekent het niet dat de items die in FRST.txt opgenomen worden allemaal slecht zijn Zij dienen wel allemaal gecontroleerd te worden.

De items van NetSvc worden elk in een aparte regel getoond, zoals dit:

Quote

NETSVCx32: HpSvc -> C:\Program Files (x86)\LuDaShi\iIpi\HpSvs.dll ()
NETSVCx32: WpSvc -> no filepath

Aandacht: Wanneer Netsvc alleen vermeld wordt, wordt alleen de bijhorende waarde in het register verwijderd. De bijhorende service moet voor verwijdering afzonderlijk vermeld worden (indien hij aanwezig is in Services).

Voorbeeld:

Om de waarde, de bijhorende service in het register en het bijhorende DLL-bestand te verwijderen, ziet het script er als volgt uit:

Quote

S2 HpSvc; C:\Program Files (x86)\LuDaShi\Ipi\HpSvs.dll [239016 2016-07-21] () <==== ATTENTION
NETSVCx32: HpSvc -> C:\Program Files (x86)\LuDaShi\Ipi\HpSvc.dll ()
C:\Program Files (x86)\LuDaShi

Nieuwe mappen en bestanden laatste maand en Gewijzigde mappen en bestanden laatste maand.

De scan van “nieuwe” mappen en bestanden geeft de datum en tijd weer van de aanmaak van mappen en bestanden van de voorbije maand én de datum en tijd van de laatste bewerking. De scan van “gewijzigde” mappen en bestanden geeft de datum en tijd weer van de wijziging van mappen en bestanden tijdens de voorbije maand én de datum en tijd wanneer deze mappen en bestanden aangemaakt werden. De grootte van het bestand (aantal bytes) wordt eveneens getoond. Bij een map wordt 00000000 getoond, wanneer deze zelf geen bytes bezit.

Aandacht: Om een lange scantijd en de samenstelling van een extreem uitgebreid log te voorkomen, wordt de scan beperkt tot een aantal voorgedefinieerde locaties. FRST biedt enkel een opsomming van deze standaardmappen, maar niet de inhoud ervan. Als je de inhoud van dergelijke standaardmappen wil kennen, gebruik je de instructie Folder:.

FRST voegt kenmerken toe aan bepaalde items:

C - Compressed
D - Directory
H - Hidden
L - Symbolic Link
N - Normal (does not have other attributes set)
O - Offline
R - Readonly
S - System
T - Temporary
X - No scrub (Windows 8+)

Om een map of bestand te verwijderen uit de lijst van de mappen en bestanden van de voorbije maand, dien je enkel de regel te kopiëren en in fixlist.txt te plakken.

Lijnen die verwijzen naar een Symbolic Link (L-kenmerk) worden correct behandeld.

Voorbeeld:

Quote

2018-02-21 21:04 - 2018-02-21 21:04 - 0000000 ___DL C:\WINDOWS\system32\Link

Wanneer opgenomen in fixlist.txt, zal FRST enkel de link verwijderen, niet de doelmap.

Quote

Symbolic link found: "C:\WINDOWS\system32\Link" => C:\WINDOWS\system32\Target"

"C:\WINDOWS\system32\Link" => Symbolic link removed succesfully

C:\WINDOWS\system32\Link => moved succesfully

Als alternatief kan de instructie DeleteJunctionsInDirectory: gebruikt worden.

Om andere mappen en bestanden te verwijderen, kan het pad opgenomen worden in fixlist.txt.

Voorbeeld:

Quote

DeleteJunctionsInDirectory: C:\Windows\system64

Om andere mappen en bestanden te herstellen, kan je het pad opnemen in fixlist.txt. Wanneer er spaties zijn in het pad, dienen er geen quotes aan toegevoegd te worden bij de behandeling ervan.

Quote

C:\Windows\System32\Drivers\bad.sys

C:\Program Files (x86)\Bad

Indien er meer bestanden aanwezig zijn met een gelijkaardige bestandsnaam en je wil deze allemaal verwijderen, kan je gebruik maken van de wildcard *.

Je kan deze bestanden ofwel afzonderlijk vermelden, zoals dit:

Quote

C:\Windows\Tasks\At1.job

C:\Windows\Tasks\At8.job

C:\Windows\Tasks\At13.job

C:\Windows\Tasks\At52.job

of door gebruik te maken van de wildcard *, zoals dit:

Quote

C:\Windows\Tasks\At*.job

Aandacht: Het vraagteken “?” wordt genegeerd om veiligheidsredenen, ongeacht of het een wildcard is of ter vervanging van Unicode-karakters (zie ook onder de hoofding “Unicode” eerder in deze handleiding) is opgenomen. Er is ook geen ondersteuning voor wildcards in mappen.

Bestanden om te verplaatsen of te verwijderen

Bestanden die in dit onderdeel staan zijn ofwel slecht of staan op een verkeerde locatie.

Voorbeelden van legitieme bestanden zijn o.m. bestanden die door de gebruikers gedownload en opgeslagen werden in de gebruikers-directory. Andere voorbeelden zijn bestanden die door legitieme programma’s van derden werden opgeslagen in deze gebruikers-directory. Dit zijn dan fouten van de softwareleverancier. Deze bestanden dienen verplaatst te worden, ook al zijn het volkomen legitieme bestanden. Er werden – bij vele infecties – echter ook bestanden ontdekt (op het eerste zicht legitiem, maar eigenlijk malware) die in deze gebruikers-directory verborgen worden en van daaruit uitgevoerd worden.

De manier waarop mappen en bestanden behandeld worden in een fix, is identiek aan de manier die toegelicht werd onder de hoofding “Nieuwe mappen en bestanden laatste maand” en “Gewijzigde mappen en bestanden laatste maand” (zie eerder in deze handleiding).

Bepaalde inhoud van TEMP

Dit is een scan die beperkt is tot een aantal specifieke extensies, om te bepalen of er malwarebestanden geplaatst werden in de TEMP-root. Dit onderdeel is niet zichtbaar indien er geen bestanden voldoen aan de voorwaarden van de zoekopdracht. Dit betekent echter niet dat TEMP leeg is of dat er geen malware aanwezig is (malware kan in een submap zitten die door FRST niet wordt uitgevouwen), wél dat er niets gevonden is dat aan de specifieke parameters van de zoekopdracht voldoet. Voor een grondige opruiming van TEMP-bestanden, kan je gebruik maken van de instructie EmptyTemp:.

Bekende DLLs

Sommige items in dit onderdeel kunnen opstartproblemen veroorzaken, indien ze ontbreken, gepatcht werden of corrupt zijn.

Hier wordt ook een whitelist gebruikt en worden items enkel getoond indien ze moeten worden onderzocht.

Voorzichtigheid is geboden bij het behandelen van items die in dit onderdeel worden getoond. Het kan hier immers gaan om bestanden die ontbreken of op één of andere manier aangepast werden. Hierbij wordt de hulp van een expert aanbevolen, om er zeker van te zijn dat het probleembestand correct werd geïndentificeerd en dat het op de passende manier wordt behandeld. In de meeste gevallen is er op het systeem een bruikbare vervanging te vinden, dat kan gevonden worden met de zoekfunctie van FRST. Zie het onderdeel “Instructies/Commando’s” in deze handleiding om de vervanging van bestanden te bekijken en “Andere Optionele Scans” in deze handleiding om te vernemen hoe je een zoekopdracht uitvoert.

Bamital & volsnap

Origineel ontworpen om een malwarecheck te doen op Bamital en volsnap, maar momenteel ook uitgebreid om andere afwijkingen te ontdekken.

Aangepaste systeembestanden kunnen wijzen op mogelijke malware-infecties. Indien er een infectie wordt vastgesteld, dient men voorzichtig te zijn om correcties uit te voeren. Ook hier is hulp van een expert aangewezen, omdat het verwijderen van systeembestanden ervoor kan zorgen dat de computer niet meer kan opstarten.

Wanneer een bestand geen correcte digitale handtekening heeft, zal je de eigenschappen ervan in de plaats zien.

Voorbeeld uit een Hijacker.DNS.Hosts-infectie:

Quote

C:\WINDOWS\system32\dnsapi.dll
[2015-07-10 13:00] - [2015-07-10 13:00] - 0680256 _____ (Microsoft Corporation) 5BB42439197E4B3585EF0C4CC7411E4E
C:\WINDOWS\SysWOW64\dnsapi.dll
[2015-07-10 13:00] - [2015-07-10 13:00] - 0534064 _____ (Microsoft Corporation) 4F1AB9478DA2E252F36970BD4E2C643E

In dat geval dient het bestand vervangen te worden door een goede kopie. Hiervoor gebruik je de instructie Replace:.

Aandacht: De controle op de digitale handtekening is niet beschikbaar in de herstelomgeving.

FRST controleert %SystemDrive%\Windows\system32\drivers-directory en toont alle “gesloten” bestanden (locked files).

Voorbeeld uit een SmartService-infectie :

Quote

C:\WINDOWS\system32\drivers\vdhmqtwa.sys -> Access Denied <======= ATTENTION

Aandacht: De willekeurige rootkit-drivers zijn verborgen en worden niet getoond bij het onderdeel “Drivers” in de normale modus. Om de drivers en de gesloten bestanden (locked files) te verwijderen, gebruik je de herstelmodus of andere tools met anti-rootkit-mogelijkheden.

Sommige versies van de SmartService-infectie schakelen de herstelmodus uit. FRST zet de BCD-modificaties automatisch om gedurende de scan.

Quote

BCD (recoveryenabled=No -> recoveryenabled=Yes) <==== restored successfully

De meest veilige manier om op te starten in “veilige modus” is om gebruik te maken van F8 (Windows 7 en ouder) of “Advanced Setup” (Windows 8 en 10) tijdens het opstarten. In sommige gevallen wordt “System Configuration Utility” gebruikt om op te starten in “veilige modus”. Indien de “veilige modus” echter corrupt is, zal de computer vergrendeld worden en kan het systeem niet in normale modus opstarten, vermits het geconfigureerd is om op te starten in de “veilige modus”. In dat geval krijg je het volgende te zien:

Quote

safeboot: ==> The system is configured to boot to Safe Mode <===== ATTENTION

Om dit probleem op te lossen, moet je de bovenstaande regel toevoegen in fixlist.txt. FRST zal de normale modus als standaardmodus (default) instellen, zodat het systeem uit de loop kan komen.

Aandacht: Dit geldt voor Vista en latere Windows-versies.

Koppelingen

Aandacht: “Koppelingen” verschijnt in FRST.txt als FRST wordt uitgevoerd in de herstelomgeving. Wanneer FRST wordt uitgevoerd buiten deze herstelomgeving, verschijnt dit onderdeel in Addition.txt. De scan in de herstelomgeving is beperkt tot koppelingen van .exe-bestanden.

Deze .exe-bestandskoppelingen worden zo aangegeven:

Quote

HKLM\...\exefile\open\command: C:\Windows\svchost.com "%1" %* <===== ATTENTION

Net zoals bij andere registeritems, kan je deze probleemitems gewoon kopiëren en plakken in fixlist.txt, waarna ze worden hersteld. Er is geen nood om zelf te fixen in het register.

Herstelpunten

Aandacht: “Herstelpunten” verschijnt in FRST.txt als FRST wordt uitgevoerd in de herstelomgeving. Wanneer FRST wordt uitgevoerd buiten deze herstelomgeving, verschijnt dit onderdeel in Addition.txt.

De herstelpunten worden vermeld.

Aandacht: Alleen in Windows XP kunnen met FRST de groepen worden hersteld. De herstelpunten in Vista en latere Windows-versies moeten hersteld worden vanuit de herstelomgeving, door gebruik te maken van Windows Recovery Options.

Om dit te herstellen, voeg je het betreffende herstelpunt toe aan fixlist.txt.

Voorbeeld van een XP-systeem

Quote

RP: -> 2010-10-26 19:51 - 024576 _restore{3216E3D3-FBC5-40AC-B583-63C1B9EE2B6F}\RP83
RP: -> 2010-10-24 13:57 - 024576 _restore{3216E3D3-FBC5-40AC-B583-63C1B9EE2B6F}\RP82
RP: -> 2010-10-21 20:02 - 024576 _restore{3216E3D3-FBC5-40AC-B583-63C1B9EE2B6F}\RP81

Voor het herstellen van de groepen van RP82 (2010-10-24), moet deze regel gekopieerd en geplakt worden in fixlist.txt op deze wijze:

Quote

RP: -> 2010-10-24 13:57 - 024576 _restore{3216E3D3-FBC5-40AC-B583-63C1B9EE2B6F}\RP82

Om een fix te herstellen vanuit back-up-software (FRST heeft groepen, ERUNT of CF opgeslagen) bij Vista of latere Windows-versies, raadpleeg het onderdeel "Instructies/Commando's" van deze handleiding.

Geheugeninfo

Aandacht: “Geheugeninfo” verschijnt in FRST.txt als FRST wordt uitgevoerd in de herstelomgeving. Wanneer FRST wordt uitgevoerd buiten deze herstelomgeving, verschijnt dit onderdeel in Addition.txt.

“Geheugeninfo” vermeldt de hoeveelheid RAM (Random Access Memory) dat is geïnstalleerd in de computer, samen met het beschikbaar fysiek geheugen en het percentage aan vrij geheugen. Soms kan dit nuttig zijn om een verklaring te vinden voor bepaalde symptomen die zich voordoen (bvb. als de gebruiker aangeeft dat de getoonde hoeveelheid RAM niet overeenkomt met de werkelijk aanwezige hoeveelheid hardware). De gemelde hoeveelheid RAM kan bvb. lager zijn dan wat beschikbaar is op de computer. Dit kan gebeuren als de computer geen toegang krijgt tot het volledige RAM-geheugen. Dan is het mogelijk dat er een defect geheugen of problemen met het moederbord zijn, of dat er binnen het BIOS problemen zijn om dit te herkennen (bvb. BIOS heeft een upgrade nodig).

Voor 32-bit-systemen met meer dan 4 GB RAM, zal de maximum hoeveelheid van 4 GB in het rapport gemeld worden. Dit is een beperking voor 32 bit-toepassingen.

Informatie over de processor, het virtueel geheugen en het beschikbare virtueel geheugen wordt eveneens vermeld.

Schijven en MBR & Partitietabel

Aandacht: “Schijven” en “MBR & Partitietabel” verschijnt in FRST.txt als FRST wordt uitgevoerd in de herstelomgeving. Wanneer FRST wordt uitgevoerd buiten deze herstelomgeving, verschijnt dit onderdeel in Addition.txt.

Geeft een overzicht van de de beschikbare partities op de computer en de verwijderbare schijven die op het moment van de scan verbonden zijn met de computer.

Quote

Drive c: (OS) (Fixed) (Total:223.02 GB) (Free:173.59 GB) NTFS
Drive f: (Flash drive) (Removable) (Total:1.91 GB) (Free:1.88 GB) FAT32
Drive g: (Recovery) (Fixed) (Total:0.44 GB) (Free:0.08 GB) NTFS
Drive x: (Boot) (Fixed) (Total:0.5 GB) (Free:0.49 GB) NTFS

\\?\Volume{74a80af8-ff89-444b-a7a3-09db3d90fd32}\ () (Fixed) (Total:0.09 GB) (Free:0.07 GB) FAT32

Bij een UEFI/GPT partitieschema: enkel de basis GPT layout wordt ontdekt, maar een volledige lijst van paetities is niet beschikbaar.

Quote

Disk: 0 (Protective MBR) (Size: 223.6 GB) (Disk ID: 00000000)
Partition: GPT.

Bij een BIOS/MBR partitieschema: de MBR code en de partities worden ontdekt = . Uitgebreide partities worden niet opgelijst.

Quote

Disk: 0 (MBR Code: Windows 7/8/10) (Size: 465.8 GB) (Disk ID: 73FD73FD)
Partition 1: (Active) - (Size=39.1 GB) - (Type=07 NTFS)
Partition 2: (Not Active) - (Size=426.7 GB) - (Type=0F Extended)

Wanneer er een indicatie is dat er iets fout is met MBR, is een controle van MBR aangewezen. Dit kan je doen via een MBR-dump. Voer onderstaande fix met FRST uit in alle modi:

Quote

SaveMbr: drive=0 (or appropriate drive number)

Door deze fix uit te voeren, wordt MBRDUMP.txt opgeslagen op de locatie waar FRST/FRST64 werd gedownload.

Aandacht: Ondanks het feit dat een MBR-dump kan uitgevoerd worden in de normale modus of in de herstelomgeving, kunnen sommige MBR-infecties MBR vervalsen terwijl Windows wordt geladen. Daarom wordt aangeraden om deze MBR-dump uit te voeren in de herstelomgeving.

LastRegBack

FRST onderzoekt het systeem en vermeldt de laatste register-back-up die gemaakt werd door het systeem. Deze register-back-up bevat een back-up van alle groepen. Deze verschilt van de LKGC-back-up (Last Known Good Configuration) van de ControlSet.

Er zijn talrijke redenen mogelijk waarom je deze back-up zou gebruiken om een probleem op te lossen, maar de meest voorkomende is deze waarbij dataverlies heeft plaatsgevonden of het systeem corrupt is geworden.

Je zou dit kunnen zien in de FRST-koptekst:

Quote

ATTENTION: Could not load system hive.

Om dit te herstellen kan je volgende regel toevoegen aan de fixlist:

Quote

LastRegBack: >>date<< >>time<<

Voorbeeld:

Quote

LastRegBack: 2013-07-02 15:09

kape · 16 mei

Bijkomende scan (Addition.txt)

Koptekst

De koptekst van de “Bijkomende Scan” bevat een korte samenvatting met nuttige informatie.

Dit is een voorbeeld van een koptekst:

Quote

Additional scan result of Farbar Recovery Scan Tool (x64) Version: 20-10-2017
Ran by User (21-10-2017 14:16:13)
Running from C:\Users\User\Desktop
Windows 10 Pro Version 1709 16299.19 (X64) (2017-10-17 23:06:22)
Boot Mode: Normal

Eerste lijn: toont welke variant (32-bits of 64-bits) en welke versie van FRST is uitgevoerd.

Tweede lijn: toont welke gebruiker het tool heeft opgestart, samen met de datum en tijd.

Derde lijn: toont vanop welke locatie FRST werd uitgevoerd.

Vierde lijn: hier wordt de Windows-versie getoond en de datum van installatie ervan.

Vijfde lijn: toont de modus waarin de scan is uitgevoerd.

Accounts

De verschillende accounts op het systeem worden vermeld op deze manier: accountnaam (account SID – privileges- Enabled/Disabled) en profielpad. De accountnamen van Microsoft worden niet getoond.

Voorbeeld:

Quote

Administrator (S-1-5-21-12236832-921050215-1751123909-500 - Administrator - Enabled) => C:\Users\Administrator
User (S-1-5-21-12236832-921050215-1751123909-1001 - Administrator - Enabled) => C:\Users\User
Guest (S-1-5-21-12236832-921050215-1751123909-501 - Limited - Disabled)
HomeGroupUser$ (S-1-5-21-12236832-921050215-1751123909-1003 - Limited - Enabled)

Veiligheidscentrum (Security Center)

In deze lijst kunnen restanten gevonden worden van eerder verwijderde beveiligingsprogramma’s. In dit geval kan je deze regel toevoegen aan fixlist.txt om te verwijderen. Er zijn sommige beveiligingsprogramma’s (bvb. Spybot S&D) die het verwijderen van items belemmeren als deze niet volledig gedeïnstalleerd zijn. In dat geval zal je – in plaats van een bevestiging van verwijdering – in Fixlog het volgende zien:

Quote

Security Center Entry => The item is protected. Make sure the software is uninstalled and its services is removed.

Geïnstalleerde programma’s

Vermeldt alle geïnstalleerde programma’s.

FRST heeft een ingebouwde database voor het markeren van een aantal adware- en PUP-programma’s.

Voorbeeld:

Quote

DictionaryBoss Firefox Toolbar (HKLM\...\DictionaryBossbar Uninstall Firefox) (Version: - Mindspark Interactive Network) <==== ATTENTION
Zip Opener Packages (HKU\S-1-5-21-3240431825-2694390405-104744025-1000\...\Zip Opener Packages) (Version: - ) <==== ATTENTION

Het is sterk aanbevolen om deze gemarkeerde programma’s eerst te verwijderen vóór een geautomatiseerd programma of tool wordt ingezet om deze adwareprogramma’s te verwijderen. De uninstaller van het adwareprogramma verwijdert het merendeel van de items en maakt de meeste configuratiewijzigingen ongedaan.

In het geval dat er programma’s niet getoond worden in de lijst van de door de gebruiker geïnstalleerde programma’s, maar deze er wél zijn, zal FRST deze oplijsten met labels, zoals hieronder:

Quote

Google Update Helper (x32 Version: 1.3.22.3 - Google Inc.) Hidden

Deze programma’s zijn niet noodzakelijk slecht …. alleen verborgen (hidden). Zij hebben een registerwaarde die “SystemComponent” genoemd wordt, met een REG_DWORD ingesteld op 1. Deze programma’s zijn niet zichtbaar in “Add/Remove Programs” (XP) of “Programs and Features” (Vista en later), waardoor de gebruiker deze daar niet kan verwijderen. FRST kan deze “SystemComponent” verwijderen en deze programma’s zichtbaar maken voor de gebruiker.

Als dit item uit Addition.txt wordt toegevoegd aan fixlist.txt, krijg je het volgende

Quote

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Adwarestuff\\SystemComponent => Value deleted successfully

Aandacht: Deze fix maakt het programma alleen zichtbaar, maar deïnstalleert dit niet. Het programma moet door de gebruiker verwijderd worden.

Zoals eerder aangegeven zijn niet alle verborgen programma’s slecht. Er zijn talrijke legitieme programma’s (inclusief MS-programma’s), die om goede redenen “verborgen” (hidden) zijn.

Aangepaste CLSID

Deze lijst vermeld CLSID-items in de gebruikersgroepen, ShellIconOverlayIdentifiers, ContextMenuHandlers en FolderExtensions.

Voorbeelden:

Quote

HKU\S-1-5-21-3797074174-2719608703-2427757124-1057\...\ChromeHTML: -> C:\Program Files (x86)\Antper\Application\chrome.exe (Google Inc.) <==== ATTENTION

Quote

ShellIconOverlayIdentifiers: [0TheftProtectionDll] -> {3B5B973C-92A4-4855-9D3F-0F3D23332208} => C:\ProgramData\Microsoft\Performance\TheftProtection\TheftProtection.dll [2017-03-01] ()

Quote

ContextMenuHandlers1: [SystemHelper] -> {851aab5c-2010-4157-9c5d-a28dfa7b2660} => C:\Windows\ExplorerPlug.dll [2017-06-13] ()

Om kwaadaardige items te fixen, voeg je deze toe aan fixlist.txt. FRST zal de registersleutels verwijderen. De daaraan verbonden mappen en bestanden moeten wel afzonderlijk vermeld worden om verwijderd te worden.

Aandacht: Legitieme software van derde partijen kan aangepaste CLSID’s maken, zodat voorzichtigheid geboden is omdat deze legitieme CLSID’s niet verwijderd moeten worden.

Geplande taken

Geplande taken die niet op de whitelist staan, worden hier getoond. Als een item in fixlist.txt wordt opgenomen, zal de taak zelf worden verwijderd.

Voorbeeld:

Quote

fixlist content:
*****************
Task: {41724A9A-4D5B-4BA0-BB3B-5E8527B95BDF} - System32\Tasks\FocusPick => c:\programdata\{21428fd3-d588-925d-2142-28fd3d583f4f}\708853146668916958b.exe [2014-07-05] () <==== ATTENTION
Task: C:\windows\Tasks\FocusPick.job => c:\programdata\{21428fd3-d588-925d-2142-28fd3d583f4f}\708853146668916958b.exe <==== ATTENTION
*****************

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{41724A9A-4D5B-4BA0-BB3B-5E8527B95BDF}" => key removed successfully
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{41724A9A-4D5B-4BA0-BB3B-5E8527B95BDF}" => key removed successfully
C:\Windows\System32\Tasks\FocusPick => moved successfully
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\FocusPick" => key removed successfully
C:\windows\Tasks\FocusPick.job => moved successfully

Hou er rekening mee dat FRST enkel de registeritems verwijderd en de taak verplaatst, maar het uitvoerbaar bestand niet verwijdert. Als dit uitvoerbaar bestand slecht is, moet het in een aparte regel toegevoegd worden aan fixlist.txt om verwijderd te worden.

Aandacht: Malware kan legitieme uitvoerbare bestanden gebruiken (bvb. sc.exe om de eigen service uit te voeren) voor het uitvoeren van het eigen bestand. M.a.w. dien je het uitvoerbare bestand eerst te controleren om na te kunnen gaan of het legitiem is of niet, alvorens actie te ondernemen.

Snelkoppelingen & WMI

Maakt melding van gekaapte of verdachte snelkoppelingen in het gebruikerspad en in de root-directory van C:\ProgramData\Microsoft\Windows\Start Menu\Programs en C:\Users\Public\Desktop.

Deze items kunnen toegevoegd worden aan fixlist.txt – zie Shortcut.txt in “Andere Optionele Scans” in deze handleiding.

Aandacht: Een scan met Shortcut.txt bevat alle snelkoppelingen van al de gebruikers, maar in Addition.txt worden enkel de gekaapte en verdachte snelkoppelingen opgenomen van de ingelogde gebruiker.

Wanneer WMI malware snelkoppelingen gekaapt heeft, krijg je volgende waarschuwing:

Quote

WMI_ActiveScriptEventConsumer_ASEC: <===== ATTENTION

Om het verdachte script te verwijderen, voeg je bovenstaande regel toe aan fixlist.txt.

Geladen Modules

“Geladen Modules” zijn opgenomen in een whitelist op basis van een bedrijfsnaam. Enkel de modules zonder bedrijfsnaam worden getoond. Hou er wel rekening mee dat er – in sommige gevallen - “foute” modules mét een bedrijfsnaam aanwezig kunnen zijn, die echter niet getoond worden bij deze scan.

Alternate Data Streams

FRST vermeldt de Alternate Data Streams (ADS) zo:

Quote

==================== Alternate Data Streams (whitelisted) ==========

AlternateDataStreams: C:\Windows\System32\legitfile:malware.exe [134]
AlternateDataStreams: C:\malware:malware.exe [134]

De grootte van de ADS (het aantal bytes) wordt op het einde van de regel getoond tussen haakjes.

Indien de ADS gekoppeld is aan een legitieme map of bestand, dan dien je de volledige regel uit het log te kopiëren en te plakken in fixlist.txt om te herstellen.

Voorbeeld:

Quote

AlternateDataStreams: C:\Windows\System32\legitfile:malware.exe [134]

Indien de ADS is gekoppeld aan een “foute” map of bestand, dan ziet de fix er zo uit:

Quote

C:\malware

In het eerste geval verwijdert FRST de ADS van de map of het bestand. In het tweede geval wordt het bestand of de map verwijderd.

Veilige Modus

De standaarditems zijn opgenomen in een whitelist. Indien hier geen meldingen staan, betekent dit dat er geen aangepaste items op de computer aanwezig zijn. Indien er één van de hoofdsleutels (SafeBoot, SafeBoot\Minimal and SafeBoot\Network) ontbreekt, wordt dit gerapporteerd. In dat geval moet dit handmatig hersteld worden. Als er een malware-item gevonden wordt, kan dit toegevoegd worden aan fixlist.txt om verwijderd te worden.

Bestandskoppeling – zie eerder bij Bestandskoppeling in deze handleiding.

Deze bestandskoppelingen worden hier opgenomen: .bat, .cmd, .com, .exe, .reg en .scr. De standaarditems zijn echter opgenomen op een whitelist. Indien er geen aangepaste of toegevoegde bestandskoppelingen zijn, zal er dus niets getoond worden in dit onderdeel. Als een aangepast item wordt opgenomen in fixlist.txt, zal dit hersteld worden naar zijn standaardvorm (default). Elke gebruikerssleutel die in fixlist txt wordt opgenomen, zal verwijderd worden.

Internet Explorer vertrouwde/beperkte toegang

Vermeldt de door Internet Explorer geregistreerde vertrouwde websites of websites met beperkte toegang. Indien een item aan fixlist.txt wordt toegevoegd, zal het gekoppelde item verwijderd worden uit het register.

Hosts inhoud – zie eerder bij Hosts Inhoud in deze handleiding.

Geeft meer details aan over het Hosts-bestand, d.w.z. de eigenschappen van dit bestand en de eerste 30 actieve items. Inactieve items (out) zijn verborgen.

Voorbeeld:

Quote

2009-07-14 04:34 - 2016-04-13 15:39 - 00001626 _____ C:\Windows\system32\Drivers\etc\hosts

107.178.255.88 www.google-analytics.com
107.178.255.88 www.statcounter.com
107.178.255.88 statcounter.com
107.178.255.88 ssl.google-analytics.com
107.178.255.88 partner.googleadservices.com
107.178.255.88 google-analytics.com
107.178.248.130 static.doubleclick.net
107.178.247.130 connect.facebook.net

De regels kunnen niet individueel bewerkt worden. Om het bestand te resetten, gebruik je de Hosts:-instructie of voeg je de regel toe met de waarschuwing uit FRST.txt.

Andere gebieden

Er zijn sommige gebieden die door FRST worden gescand, maar waarvan het resultaat niet wordt opgenomen onder één van de andere onderdelen. Onder deze hoofding rapporteert FRST momenteel Wallpapers, DNS servers, UAC-instelling (User Account Control), SmartScreen-instellingen en de status van de Windows Firewall. FRST vermeldt deze items enkel. Er gebeurt geen automatische fix voor deze items.

Wallpaper - Diverse crypto-malwarevarianten maken gebruik van deze instellingen om bvb. meldingen i.v.m. losgeld weer te geven.

Voorbeeld:

Een normaal pad ziet er zo uit:

Quote

HKU\S-1-5-21-2507207478-166344414-3466567977-1001\Control Panel\ Desktop\\Wallpaper -> C:\Users\User\AppData\Roaming\Microsoft\Windows\Themes\TranscodedWallpaper.jpg

Een “fout” pad zou er zo kunnen uitzien:

Quote

HKU\S-1-5-21-746137067-261478967-682003330-1003\Control Panel\Desktop\\Wallpaper -> C:\Documents and Settings\User\My Documents\!Decrypt-All-Files-scqwxua.bmp

In het geval van malware-items, kan het bestandspad toegevoegd worden aan de fix, samen met de gerelateerde bestanden die gevonden werden in FRST.txt.

Aandacht: Bij het verwijderen van het bestand van de malware-wallpaper, zal de achtergrond van het bureaublad verdwijnen.

De gebruiker zal dan opnieuw de achtergrond van het bureaublad moeten instellen.

Bij Windows XP:

Om de achtergrond van het bureaublad opnieuw in te stellen, moet je rechtsklikken op een willekeurige plaats op het bureublad en selecteer je daar “eigenschappen”, daarna “bureaublad” en kies je een afbeelding. Klik dan op “toepassen” en “OK”.

Bij Windows Vista of later:

Om de achtergrond van het bureaublad opnieuw in te stellen, moet je rechtsklikken op een willekeurige plaats op het bureublad en selecteer je daar “aan persoonlijke voorkeur aanpassen” en kies je een afbeelding. Klik dan op “wijzigingen opslaan”.

DNS servers – Dit is bruikbaar om hacking van de DNS-router te detecteren.

Voorbeeld:

Quote

DNS Servers: 213.46.228.196 - 62.179.104.196

Zoek het adres op in WhoisLookup om te achterhalen of de server legitiem is of niet.

Aandacht: De serverslijst wordt niet uit het register gehaald, dus moet de computer aangesloten zijn op het internet.

Wanneer FRST in veilige modus werkt of wanneer de computer niet verbonden is met internet, krijg je volgende melding:

Quote

DNS Servers: "Media is not connected to internet."

UAC

Ingeschakeld (standaardinstellingen)

Voorbeeld:

Quote

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System => (ConsentPromptBehaviorAdmin: 5) (ConsentPromptBehaviorUser: 3) (EnableLUA: 1)

Uitgeschakeld

Voorbeeld:

Quote

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System => (ConsentPromptBehaviorAdmin: 0) (ConsentPromptBehaviorUser: 3) (EnableLUA: 0)

Dit kan het gevolg zijn van het feit dat de gebruiker UAC heeft uitgeschakeld of van een bijwerking van malware. Als het duidelijk is dat het om malware gaat, kan je de fix opmaken. In het andere geval dien je eerst met de gebruiker te overleggen voordat de fix wordt ingezet.

SmartScreen (Windows 8+)

Quote

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer => (SmartScreenEnabled: Value data)

Waarden ondersteund door Windows: Bmoeck - Warn - Off (Windows 10 Versie 1703+) en RequireAdmin (standaardinstelling) - Prompt - Off (oudere systemen). Ontbrekende waarden (standaardinstelling bij Windows 10 Versie 1703+) of lege waarden zullen als volgt gerapporteerd worden:

Quote

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer => (SmartScreenEnabled: )

Dit is meestal het gevolg van malware en een manuele fix is dan vereist.

Windows Firewall

Voorbeeld:

Quote

Windows Firewall is enabled.

Hier wordt gerapporteerd of de Windows Firewall in- of uitgeschakeld is. Wanneer FRST in veilige modus wordt uitgevoerd of als er iets fout is met het systeem, zal er geen melding gemaakt worden over de firewall.

MSCONFIG/TASK MANAGER uitgeschakelde items

Dit onderdeel is nuttig wanneer de gebruiker MSCONFIG of Task Manager heeft gebruikt om malware-items uit te schakelen in plaats van deze te verwijderen. Of wanneer er teveel is uitgeschakeld, waardoor noodzakelijke services of programma’s niet naar behoren kunnen worden uitgevoerd.

Voorbeeld:

MSCONFIG in Windows 7 en oudere besturingssystemen:

Quote

MSCONFIG\Services: Quotenamron => 2
MSCONFIG\startupfolder: C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^339bc1.lnk => C:\Windows\pss\339bc1.lnk.Startup
MSCONFIG\startupreg: AdAnti => C:\Program Files (x86)\AdAnti\AdAnti.exe /S

Dit moet je als volgt lezen:

Uitgeschakelde Services:

Quote

MSCONFIG\Services: ServiceName => Original start type

Uitgeschakelde items in Startup folder:

Quote

MSCONFIG\startupfolder: Original Path (replaced "\" with "^" by Windows) => Path to backup made by Windows.

Uitgeschakelde startitems:

Quote

MSCONFIG\startupreg: ValueName => Path to the file.

TASK MANAGER in Windows 8 en Windows 10:

Quote

HKLM\...\StartupApproved\Run32: => "win_en_77"
HKU\S-1-5-21-2411900937-544243709-2355068264-1001\...\StartupApproved\StartupFolder: => "SmartWeb.lnk"
HKU\S-1-5-21-2411900937-544243709-2355068264-1001\...\StartupApproved\Run: => "svchost0"

Aandacht: Windows 8 en later gebruiken msconfig enkel voor services. De startup-items zijn verplaatst naar de Task Manager, die de uitgeschakelde items opslaat in verschillende sleutels. Een uitgeschakeld - maar aanwezig - item wordt tweemaal vermeld: eerst in FRST.txt (Register) en daarna in Addition.txt.

Deze items kunnen worden opgenomen in fixlist.txt om verwijderd te worden. FRST zal dan het volgende uitvoeren:

- in het geval van uitgeschakelde items zal het de sleutel die door MSCONFIG werd aangemaakt én de service zelf verwijderen.

- in het geval van uitgeschakelde startitems zal de sleutel/waarde verwijderd worden die MSCONFIG of Task Manager heeft aangemaakt. Ook het startitem zelf, zal bij recentere besturingssystemen worde verwijderd.

- in het geval van items in de Start-folder zal de sleutel/waarde verwijderd worden die MSCONFIG of Task Manager heeft aangemaakt en wordt de back-up van het bestand dat door Windows werd gemaakt (bij oudere systemen) of het bestand zelf (bij recentere systemen) toegevoegd.

Belangrijk: fix een item uit dit onderdeel enkel als je helemaal zeker bent dat het een malware-item is. Als je twijfelt aan de aard van een item, neem het dan niet mee op in een fix, dit om te voorkomen dat je legitieme items zal verwijderen. Indien er legitieme items uitgeschakeld zijn die normaal moeten ingeschakeld zijn, moet de gebruiker verwittigd worden om deze via MSCONFIG of Task Manager in te schakelen.

Firewallregels

Dit onderdeel meldt de lijst van FirewallRules, AuthorizedApplications en GloballyOpenPorts.

Voorbeeld (Windows 10):

Quote

FirewallRules: [TCP Query User{20B8E752-5263-4905-82B3-9443A2675E55}C:\program files (x86)\amulec3\amule.exe] => (Allow) C:\program files (x86)\amulec3\amule.exe
FirewallRules: [UDP Query User{755A6761-C64D-4214-A0EF-B7C06DE8D72E}C:\program files (x86)\amulec3\amule.exe] => (Allow) C:\program files (x86)\amulec3\amule.exe
FirewallRules: [{E3D59A00-E41A-4AE5-AECF-E7AC117FBF83}] => (Allow) C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe
FirewallRules: [{7FEA26C4-3ECE-4431-8FA1-E9AFE7F3B0DD}] => (Allow) C:\Program Files (x86)\Firefox\Firefox.exe

Voorbeeld (XP):

Quote

StandardProfile\AuthorizedApplications: [C:\Program Files\Firefox\bin\FirefoxUpdate.exe] => Enabled:Update service
StandardProfile\AuthorizedApplications: [C:\Program Files\Firefox\Firefox.exe] => Enabled:Firefox browser
StandardProfile\GloballyOpenPorts: [2900:TCP] => Enabled:ztdtqhnh

Als een item is opgenomen in fixlist.txt, zal het verwijderd worden uit het register. Eventueel vermelde bestanden worden niet verwijderd, tenzij apart vermeld.

Herstelpunten – zie eerder bij Herstelpunten in deze handleiding.

De herstelpunten worden als volgt getoond:

Quote

18-04-2016 14:39:58 Windows Update
18-04-2016 22:04:49 Restore Point Created by FRST

Indien het maken van herstelpunten is uitgeschakeld, wordt dit gerapporteerd:

Quote

ATTENTION: System Restore is disabled

Defecte Apparaatbeheer Apparaten

Voorbeeld:

Quote

Name: bsdriver
Description: bsdriver
Class Guid: {8ECC055D-047F-11D1-A537-0000F8753ED1}
Manufacturer:
Service: bsdriver
Problem: : This device is not present, is not working properly, or does not have all its drivers installed. (Code 24)
Resolution: The device is installed incorrectly. The problem could be a hardware failure, or a new driver might be needed.
Devices stay in this state if they have been prepared for removal.
After you remove the device, this error disappears.Remove the device, and this error should be resolved.

Eventlog fouten:

- Applicatiefouten

- Systeemfouten

- CodeIntegrity

- Fouten en waarschuwingen van Windows Defender

Geheugeninfo – zie eerder bij Geheugeninfo in deze handleiding.

Schijven – zie eerder bij Schijven in deze handleiding.

MBR & Partitietabel – zie eerder bij MBR & Partitietabel in deze handleiding.

kape · 16 mei

Andere optionele scans

Optionele Scans

Door een vinkje te plaatsen in één van de vakjes onder “Optionele Scan” zal FRST het gevraagde item scannen.

Toon BCD

Boot Configuration Data worden in een lijst gezet.

Drivers MD5

Maakt een lijst aan met drivers en de bijhorende MD5-sums. Die ziet er zo uit:

Quote

C:\Windows\System32\drivers\ACPI.sys 3D30878A269D934100FA5F972E53AF39
C:\Windows\System32\Drivers\acpiex.sys AC8279D229398BCF05C3154ADCA86813
C:\Windows\System32\drivers\acpipagr.sys A8970D9BF23CD309E0403978A1B58F3F
C:\Windows\System32\drivers\acpitime.sys 5758387D68A20AE7D3245011B07E36E7
C:\Windows\system32\drivers\afd.sys 239268BAB58EAE9A3FF4E08334C00451

Deze kunnen dan op hun geldigheid gecontroleerd worden.

Snelkoppelingen (Shortcut.txt)

Deze lijst vermeldt alle types snelkoppelingen van alle standaardaccounts. Gekaapte items kunnen toegevoegd worden aan fixlist.txt om hersteld of verwijderd te worden.

Voorbeeld:

Quote

Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\jIxmRfR\jIxmRfR\chrome.exe (The jIxmRfR Authors)
Shortcut: C:\Users\Public\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\jIxmRfR\jIxmRfR\chrome.exe (The jIxmRfR Authors)
Shortcut: C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\jIxmRfR\jIxmRfR\chrome.exe (The jIxmRfR Authors)
ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%
ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> "hxxp://trustedsurf.com/?ssid=1461248741&a=1003478&src=sh&uuid=56568057-03d0-4fdb-a271-15ae6cc4d336"
ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%

Voor het herstellen van ShortcutWithArgument:, kopieer je deze regels en plak je deze in fixlist.txt. Om de objecten van Shortcut: te verwijderen, voeg je het pad afzonderlijk toe aan de fix.

Een volledig script ziet er dan zo uit:

Quote

ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%

ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> "hxxp://trustedsurf.com/?ssid=1461248741&a=1003478&src=sh&uuid=56568057-03d0-4fdb-a271-15ae6cc4d336"

ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> %SNP%

C:\Program Files (x86)\jIxmRfR

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk

C:\Users\Public\Desktop\Google Chrome.lnk

C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk

Aandacht: FRST verwijdert de argumenten van de snelkoppelingen, met uitzondering van de snelkoppeling voor Internet Explorer (No Add-ons).lnk. Het argument voor deze snelkoppeling is standaard niet leeg (het argument = -extoff) en wordt gebruikt om Internet Explorer te starten zonder add-ons. Het is vitaal voor het oplossen van problemen met Internet Explorer dat het argument van deze snelkoppeling wordt hersteld.

Hou er ook rekening mee dat FRST - bij gebruik van een ander programma om de argumenten van Internet Explorer (No Add-ons).lnk te verwijderen – het niet zal vermelden onder ShortcutWithArgument: en dat daardoor de argumenten niet meer door FRST hersteld kunnen worden. In dat geval kan de gebruiker de argumenten wel manueel herstellen.

Om een argument manueel te herstellen, moet de gebruiker navigeren naar Internet Explorer (No Add-ons).lnk:

Rechtsklik op de link en kies voor Eigenschappen.

Voeg in de Doel-box twee spaties toe aan het pad en dan –extoff.

Klik dan op Toepassen en OK.

90 dagen-bestanden

Wanneer de optie “90 dagen-bestanden” is aangevinkt, zal FRST “Drie maanden Aangemaakte/Gewijzigde mappen en bestanden” vermelden i.p.v. “Eén maand Aangemaakte/Gewijzigde mappen en bestanden”.

Zoekopties

Bestanden zoeken

Op de startpagina van FRST is er een zoekfunctie via de button “Bestanden Zoeken”. Om bestanden te zoeken, kan je de namen van de bestanden typen of kopiëren en plakken in de “zoek”-box. Wildcards zijn toegestaan. Indien je zoekt naar meer dan één bestand, moet je de bestandsnamen scheiden door een punt-komma ;

Quote

naam;naam

Quote

*naam*;*naam*

Wanneer de button “Bestanden Zoeken” is aangeklikt, wordt de gebruiker ervan verwittigd dat het zoeken is gestart. Er verschijnt een melding en een statusbalk. Wanneer het zoeken is voltooid verschijnt er een bericht. Het log Search.txt wordt opgeslagen op dezelfde locatie waar FRST is opgeslagen.

De gevonden bestanden worden getoond in een lijst met de aanmaakdatum, de datum van wijzigingen, de grootte, de attributen, de bedrijfsnaam, MD5 en de digitale handtekening in het volgende formaat:

Quote

C:\Windows\WinSxS\amd64_microsoft-windows-dns-client-minwin_31bf3856ad364e35_10.0.15063.608_none_2ad0781c8951a362\dnsapi.dll
[2017-03-18 22:57][2017-03-18 22:57] 000661224 _____ (Microsoft Corporation) 0F9FA6A2D4EAE50393DCE473759A9845 [File is digitally signed]

Aandacht: De digitale handtekening is niet beschikbaar in de herstelomgeving.

Het zoeken van bestanden is beperkt tot de systeemdrive. Er zijn gevallen mogelijk waarbij een legitiem systeembestand ontbreekt of corrupt is, waardoor opstartproblemen ontstaan en waarvoor geen vervanging voorzien is op de computer. Wanneer de optie “Bestanden zoeken” wordt gebruikt in de herstelmodus (Vista en later), wordt het zoeken ook uitgebreid naar de bestanden in X: (virtuele opstart partitie). Dit kan – in sommige gevallen – de reddende engel zijn. Een voorbeeld: een ontbrekend bestand bvb. services.exe kan dan gekopieerd worden van X:\Windows\System32 naar C:\Windows\System32

Aandacht: De X:-partitie zal alleen 64-bit uitvoerbare bestanden bevatten voor een 64-bit systeem.

De button “Bestanden Zoeken” kan ook gebruikt worden voor bijkomende zoekopdrachten, kijk bij “Zoek Mappen” FindFolder: en “Alles Zoeken” SearchAll: later in deze handleiding. De resultaten worden eveneens opgenomen in het log Search.txt.

Zoek in register

Op de startpagina van FRST is er een zoekfunctie in het register via de button “Zoek in register”. Om items te zoeken, kan je de namen typen of kopiëren en plakken in de “zoek”-box. Indien je zoekt naar meer dan één item, moet je de namen scheiden door een punt-komma ;

Quote

naam;naam

In tegenstelling tot het zoeken naar bestanden, moet er bij het zoeken naar items in het register vermeden worden om wildcards te gebruiken. De tekens van deze wildcards worden immers letterlijk opgevat. Wanneer toch een wildcard (“*” of “?”) is toegevoegd aan het item dat gezocht wordt in het register, zal FRST deze negeren en op zoek gaan naar de zoekterm zonder deze wildcard.

Het log SearchReg.txt wordt opgeslagen op dezelfde locatie waar FRST is opgeslagen.

Aandacht: de functie “Zoek in register” werkt niet in de herstelomgeving.

Zoek mappen (FindFolder:)

Om mappen te zoeken op de systeempartitie, voeg je volgende syntax toe in de “zoek”-box en klik je op de button “Bestanden Zoeken”:

Quote

FindFolder: naam;naam

Wildcards worden ondersteund:

Quote

FindFolder: *naam*;*naam*

Alles zoeken (SearchAll:)

Om alles te zoeken (mappen, bestanden, register) over één of meerdere zoektermen, kan je de volgende syntax gebruiken in de “zoek”-box en de button “Bestanden Zoeken” aanklikken:

Quote

SearchAll: naam;naam

Voeg hier geen wildcards toe aan de zoektermen. FRST interpreteert de zoektermen automatisch als *naam* in het geval van mappen en bestanden.

Aandacht: “Alles zoeken” is in de herstelomgeving beperkt tot mappen en bestanden.

kape · 17 mei

Instructies/Commando’s

Alle instructies en commando’s in FRST moeten op één regel geplaatst worden, vermits door FRST het script regel per regel wordt verwerkt.

Beknopt overzicht van instructies en commando’s.

Aandacht: Instructies en commando’s zijn niet hoofdlettergevoelig.

Alleen gebruiken in normale modus

CreateRestorePoint:

TasksDetails:

Alleen gebruiken in normale modus en veilige modus

CloseProcesses:
EmptyTemp:

Powershell:
Reboot:
RemoveProxy:

StartPowershell: — EndPowershell:

VerifySignature:

VirusTotal:
Zip:

Gebruiken in normale modus, veilige modus en herstelomgeving.

cmd:

Copy:

CreateDummy:
DeleteJunctionsInDirectory:

DeleteKey: and DeleteValue:
DeleteQuarantine:
DisableService:

ExportKey: and ExportValue:
File:

FilesInDirectory: and Folder:
FindFolder:
Hosts:
ListPermissions:
Move:
Reg:
RemoveDirectory:
Replace:
RestoreQuarantine:
SaveMbr:
SetDefaultFilePermissions:

StartBatch: — EndBatch:

StartRegedit: — EndRegedit:
testsigning on:
Unlock:

Alleen gebruiken in de herstelomgeving

LastRegBack:

Restore From Backup:
RestoreErunt:
RestoreMbr:

Gebruiksvoorbeelden

CloseProcesses:

Sluit alle niet-noodzakelijke processen af. Dit draagt er toe bij dat er sneller en efficiënter kan gefixt worden.

Voorbeeld:

Quote

CloseProcesses:

Wanneer deze instructie is toegevoegd aan een fix, wordt er automatisch een herstart (reboot) uitgevoerd. Het is dan ook niet noodzakelijk om het commando Reboot: te gebruiken. De instructie CloseProcesses: is niet noodzakelijk en niet beschikbaar in de herstelomgeving.

CMD:

In uitzonderlijke gevallen moet je de opdracht CMD toepassen. In dergelijke gevallen moet je het commando CMD: gebruiken.

Het script zal er dan zo uitzien:

Quote

CMD: command

Indien er meer dan één commando is, dien je elke regel te starten met CMD: om een uitvoerlog voor elk commando te verkrijgen.

Voorbeeld:

Quote

CMD: copy /y c:\windows\minidump\*.dmp e:\

Quote

CMD: bootrec /FixMbr

Het eerste commando zal een minidump van bestanden kopiëren naar een flash drive (indien de stationsletter van de flash drive E is). Het tweede commando wordt gebruikt om MBR in Windows Vista en later te herstellen.

Als alternatief kunnen de commando’s StartBatch: - EndBatch: gebruikt worden (zie hieronder).

Aandacht: In tegenstelling tot normale of andere FRST-instructies, moet je bij commando’s met CMD de correcte syntax toepassen, met o.a. het gebruik van “ quotes in het geval dat er in een pad ruimtes zijn tussen directories en bestanden.

Copy:

Om mappen of bestanden te kopiëren op een wijze als xcopy.

De syntax is:

Quote

Copy: source file/folder destination folder

De bestemmingsmap zal automatisch aangemaakt worden (indien niet aanwezig).

Voorbeeld:

Quote

Copy: C:\Users\User\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\AC\MicrosoftEdge\User\Default\DataStore\Data\nouser1\120712-0049\DBStore\spartan.edb C:\Users\User\Desktop\Edge Backup

Copy: C:\Windows\Minidump F:\

Aandacht: Om individuele bestanden te vervangen, is het aanbevolen om de instructie Replace: te gebruiken. Indien er een bestemmingsmap aanwezig is, zal Copy: het bestand enkel trachten te overschrijven, terwijl Replace: bijkomend het bestand zal trachten te ontsluiten en te verplaatsen naar de quarantaine.

CreateDummy:

Maakt een dummymap aan om te voorkomen dat er foute mappen of bestanden hersteld worden. Deze dummymap moet verwijderd worden nadat malware is geneutraliseerd.

De syntax ziet er zo uit:

Quote

CreateDummy: path

Voorbeeld:

Quote

CreateDummy: C:\Windows\System32\bad.exe

CreateDummy: C:\ProgramData\Bad

CreateRestorePoint:

Om een herstelpunt aan te maken.

Voorbeeld:

Quote

CreateRestorePoint:

Aandacht: Deze instructie werkt enkel in normale modus. Ze werkt ook niet indien het maken van herstelpunten is uitgeschakeld.

DeleteJunctionsInDirectory:

Voor het verwijderen van knooppunten, gebruik je de volgende syntax:

Quote

DeleteJunctionsInDirectory: path

Voorbeeld:

Quote

DeleteJunctionsInDirectory: C:\Program Files\Windows Defender

DeleteKey: and DeleteValue:

De meest effectieve manier om sleutels of waarden te verwijderen of om beperkingen door standaard verwijderalgoritmen in Reg: en StartRegedit: - EndRegedit: te omzeilen.

De syntax ziet er dan zo uit:

1. voor sleutels:

Quote

DeleteKey: key

Als alternatief kan je ook een regedit-formaat gebruiken:

Quote

[-key]

2. voor waarden:

Quote

DeleteValue: key|value

Indien de waarde een standaardwaarde is, laat dan de benaming van de waarde leeg:

Quote

DeleteValue: key|

Voorbeeld:

Quote

DeleteKey: HKLM\SOFTWARE\Microleaves

DeleteValue: HKEY_CURRENT_USER\Environment|SNF

DeleteValue: HKU\S-1-5-21-3145329596-257967906-3285628945-1000\Software\Clients\StartMenuInternet|

[-HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application\Dataup]

DeleteValue: key|

Deze instructies hebben de mogelijkheid om sleutels en waarden die geblokkeerd zijn vanwege onvoldoende rechten, die embedded-null-karakters bezitten of registry symbolic links te verwijderen. Daarvoor hoef je dan niet het commando Unlock: te gebruiken.

Voor sleutels of waarden die beschermd worden door software die uitgevoerd wordt (“Access Denied” of “Toegang Geweigerd”), moet je de veilige modus gebruiken (om de uitgevoerde software te omzeilen) of dien je de hoofdcomponenten te verwijderen vóór je het commando gebruikt.

Aandacht: Indien de voor verwijdering opgenomen sleutel een registerlink naar een andere sleutel is, zal die (bron)sleutel die de symbolische link is, verwijderd worden. De doelsleutel zal niet verwijderd worden. Dit is voorzien om te voorkomen dat zowel de foute symbolische link die kan wijzen naar een legitieme sleutel én de legitieme sleutel zelf, verwijderd worden. Wanneer zowel de bron- als de doelsleutel fout zijn, dan moeten beiden voor verwijdering vermeld worden.

DeleteQuarantine:

Na het beëindigen van de opruiming, zou de map %SystemDrive%\FRST (normaal C:\FRST) die is aangemaakt door FRST, verwijderd moeten worden van de computer. In sommige gevallen kan deze folder niet manueel verwijderd worden, omdat de map %SystemDrive%\FRST\Quarantine geblokkeerde of ongebruikelijke malwaremappen of malwarebestanden bevat. Het commando DeleteQuarantaine: zal dan de quarantainefolder verwijderen.

Andere tools die enkel bestanden verplaatsen, zullen niet gebruikt worden om C:\FRST te verwijderen, vermits deze tools de bestanden enkel verplaatsen naar hun eigen directory en deze bestanden dus in het systeem aanwezig blijven.

Dit commando dient zo in fixlist opgenomen te worden:

Quote

DeleteQuarantine:

Aandacht: de automatische uninstaller van FRST bevat dezelfde mogelijkheid om de geblokkeerde quarantaine te verwijderen.

DisableService:

Om een service of driver uit te schakelen, kan je volgend script gebruiken:

Quote

DisableService: ServiceName

Voorbeeld:

Quote

DisableService: sptd

DisableService: Wmware Nat Service

FRST zal de service uitschakelen en deze service zal de volgende maal bij het opstarten niet uitgevoerd worden.

Aandacht: De naam van de service moet opgenomen worden zoals hij voorkomt in het register of het FRST-log, zonder toevoegingen. Aanhalingstekens zijn bvb. niet vereist.

EmptyTemp:

De volgende mappen worden leeggemaakt:

Windows Temp
Temp folders alle gebruikers
Edge, IE, FF, Chrome en Opera cache, HTML5 opslag, cookies en geschiedenis (Aandacht: de geschiedenis van FF wordt niet verwijderd)
Recent geopende bestandscaches
Flash Player cache
Java cache
Steam HTML cache
Explorer minitiaturen en icooncaches
BITS overdrachten wachtrij (qmgr*.dat files)
Prullenbak

Wanneer het commando EmptyTemp: is gebruikt, zal het systeem automatisch worden heropgestart nà een fix. Het commando Reboot: dient dus niet gebruikt te worden. Het maakt niet uit of het commando EmptyTemp: aan het begin, in het midden of op het einde van fixlist.txt wordt toegevoegd, vermits het pas wordt uitgevoerd nadat alle andere regels uit fixlist.txt al zijn uitgevoerd.

Belangrijk: Wanneer de opdracht EmptyTemp: wordt toegepast, worden de items permanent verwijderd. Ze worden niet verplaatst naar een quarantaine.

Aandacht: Deze opdracht wordt uitgeschakeld in de herstelomgeving om schade te voorkomen.

ExportKey: and ExportValue:

Een meer betrouwbare methode om belangrijke inhoud te inspecteren. Deze instructies overwinnen sommige beperkingen van regedit.exe en reg.exe. Het verschil tussen de instructies is de grootte van de export. ExportKey: geeft alle waarden en subsleutels weer, terwijl ExportValue: alleen de waarden in de sleutel toont.

De syntax is:

Quote

ExportKey: key

of

Quote

ExportValue: key

Voorbeeld:

Quote

ExportKey: HKEY_LOCAL_MACHINE\SOFTWARE\Suspicious Key

Quote

================== ExportKey: ===================

[HKEY_LOCAL_MACHINE\SOFTWARE\Suspicious Key]

[HKEY_LOCAL_MACHINE\SOFTWARE\Suspicious Key\InvalidKey ]

"Hidden Value"="Hidden Data"

[HKEY_LOCAL_MACHINE\SOFTWARE\Suspicious Key\LockedKey]

HKEY_LOCAL_MACHINE\SOFTWARE\Suspicious Key\LockedKey => Access Denied.

=== End of ExportKey ===

Aandacht: Exporteren van deze gegevens is alleen bedoeld voor onderzoeksdoeleinden en kan niet gebruikt worden voor een back-up of importacties.

File:

Opdracht om de eigenschappen van bestanden te bekijken. Meerdere bestanden kunnen worden opgenomen, gescheiden door puntkomma’s:

Quote

File: path;path

Voorbeeld:

Quote

File: C:\Users\User\AppData\Roaming\Pcregfixer\PCREGFIXER\background\wmplayer.exe

Quote

========================= File: C:\Users\User\AppData\Roaming\Pcregfixer\PCREGFIXER\background\wmplayer.exe ========================

File not signed
MD5: 4793A9663376EF3A9044E07A9A45D966
Creation and modification date: 2017-07-30 12:04 - 2017-07-30 12:04
Size: 000242688
Attributes: ----A
Company Name:
Internal Name: wmplayer.exe
Original Name: wmplayer.exe
Product: Windows Media Player
Description: Windows Media Player
File Version: 1.0.0.0
Product Version: 1.0.0.0
Copyright: Copyright © 2017
VirusTotal: https://www.virustotal.com/file/8eb7326be9966a76b83c3497109a147bce7237e72940680642b4ca02f9089ed9/analysis/1503093556/

====== End of File: ======

Aandacht: De digitale handtekening is niet beschikbaar in de herstelomgeving.

Aandacht: Het commando File: biedt geen automatische upload naar VirusTotal, dit in tegenstelling tot het commando VirusTotal:

FilesInDirectory: en Folder:

Beiden bieden de mogelijkheid om de inhoud van mappen te controleren. FilesInDirectory: is bedoeld om één of meer bestanden te zoeken, waarvoor een * wildcard werd ingevoerd. Folder: is dan weer ontwikkeld om de volledige inhoud van een map te krijgen. Bij de output van beide opdrachten zijn de MD5 checksums inbegrepen.

De syntax is zo:

Quote

FilesInDirectory: path\pattern;pattern

Quote

Folder: path

Voorbeeld:

Quote

FilesInDirectory: C:\Windows\desktop-7ec3qg0\*.exe;*.dll

Folder: C:\Windows\desktop-7ec3qg0

Quote

================= FilesInDirectory: C:\Windows\desktop-7ec3qg0\*.exe;*.dll =============

2017-10-05 11:11 - 2016-01-22 05:45 - 000086528 ____A [90F8887CBFCD2FF300214C70348E19EC] () C:\Windows\desktop-7ec3qg0\mgwz.dll
2017-10-05 11:11 - 2016-01-22 05:45 - 000373248 ____A [7D82D50DBC3AFDCEF5838A36B3296F86] (The Privoxy team - www.privoxy.org) C:\Windows\desktop-7ec3qg0\oxy.exe
2017-10-05 11:11 - 2017-09-20 02:20 - 000540160 ____A [47D76AB2C7EBDA69DEBA03B454A9F551] (addzire.com) C:\Windows\desktop-7ec3qg0\RuntimeBroker.exe

====== End of Filesindirectory ======

================= Folder: C:\Windows\desktop-7ec3qg0 ============================

2017-10-05 11:11 - 2016-03-28 15:22 - 000000407 ____A [4FED6C66502829268459034D6A2D51F6] () C:\Windows\desktop-7ec3qg0\config.txt
2017-10-05 11:11 - 2016-02-07 07:10 - 000000021 ____A [141C4B266FCC6204D7EE7C6EDCCC2D70] () C:\Windows\desktop-7ec3qg0\default.action
2017-10-05 11:11 - 2017-09-20 02:05 - 000000117 ____A [4A44010B8D5F3455F5447ED376294FF4] () C:\Windows\desktop-7ec3qg0\default.filter
2017-10-05 11:11 - 2016-01-22 05:45 - 000086528 ____A [90F8887CBFCD2FF300214C70348E19EC] () C:\Windows\desktop-7ec3qg0\mgwz.dll
2017-10-05 11:11 - 2016-01-22 05:45 - 000373248 ____A [7D82D50DBC3AFDCEF5838A36B3296F86] (The Privoxy team - www.privoxy.org) C:\Windows\desktop-7ec3qg0\oxy.exe
2017-10-05 11:11 - 2017-10-05 11:11 - 000000000 ____A [D41D8CD98F00B204E9800998ECF8427E] () C:\Windows\desktop-7ec3qg0\oxy.log
2017-10-05 11:11 - 2017-09-20 02:20 - 000540160 ____A [47D76AB2C7EBDA69DEBA03B454A9F551] (addzire.com) C:\Windows\desktop-7ec3qg0\RuntimeBroker.exe
2017-10-05 11:11 - 2016-09-09 16:32 - 000000215 ____A [7198513210A07AB63043FA7A84635AE2] () C:\Windows\desktop-7ec3qg0\uninstall.bat

====== End of Folder: ======

Aandacht: Het commando Folder: maakt (ook) een log aan van de inhoud van alle subfolders. Daardoor kan het een erg omvangrijk log worden.

FindFolder:

Zie bij "Zoekopties" - “Zoek mappen” in “Andere optionele scans”. Dit commando werkt op dezelfde manier als FindFolder: in de zoekbox, maar de resultaten worden opgenomen in Fixlog.txt.

Hosts:

Opdracht om Hosts te resetten. Kijk ook bij “Hosts” in de Hoofdscan (FRST.txt).

ListPermissions:

Dit commando wordt gebruikt om rechten op mappen, bestanden en sleutels in het script te vermelden:

Quote

ListPermissions: path/key

Voorbeeld:

Quote

ListPermissions: C:\Windows\Explorer.exe

ListPermissions: C:\Users\User\appdata

ListPermissions: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip

ListPermissions: HKLM\SYSTEM\CurrentControlSet\services\afd

Move:

Soms is het hernoemen of verplaatsen van bestanden problematisch, in het bijzonder wanneer dit over de verschillende schijven dient te gebeuren en zeker wanneer het commando MS Rename mislukt. Voor het hernoemen en/of verplaatsen van een bestand, gebruik je dan het volgende script:

Quote

Move: source destination

Voorbeeld:

Quote

Move: c:\WINDOWS\system32\drivers\afd.sys c:\WINDOWS\system32\drivers\afd.sys.old

Move: c:\WINDOWS\system32\drivers\atapi.bak c:\WINDOWS\system32\drivers\atapi.sys

Het tool verplaatst het doelbestand naar de quarantaine (indien aawezig) en verplaatst daarna het bronbestand naar de doellocatie.

Aandacht: Je mag ook bestanden hernoemen tijdens de instructie Move:

Aandacht: Het doelpad moet de bestandsnaam bevatten, zelfs als het bestand momenteel ontbreekt in de doelmap.

Powershell:

Om instructies van PowerShell of andere scripts uit te voeren.

1. om een enkel commando van PowerShell uit te voeren en de output ervan in Fixlog.txt zichtbaar te maken, gebruik je de volgende syntax:

Quote

Powershell: command

Voorbeeld:

Quote

Powershell: Get-Service

2. om een enkel commando van PowerShell uit te voeren en de output in een tekstbestand (niet Fixlog.txt) te krijgen, gebruik je redirection operators of Out-File cmdlet:

Quote

Powershell: command > "Path to a text file"

Quote

Powershell: command | Out-File "Path to a text file"

Voorbeeld:

Quote

Powershell: Get-Service > C:\log.txt

Powershell: Get-Process >> C:\log.txt

3. om een kant-en-klaar-script (.ps1) - dat één of meerdere commado’s of regels van PowerShell bevat – uit te voeren, gebruik je volgende syntax:

Quote

Powershell: "Path to a script file"

Voorbeelden:

Quote

Powershell: C:\Users\UserName\Desktop\script.ps1

Quote

Powershell: "C:\Users\User Name\Desktop\script.ps1"

4. om meer commando’s of regels van PowerShell uit een scriptbestand (.ps1) uit te voeren, echter zonder het maken van een .ps1-bestand, gebruik je een puntkomma ; in plaats van verschillende lijnen om ze te scheiden:

Quote

Powershell: line 1; line 2; (en verder)

Voorbeeld:

Quote

Powershell: $WebClient = New-Object System.Net.WebClient; $WebClient.DownloadFile("http://server/file.exe", "C:\Users\User\Desktop\file.exe")

Als alternatief kan je ook de instructie StartPowershell: — EndPowershell: gebruiken (zie hieronder).

Reboot:

Om een herstart te forceren.

Het maakt geen verschil uit waar je deze opdracht plaatst in fixlist.txt. Ook wanneer je dit aan het begin van de fix plaatst, zal de herstart pas uitgevoerd worden nadat alle andere aanpassingen zijn uitgevoerd.

Aandacht: Dit commando werkt niet én is ook niet noodzakelijk in de herstelomgeving.

Reg:

Om het Windowsregister aan te passen d.m.v. het Reg command line tool.

De syntax is dan:

Quote

Reg: reg command

Voorbeeld:

Quote

Reg: reg query "hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32"

Reg: reg add hklm\system\controlset001\services\sptd /v Start /t REG_DWORD /d 0x4 /f

Reg: reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SweetIM" /f

Aandacht: In tegenstelling tot de eigen FRST-instructies, heeft het Reg:-commando een correcte reg.exe syntax nodig, zoals het gebruik van “ quotes in geval van ruimte in naam van de sleutel of de waarde.

Aandacht: Dit commando bewerkt geen geblokkeerde of onvolledige sleutels. Lees de beschrijving bij DeleteKey: en DeleteValue: eerder in deze handleiding.

RemoveDirectory:

Om mappen met beperkte permissies of onvolledige paden of namen te verwijderen (niet om deze te verplaatsen naar de quarantaine). Gebruik van de instructie Unlock: is niet noodzakelijk. RemoveDirectory: dient gebruikt te worden voor mappen die weerstaan aan de normale verplaatsactie. Indien het gebruikt wordt in veilige modus is het erg krachtig, maar in de herstelmodus is het het meest krachtige.

Het script ziet er zo uit:

Quote

RemoveDirectory: path

RemoveProxy:

Verwijdert sommige policy restricties van Internet Explorer, zoals "HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer" of ProxySettingsPerUser in “HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings”. Het verwijdert de waarden van de machine- en gebruikerssleutels van “Proxy Enable” (indien deze ingesteld staat op 1), “ProxyServer”, “AutoConfigURL”, “DefaultConnectionSettings” en “SavedLegacySettings”. Het is ook van toepassing op het BITSAdmin-commando met NO_PROXY.

Bijkomend verwijdert het de standaardwaarde van de sleutel “HKLM\SYSTEM\CurrentControlSet\services\NlaSvc\Parameters\Internet\ManualProxies” (indien deze is aangepast).

Aandacht: Indien er een uitvoerende software of een service actief is die de instellingen herstelt, moet de software en de service eerst verwijderd worden, voordat deze instructie wordt uitgevoerd. Dit is noodzakelijk om te voorkomen dat de proxy-instellingen teruggezet worden.

Replace:

Om een bestand te vervangen, gebruik je volgend script:

Quote

Replace: source destination

Voorbeeld:

Quote

Replace: C:\WINDOWS\WinSxS\amd64_microsoft-windows-dns-client-minwin_31bf3856ad364e35_10.0.14393.206_none_cf8ff0d2c0eeb431\dnsapi.dll C:\WINDOWS\system32\dnsapi.dll

Replace: C:\WINDOWS\WinSxS\wow64_microsoft-windows-dns-client-minwin_31bf3856ad364e35_10.0.14393.206_none_d9e49b24f54f762c\dnsapi.dll C:\WINDOWS\SysWOW64\dnsapi.dll

Het tool verplaatst het bestand van de doellocatie (indien aanwezig) naar de quarantaine en kopieert dan het bronbestand naar de doellocatie.

Het zal het bronbestand niet verplaatsen en dit bronbestand blijft aanwezig op de oorspronkelijke locatie. In bovenstaand voorbeeld zal dnsapi.dll ook in de toekomst in de WinSxS-directory aanwezig blijven.

Aandacht: Het doelpad moet de bestandsnaam bevatten, ook als het bestand op dat moment ontbreekt in de doelmap.

Aandacht: In het geval dat de doelmap ontbreekt, zal de instructie mislukken. FRST hertelt niet de volledige mappenstructuur. De instructie Copy: kan in dat geval ingezet worden.

.
Restore From Backup:

De eerste keer dat het tool wordt uitgevoerd, worden de groepen als back-up gekopieerd naar %SystemDrive%\FRST\Hives (in de meeste gevallen C:\FRST\Hives). Het zal niet worden overschreven wanneer het tool een volgende maal wordt uitgevoerd, behalve wanneer de back-up ouder is dan twee maanden. Indien er iets misloopt, kan één van de groepen hersteld worden.

De syntax zal dan zo zijn:

Quote

Restore From Backup: HiveName

Voorbeelden:

Quote

Restore From Backup: software

Restore From Backup: system

RestoreErunt:

Indien groepen hersteld dienen te worden uit Erunt, ziet het script er zo uit:

Quote

RestoreErunt: path

Om back-ups te herstellen die gemaakt zijn met CF (Combofix), gebruik je dit script:

Quote

RestoreErunt: cf

RestoreMbr:

Om MBR te herstellen, zal FRST gebruikmaken van MbrFix dat is opgeslagen op de flash drive om een MBR.bin-bestand naar een drive te schrijven. Hiervoor is het hulpprogramma MbrFix/MbrFix64 noodzakelijk, het MBR.bin-bestand dat hersteld moet worden en het script dat de drive toont:

Quote

RestoreMbr: Drive=#

Voorbeeld:

Quote

RestoreMbr: Drive=0

Aandacht: Het MBR dat hersteld gaat worden, moet MBR.bin genoemd worden en daarna gezipped en toegevoegd.

RestoreQuarantine:

Hiermee kan men de volledige inhoud van de quarantaine of enkele of meerdere mappen en bestanden uit de quarantaine herstellen

Om de volledige inhoud van de quarantaine te herstellen, is de één van de volgende syntaxen mogelijk:

Quote

RestoreQuarantine:

of

Quote

RestoreQuarantine: C:\FRST\Quarantine

Om een map of een bestand te herstellen, is de syntax:

Quote

RestoreQuarantine: PathInQuarantine

Voorbeeld:

Quote

RestoreQuarantine: C:\FRST\Quarantine\C\Program Files\Microsoft Office
RestoreQuarantine: C:\FRST\Quarantine\C\Users\User\Desktop\ANOTB.exe.xBAD

Om het pad in de quarantaine te vinden, kan je dit gebruiken:

Quote

Folder: C:\FRST\Quarantine

of

Quote

CMD: dir /a/b/s C:\FRST\Quarantine

Aandacht: Indien een bestand al bestaat in het doelpad (buiten de quarantaine), zal FRST dit niet overschrijven Het originele bestand zal niet verplaatst worden en zal in de quarantaine bebouden blijven. Mocht je toch dit bestand willen herstellen vanuit de quarantaine, dan moet het bestand in het doelpad eerst hernoemd of verwijderd worden.

SaveMbr:

Kijk ook bij Schijven en MBR & Partitietabel in deze handleiding.

Om een kopie te maken van MBR, gebruik je volgende syntax:

Quote

SaveMbr: Drive=#

Voorbeeld:

Quote

SaveMbr: Drive=0

Aandacht: Door dit uit te voeren wordt MBRDUMP.txt aangemaakt op de flash drive, dat moet toegevoegd worden aan het bericht van de gebruiker.

SetDefaultFilePermissions:

Deze instructie is ontworpen voor geblokkeerde systeembestanden. Het zet de groep “Administrator” als eigenaar en – afhankelijk van het systeem – verstrekt het toegangsrechten tot de standaardgroepen.

Aandacht: Deze instructie schakelt TrustedInstaller niet in als eigenaar, maar ze kan wel gebruikt worden voor systeembestanden die geblokkeerd worden door malware.

Het script ziet er dan zo uit:

Quote

SetDefaultFilePermissions: path

StartBatch: — EndBatch:

Voor het maken en uitvoeren van batch-bestanden.

De syntax is dan:

Quote

StartBatch:

Line 1

Line 2

Etc.

EndBatch:

Het resultaat wordt opgenomen in Fixlog.txt

StartPowershell: — EndPowershell:

Dit is een beter alternatief voor het maken en uitvoeren van een PowerShell-bestand dat meerdere regels bevat (zie ook de instructie PowerShell: eerder in deze handleiding).

De syntax is dan:

Quote

StartPowershell:

Line 1

Line 2

Etc.

EndPowershell:

Het resultaat wordt opgenomen in Fixlog.txt.

StartRegedit: — EndRegedit:

Voor het maken en importeren van een registerbestand (.reg).

De syntax is dan:

Quote

StartRegedit:
.reg file format
EndRegedit:

Het invoegen van de hoofding van Windows Registry Editor Version 5.00 is optioneel, maar de hoofding van REGEDIT4 is vereist.

Voorbeeld:

Quote

StartRegedit:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MpsSvc]

"Start"=dword:00000002

EndRegedit:

Je krijgt een bevestiging in Fixlog.txt:

Quote

====> Registry

Aandacht: De regel ter bevestiging verschijnt steeds, ongeacht mogelijke fouten in het .reg-bestand.

Aandacht: De instructies behandelen geen geblokkeerde of onvolledige sleutels en/of waarden. Zie de beschrijving bij DeleteKey: en DeleteValue: eerder in deze handleiding.

TasksDetails:

Dit vermeldt details over de taken en de tijd van uitvoering.

De syntax is:

Quote

TasksDetails:

Voorbeeld:

Quote

========================= TasksDetails: ========================

UCBrowserUpdater (LastRunTime: NA -> NextRunTime: 2016-10-13 11:32:00 -> Status: Ready -> Schedule Type: Undefined)

Aandacht: Deze instructie wordt niet ondersteund in Windows XP en werkt enkel in normale modus.

testsigning on:

Is van toepassing op Windows Vista en later. Ondersteunt geen systeem waarop Secure Boot is ingesteld.

Indien testsigning is ingesteld, is dit geen standaard BCD-instelling. Dit kan veroorzaakt worden door malware of door gebruikers die niet-ondersteunde drivers hebben trachten te installeren. Als FRST vaststelt dat er geknoeid werd op dit vlak, zal het dit als volgt rapporteren:

Quote

testsigning ==> 'testsigning' is set. Check for possible unsigned driver <===== ATTENTION

Controleer de drivers om te bekijken of er een driver aanwezig is die de oorzaak is van deze melding. Afhankelijk van de situatie kan je de driver mét de melding of de melding alleen opnemen in fixlist.txt.

In het geval dat toch iets fout gaat, schakel dan testsigning opnieuw in voor verder onderzoek. Gebruik hiervoor de volgende instructie:

Quote

testsigning on:

Unlock:

Deze instructie stelt, in het geval van mappen en bestanden, de groep “iedereen” (everyone) in als eigenaar, verleent toegang aan “iedereen” en herhaalt dit ook bij alle later gebruikte mappen. Dit dient gebruikt te worden bij slechte mappen en/of bestanden. Om systeembestanden te deblokkeren, gebruik je de instructie SetDefaultFilePermissions:

Bij registeritems wordt de groep “Administrator” als eigenaar ingesteld en wordt aan alle groepen de gebruikelijke toegang verleend. Dit werkt enkel op de betreffende sleutel. Hier kan dit zowel op slechte als legitieme sleutels worden toegepast.

Het script ziet er zo uit:

Quote

Unlock: path

In sommige gevallen werken de instructies niet tengevolge van de ingestelde toelatingen. Dit kan je vaststellen in Fixlog.txt als je de melding krijgt: “Kan bestand/map niet verplaatsen”. In dergelijk geval kan je de instructie Unlock: gebruiken voor deze mappen of bestanden.

Voorbeeld:

Quote

Unlock: C:\Windows\System32\bad.exe

Om het hele bestand te verwijderen, moet je het pad afzonderlijk toevoegen in de fix:

Quote

Unlock: C:\Windows\System32\bad.exe

C:\Windows\System32\bad.exe

Deze instructie kan ook gebruikt worden om geblokkeerde registeritems te deblokkeren. Als je bvb. de fix uitvoert in de herstelomgeving en de current control set is ControlSet001, dan kan je het volgende toepassen:

Quote

Unlock: hklm\system\controlset001\badservice\subkeyname

Voor het verwijderen van het registeritem, gebruik je dan de instructie Reg:. De syntax ziet er dan zo uit:

Quote

Unlock: hklm\system\controlset001\badservice\subkeyname

Reg: reg delete hklm\system\controlset001\badservice /f

Aandacht: De instructie DeleteKey: kan gebruikt worden i.p.v. de combinatie Unlock: en Reg:

VerifySignature:

Om de digitale handtekening van een bestand te controleren.

Quote

VerifySignature: path

Voorbeeld:

Quote

VerifySignature: C:\Windows\notepad.exe

VirusTotal:

Om bestanden te controleren bij VirusTotal. FRST zoekt naar eerdere analyses in de database van VirusTotal. Een bestand dat niet bekend is bij VirusTotal wordt opgeladen voor analyse.

Meerdere bestanden kunnen tegelijkertijd worden gecontroleerd, indien ze gescheiden zijn door punt-komma’s.

Quote

VirusTotal: path;path

Voorbeeld:

Quote

VirusTotal: C:\Windows\TEMP\gAEB5.tmp.exe;C:\Windows\system32\Drivers\vsotavco.sys

Quote

VirusTotal: C:\Windows\TEMP\gAEB5.tmp.exe => https://www.virustotal.com/file/b529ca4dd148fdfcee0c1f267bc6821cc5168c121363fa690536a72e0f447c19/analysis/1500276443/

VirusTotal: C:\Windows\system32\Drivers\vsotavco.sys => D41D8CD98F00B204E9800998ECF8427EC (0-byte MD5)

"0-byte MD5" geeft aan dat een bestand in gebruik is, dat het geblokkeerd is, dat het leeg is of dat het pad naar een symbolische link refereeert.

Zip:

Om mappen en bestanden te zippen en op te slaan als Date_Time.zip op het bureaublad, zodat dit handmatig kan geupload worden door de gebruiker. Er wordt meer dan één archief gemaakt voor mappen en bestanden met dubbele namen.

Je kan meerdere mappen en bestanden tegelijkertijd toevoegen, mits het scheiden door punt-komma’s.

Quote

Zip: path;path

Voorbeeld:

Quote

Zip: C:\malware.exe;C:\Windows\Minidump;C:\Windows\Logs\CBS\CBS.log

kape · 18 mei

Canned Speeches

Scannen

Download de Farbar Recovery Scan Tool 32 of 64 bit van één van de onderstaande links naar het bureaublad.

HIER staat een beschrijving hoe u kunt kijken of u een 32 of 64 bit versie van Windows heeft.

Farbar Recovery Scan Tool uitvoeren

Klik met de rechtermuisknop op FRST.exe en kies voor de optie Als administrator uitvoeren.

Druk op de knop Scannen.
Na de scan worden 2 logbestanden gemaakt (FRST.txt en Addition.txt) op dezelfde plaats vanwaar het tool is gestart.
Voeg deze log bestanden als bijlage toe in je volgende bericht.

Een handleiding via een filmpje van Farbar Recovery Scan Tool kan je HIER vinden.

Fixen

Start het Farbar Recovery Scan Tool nogmaals.

Download fixlist.txt uit de bijlage naar het bureaublad, waar ook FRST.exe aanwezig is.

Klik met de rechtermuisknop op FRST.exe en kies voor de optie Als administrator uitvoeren.

Druk op de knop Fixen.
Er zal nu een logbestand aangemaakt worden (Fixlog.txt) op dezelfde plaats vanwaar het tool is gestart.
Voeg dit logbestand als bijlage toe aan het volgende bericht.

Een handleiding via een filmpje van Farbar Recovery Scan Tool kan je HIER vinden.

Inloggen

Vriendelijk verzoek: whitelist www.pc-helpforum.be in je adblocker.

FRST Handleiding - Hoe gebruik je Farbar Recovery Scan Tool

Aanbevolen berichten

Deel dit bericht

Link naar bericht

Delen op andere sites

Deel dit bericht

Link naar bericht

Delen op andere sites

Deel dit bericht

Link naar bericht

Delen op andere sites

Deel dit bericht

Link naar bericht

Delen op andere sites

Deel dit bericht

Link naar bericht

Delen op andere sites

Deel dit bericht

Link naar bericht

Delen op andere sites

Deel dit bericht

Link naar bericht

Delen op andere sites

Deel dit bericht

Link naar bericht

Delen op andere sites

OVER ONS

SITEMAP

Belangrijke informatie