Pb I Explorer5 + apparition trojans
nuleninformatique
Messages postés
17
Statut
Membre
-
JC18 Messages postés 4 Date d'inscription Statut Membre Dernière intervention -
JC18 Messages postés 4 Date d'inscription Statut Membre Dernière intervention -
Bonjour
Ma page d'accueuil a changé sur ie5 et je ne parviens pas à la changer.
A chaque fois j'ai " a-search.biz" qui s'affiche.
J'ai tenté de la remplacer mais sans succès (parametres de connexion).
Au même moment , une page me demande si je veux installer "file://c:\Recycled\1.exe"
Je ne sais pas ce que c'est ni comment me débarasser de ça.
Dans le même temps, je vois qu'il apparait dans le dossier dans "documents and settings\..\local settings\temporary internet files\content.ie5\" des applications douteuses qui sont bloquées par mon antivirus (bullgard) , du type "catsu19b.exe" ou "carecvzh.exe" ou "rdgfr897[1].exe"
J'ai essayé de scanner mon disque avec bullgard qui ne neutralise pas le probleme, avec le scan de secuser, j'ai aussi essayé trojan removal .... mais sans solution
config : w xp pro, antivirus bullgard
Ma page d'accueuil a changé sur ie5 et je ne parviens pas à la changer.
A chaque fois j'ai " a-search.biz" qui s'affiche.
J'ai tenté de la remplacer mais sans succès (parametres de connexion).
Au même moment , une page me demande si je veux installer "file://c:\Recycled\1.exe"
Je ne sais pas ce que c'est ni comment me débarasser de ça.
Dans le même temps, je vois qu'il apparait dans le dossier dans "documents and settings\..\local settings\temporary internet files\content.ie5\" des applications douteuses qui sont bloquées par mon antivirus (bullgard) , du type "catsu19b.exe" ou "carecvzh.exe" ou "rdgfr897[1].exe"
J'ai essayé de scanner mon disque avec bullgard qui ne neutralise pas le probleme, avec le scan de secuser, j'ai aussi essayé trojan removal .... mais sans solution
config : w xp pro, antivirus bullgard
14 réponses
-
Hello
Désactives ta resto système==>démarrer==>accessoires==>outils système==>restauration du système==>paramètres==>désactiver sur tous les disks
Vide ta corbeille et ton cache internet==>explorer==>outils==>options internet==>supprimer les fichiers, supp les coockies, supp l'historique
Reboot le PC et réactive la restauration du système (même chemin)
Tiens au courant
Tchô
soyons désinvolte... -
Bonjour
J'ai reussi à redémarrer mon pc (c'en était arrivé là)...
Et après avoir passé plusieurs utilitaires (a2, spywareblaster, cw shreder, trojan remover, ...), j'ai vidé les fichiers comme tu l'indiques et ça semble à nouveau stable.
Reste maintenant que je me retrouve avec une page d'accueil qui n'est pas la mienne sur IE5 et je ne sais pas la remplacer, elle revient à chaque fois.
Il s'agit de "xysearch.biz"
Comment est-il possible de forcer ma page d'accueil.
Merci d'avance -
Re
si tu utilises spybot, il a une fonction "bloquer la page de démarrage IE" pour qu'elle ne soit pas changée ...mais tu devras d'abord te débarrasser de xysearch.biz
Tu devrais installer IE 6 et le mettre à jour, ainsi qu'un bon firewall si tu n'en as pas (Kerio, tiny personnal etc.. sont gratuits)
Pour ta page, utilise Adaware ici : http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/11643.html
ou spybot ici : http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/26157.html
tu mets à jour et tu scannes
Si çà ne marche pas, utilise Hijackthis, scanne et fais un copier coller du résultat sur ce post : http://www.hijackthis.de/hijackthis_198.zip
tchô
soyons désinvolte... -
Bonjour et merci pour les conseils
Mon pc semble plus stable maintenant
Mais après plusieurs essai, je suis toujours avec la page de garde IE sur 'xysearch' que je ne parviens pas à enlever.
Y a t il une méthode miracle ?
Merci d'avance -
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question -
Re
La solution miracle, c'est ce que j'ai donné post 3
As tu fais les manips ???
Le plus efficace sera Hijackthis : tu le télécharges, tu le décompresses et tu le poses sur ton bureau
Tu fais le scan et copier coller du résultat ici STP
On te dira quoi faire ensuite
tchô
soyons désinvolte... -
Re bonjour
voici une copie du scan avec hijack
on y voit bien l'élément intrus en R0
encore merci
.............................................................................
Logfile of HijackThis v1.98.2
Scan saved at 13:48:49, on 11/11/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\gearsec.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\WINDOWS\wanmpsvc.exe
C:\Program Files\Fichiers communs\BullGuard\BullGuard Communicator\xcommsvr.exe
C:\Program Files\Fichiers communs\BullGuard\BullGuard Scan Server\bdss.exe
C:\Program Files\BullGuard\bdmcon.exe
C:\program files\bullguard\bgnewsag.exe
C:\WINDOWS\system32\CmWatch.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Program Files\BullGuard\vsserv.exe
C:\Program Files\SAGEM\SAGEM F@st 800-908\dslmon.exe
C:\WINDOWS\System32\devldr32.exe
C:\WINDOWS\System32\wuauclt.exe
C:\PROGRA~1\SONYER~1\MOBILE~1\DbgOut.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\DOWNLOAD\anti spy\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=3305
F2 - REG:system.ini: UserInit=Userinit.exe,TGBRFV_
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\System32\BhoECart.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BDMCon] C:\Program Files\BullGuard\\bdmcon.exe
O4 - HKLM\..\Run: [BGNewsAgent] C:\Program Files\BullGuard\bgnewsag.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [CmCardRun] C:\WINDOWS\system32\CmWatch.exe
O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 2\LMonitor.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [Look 'n' Stop] "C:\Program Files\Soft4Ever\looknstop\looknstop.exe" -auto
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-908\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra button: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file) (HKCU)
O16 - DPF: {01FE8D0A-51AD-459B-B62B-85E135128B32} (DD_v4.DDv4) - http://www.drivershq.com/DD_v4.CAB
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=742ae6aabe7d3a41bcf4a5afcbb90dcf34dad1f7e20e580a8628a9310ebdbc79ff97ebe1e10940b1a7ee84d6b88713ffc07adc36a6c198daa84af66cad27b7bddb:0bcd3b08a0018c359992be6d71d48cd1
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://212.157.152.82/AxisCamControl.ocx
O16 - DPF: {AD7A67A5-5461-4B6B-A9C5-09DD071527F5} (MCLPhoto_Upload.PhotoUpload) - http://auchan.fujifilmnet.com/MCLPhoto.CAB
O16 - DPF: {E7F2A7C5-E0FA-48F7-9893-DF78DDF131F2} (MC3LibControl.TclControl) - http://www.jeppesen.com/wlcs/services/chart/plugins/win/mc3-1202.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3520068A-8D6D-4C61-9C34-96D54879BC03}: NameServer = 213.228.0.23 212.27.39.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = free.fr
O18 - Filter: text/plain - {AD6AFAB9-C0A0-4151-9996-3A153FE3BAF2} - C:\WINDOWS\System32\koon.dll -
Salut
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=3305
fixes cette ligne et changes ta page d'acceuil......... -
Voila qui est fait
Scané et fixé avec hijack puis changement de page d'accueuil...
ça marche tant que je ne redémarre pas le pc
dès que je redémarre, la page en question revient sur IE -
Re
Tu redémarre en mode sans échec (touche F8 au démarrage)
Tu désactives ta restauration système (démarrer==>accessoires==>outils système==>Restauration du système==>paramètres==>tu coches : désactiver sur tous les lecteurs)
Dans hijackthis, tu coches les lignes suivantes et tu cliques sur "fix" :
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=3305
F2 - REG:system.ini: UserInit=Userinit.exe,TGBRFV_
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=742ae6aabe7d3a41bcf4a5afcbb90 dcf34dad1f7e20e580a8628a9310ebdbc79ff97ebe1e10940b1a7ee84d6b88713ffc07adc36a6c19 8daa84af66cad27b7bddb:0bcd3b08a0018c359992be6d71d48cd1
Tu fais un nettoyage des disks (scandisk), tu vides ta corbeille et ton cache internet ==>dans explorer==>outils==>options internet==>supp fichiers, supp coockies, supp historique
Tu redémarres et tu réactives la resto système (même chemin)
Tu choisis ensuite ta page d'accueil et tu la verrouilles avec spybot S&D
bonne journée
soyons désinvolte...-
Bonjour,
Je cherchais une solution au problème que me pose XYsearch quand je suis tombé sur ta discussion avec nuleninformatique.
J'ai suivi un chemin similaire à celui que tu a proposé, mais mon problème n'est toujours pas résolu. Il me semble que XYsearch se fait considérer comme la blank page de référence et s'impose. Ceci car IE me montre ce titre en tête de fenêtre:
"about: blank Trusted Start Page |Microsoft explorer Microsoft Internet Explorer"
Ne serait-ce pas abuser de te demander de t'intéresser aussi à mon cas?
D'avance merci,
JC (qui travaille sous XP Pro) -
-
-
D'accord, mais dès que j'ai refermé la boite 'options internet' et que soit je la réouvre, soit je demande à accéder à ma page d'accueil, je me retrouve avec http://xysearch.biz/?wmid=1010 (sans avoir entretemps fermé l'exploreur).
De plus, je ne retrouve nulle part de références à xysearch quand je scanne avec HijackThis.
J'essaie d'être désinvolte -
-
-
Super ça a enfin fonctionné.
J'avais laissé la partie O16..., car je ne reconnaissais pas de lien...
Maintenant j'aimerai connaître la cause du pb, car j'avais été satisfait jusqu'à présent de mon firewall/antivirus (bullguard)..
Que faut-il ajouter pour etre certain de ne pas avoir ce type de désagrément à nouveau ?
Merci encore -
salut
comme dit kiki
tu verouille avec spyboot et no soucis
la chasse et le balltrap ma vrai passion
voir site perso dans profil -
oki
a++
la chasse et le balltrap ma vrai passion
voir site perso dans profil -
Re
Platform: Windows XP (WinNT 5.01.2600)<=Pas bien , faut installer au minimum le sp1 !
Si tu as toi même imposé des restrictions aux paramètres de explorer, style verrouillage de la page d'accueil par spybot ou autre logiciel, ne touche pas ces lignes, si tel n'est pas le cas, alors tu peux fixer ces 2 lignes, en mode sans échec et ta resto système désactivée
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
Pour ces 2 là :
O4 - Global Startup: SpySubtract.lnk = C:\SpySubstract\SpySub.exe
O4 - HKCU\..\Run: [OptimizeMemory] C:\Program Files\Advanced Searchbar\Optimize Memory\OptimizeMemory.exe
si çà ne te dit rien, tu stoppes les processus par le gestionnaire des tâches Ctrl+alt+supp et tu fixes dans l'hijack, mode sans échec etc...
tchô
soyons désinvolte...-
Bonjour,
J'ai pris un peu de temps avant de répondre, mais j'avais beaucoup à faire.
J'ai fais comme tu a dis (en fait j'ai téléchargé SP1, pour le reste je connaissais les programmes et ceux-ci étaient antérieurs au problème).
Seulement, le problème subsiste.
Je commence à croire que le mal s'est enraciné profond.
Si tu as d'autres idées, je les attends avec intérêt. Sinon, merci de m'avoir conseillé et au plaisir,
Jean-Charles
-
-
