Pb I Explorer5 + apparition trojans

Hello

Désactives ta resto système==>démarrer==>accessoires==>outils système==>restauration du système==>paramètres==>désactiver sur tous les disks
Vide ta corbeille et ton cache internet==>explorer==>outils==>options internet==>supprimer les fichiers, supp les coockies, supp l'historique

Reboot le PC et réactive la restauration du système (même chemin)

Tiens au courant

Tchô
soyons désinvolte...

Bonjour

J'ai reussi à redémarrer mon pc (c'en était arrivé là)...
Et après avoir passé plusieurs utilitaires (a2, spywareblaster, cw shreder, trojan remover, ...), j'ai vidé les fichiers comme tu l'indiques et ça semble à nouveau stable.

Reste maintenant que je me retrouve avec une page d'accueil qui n'est pas la mienne sur IE5 et je ne sais pas la remplacer, elle revient à chaque fois.

Il s'agit de "xysearch.biz"

Comment est-il possible de forcer ma page d'accueil.

Merci d'avance

Re

si tu utilises spybot, il a une fonction "bloquer la page de démarrage IE" pour qu'elle ne soit pas changée ...mais tu devras d'abord te débarrasser de xysearch.biz
Tu devrais installer IE 6 et le mettre à jour, ainsi qu'un bon firewall si tu n'en as pas (Kerio, tiny personnal etc.. sont gratuits)

Pour ta page, utilise Adaware ici : http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/11643.html
ou spybot ici : http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/26157.html
tu mets à jour et tu scannes

Si çà ne marche pas, utilise Hijackthis, scanne et fais un copier coller du résultat sur ce post : http://www.hijackthis.de/hijackthis_198.zip

tchô

soyons désinvolte...

Bonjour et merci pour les conseils

Mon pc semble plus stable maintenant

Mais après plusieurs essai, je suis toujours avec la page de garde IE sur 'xysearch' que je ne parviens pas à enlever.

Y a t il une méthode miracle ?

Merci d'avance

Re

La solution miracle, c'est ce que j'ai donné post 3
As tu fais les manips ???

Le plus efficace sera Hijackthis : tu le télécharges, tu le décompresses et tu le poses sur ton bureau
Tu fais le scan et copier coller du résultat ici STP
On te dira quoi faire ensuite

tchô

soyons désinvolte...

Re bonjour
voici une copie du scan avec hijack

on y voit bien l'élément intrus en R0

encore merci
.............................................................................

Logfile of HijackThis v1.98.2
Scan saved at 13:48:49, on 11/11/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\gearsec.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\WINDOWS\wanmpsvc.exe
C:\Program Files\Fichiers communs\BullGuard\BullGuard Communicator\xcommsvr.exe
C:\Program Files\Fichiers communs\BullGuard\BullGuard Scan Server\bdss.exe
C:\Program Files\BullGuard\bdmcon.exe
C:\program files\bullguard\bgnewsag.exe
C:\WINDOWS\system32\CmWatch.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Program Files\BullGuard\vsserv.exe
C:\Program Files\SAGEM\SAGEM F@st 800-908\dslmon.exe
C:\WINDOWS\System32\devldr32.exe
C:\WINDOWS\System32\wuauclt.exe
C:\PROGRA~1\SONYER~1\MOBILE~1\DbgOut.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\DOWNLOAD\anti spy\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=3305
F2 - REG:system.ini: UserInit=Userinit.exe,TGBRFV_
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\System32\BhoECart.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BDMCon] C:\Program Files\BullGuard\\bdmcon.exe
O4 - HKLM\..\Run: [BGNewsAgent] C:\Program Files\BullGuard\bgnewsag.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [CmCardRun] C:\WINDOWS\system32\CmWatch.exe
O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 2\LMonitor.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [Look 'n' Stop] "C:\Program Files\Soft4Ever\looknstop\looknstop.exe" -auto
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-908\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra button: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {E2066FFA-1212-49D1-ADB1-6C782462F41F} - (no file) (HKCU)
O16 - DPF: {01FE8D0A-51AD-459B-B62B-85E135128B32} (DD_v4.DDv4) - http://www.drivershq.com/DD_v4.CAB
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=742ae6aabe7d3a41bcf4a5afcbb90dcf34dad1f7e20e580a8628a9310ebdbc79ff97ebe1e10940b1a7ee84d6b88713ffc07adc36a6c198daa84af66cad27b7bddb:0bcd3b08a0018c359992be6d71d48cd1
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://212.157.152.82/AxisCamControl.ocx
O16 - DPF: {AD7A67A5-5461-4B6B-A9C5-09DD071527F5} (MCLPhoto_Upload.PhotoUpload) - http://auchan.fujifilmnet.com/MCLPhoto.CAB
O16 - DPF: {E7F2A7C5-E0FA-48F7-9893-DF78DDF131F2} (MC3LibControl.TclControl) - http://www.jeppesen.com/wlcs/services/chart/plugins/win/mc3-1202.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3520068A-8D6D-4C61-9C34-96D54879BC03}: NameServer = 213.228.0.23 212.27.39.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = free.fr
O18 - Filter: text/plain - {AD6AFAB9-C0A0-4151-9996-3A153FE3BAF2} - C:\WINDOWS\System32\koon.dll

Salut

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=3305
fixes cette ligne et changes ta page d'acceuil.........

Voila qui est fait

Scané et fixé avec hijack puis changement de page d'accueuil...
ça marche tant que je ne redémarre pas le pc

dès que je redémarre, la page en question revient sur IE

Re

Tu redémarre en mode sans échec (touche F8 au démarrage)
Tu désactives ta restauration système (démarrer==>accessoires==>outils système==>Restauration du système==>paramètres==>tu coches : désactiver sur tous les lecteurs)

Dans hijackthis, tu coches les lignes suivantes et tu cliques sur "fix" :

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xysearch.biz?wmid=3305

F2 - REG:system.ini: UserInit=Userinit.exe,TGBRFV_

O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=742ae6aabe7d3a41bcf4a5afcbb90 dcf34dad1f7e20e580a8628a9310ebdbc79ff97ebe1e10940b1a7ee84d6b88713ffc07adc36a6c19 8daa84af66cad27b7bddb:0bcd3b08a0018c359992be6d71d48cd1

Tu fais un nettoyage des disks (scandisk), tu vides ta corbeille et ton cache internet ==>dans explorer==>outils==>options internet==>supp fichiers, supp coockies, supp historique

Tu redémarres et tu réactives la resto système (même chemin)

Tu choisis ensuite ta page d'accueil et tu la verrouilles avec spybot S&D

bonne journée

soyons désinvolte...

Super ça a enfin fonctionné.

J'avais laissé la partie O16..., car je ne reconnaissais pas de lien...

Maintenant j'aimerai connaître la cause du pb, car j'avais été satisfait jusqu'à présent de mon firewall/antivirus (bullguard)..

Que faut-il ajouter pour etre certain de ne pas avoir ce type de désagrément à nouveau ?

Merci encore

salut
comme dit kiki
tu verouille avec spyboot et no soucis

la chasse et le balltrap ma vrai passion
voir site perso dans profil

oki
a++

la chasse et le balltrap ma vrai passion
voir site perso dans profil

Re

Platform: Windows XP (WinNT 5.01.2600)<=Pas bien , faut installer au minimum le sp1 !

Si tu as toi même imposé des restrictions aux paramètres de explorer, style verrouillage de la page d'accueil par spybot ou autre logiciel, ne touche pas ces lignes, si tel n'est pas le cas, alors tu peux fixer ces 2 lignes, en mode sans échec et ta resto système désactivée

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

Pour ces 2 là :

O4 - Global Startup: SpySubtract.lnk = C:\SpySubstract\SpySub.exe

O4 - HKCU\..\Run: [OptimizeMemory] C:\Program Files\Advanced Searchbar\Optimize Memory\OptimizeMemory.exe

si çà ne te dit rien, tu stoppes les processus par le gestionnaire des tâches Ctrl+alt+supp et tu fixes dans l'hijack, mode sans échec etc...

tchô

soyons désinvolte...

PS :

Le post 21 est en réponse a JC18...

Désolé, mal placé...