CoolWWWSearch partout !!

Question

bonjour a tous j'ai plusieurs post concernant coolwwwsearch...mais rien n'y fait tjs la
meme en purgeant ma BDR clés win-eto ou solongasou super-spider) qd j'eteint mon pc ca revient
J'ai installe spy boot - adware-hijackthis-cwshrelder bref tout et rien n'yfait qd je rallume c la meme
ci-joint detail analyse hijackthis

ogfile of HijackThis v1.97.7
Scan saved at 13:18:36, on 19/11/2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\sgbzyf5k9m7g.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Program Files\InterMute\SpySubtract\SpySub.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/Default.asp?Ath=f
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\\RegistryController.exe"
O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exe
O4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exe
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [cleaner] C:\WINDOWS\System32\clv0ayv9y8w9.exe
O4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talk\register.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dll
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300
O9 - Extra 'Tools' menuitem: Console Java (Sun) (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38278.3302430556
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
et rapport analyse CWSHRELDER
CWShredder v1.59.1 scan only report
Please understand that a CWShredder 'Scan only' report
might not be sufficient to troubleshoot an infected system.
You can use HijackThis for that:
http://www.merijn.org/files/hijackthis.zip
http://www.spywareinfo.com/~merijn/files/hijackthis.zip

Windows XP (5.01.2600 SP2)
Windows dir: C:\WINDOWS
Windows system dir: C:\WINDOWS\system32
AppData folder: C:\Documents and Settings\Michael\Application Data
Username: Michael

Found Hosts file: C:\WINDOWS\system32\drivers\etc\hosts (21 bytes, A)
Shell Registry value: HKLM\..\WinLogon [Shell] Explorer.exe
UserInit Registry value: HKLM\..\WinLogon [UserInit] C:\WINDOWS\system32\userinit.exe,
Found CWS.Smartsearch.2 file: c:\y.exe (0 bytes, RHS)
Found CWS.Smartsearch.2 file: c:\x.exe (0 bytes, RHS)
Found CWS.Winproc32 file: C:\WINDOWS\system32\winproc32.exe (0 bytes, RHS)
Found CWS.IEengine file: C:\Program Files\Internet Explorer\IEengine.exe (0 bytes, RHS)
Found CWS.IEengine file: C:\WINDOWS\dllhelp.exe (0 bytes, RHS)
Found Win.ini file: C:\WINDOWS\win.ini (847 bytes, A)
Found System.ini file: C:\WINDOWS\system.ini (231 bytes, A)

merci d'avance

Afficher la suite

Utilisateur anonyme · Answer

HijackThis v1.97.7 <-- version périméerecommencehttp://www.zebulon.fr/articles/HijackThis.phpsûr et certain que Spybot est bien à jour??*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

michael · Answer

spybot est ok je viens d'essayer spytract et apparemment plus de favoris indesirables ni de coolwwwsearch mais pour combien de tps?? lolmerci pour la versionLogfile of HijackThis v1.98.2Scan saved at 13:54:41, on 19/11/2004Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEC:\Program Files\InterMute\SpySubtract\SpySub.exeC:\Program Files\Internet Explorer\iexplore.exeC:\WINDOWS\system32\wuauclt.exeC:\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/Default.asp?Ath=fR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dllO4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -bootO4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\RegistryController.exe"O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exeO4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exeO4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [cleaner] C:\WINDOWS\System32\clv0ayv9y8w9.exeO4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talkegister.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dllO4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cabO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = capmethodes.localO17 - HKLM\Software\..\Telephony: DomainName = capmethodes.localO20 - AppInit_DLLs: zgv8ud4cbx3.tlb f2znukhhro3.tlb du6w23824fcui.tlb ntihguzhz4m.tlb dvb94di1d95.tlb 8nz9zl1s3xn.tlb t062jw7m2iom.tlb 31s4otoz3h6.tlb ce2up1lipmhe8i.tlb ooitv7omkbot63.tlb 49oa9t73bc.tlb nr67ejabyvr98b.tlb d538oo1k3kv.tlb 6urkscp41z.tlb 9tlz9y27r4onsf.tlb y0z0x477wlnu34.tlb a9nsifbg9s7.tlb 9ajhl6tf9pu.tlb 8uh8xz6u6yf5.tlb 1k4z8lntkkt8dy.tlb g5ufvogeyu6pv.tlb 668hxv0t05s8.tlb 4i5fyatc8pk.tlb zbt86mr9u1uw.tlb d6gnup1ve6.tlb 0sukzhrxfw8v9f.tlb 1d5pg00ujn.tlb 4el42k2h8ijkxj.tlb 75nklhltox.tlb n33hxwuklp2.tlb knb2ohcrx8m.tlb 1bbuoo0yr6u.tlb y91in6wt88.tlb 9jml4jw7t48m4o.tlb tztwi3dp7pzf.tlb 5p88bh42jm4j4.tlb rih76o9ov7wkgt.tlb 03ooosfitlmw0o.tlb 858dgze9yeldg.tlb 4ovaor4v0vj.tlb

Utilisateur anonyme · Answer

refixeO2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll  <--google = 0!O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file) O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cabouille-ouille! t'as vu le nombre?O20 - AppInit_DLLs: zgv8ud4cbx3.tlb f2znukhhro3.tlb du6w23824fcui.tlb ntihguzhz4m.tlb dvb94di1d95.tlb 8nz9zl1s3xn.tlb t062jw7m2iom.tlb 31s4otoz3h6.tlb ce2up1lipmhe8i.tlb ooitv7omkbot63.tlb 49oa9t73bc.tlb nr67ejabyvr98b.tlb d538oo1k3kv.tlb 6urkscp41z.tlb 9tlz9y27r4onsf.tlb y0z0x477wlnu34.tlb a9nsifbg9s7.tlb 9ajhl6tf9pu.tlb 8uh8xz6u6yf5.tlb 1k4z8lntkkt8dy.tlb g5ufvogeyu6pv.tlb 668hxv0t05s8.tlb 4i5fyatc8pk.tlb zbt86mr9u1uw.tlb d6gnup1ve6.tlb 0sukzhrxfw8v9f.tlb 1d5pg00ujn.tlb 4el42k2h8ijkxj.tlb 75nklhltox.tlb n33hxwuklp2.tlb knb2ohcrx8m.tlb 1bbuoo0yr6u.tlb y91in6wt88.tlb 9jml4jw7t48m4o.tlb tztwi3dp7pzf.tlb 5p88bh42jm4j4.tlb rih76o9ov7wkgt.tlb 03ooosfitlmw0o.tlb 858dgze9yeldg.tlb 4ovaor4v0vj.tlb <-- Translation Lookaside Buffer?fixe cette ligne qui a l'air plus que suspecte et si tu rencontres un problème quelconque, reverse la ligne par le biais du *Backup (sauvegarde) d'Hijack(screenshot)<--*http://www.ordi-netfr.org/tutorialhijackthis.htmlutilise SpywareBlaster, tu le trouves dans Spybot 1.3 aussi ça va t'empêcher l'installation des activX des spywareshttp://www.ordi-netfr.org/tutorialspywareblaster.html+ la machine virtuelle de Java de Microsoft à remplacer par celle de Sun*CoolWebSearch est un nom générique donné à tout un éventail de hijackers. Son installation exploite 2 failles de sécurité de la machine virtuelle Java de Microsoft corrigées de longue date: la vulnérabilité ByteCodeVerifier dont le patch est pourtant disponible. Lire "ByteVerify exploit in the MS Java VM" dans le MS-security bulletin 03-011. Lire également Java.Shinwow.*attaquants>coolwebsearchhttp://assiste.free.fr/p/frameset/12.phpJava M$ vs Sunhttp://www.pcastuces.com/pratique/internet/ie/java.htmSun J2SE v 1.4.2_06  JRE<--dernière version patchéehttp://java.sun.com/j2se/1.4.2/download.htmlavec tout ça tu seras à l'abri de CWS @+*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

michael · Answer

merci pour ton aide precieuse....c super sympa @+

Utilisateur anonyme · Answer

j'ai cherché sur Google : résultats : 0O20 - AppInit_DLLs: zgv8ud4cbx3.tlb f2znukhhro3.tlb du6w23824fcui.tlb ntihguzhz4m.tlb dvb94di1d95.tlb 8nz9zl1s3xn.tlb ..... peut être Spytract qui a rajouté ça, je sais pas du tout, fait comme plus haut, fixe et reverse la ligne si ça merdoie ^_^sur le tuto Hijack :O20 - Valeur de Registre AppInit_DLLs en démarrage automatique (des tlb???) Ce à quoi çà ressemble : O20 - AppInit_DLLs: msconfd.dll Que faire :Cette valeur de la base de Registre située dans HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows charge une DLL en mémoire lorsque l'utilisateur se loggue, après quoi elle y reste jusqu'au logoff. Très peu de programmes réguliers l'utilise (Norton CleanSweep emploie APITRAP.DLL), le plus souvent elle est utilisée par des chevaux de Troie ou des pirates de navigateurs agressifs.Dans le cas de DLL 'cachée' se chargeant à partir de cette valeur de Registre (visible seulement quand on utilise la fonction d'édition de donnée binaire de Regedit), le nom de la dll peut être précédé d'un caractère 'pipe' | pour la rendre visible dans le log.@+*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

michael · Answer

j'ai regarde dans mon registre mais pas trouve de dll ds HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows j'espere que c partie...merci @+

Utilisateur anonyme · Answer

SalutC:\WINDOWS\System32\sgbzyf5k9m7g.exe avec un nom comme ca..............mefiance,mefiance.........

michael · Answer

ah bon tu crois?

Utilisateur anonyme · Answer

ca n'appartient ni au systeme,ni a une application.......pour le moment vois si tout marche comme tu veux,et sinon penser a se rabattre sur lui(terminer ce processus et peut etre supprimer le fichier correspondant)

michael · Answer

ah ok donc si les pb continus je le supp alors merci

michael · Answer

par contre qd je re scan avec hijack ca me remets des fichiers 020 .tlb et O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll

Utilisateur anonyme · Answer

fixes le et supprimes le fichier s'il est toujours dans system 32 puis reverifies......

michael · Answer

peux pas le supp acces refusej'en ai plein ds systeme 32 des comme ca exemple6xrxgp0v09e2nwb.exe6xrxgp0v09e2nwb.exe7xrivrddpaw.exe8rh5gishglp5m.exe

michael · Answer

Logfile of HijackThis v1.98.2Scan saved at 16:08:02, on 19/11/2004Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEC:\Program Files\InterMute\SpySubtract\SpySub.exeC:\Program Files\AutoCAD LT 2004\aclt.exeC:\Program Files\Fichiers communs\Autodesk Shared\WSCommCntr1.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\Program Files\Internet Explorer\iexplore.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\HijackThis.exeC:\WINDOWS\system32\NOTEPAD.EXER0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/Default.asp?Ath=fR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dllO4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -bootO4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\RegistryController.exe"O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exeO4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exeO4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [cleaner] C:\WINDOWS\System32\clv0ayv9y8w9.exeO4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talkegister.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dllO4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = capmethodes.localO17 - HKLM\Software\..\Telephony: DomainName = capmethodes.localO20 - AppInit_DLLs: c56ssib77xv.tlbca n'arrete pas a chq scan

Utilisateur anonyme · Answer

re accès refusé : tu dois te donner la main sur tous les fichiers M$ affiche les dossiers cachés : Clique sur "Démarrer" >> "Panneau de Configuration" >> "Options des Dossiers" Clique sur l'onglet "Affichage">> Dans la liste des "Paramètre avancés", sous la rubrique "Fichiers et dossiers cachés">> coche "Afficher les fichiers et dossiers cachés" Pour afficher les autres fichiers cachés>> décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" * supprime-les fichiers vérolés dans le stystem32 à la main ou en mode sans échec pour plus de réussite, la restauration système désactivée C:\WINDOWS\System32\sgbzyf5k9m7g.exe C:\WINDOWS\System32\sgbzyf5k9m7g.exe C:\WINDOWS\System32\sgbzyf5k9m7g.exe C:\WINDOWS\System32\sgbzyf5k9m7g.exe C:\WINDOWS\System32\sgbzyf5k9m7g.exe <-- c'est la même exe, peut être qu'elle se multiplie au reboot aussi, faut faire gaffe O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\gvsf9oho1iz.dll <--recherche cette dll idem *Devise : Je m'intéresse à l'avenir parceque c'est là que je vais passer le reste de ma vie*

Utilisateur anonyme · Answer

ok ,je serais d'avis de tous les supprimer en mode sans echec(des l'allumage du pc presser F8)puis de reHijack et les refixer , mais en meme temps je peux pas affirmer qu'ils soient nocifs........si tu n'as plus le pb de CWSEARCH,alors a toi de prendre la decision......

michael · Answer

ok je le fais de suite et c'est fichier dans c/windows je les supp ou pas?6xrxgp0v09e2nwb.exe 6xrxgp0v09e2nwb.exe 7xrivrddpaw.exe 8rh5gishglp5m.exe

Utilisateur anonyme · Answer

......supprimes....

michael · Answer

ok je le fais

anonn1 · Answer

m'en suis débarrassé il y a quelque temps en allant dans regedit  hkey current user puis software -microsoft-internet explorer  -main   et  la il faut  renomer ta page d'acceuil avec le site de ton choix et reperer tout ce qui contient "search"  et qui n'a pas sa place ici . ensuite donner des valeurs 0   a ces trucs  car si je me souviens bien le bidule revient plus tard  la il reviendra mais sera inopérant .recommencer l'opération dans hklm ........attention de pas toucher a d'autres valeurs .et  finir par la methode violente !   on ferme toute les fenetres et sans fermer le pc : on débranche !  évidemment si depuis il y a des petits programmes pour dégager ça  , ça serait bien + pratique .a+

Utilisateur anonyme · Answer

tu avais tenté l'anti-CWS?http://www.intermute.com/spysubtract/cwshredder_download.html@+ ps : la méthode "bourrin" dans la base de registre sans sauvegarde préalable ça peut avoir de graves conséquences...... anonn1

michael · Answer

lol c vrain'arrive pas a supp C:\WINDOWS\System32\sgbzyf5k9m7g.exe c protege ....

Utilisateur anonyme · Answer

dur-dur!même en affichant les dossiers protégés ?essaye en mode sans échec de virer l'exe*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

Utilisateur anonyme · Answer

le processus est peut etre actif meme en mode sans echec........

michael · Answer

oui meme en affichant les fichiers proteges pour le mode sans echec je peux pas le faire pour le moment mais tu crois que ca permettra la suppression de ce fichier?

Utilisateur anonyme · Answer

J'ai rien compris ........si le processus est actif dans le gestionnaire des taches ==>termines le pour pouvoir en supprimer le fichier.....

michael · Answer

le terminer ne peut pas endommager mon poste?

michael · Answer

c supprime

Utilisateur anonyme · Answer

si le fichier est "phisiquement" supprimé de system 32,re HJack

michael · Answer

ok la je vais supp tous les fichiers ressemblant au 02 et 020 de hijack qu'en penses tu?Logfile of HijackThis v1.98.2Scan saved at 17:07:42, on 19/11/2004Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\Explorer.EXEC:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEC:\Program Files\InterMute\SpySubtract\SpySub.exeC:\Program Files\Internet Explorer\iexplore.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\AutoCAD LT 2004\aclt.exeC:\Program Files\Fichiers communs\Autodesk Shared\WSCommCntr1.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/Default.asp?Ath=fR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32l7xr9aoj88b0i.dllO4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -bootO4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\RegistryController.exe"O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exeO4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exeO4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [cleaner] C:\WINDOWS\System32\clv0ayv9y8w9.exeO4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talkegister.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dllO4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = capmethodes.localO17 - HKLM\Software\..\Telephony: DomainName = capmethodes.localO20 - AppInit_DLLs: 00tcbneyz6hyro.tlb

Utilisateur anonyme · Answer

v'là youpii! alorsbon surf et be careful*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

Utilisateur anonyme · Answer

si wwwsearch a disparu alors c'est que tout est OK.......

michael · Answer

encore merci de ton aide ....@+

michael · Answer

salut a tous a mon gd regret coolwebsearch est revenu!!! ma page de demarrage ie a change j'ai donc supp les clef win-eto dans base de registre j'ai aussi des favoris indesirables qui apparaissentj'ai fait un coup de hijack this voici le rapport deja scanné 3 fois a chq fois il me rajoute de nouvelles clefs dans 02 020 que faire???merci d'avanceLogfile of HijackThis v1.98.2Scan saved at 08:53:52, on 22/11/2004Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\Explorer.EXEC:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEC:\Program Files\InterMute\SpySubtract\SpySub.exeC:\WINDOWS\system32\b02jx8ybsxithd.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\Program Files\Spybot - Search & Destroy\SpybotSD.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\Microsoft Office\Office10\EXCEL.EXEC:\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\B6IWZM~1.DLLO4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -bootO4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\RegistryController.exe"O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exeO4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exeO4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [cleaner] C:\WINDOWS\System32\clv0ayv9y8w9.exeO4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talkegister.exeO4 - HKLM\..\Run: [Control handler] C:\WINDOWS\system32\b02jx8ybsxithd.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dllO4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = capmethodes.localO17 - HKLM\Software\..\Telephony: DomainName = capmethodes.localO20 - AppInit_DLLs: 8isf1smuts.tlb

michael · Answer

cette cle ne veut pas partir je l'efface mais elle reapparait ds mon gestionnaire de tache...O4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exeLogfile of HijackThis v1.98.2Scan saved at 10:05:06, on 22/11/2004Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\Explorer.EXEC:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEC:\Program Files\InterMute\SpySubtract\SpySub.exeC:\Program Files\Microsoft Office\Office10\EXCEL.EXEC:\Program Files\AutoCAD LT 2004\aclt.exeC:\Program Files\Fichiers communs\Autodesk Shared\WSCommCntr1.exeC:\WINDOWS\System32\sgbzyf5k9m7g.exeC:\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\db1ffavh72u.dllO4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -bootO4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\RegistryController.exe"O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exeO4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talkegister.exeO4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exeO4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dllO4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 2.0) - res://C:\Program Files\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /300O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = capmethodes.localO17 - HKLM\Software\..\Telephony: DomainName = capmethodes.localO20 - AppInit_DLLs: x2b1baoeun9.tlb

Utilisateur anonyme · Answer

salut,tu dois supprimer ça aussi, si tu ne supprimes pas le programme entier (exe) ça marchera pasC:\WINDOWS\System32\sgbzyf5k9m7g.exe en mode sans échec, tu déplies C:\>WINDOWS>System32>recherche et supprime sgbzyf5k9m7g.exehors connexion toujours/ pour le 04 : 1) ctrl+alt+supp arrête ce processus2) tu repasses sur l'hijack et tu fixesO4 - HKLM\..\Run: [Network Security Guard] C:\WINDOWS\System32\sgbzyf5k9m7g.exe fix (normal)O20 - AppInit_DLLs: x2b1baoeun9.tlb*fixe les lignes trouvées dans l'hijack*ferme l'hijack*reboot ton ordi*nettoie le cache internet (options internet : supprimer cookies et temps) vide ta corbeille*effectue un nettoyage de disque (démarrer/program./accessoires/outils système/répondre OK à TOUT) tu mets spybot à jour et tu refais un scan idem avec ad-aware SEtélécharge SpywareBlaster (bloque les activX nuisibles) on le trouve aussi proposé dans Spybot sur la page de scanhttp://www.ordi-netfr.org/tutorialspywareblaster.htmlhttp://www.javacoolsoftware.com/spywareblaster.html*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

michael · Answer

ah ok en mode sans echec car je supprime en mode normal et ca revient a chaque fois merci je le fais de suite

Utilisateur anonyme · Answer

C.W.S exploite surtout la faille Java de Microsoftregarde comment on active Java Sun http://www.pcastuces.com/pratique/internet/ie/java.htmtélécharge la dernière version patchée de SunJ2SE 1.4.2 -->dl celle-ci : J2SE v 1.4.2_06  JRE  vérifie bien ensuite que tout VM Crosoft soit décoché et que "utiliser Java2...Sun" soit bien activéhttp://java.sun.com/j2se/1.4.2/download.html*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

MICHAEL · Answer

sur ton lien pc astuces il est :Dans l'onglet Avancé, cochez alors l'option Utiliser Java 2 pour applet, décochez les cases de la rubrique Microsoft VM puis validez par OKc quoi microsoft VM?

Utilisateur anonyme · Answer

VM (Virtual Machine) c'est la Machine Virtuelle Java de Microsoft(c'pas un cadeau en tout cas) ^_^tu dois la télécharger d'abord la SUN pour la voir dans "Avancé"tu en es où de CWS??

michael · Answer

pb qd j'essai d'executer java sun il est marque:
avertissement java (tm) update
bin\jpicpl32.cpl old file not found. However a file of same name was found. No update once since file contents do not match

l'application des modif n'a pu aboutir

et dans mon ie otions avance j'ai la case java sun qui est cochee avec ecrit utiliser java 2v1.4.2_03 pour applet (requiert un redemarrage) est ce que cela veut dire que java sun est deja installe??

Utilisateur anonyme · Answer

1) décoche bien toutes les cases VM Microsoft2) 1 fois jav2 Sun activée - redémarre*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

michael · Answer

je n'ai plus de machine virtuelle java microsoft d'inscrite juste java sun coche

Utilisateur anonyme · Answer

c'est bon ou pas alors? je pense que le message venait du fait que tu avais les 2 java en même temps - je comprends ton message à demi ^_^
et CWS tu en es où?

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

michael · Answer

j'ai reboote pc en mode sans echec supprime les clef douteuse puis redemarre pour le moment rien mais bon...
ci joint rapport de CWShredder v2.0

CWShredder v2.0. scan only report
Please understand that a CWShredder 'Scan only' report
might not be sufficient to troubleshoot an infected system.

System Information:
Windows XP (5.01.2600 SP2)
Windows dir: C:\WINDOWS
Windows system dir: C:\WINDOWS\system32
AppData folder: C:\Documents and Settings\Michael\Application Data
Username: Michael

Found Hosts file: C:\WINDOWS\system32\drivers\etc\hosts (21 bytes, A)
Shell Registry value: HKLM\..\WinLogon [Shell] Explorer.exe
UserInit Registry value: HKLM\..\WinLogon [UserInit] C:\WINDOWS\system32\userinit.exe,
Found CWS.Smartsearch.2 file: c:\y.exe (0 bytes, RHS)
Found CWS.Smartsearch.2 file: c:\x.exe (0 bytes, RHS)
Found CWS.Winproc32 file: C:\WINDOWS\system32\winproc32.exe (0 bytes, RHS)
Found CWS.IEengine file: C:\Program Files\Internet Explorer\IEengine.exe (0 bytes, RHS)
Found CWS.IEengine file: C:\WINDOWS\dllhelp.exe (0 bytes, RHS)
Found Win.ini file: C:\WINDOWS\win.ini (847 bytes, A)
Found System.ini file: C:\WINDOWS\system.ini (231 bytes, A)

- END OF REPORT -

Utilisateur anonyme · Answer

ça a l'air bon

Found CWS.Smartsearch.2 file: c:\y.exe (0 bytes, RHS)
Found CWS.Smartsearch.2 file: c:\x.exe (0 bytes, RHS)
etc....

sinon il t'aurait dit de vacciner ou de faire un hijack

active ton parefeu, ne rechope pas tout ça, déjà en changeant Java t'es plus à l'abri c'est mieux

@+ ^_^

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

michael · Answer

merci encore une fois pour ton aide ... @+ ^_^

michael · Answer

pour info tu t'y connais en outlook?

Utilisateur anonyme · Answer

salut michael

pas du tout, je ne l'utilise jamais
va voir chez Arobase
http://www.arobase.org/softs/index.htm

@+ ^_^

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

michael · Answer

merci ^_^@+

CoolWWWSearch partout !!

50 réponses

Votre réponse

Newsletters