Browser Hijack vraiment trés pertinent

Question

Bonjour, voici quelques temps que j'essaie de me débarasser d'un sale browser hijack. J'ai déja effectué pas mal de scans via plusieurs programmes différents (AdAware, Spybot, Counter Spy,etc...). Tout ceci a cependant été inutile et j'ai donc décidé de faire un scan avec la derniére version de Hijack This. Je sais pertinemment que la faute se trouve dans la base de registres, mais a chaque fois que je redémarre mon ordinateur, l'erreur est toujours la mais sous une autre forme (un autre nom de fichier .dll). Ci dessous est le log éffectué par Hijack This:

Logfile of HijackThis v1.99.1
Scan saved at 9:40:01 PM, on 4/25/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSGLOOP.EXE
C:\WINDOWS\SYSTEM\MSG32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\HIDSERV.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\MMKEYBD.EXE
C:\WINDOWS\SYSTEM\HPSYSDRV.EXE
C:\PROGRAM FILES\DIRECTCD\DIRECTCD.EXE
C:\WINDOWS\SYSTEM\USBMMKBD.EXE
C:\WINDOWS\DESKTOP\SHINJI\PROGRAMS\COUNTER SPY\SUNASDTSERV.EXE
C:\WINDOWS\RunDLL.exe
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\OSA.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\FINDFAST.EXE
C:\PROGRAM FILES\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\KEYBDMGR.EXE
C:\PROGRAM FILES\NETROPA\ONSCREEN DISPLAY\OSD.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\MMUSBKB2.EXE
C:\WINDOWS\SYSTEM\ATLRL.EXE
C:\WINDOWS\SYSTEM\NETTC.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\DESKTOP\SHINJI\PROGRAMS\HIJACK THIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\yxphg.dll/sp.html#12047
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\yxphg.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\yxphg.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\yxphg.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\yxphg.dll/sp.html#12047
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\yxphg.dll/sp.html#12047
R3 - Default URLSearchHook is missing
F1 - win.ini: run=hpfsched
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\WINDOWS\DESKTOP\SHINJI\PROGRAMS\ACROBAT READER\READER\ACTIVEX\ACROIEHELPER.DLL
O2 - BHO: Class - {DF73213B-1EDC-8460-6EB3-570DB4ECE405} - C:\WINDOWS\SYSTEM\MFCQT.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Keyboard Manager] C:\Program Files\Netropa\One-touch Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [Adaptec DirectCD] C:\Program Files\DirectCD\DIRECTCD.EXE
O4 - HKLM\..\Run: [USBMMKBD] usbmmkbd.exe
O4 - HKLM\..\Run: [mdac_runonce] C:\WINDOWS\SYSTEM\runonce.exe
O4 - HKLM\..\Run: [SUNASDTSERV] C:\WINDOWS\DESKTOP\SHINJI\PROGRAMS\COUNTER SPY\SUNASDTSERV.exe
O4 - HKLM\..\Run: [NETTC.EXE] C:\WINDOWS\SYSTEM\NETTC.EXE
O4 - HKLM\..\RunServices: [Hidserv] Hidserv.exe run
O4 - HKLM\..\RunServices: [ATLRL.EXE] C:\WINDOWS\SYSTEM\ATLRL.EXE /s
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

Merci beaucoup d'avance á ceux qui me répondront.

moe · Answer

salut shinji

est ce que tu peux faire analyser ces fichiers ici:
http://virusscan.jotti.org/

clic sur parcourir et deplace toi jusqu'a

C:\WINDOWS\SYSTEM\ seletionne -> ATLRL.EXE
valide et clic sur submit

fais pareil pour:
C:\WINDOWS\SYSTEM\ NETTC.EXE

Poste le resultat ici.

a+

moe · Answer

salut shinjiReposte un hijack pour voir...a+

moe · Answer

salut shinji

Télécharge ces logiciels et met les à jours(important), mais ne les utilisent pas maintenant:

aboutbuster:
http://www.malwarebytes.biz/index.php?page=downloads
Pour le mettre à jours:
clic sur "update"
puis clic sur "check for update"
Si une nouvelle version est disponible clic sur "downloaded update"

CWShredder:
http://cwshredder.net/bin/CWShredder.exe

Rend visible les fichiers cachés et systeme
Poste de travail >> Affichage >> Options des dossiers
Onglet "Affichage"
Dans la section "Fichiers cachés", sélectionner "Voir tous les fichiers"
Valider Ok

Ensuite, important:
Déconnecte toi, et ferme tous les programmes en cours (IE, office, p2p... etc)

---------------------------------------------

Vérifie si ce ou ces procéssus apparaissent dans le gestionnaire des taches.(CTRL+ALT+SUPPR ou DEL)
S'ils sont présent: clic droit dessus puis clic sur "Terminer le processus"

NETTC.EXE
ATLRL.EXE
ADDWC32.EXE
ADDUI32.EXE

Lance hijackthis et Fixe:
(cocher au début de chaques lignes valider avec fix checked)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\xxzdk.dll/sp.html#12047
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\xxzdk.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\xxzdk.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\xxzdk.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\xxzdk.dll/sp.html#12047
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\xxzdk.dll/sp.html#12047

R3 - Default URLSearchHook is missing

O2 - BHO: Class - {B6D05EB7-63BB-4BD6-63AA-850C08A5DA3C} - C:\WINDOWS\SYSTEM\NTDZ32.DLL

O4 - HKLM\..\Run: [NETTC.EXE] C:\WINDOWS\SYSTEM\NETTC.EXE
O4 - HKLM\..\RunServices: [ATLRL.EXE] C:\WINDOWS\SYSTEM\ATLRL.EXE /s
O4 - HKLM\..\RunServices: [ADDWC32.EXE] C:\WINDOWS\ADDWC32.EXE /s
O4 - HKLM\..\RunServices: [ADDUI32.EXE] C:\WINDOWS\SYSTEM\ADDUI32.EXE /s

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

Redémarre en mode sans échec
Laisse passer l'écran du bios, puis tapote sur la touche F8.
Choisis le mode sans échec dans les options et valide avec entrée.

Rechercher et supprimer si présent:

• C:\WINDOWS\SYSTEM\NTDZ32.DLL
• C:\WINDOWS\SYSTEM\ADDUI32.EXE
• C:\WINDOWS\SYSTEM\NETTC.EXE
• C:\WINDOWS\SYSTEM\ATLRL.EXE
• C:\WINDOWS\system\xxzdk.dll
• C:\WINDOWS\ADDWC32.EXE

Ensuite:

Fais un nettoyage des fichiers temporaires, internets...etc avec ce programme:
http://pageperso.aol.fr/Balltrap34/CleanUp312.exe

ou manuellement:

Supprimer tout les fichiers à l'intérieur des dossiers suivants:

* C:\Temp
* C:\Windows\Temp

Demarrer executer tape: %temp%
Dans la fenetre qui s'ouvre, selectionne tout et supprime

* Vider la corbeille !

-----------------------------

Une fois fait, lance aboutbuster (clic sur start)
puis lance cwshredder (clic sur fix)

-----------------------------

Profite aussi d'être en mode sans echecs pour lancer le scan de ad-aware, spybot... ou ton antispy habituel et supprime tout ce qu'ils trouvent.

Redemarre normalement, et ensuite fais un scan AV ici:
http://www.ravantivirus.com/scan/
Clic sur "To continue without subscribing click here"
Lorsque "Ready" est affiché dans "status", clic sur "Scan my PC".
A la fin de l'analyse, copier/coller le rapport ici + un nouveau rapport hijackthis

a+

moe · Answer

salut shinji

on va essayer de tout faire en mode sans echecs.

Possible que le nom des fichiers des lignes R1 R0 02 soit différents apres le redemarrage.
Note le nom quelles auront apres avoir redemarrer en sans echecs.
(tu les supprimera en meme temp que les autres).

------------------

Rend visible les fichiers cachés et systeme
Poste de travail >> Affichage >> Options des dossiers
Onglet "Affichage"
Dans la section "Fichiers cachés", sélectionner "Voir tous les fichiers"
Valider Ok

Redémarre en mode sans échec
Laisse passer l'écran du bios, puis tapote sur la touche F8.
Choisis le mode sans échec dans les options et valide avec entrée.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\efvkf.dll/sp.html#12047
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\efvkf.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\efvkf.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\efvkf.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\efvkf.dll/sp.html#12047
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\efvkf.dll/sp.html#12047
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - Default URLSearchHook is missing

O2 - BHO: Class - {25624BFB-63BC-9D3A-463E-ECF159ED6A0C} - C:\WINDOWS\WINBG.DLL
O4 - HKLM\..\Run: [APPHT32.EXE] C:\WINDOWS\SYSTEM\APPHT32.EXE
O4 - HKLM\..\RunServices: [IEPQ.EXE] C:\WINDOWS\SYSTEM\IEPQ.EXE /s

Rechercher et supprimer si présent:

C:\WINDOWS\WINBG.DLL
C:\WINDOWS\system\efvkf.dll
C:\WINDOWS\SYSTEM\APPHT32.EXE
C:\WINDOWS\SYSTEM\IEPQ.EXE
+ celles que tu as notées si differentes du 1er log

Puis, vraiment important:
Supprimer tout les fichiers à l'intérieur des dossiers suivants:

* C:\Temp
* C:\Windows\Temp

Demarrer executer tape: %temp%
Dans la fenetre qui s'ouvre, selectionne tout et supprime

* Vider la corbeille !

--------------------------

Une fois fait, lance aboutbuster (clic sur start)
puis lance cwshredder (clic sur fix)

-------------------------

Redemarre normalement, et reposte un nouveau rapport hijackthis.

Pour le scan chez rav, il faut aller sur le site avec internet explorer uniquement et accepter le controle activeX

a+

Browser Hijack vraiment trés pertinent

4 réponses

Discussions similaires

Newsletters