Supprimer ecostartpage

bonjour

telecharge ca sur ton bureau (important) :
https://www.luanagames.com/index.fr.html
tu le lance et tu clic sur recherche
a la fin clic sur le bouton rapport
et poste le rapport ici

j'ai le resultat suivant après malware:
Version de la base de données: v2012.11.22.09

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
moi :: MOI-8FB6834EBB7 [administrateur]

Protection: Activé

22/11/2012 19:54:10
mbam-log-2012-11-22 (19-54-10).txt

Type d'examen: Examen complet (C:\|E:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 358011
Temps écoulé: 1 heure(s), 30 minute(s), 7 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 3
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Mauvais: (1) Bon: (0) -> Mis en quarantaine et réparé avec succès
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Mauvais: (1) Bon: (0) -> Mis en quarantaine et réparé avec succès
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Mauvais: (1) Bon: (0) -> Mis en quarantaine et réparé avec succès

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 1
c:\documents and settings\moi\local settings\temp\suicide.exe (Spyware.Password) -> Mis en quarantaine et supprimé avec succès.

Bonjour,
voici le rapport,
RogueKiller V8.3.1 [Nov 23 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.geekstogo.com/forum/files/file/413-roguekiller/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur : moi [Droits d'admin]
Mode : Recherche -- Date : 24/11/2012 09:28:06

¤¤¤ Processus malicieux : 1 ¤¤¤
[SUSP PATH] RTHDCPL.EXE -- C:\WINDOWS\RTHDCPL.EXE -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 1 ¤¤¤
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\WINDOWS\system32\drivers\etc\hosts

127.0.0.1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: +++++
--- User ---
[MBR] ddb6e9ea30f07b880963f0f53bbd15f5
[BSP] f3fc669affb1015332e35b6e0a573878 : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 29996 Mo
1 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 61432560 | Size: 351547 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: +++++
Error reading User MBR!
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[1]_S_24112012_092806.txt >>
RKreport[1]_S_24112012_092806.txt

Merci pour ton aide!
++

rogue n'a rien trouvé de malicieux
les 2 chose sont legitime ne pas supprimé
https://www.commentcamarche.net/contents/928-rthdcpl-rthdcpl-exe
https://www.commentcamarche.net/faq/5359-ajouter-un-raccourci-dans-le-menu-contextuel-du-poste-de-travail

bon fait ca maintenant :
télécharge et installe puis lance ça :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

faire clic droit sur l icone zhpdiag executer en tant qu'administrateur
une fois lancer ZHPDIAG clic sur la loupe laisse l'analyse se faire
une fois fini clic sur la disquette et enregistre le fichiers rapport sur ton bureau
va sur ce site

https://www.cjoint.com/

clic sur parcourir choisie le fichier rapport fait ok
et poste le lien que le site te donne ici

essayer en mode sans echec (tapotez f8 au demarrage)

pour le mot de passe je peux pas t'aider car il est interdit sur CCM d'expliquer comment casser un mot de passe.

voici le lien :

https://www.cjoint.com/?BKynbCveXBj

Merci

++

Copie les lignes suivantes :

O69 - SBI: SearchScopes [HKCU] {F27A62CC-7F11-453A-A9C7-BC9566835301} - (EcoStartPage) - http://ecostartpage.com
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{49783ED4-258D-4f9f-BE11-137C18D3E543}]   =>Adware.Casino
[HKLM\Software\Microsoft\Internet Explorer\extensions\{49783ED4-258D-4f9f-BE11-137C18D3E543}]   =>Adware.Casino
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}]   =>Toolbar.Agent
[HKLM\Software\Classes\CLSID\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}]   =>Toolbar.Agent
[HKLM\Software\Microsoft\Internet Explorer\extensions\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}]   =>Toolbar.Agent
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}]   =>Toolbar.Agent
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}]   =>Toolbar.Agent
[HKLM\Software\Classes\CLSID\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}]   =>Toolbar.Agent
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}]   =>Toolbar.Agent
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{b7fe5d70-9aa2-40f1-9c6b-12a255f085e1}]   =>Casino.OnlineGames
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{b7fe5d70-9aa2-40f1-9c6b-12a255f085e1}]   =>Casino.OnlineGames
[HKLM\Software\Microsoft\Internet Explorer\extensions\{b7fe5d70-9aa2-40f1-9c6b-12a255f085e1}]   =>Casino.OnlineGames
[HKLM\Software\Classes\AppID\{CC50232E-FDB1-436F-B658-452F88E81736}]   =>Toolbar.Kiwee
[HKCU\Software\Grand Virtual]   =>Spyware.AgenceExclusive
[HKCU\Software\Iminent]   =>Adware.IMBooster
[HKCU\Software\SweetIM]   =>Toolbar.SweetIM
[HKLM\Software\SweetIM]   =>Toolbar.SweetIM
C:\Program Files\Fichiers communs\Umbrella   =>Adware.IMBooster
C:\Documents and Settings\moi\Local Settings\Application Data\Temp\Iminent   =>Adware.IMBooster
EmptyTemp

Lance ZHPFix ,normalement les lignes precedement copier sont presente dans la fenetre
Clique sur le bouton « GO » pour lancer le nettoyage, tu devra peut etre le faire deux fois
Copie/colle la totalité du rapport dans ta prochaine réponse, le rapport est situé sur ton bureau

voilà le rapport:

Rapport de ZHPFix 1.3.07 par Nicolas Coolman, Update du 13/11/2012
Fichier d'export Registre :
Run by moi at 24/11/2012 13:51:32
Windows XP Professional Service Pack 3 (Build 2600)

========== Clé(s) du Registre ==========
SUPPRIME Key: SearchScopes :{F27A62CC-7F11-453A-A9C7-BC9566835301}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{49783ED4-258D-4f9f-BE11-137C18D3E543}
SUPPRIME Key: HKLM\Software\Microsoft\Internet Explorer\extensions\{49783ED4-258D-4f9f-BE11-137C18D3E543}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}
SUPPRIME Key: HKLM\Software\Microsoft\Internet Explorer\extensions\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{b7fe5d70-9aa2-40f1-9c6b-12a255f085e1}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{b7fe5d70-9aa2-40f1-9c6b-12a255f085e1}
SUPPRIME Key: HKLM\Software\Microsoft\Internet Explorer\extensions\{b7fe5d70-9aa2-40f1-9c6b-12a255f085e1}
SUPPRIME Key: HKLM\Software\Classes\AppID\{CC50232E-FDB1-436F-B658-452F88E81736}
SUPPRIME Key: HKCU\Software\Grand Virtual
SUPPRIME Key: HKCU\Software\Iminent
SUPPRIME Key: HKCU\Software\SweetIM
SUPPRIME Key: HKLM\Software\SweetIM

========== Dossier(s) ==========
SUPPRIME Reboot Folder**: c:\program files\fichiers communs\umbrella
SUPPRIME Folder: c:\documents and settings\moi\local settings\application data\temp\iminent
SUPPRIME Temporaires Windows:

========== Fichier(s) ==========
SUPPRIME Temporaires Windows:

========== Récapitulatif ==========
18 : Clé(s) du Registre
3 : Dossier(s)
1 : Fichier(s)

End of clean in 00mn 10s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 24/11/2012 13:51:33 [2304]

encore des soucis ?

non, apparemment, c'est nickel!! merci beaucoup!

met le sujet en resolu stp

Le changement de page vient par un trojan qui se propage par des publicités malicieuse.
Un fichier install.exe est proposé se faisant passer par une fausse mise à jour Firefox.
=> https://www.malekal.com/malvertising-sur-www-freenews-fr-et-www-franceinfo-fr/

Sur quel site tu penses avoir été infecté ?

un peu de nettoyage

telecharger delfix (pour supprimé tout les utilitaire de desinfection et les rapports)
https://www.commentcamarche.net/telecharger/securite/7111-delfix/

tu le lance clic sur suppression puis sur désinstallation

https://gen-hackman.kanak.fr/#1037

Bonjour Pamynx,

Tu as l'air d'un expert et je rencontre exactement le même problème que Ricos6.

J'ai suivi la procédure que tu lui a indiquée et voici le rapport récupéré sur ma machine avec ZHPDiag.

https://www.cjoint.com/?BKzswvCVwk3

Que dois-je faire exactement maintenant ?

Un grand merci ! :-)

Cordialement

Bonjour,
moi aussi j'ai des soucis avec ecostartpage.com.
A chaque démarrage de google chrome, j'y ai le droit.

J'ai fais la manip avec Rogue Killer, et voici le rapport que j'ai :

RogueKiller V8.3.1 [Nov 26 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.geekstogo.com/forum/files/file/413-roguekiller/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur : Kevin [Droits d'admin]
Mode : Recherche -- Date : 29/11/2012 18:56:18

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 9 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : Megakey (C:\Users\Kevin\AppData\Local\Megamedia\Megakey\Megakey.exe /Tray) -> TROUVÉ
[RUN][SUSP PATH] HKCU\[...]\Run : MegakeyUpdater (C:\Users\Kevin\AppData\Local\Megamedia\Megakey\MegakeyUpdater.exe) -> TROUVÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-20851260-2879620858-542148433-1000[...]\Run : Megakey (C:\Users\Kevin\AppData\Local\Megamedia\Megakey\Megakey.exe /Tray) -> TROUVÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-20851260-2879620858-542148433-1000[...]\Run : MegakeyUpdater (C:\Users\Kevin\AppData\Local\Megamedia\Megakey\MegakeyUpdater.exe) -> TROUVÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (cache.wifi.univ-nantes.fr:3128) -> TROUVÉ
[HJ DESK] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
[HJ DESK] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: ST9250315AS ATA Device +++++
--- User ---
[MBR] ae8bd62c0142f69baf78c261036977c8
[BSP] 833c8c201aadaacda5dd365a74765d22 : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] DELL-UTIL (0xde) [VISIBLE] Offset (sectors): 63 | Size: 39 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 81920 | Size: 15000 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 30801920 | Size: 223434 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1]_S_29112012_185618.txt >>
RKreport[1]_S_29112012_185618.txt

Pourrais-tu m'aider pamynx ?

Merci d'avance