Sujet Précédent Sujet Suivant

PB Smartsearch + un autre Malware

Fermé
Yannick Bedouret - 9 juin 2004 à 20:40
 jess15 - 16 juin 2004 à 19:17
Bonjour !!!

Please help me !!!
Apres m'etre debarassé non sans peine de CoolWebSearch par le biais d'une diquette de démarrage ms dos de Win98 me voila a nouveau assailli par un, que dis-je 2 nouveaux malwares ... *:(

Le premier est SmartSearch que je ne parviens pas a eradiquer par CWShredder (il revient rapidement-je precise que ma version windows est a jour)
AdAware fait son travail en me supprimant plusieurs cles de registre corrompues mais rien a faire : IT BE BACK !!!

Puis depuis hier nouvelle m*rde sur mon pov' petit PC le fond d'écran est remplacé par une page en html avec un lien "Warning you're in danger" le lien pointe sur Smart-Security et un raccourci nommé Andy1 est sur mon bureau (lien vers un site style www.casinomachin.com)

J'ai récupéré le code source de la page du fond d'écran

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<!----
***** This file is automatically generated by Microsoft Windows *****
--------><HTML><HEAD>
<META http-equiv=Content-Type content="text/html; charset=windows-1252"></HEAD>
<BODY bgColor=#004e98>
<DIV
style="BACKGROUND: url(file:///C:/Documents%20and%20Settings/YB/Local%20Settings/Application%20Data/Microsoft/Wallpaper1.bmp) no-repeat 50% 50%; LEFT: 0px; WIDTH: 1280px; POSITION: absolute; TOP: 0px; HEIGHT: 1024px"></DIV><IFRAME
id=0
style="BACKGROUND: none transparent scroll repeat 0% 0%; LEFT: 0px; WIDTH: 1280px; POSITION: absolute; TOP: 1px; HEIGHT: 993px"
name=DeskMovrW marginWidth=0 marginHeight=0
src="file:///C:/WINDOWS/Web/desktop.html" frameBorder=0 scrolling=no
subscribed_url="C:\WINDOWS\Web\desktop.html" resizeable=""> </IFRAME> 
</BODY></HTML>

J'ai tenté de supprimer les fichiers de windows\web mais la page revient au demarrage
Voici si ça peut aider le log que me sort HiJackThis

Logfile of HijackThis v1.97.7
Scan saved at 20:40:39, on 09/06/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\MultiMedia Keyboard\MultiMedia Keyboard\1.1\KbdAp32A.exe
C:\Program Files\Browser Mouse\Browser Mouse\1.1\MOUSE32A.EXE
C:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Microsoft Office 97\Office\FINDFAST.EXE
C:\Program Files\Microsoft Office 97\Office\OSA.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\notepad.exe
C:\Documents and Settings\YB\Mes documents\Pilotes\HijackThis.exe

O1 - Hosts: 213.159.117.235 auto.search.msn.com
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Program Files\MultiMedia Keyboard\MultiMedia Keyboard\1.1\KbdAp32A.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Program Files\Browser Mouse\Browser Mouse\1.1\MOUSE32A.EXE
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office 97\Office\FINDFAST.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office 97\Office\OSA.EXE
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38118.4650925926
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FB1CD734-2E05-4155-99EF-F6A79464A93D}: NameServer = 80.10.246.134 80.10.246.7
O18 - Protocol hijack: about - {53B95211-7D77-11D2-9F81-00104B107C96}

Voila c'est tout ....

Si quelqu'un peut me sortir de cette m*rde ça ne serait pas de refus

Merci d'avance
A voir également:

3 réponses

Réponse 1 / 3
darkcrystal33 Messages postés 3808 Date d'inscription dimanche 21 mars 2004 Statut Contributeur Dernière intervention 22 septembre 2008 193
10 juin 2004 à 06:40
supprime
O18 - Protocol hijack: about - {53B95211-7D77-11D2-9F81-00104B107C96}

puis vas lire là pour tout le reste:

http://assiste.free.fr/p/internet_utilitaires/hijackthis.php
http://assiste.free.fr/p/internet_contre_mesures/anti_hijack.php

utilise aussi spybot ici:
http://www.safer-networking.org/
et spywareblaster là:
http://www.javacoolsoftware.com/spywareblaster.html
0
Réponse 2 / 3
benaz
16 juin 2004 à 17:12
va dans "panneau de configuration", puis "affichage", puis "bureau", sur "personnalisation du bureau", puis sur l'onglet "web". Là il suffit de décocher "secure" et de le supprimer. et voila.
0
Réponse 3 / 3
jess15
16 juin 2004 à 19:17
salut j'ai trouver cette soluce sur un site

SmartSearch supression manuelle


faut suprimer c clée dans le registre demarrer/executer/ taper: regedit

aller dans:
'HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run'
a droite chercher la valeur 'SystemEmergency', et ecriver dans un bout de papier le nom du fichier qu'elle utilise et nomer le (fichier01), ensuite suprimer 'SystemEmergency'
aller dans:
'HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunServices'
a droite chercher la valeur 'SystemEmergency', et ecriver dans un bout de papier le nom du fichier qu'elle utilise et nomer le (fichier02), ensuite suprimer 'SystemEmergency (si il existe)

aller dans
'HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run'

a droite chercher la valeur 'SystemEmergency', et ecriver dans un bout de papier le nom du fichier qu'elle utilise et nomer le (fichier01), ensuite suprimer 'SystemEmergency' (si il existe)

ensuite faites demarrer/rechercher et taper
les fichier 01, 02,03 que vous avez noter et suprimer les
@++++++++++++++++
0

Discussions similaires

Comment supprimer tor.jack sur Android
sabinelouisonbruno -
akaloupile -

4 réponses
Win64:Malware-gen
ptb35 -
MisteryBean -

3 réponses
win32:malware-gen bloqué par avast
ikkual -
Utilisateur anonyme -

69 réponses
Problème de malware
jbijp -
MisteryBean -

1 réponse
Tor.Jack.Malware
Camille -
bazfile -

1 réponse