spyware-page de démarrage

Question

Bonjour,

ma page de démarrage me renvoie systématiquement sur Homesearch.

-Norton Antivirus 2004 ne trouve rien.
-j'ai téléchargé et lancé "Spybot" qui a trouvé des trucs et les a nettoyés, mais le problème persiste.
-j'ai téléchargé un machin qui s'appelle "Spykiller" qui trouve aussi des trucs, mais il me demande de cracher 40 dollars pour me les supprimer (heu...y'a pas moins cher ?)
-j'ai voulu essayer aussi secuser.com, mais InternetExplorer se bloque quand je lance le scan.

merci pour vos conseils...

GomJabbar · Answer

Bonjour,
tu peux télécharger HighjackThis (http://www.spywareinfo.com/downloads.php) ensuite tu fais un scan de la machine et tu copies le log dans ce post.
Il suffira d'attendre que moi ou un autre te renseigne sur les entrées à fixer.

A+

_______________________________
- Je préfère rire de ce qui fait pleurer -

Tirailleur · Answer

salut,

suis ces étapes scrupulesement et tout devrait fonctionner:

1-Tu fais : control Alt Suppr ->onglet processus

Tu regardes si tu as : sdkqm.exe
Si oui, tu le sélectionnes et tu cliques "Terminer le processus".

2-fais démarrer éxécuter, tape services.msc
Double clique "Network Security Service"
Mets-le en "désactivé" et bien sûr "arrêté" et "Appliquer".

3-ferme toute fenêtre internet explorer, relance HijackThis, coche ces lignes puis fais fix checked:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\knxhl.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://knxhl.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://knxhl.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\knxhl.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://knxhl.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\knxhl.dll/sp.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
O2 - BHO: (no name) - {03A2D7B5-7F29-C057-69BA-28A6D6BFD1C8} - C:\WINDOWS\system32\sysai32.dll
O4 - HKLM\..\Run: [sdkqm.exe] C:\WINDOWS\system32\sdkqm.exe
O16 - DPF: {D1B80EBF-1A26-4FEC-B0B9-DCB934C6507E} (Loader Class) - http://dialup.carpediem.fr/CABS/cd/1,0,3,8/fr/AccesMembre.cab

4-Redémarre en mode sans échec (appuie f8 au démarrage de l'ordi) et
assure-toi que tu as accès aux fichiers cachés.
(ouvre l'explorateur windows->outils->options des dossiers->affichage
coche "Afficher les fichiers cachés"
décoche "Masquer les extensions..")
puis supprime les fichiers C:\WINDOWS\system32\sysai32.dll et C:\WINDOWS\system32\sdkqm.exe
Redémarre normalement.

5-fais Démarrer,exécuter tape regedit

Aller à: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

Dans services(panneau de gauche) si __NS_Service_3 est présent, fais clic droit->supprimer.

aller à: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root

Dans Root(panneau de gauche) si LEGACY___NS_Service_3 est présent fais clic droit->supprimer.

6-Redémarre et dis nous où en est ton probleme.

castou · Answer

Eh bien il semble que ça marche...
formidable !

j'ai suivi la recette à le lettre, avec deux petits problèmes dans les étapes 4 et 5 :
-dans System32, j'ai bien trouvé et supprimé le fichier "sdkqm.exe", mais pas de fichier "sysai32.dll" en vue...
-dans HKEY_LOCAL_....Root, pas moyen de supprimer "LEGACY__NS_Service_3 (message "erreur lors de la suppression de la clé")

Mais j'ai quand même retrouvé ma page d'accueil Internet et il semble que tout fonctionne normalement.
J'ai même pu aller faire une petite cure sur secuser.com qui ne voulait plus de moi...

Alors merci beaucoup à vous deux.

Julien · Answer

Hello, J'ai exactement le même pb de Catou. J'ai donc essayé d'appliquer la recette de Tirailleur. En vain... le pb est réapparu.Ci-après le log de HijackThis:***************************Logfile of HijackThis v1.97.7Scan saved at 15:58:57, on 14/07/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXEC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\cryk.exeC:\WINDOWS\cruk32.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exeC:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exeC:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\ScanSoft\OmniPageSE\opware32.exeC:\Program Files\Messenger\msmsgs.exeC:\Documents and Settings\Jacques & MG\Local Settings\Temp\Répertoire temporaire 35 pour hijackthis.zip\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hqtel.dll/sp.html#96676R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://hqtel.dll/index.html#96676R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://hqtel.dll/index.html#96676R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hqtel.dll/sp.html#96676R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://hqtel.dll/index.html#96676R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hqtel.dll/sp.html#96676O2 - BHO: (no name) - {B550E44A-A371-83DE-2CDF-619537449A87} - C:\WINDOWS\cruk32.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /iconO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [Omnipage] C:\Program Files\ScanSoft\OmniPageSE\opware32.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO9 - Extra button: Recherche (HKLM)O9 - Extra button: Messenger (HKLM)O9 - Extra 'Tools' menuitem: Messenger (HKLM)O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CABO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{24C3F796-5E85-4F1E-AF31-981C7CB17CE6}: NameServer = 80.10.246.130 80.10.246.3***********************Voici la procédure que j'ai suivi, pourriez-vous m'indiquer ce que j'ai oublié de faire:En 1. j'ai terminé le processus pour cruk32.exe2. J'ai exécuté services.msc. Par contre, je n'ai pas trouvé "Network security service"!!! J'ai désactivé "Workstation NetLogon Service" et "Service de restauration système"3. Avec HijackThis, j'ai supprimé:R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hqtel.dll/sp.html#96676R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://hqtel.dll/index.html#96676R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://hqtel.dll/index.html#96676R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hqtel.dll/sp.html#96676R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://hqtel.dll/index.html#96676R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hqtel.dll/sp.html#96676O2 - BHO: (no name) - {B550E44A-A371-83DE-2CDF-619537449A87} - C:\WINDOWS\cruk32.dll4. J'ai ensuite redémarré en mode sans échec et supprimé les fichiers cruk32.dll, hqtel.dll (un conseil, dans les options d'affichage, ne pas oublier de décocher "Masquer les fichiers protégés du sytème d'exploitation).5. J'ai ensuite redémarré, exécuté regedit mais les éléments à supprimer n'étaient pas présents...!Si vous avez une idée sur la façon de résoudre mon pb, je suis preneur!!. D'avance merci

Ambre · Answer

Tirailleur,  la classe, bravo ! Ta solution est très bien expliquée et c'est la seule qui ait fonctionné pour mon cas parmi toutes celles que j'ai pu tester ce soir ! J'ai cru que j'allais y passer la nuit ! Merci, enfin je vais pouvoir aller dormir ! ;-)

Vazkor · Answer

Bonjour,

Juste un petit conseil. Passez dans l'ordre un coup de:
- votre antivirus et éventuellement un antivirus en ligne
- Spybot et/ou Adaware
- CWShredder spécialisé dans l'élimination des pages Cool Web Search
- Hijackthis si le problème n'est pas résolu, pour éliminer ce qui aurait échappé!

Sinon bravo, l'explication du Tirailleur est un exemple à suivre.

@+
Vazkor [W2K + Moz 1.7.1]

Spyware-page de démarrage

6 réponses

Newsletters