Sujet Précédent Sujet Suivant

Trojan "search for" toujours accroché

remicolette -  
balltrap34 Messages postés 16241 Statut Contributeur sécurité -
Bonjour à tous,

Plusieurs jours que je cherche comment supprimer un cheval de troie accroché dans le fichier windows/temp/sp.html., provocant des déconnexions, des ralentissemenst, et l’affichage intempestif de la page « search for »

Je compte sur vous pour me donner la solution. Avant tout voilà ce que j’ai déjà essayé, avec ou sans restauration désactivée.

- scan AVG.6.0

- scan ad-aware : trouvé (possible browser hijack attempt ; risque modéré), mais revient après suppession.
obj[0]=RegData : Software\Microsoft\Internet Explorer\Main
obj[1]=RegData : .DEFAULT\Software\Microsoft\Internet Explorer\Main

- Hijack This : trouvé ; fixe checked sur les cases R1 sauf celle ou apparaît wanadoo et 019 et suppression, mais revient sur le scan suivant.
( ps : je n’arrive pas à effectuer le copier-coller du scan pour l’insérer dans ce courrier ; ??? quelle est l’astuce ??? )

- scan spybot : idem et sans résultat.

- scan spy sweeper : idem et sans résultat.

Ma configuration :
windows ME (Win9x 4.90.3000A); Internet Explorer v5.50 (5.50.4134.0100)

Merci à tous et à bientôt…j’espère.
A voir également:

6 réponses

Réponse 1 / 6
remicolette
 
j'ai enfin réussi le copier-coller

Logfile of HijackThis v1.98.2
Scan saved at 19:24:26, on 17/08/2004
Platform: Windows ME (Win9x 4.90.3000A)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAM FILES\GRISOFT\AVG6\AVGSERV9.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\IRMON.EXE
C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPLPR.EXE
C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPENH.EXE
C:\PROGRAM FILES\KEYBOARD\KEYBOARD HOTKEY\VCONTROL.EXE
C:\WINDOWS\SYSTEM\SISTRAY.EXE
C:\WINDOWS\SYSTEM\KHOOKER.EXE
C:\WINDOWS\SYSTEM\CHTVINIT.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\KEYBOARD\KEYBOARD HOTKEY\OSD.EXE
C:\PROGRAM FILES\GRISOFT\AVG6\AVGCC32.EXE
C:\PROGRAM FILES\FICHIERS COMMUNS\REAL\UPDATE_OB\REALSCHED.EXE
C:\WINDOWS\SYSTEM\QTTASK.EXE
C:\WINDOWS\SM56HLPR.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\WANADOO\TASKBARICON.EXE
C:\PROGRAM FILES\AHEAD\INCD\INCD.EXE
C:\PROGRAM FILES\NIKON\NKVIEW6\NKVMON.EXE
C:\PROGRAM FILES\FICHIERS COMMUNS\MICROSOFT SHARED\WORKS SHARED\WKCALREM.EXE
C:\PROGRAM FILES\WANADOO\UTILISATEUR1\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\WINDOWS\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\WINDOWS\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\WINDOWS\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\WINDOWS\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\WINDOWS\TEMP\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\WINDOWS\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
O2 - BHO: NetAnts.IE.Monitor - {57E91B41-F40A-11D1-B792-444553540000} - C:\PROGRAM FILES\NETANTS\ANTAPI.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {9CB204FB-C5BF-42C4-8886-8662B7FAE10F} - C:\WINDOWS\SYSTEM\BGANHB.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [IrMon] irmon.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AHotkey] C:\Program Files\Keyboard\Keyboard Hotkey\vcontrol.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [ChrontelInitTV] CHTVINIT.EXE
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\GRISOFT\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\TaskbarIcon.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\RunServices: [Avgserv9.exe] C:\PROGRA~1\GRISOFT\AVG6\Avgserv9.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SPYSWEEPER.EXE" /0
O4 - Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView6\NkvMon.exe
O4 - Startup: Rappels du Calendrier Microsoft Works.lnk = C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe
O8 - Extra context menu item: &Download by NetAnts - C:\PROGRA~1\NETANTS\NAGet.htm
O8 - Extra context menu item: Download &All by NetAnts - C:\PROGRA~1\NETANTS\NAGetAll.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra button: NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NETANTS\NetAnts.exe
O9 - Extra 'Tools' menuitem: &NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NETANTS\NetAnts.exe
O9 - Extra button: Internet Cleaner - {45819E58-6E84-4A5D-BD65-A706981E5BE8} - C:\PROGRAM FILES\INTERNET CLEANER\ICLEANER.EXE (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: Internet Cleaner - {45819E58-6E84-4A5D-BD65-A706981E5BE8} - C:\PROGRAM FILES\INTERNET CLEANER\ICLEANER.EXE (file missing) (HKCU)
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/274325abc73e07ae9005/netzip/RdxIE601_fr.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-32.cab
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O18 - Filter: text/html - {C338E209-AC90-4A90-98C7-1FE5E31B125F} - C:\WINDOWS\SYSTEM\BGANHB.DLL
O18 - Filter: text/plain - {C338E209-AC90-4A90-98C7-1FE5E31B125F} - C:\WINDOWS\SYSTEM\BGANHB.DLL
0
Réponse 2 / 6
Utilisateur anonyme
 
B''soir, :-}

fix ça : (mode sans échec préconisé)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\WINDOWS\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\WINDOWS\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\WINDOWS\TEMP\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\WINDOWS\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\WINDOWS\TEMP\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\WINDOWS\TEMP\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

O2 - BHO: (no name) - {9CB204FB-C5BF-42C4-8886-8662B7FAE10F} - C:\WINDOWS\SYSTEM\BGANHB.DLL <--?? que l'on retrouve aussi en fin de log. je vois pas ce que c'est du tout -
( O18 - Filter: text/html - C:\WINDOWS\SYSTEM\BGANHB.DLL
O18 - Filter: text/plain - C:\WINDOWS\SYSTEM\BGANHB.DLL)

O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\SYSTEM\SISTRAY.EXE<--??
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe <--??
tu reconnais ces 2 programmes? sinon fix!
1) ctrl+alt+supp/tu arrêtes les programmes et ensuite tu pourras les fixer dans l'hijack.

O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-32.cab <--si tu n'en as plus besoin de ça - vire-le aussi
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
<--ça aussi, si c'est fini - vire-le

Pour les lignes inconnues (de moi) tu peux tenter le fix - si ton pc tourne bien c'est bon (fait des tests) sinon tu reverses les lignes avec le fichier Backup crée par l'Hijack.

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0
remicolette
 
Merci dolly.dagger

Je vais essayer la manip; dois-je le faire en désactivant aussi la restauration système ?

A+
0
Réponse 3 / 6
Utilisateur anonyme
 
non! pas pour un Hijack :-)
mais vide ton cache I-E qd tu auras fini pour faire du ménage
panneau de configuration/Options Internet/supprimer les fichiers temps./cookies/historique tant que tu y es - bonne chance - @+

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0
remicolette
 
Me revoilà...bredouille !!!

La manip que tu m'as indiquée n'a pas viré la bestiole. Je ne désespère pas. Il y a sûrement une solution.
Merci quand même...et peut-être à demain...qui sera j'espère un jour meilleur.

Bonne nuit
0
Réponse 4 / 6
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
salut
fait ceci pour voir
http://pageperso.aol.fr/Balltrap34/aa.exe

-Pose-le sur le bureau.
-Double-clique.
-Décompresse-le sur le bureau.
-Double-clique "Start.bat" et choisis l'option 1 pour le rapport.
-Une fois la recherche terminée, un fichier txt doit apparaître sous
le nom "Output.txt" et sera sauvegardé dans le dossier.
-Copie/colle le contenu de "Output.txt" dans ta réponse.

la chasse et le balltrap ma vrai passion
voir site perso dans profil
0
remicolette
 
salut balltrap34

y dise que c'est seulement pour windows 2000 et xp.
je trouve pas les fichiers que tu nommes.

merci quand même... à demain... pour de bon!
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 6
remicolette
 
Je l'avais dit hier, aujourd'hui serait un jour meilleur; j'y suis pas allé par 4 chemins, j'ai pris mon courage à 2 mains et j'ai restauré le système entièrement. Ca fait un peu de boulot, mais pas tant que de se prendre la tête avec cette...!!!!
Finalement ça a du bon, ça permet de faire le ménage !

Merci à dolly.dagger et balltrap34 qui m'ont gentiment essayé de m'aider.
0
Réponse 6 / 6
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
salut
dommage pour tes fichiers perso
a++

la chasse et le balltrap ma vrai passion
voir site perso dans profil
0

Discussions similaires

processus searchfilterhost
sisylphe -
Xblade -

4 réponses
Menace détectée TrojanSMS-PA sur Google Huawei/Android
Outmost -
bazfile -

6 réponses
PC bloqué sur logo "asus in search of incredible"
mikado -
Yasko972 -

1 réponse