bestsearch toujours incrusté au démarrage Fermé

Question

Rebonjour et suite de mes aventures.
Je suis toujours sous Windows 98, ma page de démarrage IE est toujours parasitée par bestsearch.cc/2484.
AdAware trouve trois objets (un coolwebsearch et deux favoris spécialement gonflants).
Spybot trouve : Common hijacker, DSO Exploit, System1060.
Dans les deux cas, je demande la suppression des malfaisants, quoique je ne sache pas ce que sont DSO Exploit et System 1060.
MAIS : au reboot, le hijacker et les deux favoris (gonflants) reviennent.
Coolwebshredder et a2 (emsisoft) ne trouvent rien.
Si quelqu'un peut m'aider, je peux lui envoyer un hijackthis. (où faut-il l'envoyer ?)
J'ai aussi StartupRun dans mon grand sac, mais je ne sais pas trop m'en servir...
Eh ben sur ce, au secours et merci d'avance.
pim2

pim2 · Answer

Re re re.... bonjour
Je crois qu'il me reste une possibilité.
Startup Run détecte svchost au démarrage.
Mais j'hésite à le désactiver (je ne sais pas quelles conséquences ça peut avoir sur mon ordi).
Y a-t-il encore quelqu'un pour me répondre ?
Merci
pim2

Sebastien.B · Answer

re,

Tu as essayé le mode sans échec? (F8 au démarrage)
Une fois que tu y es, affiche les fichiers et dossiers cachés puis va supprimer le fichier: C:\WINDOWS\svchost.exe
--------------------------------------------------
http://internetsecurite.free.fr/

pim2 · Answer

Merci mais ça ne marche pas non plus.
La suppression de svchost.exe par StartupRun 1.21 non plus.
Le tout effectué en mode sans échec.
Dans les deux cas, tout revient : la page bestsearch, les deux favoris toujours gonflants ET svchost.exe dans C:\WINDOWS.
Quelqu'un veut une bière ?
pim2

beuz. · Answer

bonsoir,je n'ai pas encore la réponse pour ton probleme mais déjà voici un peut de lecture.http://www.commentcamarche.net/processus/svchost-exe.php3__________________infini...même au delà

balltrap34 · Answer

salutremet un nouvelle hijack pour voirla chasse et le balltrap ma vrai passionvoir site perso dans profil

pim2 · Answer

Bonjour
- beuz. : j'ai Windows 98 se. Or svchost réside sur des versions ultérieures de Windows. Et chez moi il est incrusté dans C:\Windows, ce qui n'est de toute façon pas sa place dans ces systèmes. D'autres helpers l'ont bien expliqué plus haut. Merci quand même, et si tu as une autre idée, je la prends.
- Comme le demande balltrap, je mets pour tout le monde mon dernier hijackthis.
- Mais avant j'insiste à tout hasard sur ceci : toute la malveillance se remet en place (page web, favoris, svchost.exe) dès que j'active un programme, n'importe lequel. Pas seulement quand j'éteins l'ordi ou quand je (re)boote.
- Au point où j'en suis, c'est plus une bière mais deux (trois?) que j'offre à qui trouve une solution. (Comment ça, "un pack!" ?...)
Si vous commencez à fatiguer, indiquez moi SVP un bon tut sur la base de registre et je commencerai à la charcuter moi-même.
- Qu'est-ce que vous pensez de la version gratuite de Pest Patrol ?

Logfile of HijackThis v1.98.2
Scan saved at 23:47:39, on 03/09/04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAM FILES\TREND MICRO\PC-CILLIN 9\PCCIOMON.EXE
C:\PROGRAM FILES\TREND MICRO\PC-CILLIN 9\PCCPFW.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\TASKMON.EXE
C:\PROGRAM FILES\PANICWARE\POP-UP STOPPER\DPPS2.EXE
C:\PROGRAM FILES\DAP\DAP.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\STARTER.EXE
C:\PROGRAM FILES\CAERE\OMNIPAGEPRO10.0\OPWARE32.EXE
C:\PROGRAM FILES\AHEAD\INCD\INCD.EXE
C:\PROGRAM FILES\FICHIERS COMMUNS\REAL\UPDATE_OB\REALSCHED.EXE
C:\PROGRAM FILES\TREND MICRO\PC-CILLIN 9\PCCCLIENT.EXE
C:\PROGRAM FILES\TREND MICRO\PC-CILLIN 9\PCCGUIDE.EXE
C:\PROGRAM FILES\TREND MICRO\PC-CILLIN 9\POP3TRAP.EXE
C:\PROGRAM FILES\BABYLON\BABYLON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\TREND MICRO\PC-CILLIN 9\WEBTRAP.EXE
C:\PROGRAM FILES\BABYLON\utils\shlhook.exe
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\HIJACKTHIS\HIJACKTHIS 1.98.2.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/2484/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/2484/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/2484/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://security.kolla.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/2484/sp.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/2484/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/2484/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://69.50.191.52/2484/sp.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://security.kolla.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://abonnes.lemonde.fr/web/desk/0,26-3424,1-0,0.html
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [Pop-Up Stopper] "C:\PROGRAM FILES\PANICWARE\POP-UP STOPPER\DPPS2.EXE"
O4 - HKLM\..\Run: [DownloadAccelerator] C:\PROGRA~1\DAP\DAP.EXE /STARTUP
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [EnsoniqMixer] starter.exe
O4 - HKLM\..\Run: [OmniPage] C:\PROGRAM FILES\CAERE\OMNIPAGEPRO10.0\opware32.exe
O4 - HKLM\..\Run: [Post-me] C:\PROGRAM FILES\POST-ME\post-me.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [InCD] C:\Program Files\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [Watch] C:\PROGRA~1\MINITEL\Watch.exe
O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe"
O4 - HKLM\..\Run: [PCCIOMON.exe] "C:\Program Files\Trend Micro\PC-cillin 9\PCCIOMON.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Program Files\Trend Micro\PC-cillin 9\Pop3trap.exe"
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [svchost] C:\WINDOWS\svchost.exe
O4 - HKLM\..\RunServices: [PCCIOMON.exe] "C:\Program Files\Trend Micro\PC-cillin 9\PCCIOMON.exe"
O4 - HKLM\..\RunServices: [PCCPFW] C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKCU\..\Run: [Babylon Translator] c:\program files\babylon\Babylon.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O9 - Extra button: Capturer ! - {47055D63-DFCD-11d3-8406-00500445A7D0} - C:\PROGRAM FILES\GOTO\MEMOWEB 4 - DéCOUVERTE\IEBtn\Launcher (file missing)
O9 - Extra 'Tools' menuitem: Capturer ce web - {47055D63-DFCD-11d3-8406-00500445A7D0} - C:\PROGRAM FILES\GOTO\MEMOWEB 4 - DéCOUVERTE\IEBtn\Launcher (file missing)
O9 - Extra button: ACA Capture Pro - {905A31AA-BDD1-44bd-9920-53D34E5953A4} - C:\PROGRAM FILES\ACASYSTEMS\ACACAPTUREPRO421\SCAPPRO.EXE
O9 - Extra button: (no name) - {9543741D-4E79-4f0d-8E60-A702CDF8B2D2} - C:\PROGRAM FILES\ACASYSTEMS\ACACAPTUREPRO421\SCAPPRO.EXE
O9 - Extra 'Tools' menuitem: ACA Capture Pro - {9543741D-4E79-4f0d-8E60-A702CDF8B2D2} - C:\PROGRAM FILES\ACASYSTEMS\ACACAPTUREPRO421\SCAPPRO.EXE
O13 - DefaultPrefix: http://69.50.191.50/?
O13 - WWW Prefix: http://69.50.191.50/?

Ciao
pim2

balltrap34 · Answer

salut
d apres d autres forum on vas voir quelque chose
Télécharger ce petit programme qui nous donnera la liste
des services :

http://d21c.com/Tom41/get_active_services_179_161.zip

Le poser sur le bureau.
Le lancer.
Copier/coller le fichier texte qui apparaît.

la chasse et le balltrap ma vrai passion
voir site perso dans profil

pim2 · Answer

Coucou
Eh ben ça marche pas.
Je le lance et op! pas de fichier texte, mais une fenêtre erreur d'exécution, qui dit:
Erreur d'exécution Microsoft VBScript
Nom du fichier ou de la classe introuvable lors de l'opération Automation : "GetObject".
Voilà voilà...

balltrap34 · Answer

requelle windows a tula chasse et le balltrap ma vrai passionvoir site perso dans profil

gomi · Answer

bonjour,
j ai a peu pres la meme merde.
il s agit d une saloperie qui s initialise au lancement de l IE et recree des trojan a la pelle ; cette merde utilise un processus au lancement mais je ne sais pas lequel.
effectiviemment toutes les manip (sans echec, hijack this....)sont sans effet.

un petit test :

fais un hijack this, fix les fichiers qui embete puis lance de suite IE et refait un hijack this....

a+

cybercoyotte · Answer

Bonjour à tous ,
Et si vous alliez dans le bdr là :
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
histoire de voir s'il n'y a pas de fichier(s) ".exe" louche(s) et là :
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\start page
voir si la page de démarrage " start page" est bien celle que vous aviez choisie au départ ....
on ne sait jamais ...
Il y a aussi CWS qui est efficace dans pas mal de cas :
http://www.soft32.com/download_19014.html

pim2 · Answer

Re à tous

Je sais, ça devient lassant.
Rien de neuf.
J'ai toujours Windows 98 2ème édition.
J'ai essayé de charger CWS : le fichier zip n'est pas valide.
Dans la bdr, il y a évidemment des pages erronées, mais le problème est qu'après avoir été changées, elles reviennent au démarrage.
Spywareinfo, le site de merijn (coolwebshredder et autres) est inaccessible. Quelqu'un sait-il s'il y a un site miroir ou un équivalent ?
pim2

balltrap34 · Answer

salut
tient je l ai l ai
CWShredder
http://pageperso.aol.fr/Balltrap34/CWShredder.exe

il faut l'ouvrir (absolument) toutes fenêtres fermées et hors connexion et faire fix- next - next

la chasse et le balltrap ma vrai passion
voir site perso dans profil

pim2 · Answer

Salut balltrap,
Ce que je cherche, c'est pas Coolwebshredder (je l'ai), c'est PrcView.
Dernière nouvelle : j'ai essayé Pest Patrol sans succès.
J'ai surement une variante de CWS avec reloader caché.
Problèmes : comment trouver le reloader ? comment le virer ?
(Je suis content de constater que la patience est vraiment la première qualité du chasseur. Merci)

Salut gomi
On a bien la même sorte de saloperie.
Si tu trouves une solution, peux-tu me faire signe ?
Merci

balltrap34 · Answer

salut pim
fait ceci
http://downloads.subratam.org/Win98fix.zip
Décompresse-le dans son propre dossier.
-Ouvre le dossier et double-clique sur RunFix.reg. Réponds "oui" à la question qui suit.
-Redémarre.

2-Le fichier caché doit être visible maintenant!
refait un hijack et met le rapport

la chasse et le balltrap ma vrai passion
voir site perso dans profil

pim2 · Answer

Merci balltrap.

Mais Coolwebshredder j'ai déjà.
Ce que je cherche c'est :
1. Une page où je pourrais trouver Merijn (le site spywareinfo est inaccessible, mais j'aimerais soumettre mon problème à Merijn).
2. Le logiciel PrcView, qui donne une vision plus complète de la base de registre que la commande Executer->regedit sur Windows (si j'ai bien compris). PrcView était aussi en téléchargement sur Spywareinfo. Donc j'aimerais trouver un autre site où le télécharger.
Ciao

PS : le fix de Coolwebshredder ne résout pas mon problème.
Par contre un scan only de Coolwebshredder indique ça :

CWShredder v1.59.1 scan only report
Please understand that a CWShredder 'Scan only' report
might not be sufficient to troubleshoot an infected system.
You can use HijackThis for that:
http://www.merijn.org/files/hijackthis.zip
http://www.spywareinfo.com/~merijn/files/hijackthis.zip

Windows 98 (4.10.2222 A)
Windows dir: C:\WINDOWS
Windows system dir: C:\WINDOWS\SYSTEM
AppData folder: C:\WINDOWS\Application Data
…….
Hosts file not present
Found CWS.Aboutblank file: C:\WINDOWS\svchost.exe (10822 bytes, A)
Registry value: DefaultPrefix [] http://69.50.191.50/?
Registry value: WWW Prefix [www] http://69.50.191.50/?
Found Win.ini file: C:\WINDOWS\win.ini (9094 bytes, A)
Found line in Win.ini: load=
Found line in Win.ini: run=
Found System.ini file: C:\WINDOWS\system.ini (2257 bytes, A)
Found line in System.ini: shell=Explorer.exe

- END OF REPORT -

cybercoyotte · Answer

Avez-vous essayé hijackthis ? Histoire de voir ce qui se passe ...ou alors : allez sur le forum de www.pcastuces.com expliquer votre problème ... ils sont vraiment sympas les astuciens .

cybercoyotte · Answer

Oups..... je n'avais pas suivi et ai vu que hijackthis a été utilisé..Désolé ...

gomi · Answer

j ai trouvé la solution : il faut tout passer :avastabout : blasterhijackthisspybot serach and destroycwshredderad awareet le probleme est réglé.gomi

phil · Answer

Super,enfait je n'ai téléchargé que cwsshredder et ça  a fonctionnéMerci car c'était vraiment gonflant.

Bestsearch toujours incrusté au démarrage

40 réponses

Discussions similaires