OVH Cloud OVH Cloud

Help : on me change ma page d'accueil !

22 réponses
Avatar
Jean34
hello
un truc à la con, qui arrive souvent malgré antivirus et firewall : un
spyware à la con m'a changé ma page d'accueil de AvantBrower (basé sur IE6)

la page affichée est la suivante : C:\WINDOWS\system32\IEsp.mht

et pourtant, Spybot (à jour aussi) ne trouve rien....

Pourriez vous m'aider ?

merci d'avance

Jean

10 réponses

1 2 3
Avatar
Jeuf
"Jean34" écriva...
"Jean34" a écrit dans le message...
Bon, finalement, j'ai réussi !

sur vos conseils, j'ai lancé spybot et ad aware..
ad-aware m'a trouvé 34 occurences que spybot avait ignorées...
du coup ça marche !!!!



Bien. Petite précision sur le texte anglais que tu nous donne dans ton
premier post :
il n'est pas tout à fait juste.
Ad-aware n'a jamais besoin qu'on le lance en mode sans échec.
Lorsqu'il n'arrive pas à éradiquer un malware, il prévient, et propose de
refaire un scan lors du prochain boot.
Il suffit de répondre oui, et il se lancera avant tout le monde quand tu
relanceras ton pc.

arglllll ça recommence ce matin.... Vais je un jour arriver à me
débarrasser

de cette merde.......


:-)))
La bébête était supprimée, mais il ne fallait pas la faire revenir.
Voilà ce qu'il arrive quand on visite trop de sites "exotiques" ;-))

Il ne te reste plus qu'à relancer ad-aware à chaque fois que ça revient.
Dans la première fenêtre d'adaware, n'oublie pas de cliquer sur "vérifier
les mises à jour" ou "check updates" ou "verify updates".

Si ça t'ennuie de refaire la manip à chaque fois, il existe une version pro
de ad-aware, incluant ad-watch. Ce petit truc surveillera ton pc en
permanence, et empêchera le malware de s'installer à nouveau.
AdAware Pro est payant, mais tu trouveras de quoi l'essayer sur ton
http://astalavista.box.sk habituel.

---------------
JFV - bébête
---------------


Avatar
Dc
Le 02/07/04, Jeuf a chuchoté :

arglllll ça recommence ce matin.... Vais je un jour arriver à me débarrasser
de cette merde.......


:-)))
La bébête était supprimée, mais il ne fallait pas la faire revenir.
Voilà ce qu'il arrive quand on visite trop de sites "exotiques" ;-))


Non elle etait peut etre pas supprimée et se reactive sans visiter quoi
que ce soit

Ca m'est arrivé un jour, le SEUL remède, malgré les utilitaires
préconisés, qui ne reparaient pas, a été la restauration systeme d'XP.

A plus...

--
-------------------------------------------------------------
www.ctc-soft.com
Comptabilité shareware
Logiciels de Gestion de saisie terrain
Spécialisé Tournées de boulangers
Gestion Documentaire/Bibliographique/Courrier entreprise
-------------------------------------------------------------


Avatar
Jean34
"Jeuf" a écrit dans le message de
news:cc3633$v36$
Ad-aware n'a jamais besoin qu'on le lance en mode sans échec.
Lorsqu'il n'arrive pas à éradiquer un malware, il prévient, et propose de
refaire un scan lors du prochain boot.
Il suffit de répondre oui, et il se lancera avant tout le monde quand tu
relanceras ton pc.

arglllll ça recommence ce matin.... Vais je un jour arriver à me
débarrasser

de cette merde.......


:-)))
La bébête était supprimée, mais il ne fallait pas la faire revenir.
Voilà ce qu'il arrive quand on visite trop de sites "exotiques" ;-))


Bon ben je viens de refaire un scan complet Adaware + spybot, le tout en
mode sans echec.. J'ai aussi remis ma page d'accueil (yahoo)..... tout
nickel... mais si j'ouvre et referme trois IE, rebelote, la saloperie
s'affiche.
Et je n'ai visité aucune page web hormis yahoo pendant l'intervalle.......

Vous voyez une solution, car là ça commence à me gaver sérieux.........


merci

Jean


Avatar
Jean34
"Dc" a écrit dans le message de
news:
Le 02/07/04, Jeuf a chuchoté :

arglllll ça recommence ce matin.... Vais je un jour arriver à me
débarrasser



de cette merde.......


:-)))
La bébête était supprimée, mais il ne fallait pas la faire revenir.
Voilà ce qu'il arrive quand on visite trop de sites "exotiques" ;-))


Non elle etait peut etre pas supprimée et se reactive sans visiter quoi
que ce soit

Ca m'est arrivé un jour, le SEUL remède, malgré les utilitaires
préconisés, qui ne reparaient pas, a été la restauration systeme d'XP.


c'est exactement mon cas... Le souci est de savoir à quel moment
restaurer.....

merci

Jean



Avatar
Jean34
"Jean34" a écrit dans le message de
news:cccbk3$9c$


c'est exactement mon cas... Le souci est de savoir à quel moment
restaurer.....



Bon ben ça marche pas..... J'ai pourtant pris un point de restauration assez
vieux (10 juin), mais Xp dit qu'il n'y a eu aucun changement depuis.....

grrrrrr

Jean

Avatar
LaDDL
Jean34 wrote:


Bon ben ça marche pas.....
Mais si, vas jeter un oeil à l'url suivante :

http://www.computing.net/security/wwwboard/forum/12680.html

Lis la réponse de Joe (le 2ème post) à Wren (le 1er post) et suis bien
les différentes étapes. Si l'anglais te pose un problème précises le, je
te traduirai tout ça.


J'ai pourtant pris un point de restauration assez
vieux (10 juin), mais Xp dit qu'il n'y a eu aucun changement depuis.....
Oublies la restauration du système pour l'instant.



grrrrrr
Be happy. ;)


Avatar
Jean34
"LaDDL" a écrit dans le message de
news:40e9d27f$0$8202$
Jean34 wrote:


Bon ben ça marche pas.....
Mais si, vas jeter un oeil à l'url suivante :

http://www.computing.net/security/wwwboard/forum/12680.html

Lis la réponse de Joe (le 2ème post) à Wren (le 1er post) et suis bien
les différentes étapes. Si l'anglais te pose un problème précises le, je
te traduirai tout ça.


Marrant : je venais de trouver la page en question au moment où tu m'as
répondu... ;))
et effectivement, on va tester.....

Je ne sais par contre pas faire l'étape 3, ni l'étape 5.
comment trouver et supprimer ces valeurs ?

merci bcp pour ton aide

Jean


Avatar
Jean34
"Jean34" a écrit dans le message de
news:ccdbnm$dej$

Je ne sais par contre pas faire l'étape 3, ni l'étape 5.
comment trouver et supprimer ces valeurs ?



Bon pour la 3, je pense que c'est bon, j'ai changé la valeur par "regedit"


Pour la 4, je ne retrouve aucune des clefs données dans le post par
hijackthis..

voici le log : que dois-je "fixer" ?


merci

Logfile of HijackThis v1.97.7
Scan saved at 07:45:56, on 06/07/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSExplorer.EXE
C:Program FilesFichiers communsSymantec SharedccSetMgr.exe
C:Program FilesFichiers communsSymantec SharedccEvtMgr.exe
C:WINDOWSsystem32spoolsv.exe
C:PROGRA~1CACHEM~1CachemanXP.exe
C:Program FilesFichiers communsSymantec SharedccProxy.exe
C:Program FilesNorton Internet SecurityNorton AntiVirusnavapsvc.exe
C:WINDOWSSystem32nvsvc32.exe
C:Program FilesNorton Internet SecurityNorton AntiVirusSAVScan.exe
C:WINDOWSSystem32svchost.exe
C:Program FilesADSL AutoconnectADSL Autoconnect.exe
C:Program FilesFichiers communsRealUpdate_OBevntsvc.exe
C:Program FilesFichiers communsNokiaNCLToolsNclTray.exe
C:Program FilesNokiaNokia PC Suite 5DataLayer.exe
C:WINDOWSSystem32RUNDLL32.EXE
C:Program FilesFichiers communsSymantec SharedccApp.exe
C:Program FilesADSL AutoconnectADSL Autoconnect.exe
C:Program FilesAdobeAcrobat 6.0Distillracrotray.exe
C:Program FilesTClocktclock.exe
C:Program FilesFichiers communsNokiaServicesServiceLayer.exe
D:HijackThis.exe

R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page C:WINDOWSSystem32"about:blank"
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Local Page R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Local Page R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName Liens
O1 - Hosts: 64.91.255.87 www.dcsresearch.com
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program
FilesAdobeAcrobat 6.0AcrobatActiveXAcroIEHelper.dll
O2 - BHO: (no name) - {0B519E07-7824-4adc-8890-93D5EABBF285} -
C:WINDOWSSystem32msadocm32.dll (file missing)
O2 - BHO: (no name) - {16F6DF4D-53EF-4826-8E6E-09DFED16C37C} -
C:WINDOWS1089022879.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:PROGRA~1SPYBOT~1SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} -
C:Program FilesFichiers communsSymantec SharedAdBlockingNISShExt.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - C:Program
FilesAdobeAcrobat 6.0AcrobatAcroIEFavClient.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:Program
FilesNorton Internet SecurityNorton AntiVirusNavShExt.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} -
C:PROGRA~1FlashGetfgiebar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -
C:Program FilesAdobeAcrobat 6.0AcrobatAcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:WINDOWSSystem32msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} -
C:Program FilesFichiers communsSymantec SharedAdBlockingNISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
C:Program FilesNorton Internet SecurityNorton AntiVirusNavShExt.dll
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE
C:WINDOWSSystem32NvCpl.dll,NvStartup
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [SpeedTouch USB Diagnostics] "C:Program
FilesAlcatelSpeedTouch USBDragdiag.exe" /icon
O4 - HKLM..Run: [QuickTime Task] "C:Program
FilesQuickTimeqttask.exe" -atboottime
O4 - HKLM..Run: [KernelFaultCheck] %systemroot%system32dumprep 0 -k
O4 - HKLM..Run: [TkBellExe] C:Program FilesFichiers
communsRealUpdate_OBevntsvc.exe -osboot
O4 - HKLM..Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM..Run: [Nokia Tray Application] C:Program FilesFichiers
communsNokiaNCLToolsNclTray.exe
O4 - HKLM..Run: [DataLayer] C:Program FilesNokiaNokia PC Suite
5DataLayer.exe
O4 - HKLM..Run: [NvMediaCenter] RUNDLL32.EXE
C:WINDOWSSystem32NvMcTray.dll,NvTaskbarInit
O4 - HKLM..Run: [ccApp] "C:Program FilesFichiers communsSymantec
SharedccApp.exe"
O4 - HKLM..Run: [URLLSTCK.exe] C:Program FilesNorton Internet
SecurityUrlLstCk.exe
O4 - HKCU..Run: [SkwatAutoconnect] C:Program FilesADSL AutoconnectADSL
Autoconnect.exe
O4 - HKCU..Run: [NvMediaCenter] RUNDLL32.EXE
C:WINDOWSSystem32NVMCTRAY.DLL,NvTaskbarInit
O4 - Startup: TClock.lnk = C:Program FilesTClocktclock.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:Program FilesAdobeAcrobat
6.0Distillracrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:Program FilesFichiers
communsAdobeCalibrationAdobe Gamma Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel -
res://C:PROGRA~1MICROS~2Office10EXCEL.EXE/3000
O8 - Extra context menu item: Tout télécharger en utilisant FlashGet -
C:Program FilesFlashGetjc_all.htm
O8 - Extra context menu item: Télécharger en utilisant FlashGet - C:Program
FilesFlashGetjc_link.htm
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O12 - Plugin for .mid: C:Program FilesInternet
ExplorerPLUGINSnpqtplugin3.dll
O15 - Trusted Zone: *.mt-download.com
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} -
http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {230C3D02-DA27-11D2-8612-00A0C93EEA3C} (SAXFile FileUpload
ActiveX Control) - http://www.wistiti.fr/AlbumsPerso/ActiveX/saxfile.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) -
http://a840.g.akamai.net/7/840/537/bcd48c18cb7498/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) -
http://212.157.152.82/AxisCamControl.ocx
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer
Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) -
http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38023.4875231481
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E87F6C8E-16C0-11D3-BEF7-009027438003} (Persits Software
XUpload) - http://www.bellapix.com/XUpload.ocx
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) -
http://h30043.www3.hp.com/hpdj/fr/check/qdiagh.cab?310
O17 -
HKLMSystemCCSServicesTcpip..{3F070D63-B6C4-4177-AF28-5AB8C45D9818}:
NameServer = 80.10.246.130 80.10.246.3

Avatar
Jean34
Jean34 wrote:


Bon, je veux pas me réjouir trop tôt, mais on dirait bien que c'est parti !

J'ai appliqué exactement la procédure donnée sur le forum anglophone, et
après plusieurs fermetures / ouvertures de IE, la page d'accueil à la con
n'est pas revenue.... OUF !

Je vais tenter quand même une pare de reboots, "au cas où"....

euh, question subsidiaire : comment cette saloperie a pu s'installer, alors
que FW et AV sont à jour et en marche (Norton Internet security) ?
..et comment éviter ce type de merdouille à l'avenir ? (tout en continuant à
utiliser avant browser, que je trouve génial).. Peut on par exemple avoir
une sorte de demande de confirmation avant l'écriture d'un cookie, ou modif
de la base de registre ?

merci d'avance

Jean
Avatar
Jeuf
"Jean34" <écriva...

"LaDDL" a écrit dans le message de
news:40e9d27f$0$8202$
Mais si, vas jeter un oeil à l'url suivante :
http://www.computing.net/security/wwwboard/forum/12680.html


Je ne sais par contre pas faire l'étape 3, ni l'étape 5.
comment trouver et supprimer ces valeurs ?


Avant tout, pour être tranquille, tu peux faire ceci :
1 - Trouve le fichier blank.htm (ou blank.html)
2 - Regarde où se trouve IEsp.mht
3 - Efface IEsp.mht
4 - Copie blank.htm dans le répertoire où était IEsp.mht
5 - Renomme blank.htm en IEsp.mht
6 - Clique-droit dessus, option propriété, coche la case "lecture seule".

Ce truc devrait te permettre de faire l'autre manip plus tard, quand tu
auras le temps.

En ce qui concerne ta question :
Etape 3 : dans la Base de Registres, va ici :
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
Dans la fenêtre de droite, double-clique sur Start Page (ou Page d'accueil)
et tape
about:blank puis touche [Entrée]
Etape 5 : dans la Base de Registres, va ici :
HKEY_CLASSES_ROOTADODB.ComandCLSID
ouvre CLSID en double-cliquant dessus,
trouve la clé {0B519E07-7824-4adc-8890-93D5EABBF285}
clique-droit dessus, option Supprimer.
NB Ces clés sont classées comme des nombres, mais il y a 16 "chiffres".
L'ordre est donc :
0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F,10,11,12,13,14,15,16,17,18,19,1A,1B,1C,1D,1E
,1F,20,21 etc...

---------------
JFV - Hexa
--------------


1 2 3