Reprise du message précédent :

 
J'ai été chercher Process Killer, d'ailleurs pour info on le trouve là:
http://www.beyondlogic.org/solutio [...] ssutil.htm
 
Mais ça a plus l'air d'un outil pour férus. (c'est pas un truc qui se lance en un clic, avec un interface convivial). Donc en gros je ne sais pas comment l'utiliser. Une piste?

 
euh ... ça fait un bon paquet de lignes, je colle tout?
Et puis aussi, je crains d'afficher des infos personnelles réutilisables par d'autres personnes(même pas forcément membres du forum), non? Ou alors ce type  d'infos ne divulge rien?
Qu'en pensent les dieux de l'informatique?

pour process killer, si tu le mets dans c:\ et donne lui le nom process.exe
 
Tu fais :  
démarrer executer cmd
depuis la CMD tu vas sur C:\ et tu tappes
process -k iexplore.exe
 
et hop ça le tue
 
C'est zar le truc j'ai testé le prog là avec le log, mais je ne vois pas trop ce qu'on peut en tirrer...

 
S'il y  a une dll cachée elle apparaîtra comme ça:
 

ah ok merci
 
Mais il faut avouer que c'est le foutoir ce truc

Bon, bin quand 'faut y aller: j'ai effectivement un truc qui ressemble à ce que tu indiques, Acrobaze! :acherpy
Je colle le gros du log.txt(désolé, ça fait beaucoup mais je ne sais pas ce qui est utile d'inutile dans ce boxon):
»»»»» (*1*) »»»»» .........  
 »»Read access error(s)...  
 
C:\WINDOWS\SYSTEM32\WIND.DLL +++ File read error
\\?\C:\WINDOWS\System32\WIND.DLL +++ File read error
 
 »»»»» (*2*) »»»»»........  
WIND.DLL     Can't Open!
 
 »»»»» (*3*) »»»»»........  
 
C:\WINDOWS\SYSTEM32\
   wind.dll       Thu 15 Jul 2004  18:01:24   A...R         57 344    56,00 K
 
1 item found:  1 file, 0 directories.
   Total of file sizes:  57 344 bytes     56,00 K
 
unknown/hidden files...  
 
No matches found.
 
 »»»»» (*4*) »»»»».........  
Sniffing..........  
Power SNiF 1.34 - The Ultimate File Snifferdog. Created Mar 16 1992, 21:09:15.
 
Sniffed -> C:\WINDOWS\SYSTEM32\WIND.DLL
SNiF 1.34 statistics
 
 Matching files       :     1     Amount in bytes   : 57344
 Directories searched :     1     Commands executed : 0
 
 Masks sniffed for: *.DLL  
 
 »»»»»(*5*)»»»»»  
¯ Access denied ® ..................... WIND.DLL      .....57344   15.07.2004  
 
 »»»»»(*6*)»»»»»  
fgrep: can't open input C:\WINDOWS\SYSTEM32\WIND.DLL
 
»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»  
»»»»»Search by size...  
*List of files and  specs according to 'size' :  
*Note: Not all files listed here are infected, but *may include* the  
name and spces of the offending file...  
___________________________________________________________________________  
Path:   C:\WINDOWS\SYSTEM32                                    Including: *.DLL
 
616.   Msasn1      Dll        57,344      . . . . A         8-19-04    11:09 pm
644.   Mshtmler    Dll        57,344      . . . . A         8-19-04    11:08 pm
1162.  Wind        Dll        57,344      . . R . A         7-15-04     6:01 pm
194.   Dmloader    Dll        35,840      . . . . A         8-19-04    11:09 pm
357.   Imgutil     Dll        35,840      . . . . A         8-19-04    11:09 pm
849.   Perfproc    Dll        35,840      . . . . A         8-19-04    11:09 pm
218.   Dpvacm      Dll        21,504      . . . . A         8-19-04    11:09 pm
278.   Feclient    Dll        21,504      . . . . A         8-19-04    11:09 pm
 
____________________________________________________________________________  
*By size and date...  
 
 
C:\WINDOWS\SYSTEM32\
   msasn1.dll     Thu 19 Aug 2004  23:09:34   A....         57 344    56,00 K
   mshtmler.dll   Thu 19 Aug 2004  23:08:26   A....         57 344    56,00 K
   wind.dll       Thu 15 Jul 2004  18:01:24   A...R         57 344    56,00 K
 
3 items found:  3 files, 0 directories.
   Total of file sizes:  172 032 bytes    168,00 K
 
C:\WINDOWS\SYSTEM32\
   dmloader.dll   Thu 19 Aug 2004  23:09:22   A....         35 840    35,00 K
   imgutil.dll    Thu 19 Aug 2004  23:09:28   A....         35 840    35,00 K
   perfproc.dll   Thu 19 Aug 2004  23:09:38   A....         35 840    35,00 K
 
3 items found:  3 files, 0 directories.
   Total of file sizes:  107 520 bytes    105,00 K
 
C:\WINDOWS\SYSTEM32\
   dpvacm.dll     Thu 19 Aug 2004  23:09:22   A....         21 504    21,00 K
   feclient.dll   Thu 19 Aug 2004  23:09:26   A....         21 504    21,00 K
 
2 items found:  2 files, 0 directories.
   Total of file sizes:  43 008 bytes     42,00 K
 
Power SNiF 1.34 - The Ultimate File Snifferdog. Created Mar 16 1992, 21:09:15.
 
Sniffed -> C:\WINDOWS\SYSTEM32\MSASN1.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\MSHTMLER.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\WIND.DLL
SNiF 1.34 statistics
 
 Matching files       :     3     Amount in bytes   : 172032
 Directories searched :     1     Commands executed : 0
 
 Masks sniffed for: *.DLL  
Power SNiF 1.34 - The Ultimate File Snifferdog. Created Mar 16 1992, 21:09:15.
 
Sniffed -> C:\WINDOWS\SYSTEM32\DMLOADER.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\IMGUTIL.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\PERFPROC.DLL
SNiF 1.34 statistics
 
 Matching files       :     3     Amount in bytes   : 107520
 Directories searched :     1     Commands executed : 0
 
 Masks sniffed for: *.DLL  
Power SNiF 1.34 - The Ultimate File Snifferdog. Created Mar 16 1992, 21:09:15.
 
Sniffed -> C:\WINDOWS\SYSTEM32\DPVACM.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\FECLIENT.DLL
SNiF 1.34 statistics
 
 Matching files       :     2     Amount in bytes   : 43008
 Directories searched :     1     Commands executed : 0
 
 Masks sniffed for: *.DLL  
 
»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»  
 
 
BHO search and other files...  
 
fgrep: can't open input C:\WINDOWS\SYSTEM32\WIND.DLL
 
 
No matches found.
 
No matches found.
 
--*sp.html in temp folder was NOT FOUND!--  
 
*Filter keys search...  
REGDMP: Unable to open key 'HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Filter\text/html' (2)
 
--(*text/html Subkey was NOT FOUND!)--  
 
REGDMP: Unable to open key 'HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Filter\text/plain' (2)
 
--(*text/plain Subkey was NOT FOUND!)--  
 
»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»*»»»  
 »»Size of Windows key:  
 (*Default-450 *No AppInit-398 *fake(infected)-448,504,512...)  
 
Size of HKEY_LOCAL_MACHINE\software\microsoft\Windows NT\CurrentVersion\Windows: 448
 
»»Checking for AppInit_DLLs (empty) value...  
________________________________  
!"AppInit_DLLs"=""!  
 
Value Matches
________________________________  
 
»»Comparing *saved* key with *original*...  
 
REGDIFF 2.1 - Freeware written by Gerson Kurz (http://www.p-nand-q.com)
 
Comparing File #1 (Keys1\winkey.reg) with File #2 (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows).
 
Value "AppInit_DLLs" in key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" has different lengths (1 vs 0)
 
 »»Dumping Values........  
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs SZ  
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\DeviceNotSelectedTimeout SZ 15
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\GDIProcessHandleQuota DWORD 00002710
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Spooler SZ yes
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\swapdisk SZ  
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\TransmissionRetryTimeout SZ 90
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\USERProcessHandleQuota DWORD 00002710
 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
    AppInit_DLLs = (*** MISSING TRAILING NULL CHARACTER ***)
    DeviceNotSelectedTimeout = 15
    GDIProcessHandleQuota = REG_DWORD 0x00002710
    Spooler = yes
    swapdisk =  
    TransmissionRetryTimeout = 90
    USERProcessHandleQuota = REG_DWORD 0x00002710
 
  »»Security settings for 'Windows' key:  
 
 
RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!
 
Access Control List for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
(ID-NI) ALLOW  Read         BUILTIN\Utilisateurs
(ID-IO) ALLOW  Read         BUILTIN\Utilisateurs
(ID-NI) ALLOW  Full access  BUILTIN\Administrateurs
(ID-IO) ALLOW  Full access  BUILTIN\Administrateurs
(ID-NI) ALLOW  Full access  AUTORITE NT\SYSTEM
(ID-IO) ALLOW  Full access  AUTORITE NT\SYSTEM
(ID-IO) ALLOW  Full access  CREATEUR PROPRIETAIRE
 
Effective permissions for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
Read           BUILTIN\Utilisateurs
Full access    BUILTIN\Administrateurs
Full access    AUTORITE NT\SYSTEM
 
Tout cela ne m'inspire qu'une chose: , désolé.
Alors, daagnostic?

Donc, voilà ta coupable:
 
C:\WINDOWS\SYSTEM32\WIND.DLL

Comment puis-je la bousiller? Une simple recherche sur le nom du fichier et on supprime? ou c'est pas si simple.  
ma parole, on avance dans l'enquête!!!      
en tout cas merci pour tout

Il se peut qu'elle soit cachée.
 
En fait, ton pb est tellement dilué que je ne sais plus justement, quel est le pb.

reprenons depuis le début, ça fera du bien à ceux qui essaient de suivre l'histoire;*
Donc pb à l'origine de searchbars qui squattent l'écran IE et surtout de site (genre casino, voyage ..) qui s'ouvrent lorsque je demande Hotmail ou Yahoo. Plus moyen d'accèder à ces sites.
Je télécharge un paquet de log (Spyb, adaware, hjk et d'ô), +mises à jour, je scan. ça enlève des paquets de crasses, mais pas tout, manifestement puisque toujours reviennent les mêmes méchantes lignes sur Hj (postées plus haut).
je tente aussi la solution de Kea (voir dans ce topic en page 3 je pense)
ça bloque les crasses qui arrivaient à l'ouverture d'ie, mais pas les autres.
Il y a peut-être plusieurs crasses qui sont toujours là.  
Les lignes avec HomesOld dans les scan de Hj. Des demandes sporadiques d'autorisation d'ajout de nouvelles BHO avec des noms louches (ojlic.dll dans System32).  
Et là il vient de me sortir une fenêtre que j'arrive pas à coller mais qui dit:
Norton Internet sec pro a détecté et bloqué une tentative d'intrusion:
intrusion: Nimda_Propagation
Intrus: 81.192.192.89(3320)
 
Suis-je maudit?  

Mais alors ça aussi ?  
 
Power SNiF 1.34 - The Ultimate File Snifferdog. Created Mar 16 1992, 21:09:15.
 
Sniffed -> C:\WINDOWS\SYSTEM32\MSASN1.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\MSHTMLER.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\WIND.DLL
SNiF 1.34 statistics
 
 Matching files       :     3     Amount in bytes   : 172032
 Directories searched :     1     Commands executed : 0
 
 Masks sniffed for: *.DLL  
Power SNiF 1.34 - The Ultimate File Snifferdog. Created Mar 16 1992, 21:09:15.
 
Sniffed -> C:\WINDOWS\SYSTEM32\DMLOADER.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\IMGUTIL.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\PERFPROC.DLL
SNiF 1.34 statistics
 
 Matching files       :     3     Amount in bytes   : 107520
 Directories searched :     1     Commands executed : 0
 
 Masks sniffed for: *.DLL  
Power SNiF 1.34 - The Ultimate File Snifferdog. Created Mar 16 1992, 21:09:15.
 
Sniffed -> C:\WINDOWS\SYSTEM32\DPVACM.DLL
Sniffed -> C:\WINDOWS\SYSTEM32\FECLIENT.DLL
SNiF 1.34 statistics  
 
C'est quand même le merdier ce log qui fait quoi, qui est méchant et qui doit-on virer ?

1-Ouvrir le sous/dossier : FindnFix\Keys1
 
2-Localiser le fichier "MOVEit.bat".
 
Clic droit->"modifier" : le fichier doit apparaître comme un fichier texte vide. S'il y a une phrase exemple, la supprimer.
 
3-Copier et coller cette ligne :
 

 
4-Enregistrer le fichier et fermer.
 
5-Etre prêt au redémarrage de l'ordinateur :
-dans le mm dossier, double cliquer "Fix.bat".
-délai : 15 secondes, autoriser le redémarrage (S'il te demande ton avis...).
 
6-Au redémarrage, aller à: c:\FINDnFIX
Double cliquer le fichier "Restore.bat"
Il va produire un fichier texte (log1.txt) à copier/coller ici.

euh ... je touche à rien en attendant.
J'ai fait une recherche sur wind.dll dans c:, il est pas caché et j'ai pu le déplacer (donc aussi supprimable).
 
Par ailleurs sa date d'apparition est celle de ma première connexion sur Internet au Maroc. On me dit que les providers filtrent déjà une bonne partie des crasses qui circulent sur le net. Est-il possible que la surveillance soit plus légère ici qu'en Belgique? Dois-je me blinder 2 x plus qu'un internaute d'Europe Occidentale? Ceci dit maintenant, grâce à ce topic providentiel  , j'ai installé le vaccin de Spybot et spywareblaster et surtout j'utilise Mozilla.
Une bise au chat!
 
Bon , je vais essayer de suivre tes consignes Acrobaze. C'est de la haute voltige pour moi.  
 
comme dit plus haut, j'avais déplacé wind.dll, pour voir si possibilité de le supprimer. J'ai voulu le remettre à sa place pour démarrer la procédure sur FindnFix, Mais Norton m'a rattrapé en disant qu'il avait détecté et supprimé automatiquement le fichier en question, car infecté par un virus au doux nom de Backdoor.Agent.B  
Pourquoi ne le détectait-il pas dans Windows/System32 ?    
Bon je lance quand même la procédure que tu proposes Acrobaze.

Acrobaze
Je n'ai pas trouvé MOVEit.bat.    Il n'est pas dans le répertoire de FindnFix et la recherche sur c: na pas permis de le trouvé non plus. Il y aurait plusieurs version de FindnFix ??? l'adresse que tu proposais enclenche automatiquement le downloading.

Ha bon, parce que moi, je l'ai.
Dans le sous-dossier \keys1
 
Bon, enfin...elle est supprimée.
 
Maintenant recommence ce que l'on avait fait tout de suite:
-lancer HijackThis
-cocher ces lignes:
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank  
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank  
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =  
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank  
 
-cliquer "Fix checked".
-Redémarrer.
 
Et voir donc ce que ça donne.

résultats boarf, pas très concluants
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =  
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par Menara
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Program Files\Norton Internet Security Professional\UrlLstCk.exe
O4 - HKLM\..\Run: [WinPatrol] "C:\PROGRA~1\BILLPS~1\WINPAT~1\WinPatrol.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe"
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.ya [...] st0401.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE92427F-1FCF-4206-96E5-A0C5502E2896}: NameServer = 212.217.0.12 212.217.1.1
 
'faut virer autre chose manifestement

Oui, manifestement, ce n'esr pas suffisant.
 
Je reprends ça:
 

 
Essaye de passer "About:Buster". C'est un petit outil à passer en mode sans échec (c'est important).
On s'en sert pour autre chose (les lignes du type #96996...) mais les fichiers sont aussi des "Agent.B". Donc pourquoi pas?
 
A la fin, il génère un log de ce qu'il a trouvé. Sauve le log et ensuite copie/colle-le ici.
 
http://www.zerosrealm.com/index.php?page=dllfix

Bonsoir tout le monde, j'ai un pop up qui vient s'afficher tout les 5 minutes sur mon écran est sa commence à me peser..
 
un message en aglais comme quoi je suis infecter et que je dois telecharger un anti-virus sur le site bidon..
 
j'ai essayé de voir avec ad aware SE mais que dalle
 
c'est sur www.xp-fix.com

c'est juste une pub qui utilise le service des messages sous windows

 
Et comment je le gerbe ce truc ?

c'est un service windows mais je me rappelle jamais comment le faire à la main alors je te file ce lien
 
http://grc.com/stm/shootthemessenger.htm

 
 
Un petit cadeau pour vous amis des spyware et autres saletés
 
http://nikolai1.free.fr/Spyware-DaWorldRecord.jpg
 
c'est un pc qu'on a "desinfecté" samedi/dimanche, via vnc
Comme vous pouvez vous en douter la bataille n'a pas été facile.
Aprés un despywerage dramatique, nous nous sommes attaqués aux virus.
et la on a trouvé environ 8 ou 10 virus/trojan differents le premier coup, et environ encore autant la deuxiéme fois. La couche ip en été saturé tellement c'était le souk.
Finalement le windows c'est sucidé dimanches midi aprés 8h de télémaintenance / reboot / reboot freebox etcc
 
Alors pitié les gens ne cliquez pas n'importe ou lorsque vous surfez  

nikolai
 
joli bordel ça

oui lol.
biensur windows pas à jour, av pas à jour depuis fin 2003, et firewall mis en vrac par un trojan ou virus surement

Ah rien à faire ca part pas cette merde, j'en ai eu une paire de saloprie sur mon pc, mais celle ci c'est le ponpon    
 
 
J'lui bourrai bien la tronche à l'****ler qui à crée ce truc !!  
 
 
 
calme  

fait nous un screenshot de la fenêtre popup

booligan256, j'ai eu (entre autres   ) un truc de ce genre. Depuis que j'ai installé (entre autres aussi ) Pop-Up Stopper, y'en plus un seul qui passe. ça mange pas de pain d'essayer.
http://www.panicware.com/product_psfree.html
 
Acrobaze, ta persévérance m'impressionne.    c sympa en tout cas.

 
C'est le second "cas" en qq jours...Et c'est vrai, pas de solution immédiate.
Ca ne t'ennuie pas de servir de cobaye?    

vu l'état de mon pc c'était ça ou le nettoyer à l'alcool pur. Je ne sais si j'ai vraiment fait le bon choix ...  
 
revenons à nos moutons    
 
avant le scan About.Buster j'ai fait repasser toute l'armada en mode sans échec. Adaware m'a trouvé un seul truc, toujours le même depuis des jours, et pas étranger à nos histoires. Mais il ne sait pas le dégager semble-t-il. le voici:
 
Started registry scan
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
 
 CoolWebSearch Object Recognized!
    Type               : RegValue
    Data               :  
    Category           : Malware
    Comment            : "HOMEOldSP"
    Rootkey            : HKEY_LOCAL_MACHINE
    Object             : software\microsoft\internet explorer\main
    Value              : HOMEOldSP
 
pour About.Buster, il n'a rien repéré, dommage.
Scanned at: 21:36:41   on: 02/11/2004
 
 
-- Scan 1 ---------------------------
About:Buster Version 3.0
Reference List : 15
 
No ADS found on system
Attempted Clean Of Temp folder.
Pages Reset... Done!
 
-- Scan 2 ---------------------------
About:Buster Version 3.0
Reference List : 15
 
No ADS found on system
Attempted Clean Of Temp folder.
Pages Reset... Done!
 
reste toujours l'alcool pure sur le DD, non?

HOMEOldSP est pourtant sensé être reconnu par CoolWebSchredder. Mais ça ne date que du mois d'avril et CWS a été stoppé pendant longtemps. Merjin n'y travaillait plus dessus.
Là, il vient juste d'être updaté...mais il y a du rattrapage.
 
C'est le second cas que je vois comme ça. Rien n'y fait.
 
Un peu de patience. Une soluce va bien sortir.

Ok. Je met le tout au frigo et j'attend. De toute manière ça a pas l'air méchant, mais disons que ça colle. Merci pour tout.  

voici mon probleme:jai ladsl depuis quelque temps et je me suis tape deux trojans que mon antivirus a trouve et vire.
 
Mais de tps en tps jai une page web a la con qui s'ouvre (de facon aleatoire quand je surfe et que j'ouvre des fenetres IE) et qui me balance sur des sites comme celui ci: http://buysearch.cc/se.php?qq=tramadol , mais en fait ya pleind e variantes qui finissent en .Cc search machin.cc ca depend.
 
avec en general des steroides, du cul et des  jeux de casino    
 
jai donc telecharge hijackthis , et dans le log jai trouve ca:  
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://best-search.cc/search.php?v=6&aff=6713126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://best-search.cc/index.php?v=6&aff=6713126
 
 
ces deux lignes sont exactement mon probleme, j'en suis sur.
 
dans dautres lignes ya des trucs pas net que j'hesite aussi a virer:
 
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O11 - Options group: [Accessibilité] Accessibilité
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub [...] wflash.cab
 
 
 
 
 
 
jespere que vous pourrez m'aider, voici mon log complet, merci de me dire que faire exactement parceque j'attend l'avis de connaisseurs avant de virer une seule de ces lignes, bien que jai deja des doutes.
 
Logfile of HijackThis v1.97.7
Scan saved at 01:00:29, on 04/11/04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
 
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\NORMAN\NVC\BIN\ZANDA.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\CMMPU.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\FRIENDLY TECHNOLOGIES\BROADBANDACCESS\FTS.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAM FILES\WINAMP\WINAMPA.EXE
C:\NORMAN\NVC\BIN\ZLH.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\NORMAN\NVC\BIN\CCLAW.EXE
C:\NORMAN\NVC\BIN\NVCSCHED.EXE
C:\NORMAN\NVC\BIN\NYMSE.EXE
C:\NORMAN\NVC\BIN\NJEEVES.EXE
C:\NORMAN\NVC\BIN\NIP.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\HJT\HIJACKTHIS.EXE
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://best-search.cc/search.php?v=6&aff=6713126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://best-search.cc/index.php?v=6&aff=6713126
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F1 - win.ini: run=C:\WINDOWS\SYSTEM\cmmpu.exe
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\PROGRAM FILES\CANON\EASY-WEBPRINT\TOOLBAND.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAM FILES\WINAMP\WINAMPa.exe"
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\NVC\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [Norman ZANDA] C:\NORMAN\NVC\BIN\ZANDA.EXE /LOAD
O4 - Startup: Exif Launcher.lnk = C:\Program Files\FinePixViewer\QuickDCF.exe
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\PROGRAM FILES\CANON\EASY-WEBPRINT\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\PROGRAM FILES\CANON\EASY-WEBPRINT\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\PROGRAM FILES\CANON\EASY-WEBPRINT\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\PROGRAM FILES\CANON\EASY-WEBPRINT\Resource.dll/RC_AddToList.html
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O11 - Options group: [Accessibilité] Accessibilité
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub [...] wflash.cab
 

hou c'est pas bô ça  
 
F1 - win.ini: run=C:\WINDOWS\SYSTEM\cmmpu.exe  
 
vire moi ça et le fichier avec
 
tu peux cocher ça aussi je ne sais pas ce que ça fout là...
O11 - Options group: [Accessibilité] Accessibilité

cmmpu c un pilote pour ma carte son, jai verifie cest sur et certain et faut surtout pas que je le suprime.

Coche ces 2 lignes:
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://best-search.cc/search.php?v=6&aff=6713126  
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://best-search.cc/index.php?v=6&aff=6713126  
 
et clique "Fix checked".
 
Redémarre, poste un nouvel HijackThis.

 
oups sorry...

JE CROIS AVOIR TROUVE UNE METHODOLOGIE contre le fameux spyware de la page d'accueil récalcitrante d'Internet Explorer. Avec le moteur de recherche "xxx" "mortgage" "spywares" (!!!) etc...
 
Mais j'ai testé cette méthodologie sous Windows 98. Y aurait-il quelqu'un d'infecté sous Win2K pour valider le processus?

Ca pourrait peut être te concerner.

SPY SWEEPER est très bien aussi !

J'avais mis SpySweeper en premier post à un moment. Retiré car:

• C'est un shareware
• J'ai un jour fait leur test en ligne. C'est là que j'ai trouvé leur méthode ridicule, genre je te fais peur pour rien: juste après un scan complet (Spybot, Adaware, Hijack et SpywareBlaster activé) il me trouve un risque moyen ... Ca venait de mon WinVNC qu'il prenait pour un Trojan . Franchement c'est pas sérieux !

j'ai eu ce genre de bestiole il y a 2 jours:
Popup de jeux d'argent, de site classé, et surtout des popup me disant que j'avais un Spyware.... Je leur en suis très reconnaissant, apparaissant toutes les 10mn ainsi qu'une fausse boîte de dialogue windows en Anglais  
 
... Impossible de la éliminer avec Asquare ad-aware and C°... Mon anti-virus les a vu arrivé mais il n'a pu rien faire!!! Donc j'ai retroussé les manches.
 
1° activer l'affichage des extensions, des fichiers systemes, et des fichiers cacher.
 
2° The cleaner m'a indiqué au démarrage un exe qui disparaissait aussitôt dans la clef "RUN" DLLHOSTXP.EXE...
Ne le connaissant pas je l'ai recherché et il était complètement introuvable.
3° regarder dans le gestionnaire des processus voir s'il y a quelque chose d'inconnu... Rien du tout.
Et pourtant à chaque demarrage cet exe réapparaisait...
4° Mode sans echec F8 au boot, et là miracle je le trouvais dans "systeme32" avec un tas d'autres à la date des mes problèmes.
 
5° pour être sûr de mon coup, petit tour dans la base de registre en cherchant ce fameux DLLHOSTXP.exe... Effectivemement il apparait dans la cle "RUN"... Donc le supprimer
 
6° je poursuis mes recherches et je tombes sur une clef intitulé MS4HD avec des sous-répertoire où un grand nombre d'exe s'y trouve. J'en trouve une grande partie dans mon "System32". Donc pa sécurité je renomme les extensions.
 
7° j'exporte cette clef de la base de registre et je l'efface.
 
8° je redemarre et depuis plus rien...
 
Je suppose qu'il se servait de cette clef pour renommer au hasard les executables et serveurs qui allaient chercher les popup.
 
Je croise les doigts mais depuis 1heure plus rien )
 
Voici le contenu de la cle de registre incriminée
 
Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Files]
"service.exe"=""
"msacmx.dll"=""
"d3dxov.dll"=""
"winsrv32.dll"=""
"ie4unit.exe"=""
"ipxroutex.exe"=""
"rdshost32.exe"=""
"rshe.exe"=""
"net2.exe"=""
"mqsvch.exe"=""
"dllhostxp.exe"=""
"extrac16.exe"=""
"mqbckup.exe"=""
"pxhping.exe"=""
"rdpnr.exe"=""
"slservc.exe"=""
"clfmon.exe"=""
"hdr.dll"=""
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\Processes]
"ie4unit.exe"=""
"ipxroutex.exe"=""
"service.exe"=""
"rdshost32.exe"=""
"rshe.exe"=""
"net2.exe"=""
"mqsvch.exe"=""
"dllhostxp.exe"=""
"extrac16.exe"=""
"mqbckup.exe"=""
"pxhping.exe"=""
"rdpnr.exe"=""
"slservc.exe"=""
"clfmon.exe"=""
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegKeys]
"{98DBBF16-CA43-4c33-BE80-99E6694468A4}"=""
"{A5366673-E8CA-11D3-9CD9-0090271D075B}"=""
"Files"=""
"Ms4Hd"=""
"Processes"=""
"RegKeys"=""
"RegValues"=""
"Vendor"=""
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ms4Hd\RegValues]
"clfmon.exe"=""
"dllhostxp.exe"=""
"pxhping.exe"=""
"service.exe"="