[pierkin]

Bonjour à tous,

Confronté à un spyware particulièrement virulent qui me pollue IE, j'ai essayé toutes les parades trouvée dans ce forum et notamment la fiche de Laurent sur les pb de démarrage et fonction rechercher parasitées.
Ni ad aware ni les suppressions directement dans la base de registre n'ont réussis à éradiquer la bestiole ! :confused:
J'ai donc employé les grands moyens et scanner mon disque avec Hijackthis (à vos souhaits)
Seulement voila, j'ai peur de faire une c... en supprimant ce qui est vitale pour faire des parties endiablées sur medal of honor sur internet ou autre chose d'aussi important, donc je souhaite avoir un conseil avisé (de préférence) sur ce qui pollue vraiment !!!

Voici la copie de la liste ds clés sensibles trouvées par le logiciel :


Logfile of HijackThis v1.97.7
Scan saved at 12:30:42, on 07/03/04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\AHEAD\INCD\INCD.EXE
C:\PROGRAM FILES\ELABORATE BYTES\CLONECD\CLONECDTRAY.EXE
C:\PROGRAM FILES\LABTEC\LABTEC MOUSE SOFTWARE\2.0\MOUSE32A.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\NORTON ANTIVIRUS\NAVAPW32.EXE
C:\PROGRAM FILES\ACD SYSTEMS\ACDSEE\CAMDETECT.EXE
C:\WINDOWS\SYSTEM\CNXDSLTB.EXE
C:\WINDOWS\RUNDLL32.EXE
C:\PROGRAM FILES\ZONE LABS\ZONEALARM\ZONEALARM.EXE
E:\PDA\PALM\HOTSYNC.EXE
C:\PROGRAM FILES\GETRIGHT\GETRIGHT.EXE
C:\PROGRAM FILES\SAGEM\SAGEM F@ST 800-840\DSLMON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\LOGITECH\WINGMAN PROFILER\LWPEVNTM.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\WINZIP\WINZIP32.EXE
E:\APPLICATIONS DIVERSES TéLéCHARGéES\ANTI SPYWARE\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://www.jethomepage.com/ie/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.free.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Exploreur
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
N3 - Netscape 7: user_pref("browser.startup.homepage", "searchexe.com"); (C:\WINDOWS\Application Data\Mozilla\Profiles\default\svia19sj.slt\prefs.js)
N3 - Netscape 7: user_pref("browser.search.defaultengine", "engine://C%3A%5CPROGRAM%20FILES%5CNETSCAPE%5CNETSCAPE%5Csearchplugins%5CNetscape_France.src"); (C:\WINDOWS\Application Data\Mozilla\Profiles\default\svia19sj.slt\prefs.js)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O2 - BHO: MediaLoads Enhanced - {85A702BA-EA8F-4B83-AA07-07A5186ACD7E} - C:\PROGRAM FILES\MEDIALOADS ENHANCED\ME1.DLL
O2 - BHO: My Search BHO - {014DA6C1-189F-421a-88CD-07CFE51CFF10} - C:\PROGRAM FILES\MYSEARCH\BAR\1.BIN\S4BAR.DLL
O2 - BHO: (no name) - {A3D41C7E-7B40-6205-4DB7-6B265CB71B44} - C:\PROGRAM FILES\ONE BORE UPLOAD\DEADSLOW.DLL
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: ZeroPopUp Bar - {72A58725-2635-4725-8C53-676DFD1FEB8D} - C:\WINDOWS\SYSTEM\ZEROPO~1.DLL
O3 - Toolbar: My &Search Bar - {014DA6C9-189F-421a-88CD-07CFE51CFF10} - C:\PROGRAM FILES\MYSEARCH\BAR\1.BIN\S4BAR.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: htmupidol - {E68A9BBF-0844-0498-59BF-CD907375E2F1} - C:\PROGRAM FILES\ONE BORE UPLOAD\DEADSLOW.DLL
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [InCD] C:\Program Files\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [LWBMOUSE] C:\Program Files\Labtec\Labtec Mouse Software\2.0\MOUSE32A.EXE
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE
O4 - HKLM\..\Run: [Camera Detector] C:\PROGRA~1\ACDSYS~1\ACDSEE\CAMDET~1.EXE
O4 - HKLM\..\Run: [Lwinst Run Profiler] C:\Program Files\Logitech\WingMan Profiler\Lwtest.exe /detect /quiet /launch "C:\Program Files\Logitech\WingMan Profiler\Lwpevntm.exe"
O4 - HKLM\..\Run: [proc atom] C:\PROGRA~1\Dvd Curb\Active dart help.exe
O4 - HKLM\..\Run: [winactive] C:\PROGRAM FILES\WINDOW ACTIVE\WINACTIVE.EXE
O4 - HKLM\..\Run: [autoclk] autoclk.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] C:\WINDOWS\SYSTEM\CnxDslTb.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Program Files\Fichiers communs\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [TrueVector] C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE -service
O4 - HKCU\..\Run: [svreg] C:\WINDOWS\SYSTEM\svreg.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NVMCTRAY.DLL,NvTaskbarInit
O4 - Startup: PowerReg Scheduler.exe
O4 - Startup: HotSync Manager.lnk = E:\pda\Palm\HOTSYNC.EXE
O4 - Startup: GetRight Monitor.lnk = C:\Program Files\GetRight\getright.exe
O4 - Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Sample Toolband Serach - res://C:\WINDOWS\SYSTEM\ZEROPO~1.DLL/MENUSEARCH.HTM
O9 - Extra 'Tools' menuitem: Console Java (Sun) (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab



Merci d'avance....

[BeClaude]

Salut à tous,

Essaye avant SpyBot & destroy
http://www.safer-networking.org/index.php?page=download

Et n'oublie pas de faire les MAJ.

Ca serra bien plus simple AMHA.

[gizou]

Je suis confrontée au meme probleme que toi :mad:

J'ai également utilisé Spybot mais aucun antispyware ne semble le detecter ou l' eradiquer... J'ai meme formaté mon PC car j'en avais marre qu'IE plante sans arret. Mais ce foutu spyware www.searchexe.com est revenu polluer IE et j'ai beau supprimer dans la base de registre les fichiers concernés, rien n'y fait... je suis desespérée...

si quelqu'un avait une solution
merci

[Kaspof]

Ben, si il revient après ton fomatage, c'est que tu dois installer un logiciel qui te fout ce spyware. Et apparemment, le dit logiciel remet les spywares lorqu'ils ont été effacés. A toi de ne pas installer n'importe quoi sur ton ordinateur.

[Fred]

Il existe d'autres logiciels que Spybot pour supprimer les spyware, notamment Ad-Aware :
http://www.lavasoftusa.com/

En complément de Spybot, ca devrait détecter toutes ces méchantes petites bêtes. Sinon, j'aimerais attirer votre attention sur cet article de ZDNet Grande Bretagne :
http://news.zdnet.co.uk/internet/sec...9146150,00.htm
Pour les anglophobes, il y est dit que certains éditeurs de logiciels anti spyware diffuseraient eux même des spyware pour encourager à utiliser leurs produits. C'est notamment le logiciel "Spy Wiper" qui est en cause, ce logiciel ne peut donc pas être considéré comme fiable, alors qu'Ad Aware et Spybot sont en service depuis très longtemps, ont une grande base d'utilisateurs et une grande renommée et ne peuvent se permettre (ils n'en ont d'ailleurs pas besoin) ce type de pratiques.

Il ne faut pas oublier de mettre à jour Spybot et Ad Aware avant chaque scan, pour être certain que le logiciel dispose des dernières signatures (ca marche un peu comme un antivirus ...). Tout cela peut être trouvé ici :
http://www.safer-networking.org/index.php?page=download

Téléchargez "Spybot - Search & Destroy 1.2" pour installer Spybot puis "Detection updates 2004-03-04" pour mettre à jour les signatures. Le module de mise à jour en ligne de Spybot fait exactement le même travail

[streets]

Si des problèmes persistent avec Internet explorer apres un passage avec Ad-Aware - Je conseil Power IE6 V2

[rog62]

Originally Posted by streets

Si des problèmes persistent avec Internet explorer apres un passage avec Ad-Aware - Je conseil Power IE6 V2

Je dirais même plus.... L'excellent PowerIE6

[gizou]

J'ai deja lancé Ad Aware et Spybot qui detectent tous les deux des fichiers relatifs à Lop !

J'ai retrouvé sur certains forums anglais sur les spywares le meme probleme que le notre...les personnes avaient également tout tenté sans succès pour enlever ce fichu searchexe.com de la page d'accueil ! IL semblerait qu'avec HIjachthis ca marcherait. J'ai deja essayé mais ca revient toujours..Le pb c est que ces fameux fichiers Lop sont tjrs detectés par spyboat comme des pbs malgré que le click sur "fix the problems"....

Par contre je vais suivre le conseils de mettre à jour les versions de Spybot et adware.

Par ailleurs, une des personnes infectée par le meme spyware que le mien avait installé le logiciel Bitorrent sur son ordinateur et j'ai moi meme installé ce logiciel sur mon pc ! Je suis persuadée que le pb vient de là aussi car depuis mon formatage je n'avais pas résinstallé Bittorent et Internet Explorer fonctionnait bien, et depuis que je l'ai reinstallé searchexe.com est revenu en page d'accueil ! J'avais p-e downloadé une version virusé de Bittorent...

Je vais voir tout ca a nveau.

Merci des conseils

[Cougar]

quel logiciel bittorent ? l'officiel ? un autre client ?
Car j'ai installé tous les clients bittorent connu en effectuant à chaque fois une recherche de spywares, et aucuns d'eux n'en installaient.

[rog62]

Originally Posted by gizou

...
Par contre je vais suivre le conseils de mettre à jour les versions de Spybot et adware....

Pour l'utilisation d'Adaware et de spybot, suis cette démarche.

[yannick36]

Salut tout le monde,


Je vous conseille, car moi aussi je suis aux prises avec cette cochonnerie que Winactive, Spysweeper que vous pouvez avoir une version gratuite au http://www.webroot.com . C'est un excellent anti-spyware qu'un ami m'a conseillé il trouve et élimine plus de ces bibittes que Ad-aware ou n'importe lequel des programmes anti-spyware.

a+
Yannick

[Darill]

bon les gars jvé être un peu radikal mais j'ai la solution c'est tt simple il fo juste arrété d'utilisé internet explorer. Si on devé donné le spyware award et le virus award a un navigateur je vous laissé deviné ki serai l'heureux élu...

en gros moi ossi tt comme vous j'en ai u mare d'être envahi de spywares , de scanné constament, etc... bref pour moi la solution ki marche c'est mozilla (ou firefox), un navigateur bien plus sécurisé ke IE et gratuit pas dessus tt.

la différence est facile a faire.
aprés une semaine de surf intensif avec IE , faite un scan avec ad-aware ou votre soft favori, et la comme a votre habitude vous trouvez un élevage de c ptit "envahisseurs". lol
faites le même test avec mozilla ou firefox et vous serez plus ke surpri de la différence... c'est preske a se demandé si mozilla a pas saboté ad-aware....

@+

[pierkin]

Pensant être un cas unique avec cette p..... de barre de recherce searchexe, je ne me faisais pas trop d'illusions lorsque j'ai posté un message sur le présent forum... D'ailleurs, les réponses ne se sont pas bousculées au début ...

Quelle ne fut pas ma surprise en revenant un mois + tard ... 31 réponses postées !!! je ne suis pas le seul ! Ca ne résoud pas mon pb pour l'instant mais ça console un peu ...

J'ai cru trouver la solution en prenant le risque de télécharger le petit programme "toolbar uninstall.exe" mais lorsque je le lance rien ne se passe, absolument rien ... Je redémarre le PC, et revoilou Searchexe ... Le programme ne fonctionne peut être pas sous windows 98 ?

Je vais maintenant essayer de mettre à jour mais anti-spyware ?

Merci à tous

[BeClaude]

Salut à tous,

Tu as regarder ce sujet ?

http://www.newdimension-fr.net/forum...hlight=lop.com

Notament ceci ?
http://www.newdimension-fr.net/forum...6&postcount=32

Ca peut te donner des indication
J'ai trouver ça aussi
http://www.kephyr.com/spywarescanner...xe/index.phtml

[kea]

voici la solution radicale pour votre problème cela fonctionne uniquement sur win nt 2000 et xp mille excuz pour les fautes d'orthographe mais j ai pas le temps

bon tout d abord je pense qu aucun antispy ou anti hijack ne repère la faille que vous avez car moi même j ' ai le même problème
j ai tester plusieur antivirus la plupart des anti spy ect...
n étant pas debutant je pense que c est une FAILLE sur internet explorer je vous d' écris le processus d attaque de ce spy :

1 / un jour vous vous appercevez que votre page de démarrage
à changer et quand vous allez dans les option internet vous vous appaercevez que la page de démarrage c est ABOUTBLANK (normalement une page blanche ) lol mais non vous etes rediriger vers un truc genre http://www.coolwebsearch.com ou untruc comme ca

2/pour résoudre le problème vous modifier la page de demarrage
,lol mais rien n' y fait toujours la même page de merde alors vous decider de faire une recherche dans le registre vous modifier la start page et tout le le reste page de recherche qui est aussi infecter ect.... ect...
vous tomber sur unre url de se type:
res://%43%3a%5c%57%49%4e%44%4f%57%53%5c%53%79%73%74%65%6d%33%32%5c%65%6c%70%2e%64%6c%6c/" vous la modifiez, vous passer tout les antispy et antivirus que
vous connaissez , vous regarder au demarrage de windows ce qui ce passe via un msconfig , dans le registre vous regarder la clef run,runonce ,runservices ,ect... ect..pendant un moment cela fonctionne
mais au redemarrage lol c est reparti pour un tour le problème revient alors la sois vous formatter soit vous faite une crise lol.

3/je vais vous donnez le nom d un utilitaire: (StartupRun.exe de la societé NIRSOFT) qui va vous pemettre de voir ce qui se passe au démarrage de votre windows il vous liste le demarrage :
des clefs de registre suivantes :
-run
-runonce
-runservice
-mais celle qui nous importe c'est du demarrage d'INTERNET EXPLORER voila pourquoi le problème revient sans cesse le spy démarre lors de la première ouverture du page HTML via internet explorer '(afin que le spy s execute je pense que la page doit comporter un script genre activeX à voir)
donc quand vous lançez StartupRun.exe il vous liste les element u demarrage dont un element qui est une dll de merde qui est crerr avec un nom aleatoire lors de l'ouverture de d' INTERET EXPLORER
ex: fbklaa.dll si vous etes infecter et que vous faite une recherche sur le nom de la dll que vous aurez reperé avec startuprun.exe sur votre system vous la trouverez dans le repertoire system ex: c:\windows\system32 .
et en plus cette dll est impossible a supprimer vu quelle est en execution

4/ pour la suprimer aller dans la base de registre via : regedit.exe ou regedt32.exe faire une recherche avec le nom de la dll et supprimer la clef entierement (le petit dossier jaune sur la gauche ou se trouve le nom de la dll) , continuer la recherche et supprimer toute les clef contenant le nom de la dll

5/le probleme n est toujours résolu loin de la hihihi
maintenant toujours dans le registre allez dans ces clef afin de modifier vos pages de demarrage et recherche ect... :
1) HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
et modifier les urls dans: startpage ,Search Bar,Search page
2)HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search
modifier url de : SearchAssistant , mettre ulr pour vos recherche sur le net ,si il y a d autre chose dans cette clef a part : SearchAssistant supprimer le
3)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
modifier les urls dans: startpage ,Search Bar,Search page,Local Page .Mettre les url que vous preferez

petit dico pour pas vous perde:
startpage : page de demarrage
Search Bar : barre de recherche
Search page: page de recherce
Local Pageage locale

6/c est pas encore fini la vous venez de resoudre temporairement le problème lol car au prochain redemarrage du pc puis apès d internet explorer le problème reviendras le spy recreera une DLL avec un nom aleatoire et rebellote : il sont chiant ces spy lol

7/solution pour remedier a ce problème j ai du le trouver moi même car aucun antipspy ou autres antivirus ne reconnait celui ci
alors passons au chose serieuse on vas creer tres facilement un anti spy universel il n empecheras pas les spy de s executer mais les empechera de faire toute modification dans le registre pour lui et les utilisateurs bien sur c'est reversible c est juste que lon va dire au registre d empecher l ecriture sur certaine clefs:

1) HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

2)HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search

3)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

1) clef 1 c est : Main 2) clef 2 c est : Search 3) clef 3 c est : Main

manip fonctionnent uniquement sur windows xp et windows 2000 :

lancer : regedt32.exe via le menu demarrer /executer :

se rendre sur les clefs :

1) HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

2)HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search

3)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

1) se rendre sur la premère clef Main faire un clic droit dessus et
selectionner autorisation et dans la fenetre qui s affiche aller dans
parametres avancés et dans l onglet Autorisation decocher la petite case : herite de l objet parent ..... un message s affiche faire
un clic sur copier .
MAintenant vous avezune liste d utilisateur autoriser ou non a modifier cette clef on selectionne le premier de la liste et on clic sur modifier des case d'autorisations apparaissent une colonne accepter et une refuser nous allons selectionner dans refuser les casesqui donnent acces a l'ecriture pour cette clef voici la liste sur xp

donc a refuser :

1)definir la valeur
2)creer une sos clé
3)creer une liaison
4)supprimer
5)acces en ecriture
6)acces ecriture du proprietaire

il faut faire cette manip pour tout les utilisateursde la liste et pour les 3 clefs:
1) clef 1 c est : Main 2) clef 2 c est : Search 3) clef 3 c est : Main

pour les autres windows 98 me voir si il n y a pas de logicile qui bloquerais acces a ces même clef bonne chance ou changer de system un bon linusx rien de mieux

avec cette manip plus aucun spy ou autre ne peut agir sur vos pages c est manip bloque tout modif avos page de demarrage
de recherche , le spy ou autre trojan vont s executer mais ne pourons modifier les pages c est pour cette raison qu ' il faut de temps en temps passer un anti spy pour quand meme suprimer les fichier de votre disque dur

aller sur ce bonne chance