Startsear.ch => le retour !

la-figue · le 21 février 2012

Bonjour,

j'ai été infecté par cette "chose" Startsear.ch en téléchargeant au faux plug-in pour de la video, comme beaucoup auparavant ...

J'ai Bitdefender à jour comme antivirus, il ne détecte rien ...

Spybot ne détecte rien non plus ...

CCCleaner ne le dégage pas ...

Malwarebytes antimalware trouve qqch ( ouf ! )

Je cite => " Elément(s) de données du Registre détecté(s): 1

HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (Hijack.StartPage) -> Mauvais: (http://startsear.ch/?aff=4&cf=5e1f5d1f-5b13-11e1-9ae0-00038a000015) Bon: (http://www.google.com) -> Mis en quarantaine et réparé avec succès"

mais il ne réussit en fait pas à l'enlever, puisque réapparait régulièrement le message m'indiquant que "on a tenté de changer les options par défaut de mon navigateur"

et je me retrouve sur cette page Startsear.ch, qui d'aileurs ne se charge pas correctement, comme page de démarrage !

J'ai manuellement essayé de faire qqch, sans grand succès, j'ai supprimé le plug-in concerné, désinstallé Firefox, rien n'y fait ...

J'ai également passé quelques temps à chercher la solution sur des forums, sans grande réussite !

je m'en remets donc à vous, sauveurs de l'humanité en péril !!!

Bref, merci d'avance !

Apollo · le 21 février 2012

Bonjour,

Télécharge AdwCleaner par Xplode: Les Téléchargements - Outils de Xplode - AdwCleaner

Enregistre-le sur le bureau (et pas ailleurs).

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.

Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

Clique sur Suppression et laisse travailler l'outil.

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s1]

-------------------------

Fais ensuite ceci:

ZHPDiag :

Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
Double-clique sur ZHPDiag.exe pour lancer l'installation
- Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

[*]Double-clique sur ZHPDiag pour lancer l'exécution

Important:
Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

[*]Clique sur le tournevis.

[*]Clique sur la loupe pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%

Tu refermes ZHPDiag

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau. (et sous c:\ZHP\ZHPDiag.txt)

Ce rapport étant trop long pour le forum, héberge le :

soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
soit sur Cjoint et copie-colle le lien fourni dans ta réponse. OU >>
Free large file hosting. Send big files the easy way! copier/coller le tout premier lien fourni.

@++

la-figue · le 21 février 2012

Ok, je me lance dans la procédure, plus d'infos bientôt !

Merci pour la rapidité, en tout cas !

la-figue · le 21 février 2012

Premier rapport => Adwcleaner :

>>

# AdwCleaner v1.410 - Rapport créé le 21/02/2012 à 14:48:25

# Mis à jour le 20/02/2012 par Xplode

# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)

# Nom d'utilisateur : Guilaume - DEUX (Administrateur)

# Exécuté depuis : C:\Users\Guilaume\Desktop\adwcleaner.exe

# Option [suppression]

***** [services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Guilaume\AppData\Roaming\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}

Fichier Supprimé : C:\Users\Guilaume\AppData\Roaming\Mozilla\Firefox\Profiles\5w1x1e1l.default\searchplugins\Startsear.xml

***** [Registre] *****

Clé Supprimée : HKCU\Software\StartSearch

Clé Supprimée : HKLM\SOFTWARE\Viewpoint

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtl

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtl.1

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtlSecondary

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtlSecondary.1

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\SoftwareUpdate.exe

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{03F998B2-0E00-11D3-A498-00104B6EB52E}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{03F998B2-0E00-11D3-A498-00104B6EB52E}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}

***** [Registre (x64)] *****

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.7601.17514

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://startsear.ch/?aff=4&cf=5e1f5d1f-5b13-11e1-9ae0-00038a000015 --> hxxp://www.google.fr

-\\ Mozilla Firefox v8.0.1 (fr)

Profil : 5w1x1e1l.default

Fichier : C:\Users\Guilaume\AppData\Roaming\Mozilla\Firefox\Profiles\5w1x1e1l.default\prefs.js

Supprimée : user_pref("browser.search.defaultenginename", "Web Search");

Supprimée : user_pref("browser.search.order.1", "Web Search");

Supprimée : user_pref("keyword.URL", "hxxp://startsear.ch/?aff=4&cf=5e1f5d1f-5b13-11e1-9ae0-00038a000015&src=sp&[...]

*************************

AdwCleaner[R1].txt - [2910 octets] - [21/02/2012 14:48:09]

AdwCleaner[s1].txt - [2387 octets] - [21/02/2012 14:48:25]

*************************

Dossier Temporaire : 15 dossier(s) et 11 fichier(s) supprimés

########## EOF - C:\AdwCleaner[s1].txt - [2609 octets] ##########

la-figue · le 21 février 2012

Et voici le second rapport :

>> Lien CJoint.com BBvpeWhZvGN

En attente de nouvelles direcives !

Merci

Apollo · le 21 février 2012

plips,

1) ZHPFix :

Ferme toutes les applications ouvertes
Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
Important:
Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
Clique sur H .
Copie-colle les lignes ci-dessous dans la fenêtre

O69 - SBI: SearchScopes [HKCU] {192434D2-E41A-45FD-A454-2B800E48C283} - (Web Search) - [url=http://startsear.ch][url=http://startsear.ch]http://startsear.ch[/url][/url]    
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}]    
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}]   
emptytemp
emptyflash
firewallraz

Clique sur l'icône représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le.

Clique sur le bouton GO pour lancer le nettoyage

Valide par Oui la désinstallation des programmes si demandé
Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFixReport.txt

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

~~~~~~~~~~~~~~~

2) Si vous êtes sous Vista/seven:, Désactiver provisoirement l'UAC

Apollo Et Compagnie :: UAC Windows 7.

:arrow: Télécharge USBFIX de TeamXscript et enregistre le sur ton bureau.

http://elde s aparecido.com/

http://elde s aparecido.com/tool s /U s bFix.exe

NB: Certains antivirus hurlent sur les processus de l'outil; c'est un faux-positif, ignorer les alertes ou désactiver provisoirement l'antivirus. Si vous ne savez pas comment faire, reportez-vous à cet article.

Si tu es sous XP, Double-clique sur USBFix.exe pour le lancer.
Si tu es sous Vista/7, Clique droit sur USBFix.exe et choisis Exécuter en tant qu'administrateur.
Clique sur Recherche et laisse l'outil travailler
Une fenêtre de te demandant de bancher tous les périphériques externes que tu as pu utiliser ces derniers jours (clés USB, lecteurs MP3, disques durs externes, etc ...) va apparaitre.
Branche le matériel puis clique sur OK pour poursuivre.
Patiente le temps d'exécution du scan.
A la fin, un rapport va être généré (C:/USBFix.txt). Copie-colle l'intégralité de son contenu dans ta prochaine réponse.

@++

la-figue · le 21 février 2012

Alors, ZHPfix =>

Rapport de ZHPFix 1.12.3380 par Nicolas Coolman, Update du 05/02/2011

Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-21-02-2012-15-34-44.txt

Run by Guilaume at 21/02/2012 15:34:44

Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)

Web site : ZHPFix Fix de rapport

Web site : Blog de NicolasCoolman - ZebHelpProcess - Skyrock.com

========== Clé(s) du Registre ==========

SUPPRIME Key: SearchScopes :{192434D2-E41A-45FD-A454-2B800E48C283}

SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}

SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}

========== Valeur(s) du Registre ==========

ABSENT Valeur Standard Profile: FirewallRaz :

ABSENT Valeur Domain Profile: FirewallRaz :

SUPPRIME FirewallRaz (Domain) : NetPres-In-TCP-NoScope

SUPPRIME FirewallRaz (Domain) : NetPres-Out-TCP-NoScope

SUPPRIME FirewallRaz (None) : NetPres-WSD-In-UDP

SUPPRIME FirewallRaz (None) : NetPres-WSD-Out-UDP

SUPPRIME FirewallRaz (Public) : NetPres-In-TCP

SUPPRIME FirewallRaz (Public) : NetPres-Out-TCP

SUPPRIME FirewallRaz (Public) : {BA764B20-F31D-44BF-9737-5A53A8709B3E}

SUPPRIME FirewallRaz (Public) : {82AA14AA-7F35-4060-BB50-9C53D6470A87}

SUPPRIME FirewallRaz (None) : {8ED55464-5DBD-46FF-AB33-DA4C3F7BAA8C}

========== Dossier(s) ==========

SUPPRIME Temporaires Windows: : 75

SUPPRIME Flash Cookies: 46

========== Fichier(s) ==========

SUPPRIME Temporaires Windows: : 65

SUPPRIME Flash Cookies: 16

========== Récapitulatif ==========

3 : Clé(s) du Registre

11 : Valeur(s) du Registre

2 : Dossier(s)

2 : Fichier(s)

End of clean in 00mn 04s

========== Chemin de fichier rapport ==========

C:\ZHP\ZHPFix[R1].txt - 21/02/2012 15:34:44 [1735]

la-figue · le 21 février 2012

Et enfin, Usbtruc =>

############################## | UsbFix V 7.081 | [Recherche]

Utilisateur: Guilaume (Administrateur) # DEUX

Mis à jour le 05/02/2012 par El Desaparecido

Lancé à 15:53:51 | 21/02/2012

Site Web: http://eldesaparecido.com

Fichier suspect ? : http://eldesaparecido.com/upload.html

Contact: [email protected]

PC: Packard Bell (EasyNote LJ65 ) (x64-based PC) # Notebook

CPU: Pentium® Dual-Core CPU T4300 @ 2.10GHz (2100)

RAM -> [ Total : 4026 | Free : 2254 ]

BIOS: InsydeH2O Version V2.05

BOOT: Normal boot

OS: Microsoft Windows 7 Édition Familiale Premium (6.1.7601 64-Bit) # Service Pack 1

WB: Windows Internet Explorer 8.0.7601.17514

SC: Security Center Service [ Enabled ]

WU: Windows Update Service [ Enabled ]

AV: BitDefender Antivirus [ Enabled | Updated ]

FW: Windows FireWall Service [ Enabled ]

C:\ (%systemdrive%) -> Disque fixe # 454 Go (214 Go libre(s) - 47%) [Packard Bell] # NTFS

D:\ -> CD-ROM

################## | Processus Actif |

C:\Windows\system32\csrss.exe (464)

C:\Windows\system32\wininit.exe (508)

C:\Windows\system32\csrss.exe (532)

C:\Windows\system32\services.exe (568)

C:\Windows\system32\lsass.exe (592)

C:\Windows\system32\lsm.exe (604)

C:\Windows\system32\winlogon.exe (664)

C:\Windows\system32\svchost.exe (740)

C:\Windows\system32\svchost.exe (820)

C:\Program Files\BitDefender\BitDefender 2011\vsserv.exe (868)

C:\Windows\System32\svchost.exe (956)

C:\Windows\System32\svchost.exe (1004)

C:\Windows\system32\svchost.exe (360)

C:\Windows\system32\svchost.exe (1076)

C:\Windows\system32\svchost.exe (1216)

C:\Windows\System32\spoolsv.exe (1484)

C:\Windows\system32\svchost.exe (1516)

c:\Program Files (x86)\Adobe\Photoshop Elements 7.0\PhotoshopElementsFileAgent.exe (1644)

C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe (1848)

C:\Program Files (x86)\Bonjour\mDNSResponder.exe (1904)

C:\Program Files\Packard Bell\Packard Bell Power Management\ePowerSvc.exe (1944)

C:\Windows\system32\svchost.exe (1972)

C:\Program Files (x86)\Packard Bell\Registration\GregHSRW.exe (1996)

C:\Program Files (x86)\LogMeIn Hamachi\hamachi-2.exe (1200)

C:\Program Files (x86)\NewTech Infosystems\Packard Bell MyBackup\IScheduleSvc.exe (288)

C:\Windows\system32\svchost.exe (1812)

C:\Program Files\Packard Bell\Packard Bell Updater\UpdaterService.exe (1860)

C:\Program Files\BitDefender\BitDefender 2011\updatesrv.exe (2112)

C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE (2144)

C:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe (2260)

C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe (2292)

C:\Windows\system32\taskhost.exe (2548)

C:\Windows\system32\Dwm.exe (2628)

C:\Windows\Explorer.EXE (2660)

C:\Program Files\BitDefender\BitDefender 2011\bdagent.exe (2700)

C:\Program Files\BitDefender\BitDefender 2011\pchooklaunch64.exe (2848)

C:\Program Files\Realtek\Audio\HDA\RAVCpl64.exe (3020)

C:\Program Files\Packard Bell\Packard Bell Power Management\ePowerTray.exe (3028)

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe (3040)

C:\Windows\System32\igfxtray.exe (1768)

C:\Windows\system32\igfxext.exe (2108)

C:\Windows\System32\hkcmd.exe (2212)

C:\Windows\System32\igfxpers.exe (2400)

C:\Windows\system32\igfxsrvc.exe (2492)

C:\Windows\system32\wbem\unsecapp.exe (3092)

C:\Windows\system32\wbem\wmiprvse.exe (3148)

C:\Program Files\BitDefender\BitDefender 2011\Antispam32\pchooklaunch32.exe (3236)

C:\Program Files\Synaptics\SynTP\SynTPHelper.exe (3280)

C:\Program Files\Windows Sidebar\sidebar.exe (3288)

C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe (3296)

C:\Program Files (x86)\OpenOffice.org 3\program\soffice.exe (3380)

C:\Program Files (x86)\Launch Manager\LManager.exe (3484)

C:\Program Files\Packard Bell\Packard Bell Power Management\ePowerEvent.exe (3660)

C:\Program Files (x86)\NewTech Infosystems\Packard Bell MyBackup\BackupManagerTray.exe (3712)

C:\Program Files (x86)\Video Web Camera\traybar.exe (3720)

C:\Program Files (x86)\CyberLink\PowerDVD8\PDVD8Serv.exe (3728)

C:\Program Files (x86)\DivX\DivX Update\DivXUpdate.exe (3752)

C:\Program Files (x86)\DivX\DivX Plus Web Player\DDMService.exe (3780)

C:\Program Files (x86)\Common Files\AOL\1298127178\ee\aolsoftware.exe (3800)

C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe (3832)

C:\Program Files (x86)\LogMeIn Hamachi\hamachi-2-ui.exe (3840)

C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin (3888)

C:\Program Files (x86)\Browsers Protector\regmon32.exe (3908)

C:\Windows\system32\spool\DRIVERS\x64\3\HP1005MC.EXE (3928)

C:\Program Files (x86)\Mozilla Firefox\firefox.exe (2668)

C:\Windows\system32\svchost.exe (4136)

C:\Windows\system32\SearchIndexer.exe (4352)

C:\Program Files\Windows Media Player\wmpnetwk.exe (4572)

C:\Windows\System32\svchost.exe (4956)

C:\Windows\system32\DllHost.exe (2568)

C:\Windows\system32\wbem\wmiprvse.exe (1292)

C:\Windows\servicing\TrustedInstaller.exe (3252)

C:\Program Files\BitDefender\BitDefender 2011\downloader.exe (924)

C:\Windows\system32\conhost.exe (2480)

C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe (3496)

C:\Windows\SysWOW64\NOTEPAD.EXE (1124)

C:\Windows\system32\taskeng.exe (2964)

C:\Windows\SysWOW64\NOTEPAD.EXE (4172)

C:\UsbFix\Go.exe (1796)

################## | Éléments infectieux |

################## | Registre |

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{5bf6496c-0ef1-11e1-9aec-806e6f6e6963}

Shell\AutoRun\Command = E:\Windows\Autorun.exe

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

Dois-je vacciner ensuite ?

Apollo · le 21 février 2012

Ouaip, le vaccin s'installera en faisant ceci:

Si tu es sous XP, Double-clique sur USBFix.exe pour le lancer.
Si tu es sous Vista, Clique droit sur USBFix.exe et choisis Exécuter en tant qu'administrateur.
Clique sur Suppression et laisse travailler l'outil.
Une fenêtre de te demandant de brancher tous les périphériques externes que tu as pu utiliser ces derniers jours (clés USB, lecteurs MP3, disques durs externes, etc ...) va apparaitre.
Branche le matériel puis clique sur OK pour poursuivre.
USBFix va continuer son exécution. Le bureau va disparaitre et ne sera plus accessible tout le temps du scan. Ne t'inquiète pas, c'est normal. Patiente le temps du nettoyage sans l'interrompre.
A la fin, un rapport va être généré (C:/USBFix.txt). Copie-colle l'intégralité de son contenu dans ta prochaine réponse.

Réactiver l'UAC sur Vista/7!

+++

la-figue · le 21 février 2012

Rapport => ############################## | UsbFix V 7.081 | [suppression]