problème avec istbar

[bedouin]

Bonjour,

 

j'ai un malware :istbar que je n'arrive pas éradiquer : il revient à chaque fois ( ad-adware le trouve et le supprime mais il revient, spybot ne le trouve pas. J'enlève manuelllement de Hkeycurrent user/défaut/software un fichier ist qui reveint sans cesse. Ca ouvre un tas de merde genre hekpak.exe et ça me colle des possible malwre à la pelle trouvé avec adadware (pareil ça revient quand je les enlève).

J'ai fixé les files douteuses dans le log de hitjack this mais ça revient quand je refais un scan . Voilà le scan en question

 

Logfile of HijackThis v1.99.0

Scan saved at 12:25:39, on 23/12/04

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\SYSTEM\ATI2EVXX.EXE

C:\PROGRAM FILES\NORTON PERSONAL FIREWALL\NISSERV.EXE

C:\PROGRAM FILES\NORTON PERSONAL FIREWALL\IAMAPP.EXE

C:\PROGRAM FILES\NORTON PERSONAL FIREWALL\NISUM.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\SYSTEM\ATIPTAXX.EXE

C:\PROGRAM FILES\WANADOO\CNXMON.EXE

C:\PROGRAM FILES\THOMSON\SPEEDTOUCH USB\DRAGDIAG.EXE

C:\PROGRAM FILES\WANADOO\TASKBARICON.EXE

C:\PROGRAM FILES\NORTON ANTIVIRUS\NAVAPW32.EXE

C:\PROGRAM FILES\NORTON ANTIVIRUS\POPROXY.EXE

C:\PROGRAM FILES\FICHIERS COMMUNS\REAL\UPDATE_OB\REALSCHED.EXE

C:\WINDOWS\SYSTEM\QTTASK.EXE

C:\HECAPK.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

C:\WINDOWS\SYSTEM\PSTORES.EXE

C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE

C:\PROGRAM FILES\WANADOO\COMCOMP.EXE

C:\PROGRAM FILES\WANADOO\WATCH.EXE

C:\WINDOWS\D3RA32.EXE

C:\PROGRAM FILES\WINRAR\WINRAR.EXE

C:\WINDOWS\TEMP\RAR$EX0L.LB2\HIJACKTHIS.EXE

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\slxru.dll/sp.html#28129

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\slxru.dll/sp.html#28129

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\slxru.dll/sp.html#28129

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\slxru.dll/sp.html#28129

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\slxru.dll/sp.html#28129

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\slxru.dll/sp.html#28129

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\slxru.dll/sp.html#28129

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O2 - BHO: Class - {A75EA09A-2869-F5FE-3169-78BC7FEDCEAE} - C:\WINDOWS\SYSTEM\ADDFV.DLL

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\TaskbarIcon.exe

O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE /LOADQUIET

O4 - HKLM\..\Run: [Norton eMail Protect] C:\Program Files\Norton AntiVirus\POPROXY.EXE

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime

O4 - HKLM\..\Run: [Cvi5] C:\HECAPK.EXE

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [schedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe

O4 - HKLM\..\RunServices: [D3RA32.EXE] C:\WINDOWS\D3RA32.EXE

O4 - Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe

O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000

O8 - Extra context menu item: &Google Search - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR3.DLL/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR3.DLL/cmcache.html

O8 - Extra context menu item: Pages similaires - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR3.DLL/cmsimilar.html

O8 - Extra context menu item: Pages liées - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR3.DLL/cmbacklinks.html

O15 - Trusted Zone: *.awmdabest.com

O15 - Trusted Zone: *.awmdabest.com (HKLM)

O15 - Trusted IP range: 206.161.125.149

O15 - Trusted IP range: 206.161.124.130 (HKLM)

 

Qu'en pensez-vous ?

 

Merci d'avance

[Invité tesgaz]

Salut,

 

commences par supprimer ce fichier :

C:\WINDOWS\system\slxru.dll

[bedouin]

Je ne le trouve pas même en faisant "rechercher fichier" ou explorer

[megataupe]

Salut. Va falloir passer aux choses sérieuses :

 

Mode d'emploi d'Hijackthis

 

Charger la dernière version ici : http://hijackthis.de/fr

et la décompresser dans son propre dossier (important pour le log qui sera généré)

 

1- en mode sans échec (au démarrage du PC, appuyer sur la touche F5 ou F8), effacer tous les fichiers temporaires, le dossier Temp de Windows et le cache du navigateur ; désactiver la restauration système (clic droit sur « poste de travail » >propriétés>restauration système : cocher « désactiver la restauration du système » puis clic sur « appliquer » )

 

2- vérifier que Hijackthis est configuré pour faire des sauvegardes (la case "Make backups before fixing items" dans "config" doit être cochée).

 

3- après avoir collé ton log pour analyse dans la fenêtre du site cité plus haut, tu fixes toutes les lignes marquées en rouge puis, tu regardes attentivement ce qui est en orange : si tu connais et utilises, tu gardes ; si (y compris après une petite recherche sur Google) tu ne vois pas du tout ce que c'est ou si tu découvres qu’il s’agit d’une nuisance, tu fixes ; si tu hésites, ne fais rien ; les lignes se terminant par "no file" peuvent aussi être fixées.

 

4- toujours en mode sans échec, repasser un coup des utilitaires de sécurité : antivirus, anti-troyens, CWShredder, A2, Ad-aware, Spybot, etc..

 

5- redémarrer en mode normal.

 

6- refaire un log Hijackthis après tout cela.

 

7- ne pas oublier de réactiver la restauration système une fois toutes les opérations terminées.

 

Normalement, en mode sans échec il doit être nettoyé par Spybot ou Ad-aware (dernières versions mises à jour) :

 

There is a entry in Add/Remove Programs for 'MS AUpdate' (AUpdate variant), 'MS Updates' (MSCache variant), or 'ISTbar' (ISTbar variant). Unfortunately this doesn't remove the toolbar in the AUpdate variant, or RapidBlaster in the AUpdate or ISTbar variants; in the MSCache variant it does not appear to work at all.

 

Ad-Aware reflist 20.04.2003 and Spybot S&D update 2003-04-24 can remove ISTbar/AUpdate.

Modifié le 23 décembre 2004 par megataupe

[Invité tesgaz]

Je ne le trouve pas même en faisant "rechercher fichier" ou explorer

437108[/snapback]

 

 

salut,

car c'est certainement un fichier caché, modifies les options de ton explorateur pour voir les fichiers cachés