startpage.ig

[bruno]

Bonjour à tous.

 

J'ai chopé un trojan indestructible : startpage.ig, j'ai cherché sur le forum et essayé les différentes solutions : rien n'y fait !

 

J'ai passé : a², hijackthis, antivir, spybot, ad-aware, aboutbuster en mode sans échec ... ça lui fait ni chaud ni froid

 

Si quelqu'un a une idée ... je suis preneur !

 

voici le fichier hijack que j'ai fait analyser sur le site, mais quand je vire les lignes suspectes elles reviennent à chaque fois :

 

Logfile of HijackThis v1.99.0

Scan saved at 09:45:26, on 16/02/2005

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\system32\netdde.exe

C:\WINNT\System32\msdtc.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\WINNT\System32\cisvc.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\system32\nvsvc32.exe

C:\WINNT\system32\ZoneLabs\vsmon.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\Explorer.EXE

C:\WINNT\soundman.exe

C:\PROGRA~1\MESSAG~1\Demon.exe

C:\Program Files\PopUp Killer\PopUpKiller.EXE

C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINNT\system32\RUNDLL32.EXE

C:\WINNT\system32\CSRSSU.EXE

C:\WINNT\system32\CTFMON32.EXE

C:\WINNT\system32\CAPRPCSK.EXE

C:\WINNT\system32\spool\drivers\w32x86\3\CAPPSWK.EXE

C:\WINNT\System32\cidaemon.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Documents and Settings\MOLLHLLAH1\Bureau\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: SEDP Class - {3BA765C2-08DB-4fe2-9279-311CA10D582A} - C:\WINNT\sehlp.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [soundMan] soundman.exe

O4 - HKLM\..\Run: [Demon] C:\PROGRA~1\MESSAG~1\Demon.exe

O4 - HKLM\..\Run: [CAPON] C:\WINNT\System32\Spool\Drivers\w32x86\3\CAPONN.EXE

O4 - HKLM\..\Run: [PopUpKiller] C:\Program Files\PopUp Killer\PopUpKiller.EXE

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [CSRSSU] C:\WINNT\system32\CSRSSU.EXE

O4 - HKCU\..\Run: [CTFMON32] C:\WINNT\system32\CTFMON32.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll

O16 - DPF: fdjeux - https://www.fdjeux.net/classes/fdjeux.cab

O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EP...ol_v1-0-3-9.cab

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200401...meInstaller.exe

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.0 Control) - http://www.photoways.com/clients/ImageUploader3.cab

O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IP-Uploader Control) - http://asp04.photoprintit.de/microsite/216...geUploader3.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{C652B3BF-3815-4FBE-BD93-7640CC28E064}: NameServer = 80.10.246.1 80.10.246.132

O19 - User stylesheet: (file missing)

O23 - Service: Avertissement - Unknown - C:\WINNT\System32\services.exe

O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: Gestion d'applications - Unknown - C:\WINNT\system32\services.exe

O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Explorateur d'ordinateur - Unknown - C:\WINNT\System32\services.exe

O23 - Service: Client DHCP - Unknown - C:\WINNT\System32\services.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINNT\System32\dmadmin.exe

O23 - Service: Gestionnaire de disque logique - Unknown - C:\WINNT\System32\services.exe

O23 - Service: Client DNS - Unknown - C:\WINNT\System32\services.exe

O23 - Service: Journal des événements - Unknown - C:\WINNT\system32\services.exe

O23 - Service: Serveur - Unknown - C:\WINNT\System32\services.exe

O23 - Service: Station de travail - Unknown - C:\WINNT\System32\services.exe

O23 - Service: Service d'application d'assistance TCP/IP NetBIOS - Unknown - C:\WINNT\System32\services.exe

O23 - Service: DDE réseau - Unknown - C:\WINNT\system32\netdde.exe

O23 - Service: DSDM DDE réseau - Unknown - C:\WINNT\system32\netdde.exe

O23 - Service: Ouverture de session réseau - Unknown - C:\WINNT\System32\lsass.exe

O23 - Service: Fournisseur de la prise en charge de sécurité LM NT - Unknown - C:\WINNT\System32\lsass.exe

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe

O23 - Service: Plug-and-Play - Unknown - C:\WINNT\system32\services.exe

O23 - Service: Agent de stratégie IPSEC - Unknown - C:\WINNT\System32\lsass.exe

O23 - Service: Emplacement protégé - Unknown - C:\WINNT\system32\services.exe

O23 - Service: Gestionnaire de comptes de sécurité - Unknown - C:\WINNT\system32\lsass.exe

O23 - Service: Prise en charge des cartes à puces - Unknown - C:\WINNT\System32\SCardSvr.exe

O23 - Service: Carte à puce - Unknown - C:\WINNT\System32\SCardSvr.exe

O23 - Service: Service d'exécution par délégation - Unknown - C:\WINNT\system32\services.exe

O23 - Service: Journaux et alertes de performance - Unknown - C:\WINNT\system32\smlogsvc.exe

O23 - Service: Telnet - Unknown - C:\WINNT\system32\tlntsvr.exe

O23 - Service: Client de suivi de lien distribué - Unknown - C:\WINNT\system32\services.exe

O23 - Service: Gestionnaire d'utilitaires - Unknown - C:\WINNT\System32\UtilMan.exe

O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINNT\system32\ZoneLabs\vsmon.exe

O23 - Service: Horloge Windows - Unknown - C:\WINNT\System32\services.exe

O23 - Service: Infrastructure de gestion Windows - Unknown - C:\WINNT\System32\WBEM\WinMgmt.exe

O23 - Service: Extensions du pilote WMI - Unknown - C:\WINNT\system32\Services.exe

[MLAV]

De quel anti-virus disposez-vous?

Bien qu'il s'agisse d'un trojan, peut-être qu'une analyse en ligne Kaspersky pourrait aboutir à une éradication.

Bonne chance.

[Klendack]

Bonjour, pour toute éradication il faut désactiver la restauration système(clic droit sur le Poste de travail, onglet restauration système et cocher la case en question).

Nettoyer le disque dur, clic droit sur le lecteur, cocher tout les cases et aller dans Autre option supprimer les précédents points de restauration.

 

Nettoyer le cache Internet et supprimer les fichiers temporaires, ensuite démarrer en mode sans échec (F8 au lancement de la machine) et fixer avec HijackThis ainsi que supprimer le dossier BackUp après la manipulation.

 

voilà

[bruno]

(re)bonjour,

 

Pour ma config : je suis sous win2k et j'ai antivir comme antivirus.

 

Pour les histoires de nettoyage en mode sans échec ... etc ... ça ne marche pas, ou du moins ça revient à chaque fois car antivir bippe toutes les 5 secondes en me mettant une fenêtre d'alerte au sujet de startpage.ig (c'est comme ça que ça a commencé) et ça me modifie ma page d'accueil sur IE.

 

J'ai tenté un truc un peu bizarre : il y a un fichier SEHLP.DLL dans le répertoire winnt, il semble être utilisé par startpage, je l'ai édité avec le bloc note et j'ai viré le contenu et j'ai enregistré le fichier vide. Petit nettoyage par dessus. Depuis ça ne bippe plus et j'ai pu remettre ma page d'accueil.

 

Mais est-ce que c'est vraiment terminé ? Ne reste-t-il pas quelque chose quelque part ?

 

En plus ça fait quoi startpage ? C'est dangereux, à part modifier la page d'accueil d'IE et me faire péter les plombs depuis hier ?

 

Je suis vraiment le seul à avoir chopé ce truc ?

[bruno]

Bonsoir,

 

non, rien à faire ! Il est revenu

Mais quand je bidouille le sehlp.dll mon antivirus se tait ... c'est déjà ça.

 

D'après vous, formatage ?

[bruno]

Rebonsoir,

 

Bon, finalement c'est résolu ...

 

J'ai téléchargé l'antispyware de microsoft (Raaah ... J'ai les boules !) et ça l'a viré avec quelques autres petites choses ...

 

Si ça arrive à quelqu'un d'autre ...

 

Merci à tous