[Résolu] Infection PC (rapport HijackThis)

B2oBa · le 10 décembre 2007

Bonjour à tous, depuis quelques joursm on pc est infecté, dès que j' ouvre une page internet mon antivirus se mets à crier. J' ai supprimer les fichiers appriori infecté, j' ai fait un pré-nettoyage avec antivir mais le probleme persiste.

Voici donc mon rapport Hijack :

Logfile of HijackThis v1.99.1

Scan saved at 9:15:18, on 10/12/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Sygate\SPF\smc.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\themeGold55\CursorXP\CursorXP.exe

C:\WINDOWS\System32\devldr32.exe

C:\WINDOWS\System32\logon.exe

C:\WINDOWS\System32\svchost.exe

C:\Documents and Settings\Tyler\Bureau\hijackthis\HijackThis.exe

C:\WINDOWS\explorer.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [Windows Logon Application] C:\WINDOWS\System32\logon.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [CursorXP] C:\themeGold55\CursorXP\CursorXP.exe -s

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr

O16 - DPF: {104B0A37-AB99-4F06-8032-8BBDC3B77DDB} (Telechargement Control) - http://www.photoweb.fr/telechargement/Photoweb_Uploader.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

Merci d' avance pour votre aide

Modifié le 14 décembre 2007 par B2oBa

bruce lee · le 10 décembre 2007

Bonjour B2oBa,

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

Télécharge SDFix(créé par AndyManchesta) et sauvegarde le sur ton Bureau.

***Si le lien ne fonctionne pas, essaie celui-ci : http://download.bleepingcomputer.com/andymanchesta/SDFix.exe ***

Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

2/Démarre en mode sans échec http://cybersecurite.xooit.com/t88-Demarre...s-echec.htm#665

3/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

4/

Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
Appuie sur Y pour commencer le processus de nettoyage.
Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
Appuie sur une touche pour redémarrer le PC.
Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

5/Poste le rapport d'AVG Anti spyware 7.5 ainsi qu'un nouveau log Hijackthis.

Bon courage, et si tu as la moindre question n'hésite surtout pas

@+

B2oBa · le 10 décembre 2007

J' ai tout suivi à la lettre, aucun probleme dans le déroulement, voici mes rapports :

SDFix: Version 1.117

Run by Tyler on lun. 10/12/2007 at 11:13

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\Tyler\Bureau\sdfix\SDFix

Safe Mode:

Checking Services:

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Rebooting...

Normal Mode:

Checking Files:

Trojan Files Found:

C:\WINDOWS\SYSTEM32\HMM.EXE - Deleted

C:\WINDOWS\SYSTEM32\SYSINFO.EXE - Deleted

C:\DOCUME~1\Tyler\LOCALS~1\Temp\removalfile.bat - Deleted

C:\WINDOWS\system32\First.exe - Deleted

C:\WINDOWS\system32\Gothic.exe - Deleted

C:\WINDOWS\system32\install.exe - Deleted

C:\WINDOWS\system32\logon.exe - Deleted

C:\WINDOWS\system32\o - Deleted

C:\WINDOWS\system32\sysinfo.exe - Deleted

C:\WINDOWS\system32\Tilecomnu.com - Deleted

C:\WINDOWS\Temp\removalfile.bat - Deleted

Removing Temp Files...

ADS Check:

C:\WINDOWS

No streams found.

C:\WINDOWS\system32

No streams found.

C:\WINDOWS\system32\svchost.exe

No streams found.

C:\WINDOWS\system32\ntoskrnl.exe

No streams found.

Final Check:

catchme 0.3.1262.1 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2007-12-10 11:20:27

Windows 5.1.2600 Service Pack 1 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully

hidden processes: 0

hidden services: 0

hidden files: 0

Remaining Services:

------------------

Authorized Application Key Export:

Remaining Files:

---------------

File Backups: - C:\DOCUME~1\Tyler\Bureau\sdfix\SDFix\backups\backups.zip

Files with Hidden Attributes:

Fri 13 May 2005 217,073 A.SHR --- "C:\WINDOWS\meta4.exe"

Mon 24 Oct 2005 66,560 A.SHR --- "C:\WINDOWS\MOTA113.exe"

Thu 13 Oct 2005 422,400 A.SHR --- "C:\WINDOWS\x2.64.exe"

Fri 7 Oct 2005 308,224 A.SH. --- "C:\WINDOWS\system32\avisynth.dll"

Thu 14 Jul 2005 27,648 A.SHR --- "C:\WINDOWS\system32\AVSredirect.dll"

Sun 26 Jun 2005 616,448 A.SHR --- "C:\WINDOWS\system32\cygwin1.dll"

Tue 21 Jun 2005 45,568 A.SHR --- "C:\WINDOWS\system32\cygz.dll"

Sat 24 Jan 2004 70,656 A.SHR --- "C:\WINDOWS\system32\i420vfw.dll"

Thu 27 Apr 2006 2,945,024 A.SHR --- "C:\WINDOWS\system32\Smab.dll"

Mon 28 Feb 2005 240,128 A.SHR --- "C:\WINDOWS\system32\x.264.exe"

Sat 24 Jan 2004 217,088 A.SHR --- "C:\WINDOWS\system32\yv12vfw.dll"

Sat 21 Oct 2006 72,192 ..SHR --- "C:\Program Files\eRightSoft\SUPER\Setup.exe"

Wed 11 Jan 2006 15,872 A.SHR --- "C:\Program Files\eRightSoft\SUPER\_Setup.dll"

Tue 4 Jun 2002 84,992 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\14_43260.dll"

Tue 4 Jun 2002 44,032 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\28_83260.dll"

Tue 10 Dec 2002 73,766 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\atrc3260.dll"

Tue 10 Dec 2002 65,575 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\cook3260.dll"

Tue 4 Jun 2002 20,480 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\dnet3260.dll"

Tue 10 Dec 2002 176,165 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\drv23260.dll"

Tue 10 Dec 2002 94,208 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\drv33260.dll"

Tue 10 Dec 2002 217,127 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\drv43260.dll"

Sat 3 Nov 2001 225,280 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\ivvideo.dll"

Tue 10 Apr 2001 225,280 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\qtmlClient.dll"

Fri 20 Feb 2004 548,940 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\raac.dll"

Tue 10 Dec 2002 102,439 ...HR --- "C:\Program Files\eRightSoft\SUPER\mencoder\sipr3260.dll"

Finished!

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

+ Créé à: 11:02:41 10/12/2007

+ Résultat de l'analyse:

C:\Documents and Settings\Tyler\Cookies\tyler@247realmedia[1].txt -> TrackingCookie.247realmedia : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][1].txt -> TrackingCookie.2o7 : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][2].txt -> TrackingCookie.Adbrite : Aucune action entreprise.

:mozilla.15:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Adnet : Aucune action entreprise.

:mozilla.16:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Adnet : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][2].txt -> TrackingCookie.Adnet : Aucune action entreprise.

:mozilla.24:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Adtech : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@adtech[1].txt -> TrackingCookie.Adtech : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@advertising[2].txt -> TrackingCookie.Advertising : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@adviva[1].txt -> TrackingCookie.Adviva : Aucune action entreprise.

:mozilla.40:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Atdmt : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@atdmt[2].txt -> TrackingCookie.Atdmt : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@bluestreak[2].txt -> TrackingCookie.Bluestreak : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@burstnet[1].txt -> TrackingCookie.Burstnet : Aucune action entreprise.

:mozilla.434:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

:mozilla.435:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

:mozilla.436:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][1].txt -> TrackingCookie.Comclick : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@doubleclick[1].txt -> TrackingCookie.Doubleclick : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@estat[2].txt -> TrackingCookie.Estat : Aucune action entreprise.

:mozilla.196:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Imrworldwide : Aucune action entreprise.

:mozilla.197:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Imrworldwide : Aucune action entreprise.

:mozilla.316:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Liveperson : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@mediaplex[1].txt -> TrackingCookie.Mediaplex : Aucune action entreprise.

:mozilla.193:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Msn : Aucune action entreprise.

:mozilla.194:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Msn : Aucune action entreprise.

:mozilla.195:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Msn : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][2].txt -> TrackingCookie.Msn : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][1].txt -> TrackingCookie.Netflame : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@overture[1].txt -> TrackingCookie.Overture : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][2].txt -> TrackingCookie.Planetactive : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@questionmarket[2].txt -> TrackingCookie.Questionmarket : Aucune action entreprise.

:mozilla.169:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Real : Aucune action entreprise.

:mozilla.170:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Real : Aucune action entreprise.

:mozilla.297:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Real : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][1].txt -> TrackingCookie.Real : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][2].txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@serving-sys[1].txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@smartadserver[1].txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][2].txt -> TrackingCookie.Starware : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][1].txt -> TrackingCookie.Starware : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@tradedoubler[2].txt -> TrackingCookie.Tradedoubler : Aucune action entreprise.

:mozilla.351:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.

:mozilla.352:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.

:mozilla.353:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@weborama[1].txt -> TrackingCookie.Weborama : Aucune action entreprise.

:mozilla.220:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Webtrends : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][2].txt -> TrackingCookie.Webtrends : Aucune action entreprise.

:mozilla.422:C:\Documents and Settings\Tyler\Application Data\Mozilla\Firefox\Profiles\ra46ckdb.default\cookies.txt -> TrackingCookie.Yadro : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@yadro[1].txt -> TrackingCookie.Yadro : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\[email protected][1].txt -> TrackingCookie.Yieldmanager : Aucune action entreprise.

C:\Documents and Settings\Tyler\Cookies\tyler@zedo[2].txt -> TrackingCookie.Zedo : Aucune action entreprise.

Fin du rapport

Logfile of HijackThis v1.99.1

Scan saved at 11:30:06, on 10/12/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Sygate\SPF\smc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Program Files\Winamp\Winampa.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\System32\devldr32.exe

C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

C:\WINDOWS\System32\ctfmon.exe

C:\themeGold55\CursorXP\CursorXP.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\system32\NOTEPAD.EXE