trojan dowloader win 32 small.buy

lemegapro · le 4 mai 2008

Bonjour à tous,

Après divers nettoyages avec antivirus antivir, f sécure, avg anti spyware, spybot, il me reste encore quelques pub sur certains sites avec internet explorer.

F secure m'indique le Trojan dowloader win 32 Small.buy.

Comment le supprimer définitivement, existe t-il un patch ou fix !!

Merci de votre aide

Zonk · le 4 mai 2008

Allo

Amène un rapport Hijackthis (gratuit)

http://www.trendsecure.com/portal/fr/tools...ools/hijackthis

Va à "Télécharger" et choisi " Download Hijackthis executable"

et "enregistrer" le sur ton bureau

Tu fermes tous les programmes ouverts par toi-même…..

y compris le navigateur......

sauf ton anti-virus et pare-feu ...bien entendu

Ouvre HijackThis
Clic sur "Do a system scan and save the log file"
Cela va ouvrir un bloc note à la fin du scan.
Copie le contenu et poste le dans ton prochain message

@+

lemegapro · le 4 mai 2008

merci de ton aide, voilà le rapport hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:27:17, on 04/05/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\brsvc01a.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\brss01a.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\Explorer.EXE

C:\D-Tools sans cd\daemon.exe

C:\PROGRA~1\GOTOSO~1\VADERE~1\Vaderetro_oe.exe

C:\Program Files\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\Rundll32.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\Program Files\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe

C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE

C:\Program Files\F-Secure\Anti-Virus\fssm32.exe

C:\Program Files\Linksys\Wireless-G Notebook Adapter with SpeedBooster\NICServ.exe

C:\BVRP Connection Manager\NomadSvr.exe

C:\orant\ora9i\bin\omtsreco.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

c:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Wireless LAN Utility\tiwlnsvc.exe

C:\WINDOWS\System32\tlntsvr.exe

C:\Program Files\F-Secure\Common\FSMA32.EXE

C:\Program Files\F-Secure\Common\FSMB32.EXE

C:\Program Files\F-Secure\Common\FCH32.EXE

C:\Program Files\F-Secure\Common\FAMEH32.EXE

C:\Program Files\F-Secure\Common\FNRB32.EXE

C:\Program Files\F-Secure\Common\FIH32.EXE

C:\Program Files\F-Secure\Anti-Virus\fsav32.exe

C:\WINDOWS\system32\wuauclt.exe

C:\mission sécurité\ANNEE 2008\hijackthis\HijackThis.exe

\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = mars;lune;gauguin;atlas

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {A6C54318-5AC7-477D-B0A7-49AF5189300C} - (no file)

O2 - BHO: (no name) - {F8CF1D85-6865-4EA4-8790-09DEF9309462} - (no file)

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\D-Tools sans cd\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [Vade Retro Outlook Express] "C:\PROGRA~1\GOTOSO~1\VADERE~1\Vaderetro_oe.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [bM0fdfb6f9] Rundll32.exe "C:\WINDOWS\system32\fkpcvnom.dll",s

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [Connection Manager] "C:\BVRP Connection Manager\Nomad.exe" /runstart (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - .DEFAULT User Startup: OpenOffice.org 1.1.2.lnk = C:\Program Files\OpenOffice.org1.1.2\program\quickstart.exe (User 'Default user')

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200401...meInstaller.exe

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{A626CB74-4E57-4547-B35A-4B09F38BDC7B}: Domain = culture.fr

O17 - HKLM\System\CCS\Services\Tcpip\..\{D272FC50-7F9C-4A29-A0CB-51DB12D02A3B}: NameServer = 80.10.246.1

O20 - Winlogon Notify: cbXNGwvv - cbXNGwvv.dll (file missing)

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe

O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe

O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE

O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: NICSer_WPC54GS - Unknown owner - C:\Program Files\Linksys\Wireless-G Notebook Adapter with SpeedBooster\NICServ.exe

O23 - Service: Connection Manager (Nomad) - Unknown owner - C:\BVRP Connection Manager\NomadSvr.exe

O23 - Service: OracleMTSRecoveryService - Oracle Corporation - C:\orant\ora9i\bin\omtsreco.exe

O23 - Service: Oracleora9iClientCache - Unknown owner - C:\orant\ora9i\BIN\ONRSD.EXE

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: TI Wlan Service (tiwlnsvc) - Unknown owner - C:\Program Files\Wireless LAN Utility\tiwlnsvc.exe

--

End of file - 7480 bytes

lemegapro · le 4 mai 2008

Certaines lignes sont bizarres : faut il les fixer ? j'ai besoin d'un connaisseur pour éviter les bêtises.

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {A6C54318-5AC7-477D-B0A7-49AF5189300C} - (no file)

O2 - BHO: (no name) - {F8CF1D85-6865-4EA4-8790-09DEF9309462} - (no file)

O4 - HKLM\..\Run: [bM0fdfb6f9] Rundll32.exe "C:\WINDOWS\system32\fkpcvnom.dll",s

Zonk · le 4 mai 2008

Certaines lignes sont bizarres : faut il les fixer ? j'ai besoin d'un connaisseur pour éviter les bêtises.

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {A6C54318-5AC7-477D-B0A7-49AF5189300C} - (no file)

O2 - BHO: (no name) - {F8CF1D85-6865-4EA4-8790-09DEF9309462} - (no file)

O4 - HKLM\..\Run: [bM0fdfb6f9] Rundll32.exe "C:\WINDOWS\system32\fkpcvnom.dll",s

Va pas trop rapidement....

@+

Zonk · le 4 mai 2008

En attente de mon analyse:

Je vois deux antivirus.....(je te conseille Antivir)

.....lequel veux tu garder??

ne désinstalle pas trop rapidement l'un ou l'autre...

je vais te guider pour une désinstallation propre

@+

lemegapro · le 4 mai 2008

merci, je suis entrain de mettre windows à jour, c'est presque terminé

pour l'instant, je garde les 2 antivirus car F secure a été mis par mon travail et je ne veux pas le retirer

merci

pear · le 4 mai 2008

Bonjour,

Fixez les 5 lignes.

Copier/coller ce qui suit dans le bloc notes,

sans ligne blanche au début.

Enregistrez sur le bureau sous regis.reg.

Cliquez droit sur le fichier ->fusionner

Acceptez la modification du Régistre:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"BM0fdfb6f9"=-

suppression de ce fichier, en gras

c:\windows\system32\fkpcvnom.dll

Imprimez ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

Télécharger Malwarebytes' Anti-Malware (MBAM)

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes.

Double-cliquer sur l'icône Download_mbam-setup.exe sur le bureau pour démarrer l'installation.

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet).

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

vérifiez que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

Comme il se met automatiquement à jour en fin d'installation, cliquer sur OK pour fermer la boîte de dialogue.

La fenêtre principale de MBAM s'affiche :

Dans l'onglet analyse, vérifier que "Exécuter une analyse approfondie" est coché et cliquer sur le bouton Rechercher pour démarrer l'analyse.

L' analyse prendra un certain temps, soyez patient !

Un message s'affichera, en indiquant la fin .

Cliquer sur OK pour continuer.

Si des malwares ont été détectés, leur liste s'affiche.

En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

MBAM va ouvrir le bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Fermer le bloc-note.

Fermer MBAM en cliquant sur Quitter.

Poster le rapport .

Zonk · le 4 mai 2008

merci, je suis entrain de mettre windows à jour, c'est presque terminé
pour l'instant, je garde les 2 antivirus car F secure a été mis par mon travail et je ne veux pas le retirer

merci

Idéalement il ne faut pas mettre le système à jour quand on est infecté.......ca risque de ch*er

Tu devras supprimer Antivir au plus vite......risque de conflit et de problèmes multiples

Suppression d'Antivir

Pour désinstaller Antivir ..

Terminer les processus Antivir
Démarrer
Exécuter

et tapez taskmgr (onglet processus)

Pour arrêter un processus Antivir :

-Clic droit sur le processus
-Terminer le processus

AVGUARD.EXE
AVSCHED.EXE
AVWUPSRV.EXE
AVGNT.EXE

tu auras un message de Windows t'avisant de la possible pertes de données et d'instabilité, etc....c'est un message normal dans ces circonstances...et sans danger pour le moment car tu ne touche pas à Windows...

Ensuite tu vas tout de go à Ajout /Supp de programmes et tu supprimes Antivir antivirus

je crois que ton infection est Vundo......

mais attend que je te confirme.....et n'ose rien !

je dois partir quelques heures (1-2-3 hres)

.....ne fait rien sauf si un membre compétent me seconde......

@+

Modifié le 4 mai 2008 par Zonk

lemegapro · le 4 mai 2008

Voilà les derniers rapports :

Malwarebytes' Anti-Malware :

Malwarebytes' Anti-Malware 1.11

Version de la base de données: 715

Type de recherche: Examen complet (C:\|)

Eléments examinés: 127361

Temps écoulé: 1 hour(s), 39 minute(s), 52 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 1

Clé(s) du Registre infectée(s): 6

Valeur(s) du Registre infectée(s): 2

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 5

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

C:\WINDOWS\system32\fkpcvnom.dll (Trojan.Vundo) -> No action taken.

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\jkwslist (Malware.Trace) -> No action taken.

HKEY_CURRENT_USER\Software\Microsoft\MS Juan (Malware.Trace) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Juan (Trojan.Vundo) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BM0fdfb6f9 (Trojan.Vundo) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{a6c54318-5ac7-477d-b0a7-49af5189300c} (Trojan.Vundo) -> No action taken.

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

Dossier(s) infecté(s):

C:\WINDOWS\system32\pnVes01 (Trojan.Agent) -> No action taken.

Fichier(s) infecté(s):

C:\WINDOWS\system32\fkpcvnom.dll (Trojan.Vundo) -> No action taken.

C:\WINDOWS\system32\awttrSKb.dll (Trojan.Vundo) -> No action taken.

C:\WINDOWS\system32\cbXNGwvv.dll.bak (Trojan.Vundo) -> No action taken.

C:\WINDOWS\system32\pmnlkKdc.dll (Trojan.Vundo) -> No action taken.

C:\WINDOWS\system32\pnVes01\pnVes011065.exe (Trojan.DownLoader) -> No action taken.

après désinfection :

Malwarebytes' Anti-Malware 1.11

Version de la base de données: 715

Type de recherche: Examen complet (C:\|)

Eléments examinés: 127361

Temps écoulé: 1 hour(s), 39 minute(s), 52 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 1

Clé(s) du Registre infectée(s): 6

Valeur(s) du Registre infectée(s): 2

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 5

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

C:\WINDOWS\system32\fkpcvnom.dll (Trojan.Vundo) -> Unloaded module successfully.

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\jkwslist (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\Software\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Juan (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BM0fdfb6f9 (Trojan.Vundo) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{a6c54318-5ac7-477d-b0a7-49af5189300c} (Trojan.Vundo) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

Dossier(s) infecté(s):

C:\WINDOWS\system32\pnVes01 (Trojan.Agent) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):

C:\WINDOWS\system32\fkpcvnom.dll (Trojan.Vundo) -> Delete on reboot.

C:\WINDOWS\system32\awttrSKb.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\cbXNGwvv.dll.bak (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\pmnlkKdc.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\pnVes01\pnVes011065.exe (Trojan.DownLoader) -> Quarantined and deleted successfully.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:05:19, on 04/05/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\brsvc01a.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\brss01a.exe

C:\WINDOWS\Explorer.EXE

C:\D-Tools sans cd\daemon.exe

C:\PROGRA~1\GOTOSO~1\VADERE~1\Vaderetro_oe.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\Program Files\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe

C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE

C:\Program Files\F-Secure\Anti-Virus\fssm32.exe

C:\Program Files\Linksys\Wireless-G Notebook Adapter with SpeedBooster\NICServ.exe

C:\BVRP Connection Manager\NomadSvr.exe

C:\orant\ora9i\bin\omtsreco.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

c:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Wireless LAN Utility\tiwlnsvc.exe

C:\WINDOWS\System32\tlntsvr.exe

C:\Program Files\F-Secure\Common\FSMA32.EXE

C:\Program Files\F-Secure\Common\FSMB32.EXE

C:\Program Files\F-Secure\Common\FCH32.EXE

C:\Program Files\F-Secure\Common\FAMEH32.EXE

C:\WINDOWS\system32\wscntfy.exe