[RESOLU] MAchine avec plein de Symptômes anormaux - sais même pas fair

Le sioux · le 5 octobre 2008

Re

Oui, laisse faire

Wisewise3 · le 5 octobre 2008

Re

comme cele ne fonctionnait pas au redémarrage, pas d'activité.

J'ai suivi la procédure de "rechange".

Voci le fichier le rapport demandé. Je l'ai repris directemtn du mode sans echec

Sun Oct 05 11:25:43 2008

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

Sun Oct 05 11:32:14 2008

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

Sun Oct 05 15:15:59 2008

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Eliminado Bagle (rootkit)

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Eliminado Bagle.dldr

Sun Oct 05 15:16:20 2008

----------------------------------------------

Lista de Acciones (por Acción Directa):

Sun Oct 05 15:16:34 2008

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Users\matthieu\Documents\Mes Historiques de Conversation\FREE_YOUTUBE_TO_MP3_CONVERTER_2.3.EXE --> Eliminado Bagle.dldr

Nº Total de Directorios: 13717

Nº Total de Ficheros: 72360

Nº de Ficheros Analizados: 14510

Nº de Ficheros Infectados: 1

Nº de Ficheros Limpiados: 1

Le sioux · le 5 octobre 2008

Re

Afin de suivre la procédure correctement, je te conseille d'enregistrer la page en sélectionnant toutes les lignes puis de copier cette sélection dans un fichier texte sur ton PC pour pouvoir appliquer la procédure correctement.

Il faut exécuter toutes les étapes, sans interruption, dans l'ordre exact indiqué ci-dessous.

Si un élément te paraît obscure, demande des explications avant de commencer la désinfection.

1) Télécharge et installe

-- CCleaner

http://www.ccleaner.com/download/builds.aspx

Choisis de préférence la version SLIM-No Toolbar.
Installe-le en prenant soin de décocher les diverses options dont la barre Yahoo et la mise à jour.
Lance CCleaner puis Clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures".
Pour les autres paramètres, laisse-le avec ses réglages par défaut.

-- Malwarebyte's Anti-Malware

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

Tuto : http://forum.pcastuces.com/malwarebytes_an...oriel-f31s3.htm

A la fin de l'installation, veille à ce que l'option « Mettre a jour Malwarebyte's Anti-Malware » soit cochée. >>> clique sur OK.
S'il ne s'est pas lancé tout seul, double-clique sur l'icône de Malwarebyte's Anti-Malware sur ton Bureau.
Au premier lancement, une fenêtre t'annonce que la version est Free >>> clique sur OK
Laisse les Mises à jour se télécharger.
Ferme Malwarebyte's Anti-Malware pour le moment.

2) Redémarre en mode sans échec

Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuie sur la touche [F8] (ou [F5] sur certains PCs) jusqu'à l'affichage du menu des options avancées de Windows.
Sélectionne "Mode sans échec" et appuie sur [Entrée]
Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre.
Une fois en mode sans échec, ouvre le fichier teste que tu as sauvegardé sur ton Bureau afin de suivre les instructions comme il faut.

3) Scan avec Malwarebyte's Anti-Malware

Clique sur le raccourci de Malwarebyte's Anti-Malware sur ton Bureau puis "Exécuter en tant qu'administrateur".
Onglet "Recherche" >>> coche Exécuter un examen complet >>> Rechercher sélectionne tes disques durs puis clique sur Lancer l’examen.
A la fin du scan >>> clique sur Afficher les résultats
Suppression des éléments détectés >>>> clique sur Supprimer la sélection ou supprimer tout
S'il t'es demandé de redémarrer >>> clique sur "Yes"
--> Un rapport de scan s'ouvre, sauvegarde le sur ton Bureau.
Puis ferme Malwarebyte's Anti-Malware.

4) Suppression de fichiers inutiles avec CCleaner

Lance CCleaner en double-cliquant sur son raccourci sur ton Bureau.
Puis dans le menu Nettoyeur
Clique sur Analyse (laisse travailler cela peut durer longtemps la 1ere fois)
Clique sur le bouton Lancer le nettoyage.
Clique une seconde fois sur le bouton Lancer le nettoyage puis ferme CCleaner.

5) Rapports

Poste en réponse :

* Un nouveau rapport HijackThis

* Le rapport de Malwarebyte's Anti-Malware que tu as sauvegardé sur ton Bureau.

@ suivre.

Wisewise3 · le 5 octobre 2008

Re,

voici les rapports. Attention que CCLEANER je l'ai exécuté également en mode sans echec et en mode normal après. J'ai fait analyse en même temps de ma clé USB mais n'ai pas encore supprimer les fichiers dessus.

Malwarebytes' Anti-Malware 1.28

Database version: 1229

Windows 6.0.6001 Service Pack 1

05/10/2008 16:32:45

mbam-log-2008-10-05 (16-32-45).txt

Scan type: Full Scan (C:\|E:\|)

Objects scanned: 100449

Time elapsed: 26 minute(s), 49 second(s)

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 0

Registry Values Infected: 0

Registry Data Items Infected: 0

Folders Infected: 1

Files Infected: 4

Memory Processes Infected:

(No malicious items detected)

Memory Modules Infected:

(No malicious items detected)

Registry Keys Infected:

(No malicious items detected)

Registry Values Infected:

(No malicious items detected)

Registry Data Items Infected:

(No malicious items detected)

Folders Infected:

C:\Windows\System32\drivers\downld (Trojan.Agent) -> Quarantined and deleted successfully.

Files Infected:

C:\Program Files\eMule\emule.exe (Rogue.Fake!emule.exe) -> Quarantined and deleted successfully.

C:\Program Files\eMule\LinkCreator.exe (Rogue.Fake!emule.exe) -> Quarantined and deleted successfully.

E:\Gravure\Nero 8321 Fr + serial\keygen Nero-8.3.2.1.exe (Trojan.Agent) -> Not selected for removal.

E:\WGA Remover OK\Windows XP Keygen.exe (Malware.Tool) -> Not selected for removal.

Rapport HijackThis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:45, on 2008-10-05

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal

Running processes:

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Windows\system32\taskeng.exe

C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe

C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe

C:\Program Files\Logitech\QuickCam\Quickcam.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Windows\system32\wbem\unsecapp.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

C:\Program Files\Common Files\Logishrd\LQCVFX\COCIManager.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

C:\Windows\system32\wuauclt.exe

C:\Users\matthieu\Desktop\coucou.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll (file missing)

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O2 - BHO: PDF-XChange Viewer IE-Plugin - {C5D07EB6-BBCE-4DAE-ACBB-D13A8D28CB1F} - C:\Program Files\Tracker Software\PDF-XChange Viewer\pdf-viewer\PDFXCviewIEPlugin.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE

O4 - HKLM\..\Run: [startCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

O4 - HKLM\..\Run: [OneCareUI] "C:\Program Files\Microsoft Windows OneCare Live\winssnotify.exe"

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe"

O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\QuickCam\Quickcam.exe" /hide

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [drvsyskit] C:\Windows\system32\drivers\hldrrr.exe

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: (no name) - cmdmapping - (no file) (HKCU)

O13 - Gopher Prefix:

O23 - Service: ASLDR Service (ASLDRService) - Unknown owner - C:\Program Files\ATK Hotkey\ASLDRSrv.exe

O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe

O23 - Service: Google Updater Service (gusvc) - Unknown owner - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)

O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe

O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe

O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\SrvLnch\SrvLnch.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

--

End of file - 5420 bytes

Wisewise3 · le 5 octobre 2008

Re,

en attendant d'avoir une réponse, j'ai suivi le process suivant (Voir entre guillemets" pour retrouver le wifi: Cela fonctionne; je vois à nouveau les reseaux wifi. Le bouton ON OFF pas opérationnel mais pas encore grave.

Au plaisir de te relire par rapport au rapport afin d'être sur que tout est nettoyé.

En tout ca merci.

"Vous n'arrivez plus a vous connecter avec votre wifi. Si vous allez dans les outils administration sur la page "services" pour activer "configuration automatique sans fil" vous avez l'erreur 1068.

Si c'est votre cas et que vous vous etes arraché les cheveux, voici la solution:

Vous devez aller dans la base de registre avec regedit ou autre.

1. Demarrer > executer > Tapez : "regedit" en ok

2. Allez sur HKEY Local Machine > system > CurrentControlSet > Services > Ndisuio

Dans cette clé il y a une entrée nommée "START", double cliquez dessus. Cette entrée doit être 3 pour que le protocole NDIS E/S demarre correctement.

Un virus comme "bagle / Beagle" change cette entrée et la met sur 4 (disable) et cause le probleme que vous avez.

Reboutez ensuite votre PC et tout devrait rentrer dans l'ordre.

Bonne journée !!! "

Le sioux · le 6 octobre 2008

Bonjour Wisewise3

Pour ta connexion, c'est bien tu m'as devancé, re-fonctionne t elle à nouveau comme il faut ?

E:\Gravure\Nero 8321 Fr + serial\keygen Nero-8.3.2.1.exe (Trojan.Agent) -> Not selected for removal.
E:\WGA Remover OK\Windows XP Keygen.exe (Malware.Tool) -> Not selected for removal.

/!\ Sache que Baggle s'attrape via des cracks ... si tu refuses de les supprimer comme tu l'as fait avec MalwareByte's Antimalware, alors qu'ils étaient détectés en tant que nuisances, tu risques la ré-infection./!\

Pour preuve, apparition de cette ligne dans HijackThis O4 - HKCU\..\Run: [drvsyskit] C:\Windows\system32\drivers\hldrrr.exe --> Baggle

L'utilisation de cracks ou keygens est à proscrire, de même que le surf sur les sites de téléchargement de ceux-ci:

@ voir : Vidéo http://secuboxlabs.fr/archives/computertoday.html

@ lire : Les dangers des cracks : http://forum.malekal.com/ftopic893.php

Le crack dans toute sa splendeur, journal d'une infection attendue : http://forum.zebulon.fr/prevention-le-crac...eur-t93281.html

Ceci dit, on continu :

Important : Tant que tu ne seras pas sur d'avoir éradiqué le ver, n'ouvre aucun de tes disques ou périphériques externes en te servant du double-clic, sous peine de relancer l'infection.

Ouvre l’explorateur Windows puis fais un clic droit sur l'icône du DD (que tu veux ouvrir )dans le panneau de gauche et clic sur "Développer"

1) Flash Desinfector d'sUBs

Télécharge Flash Desinfector d'sUBs

Clique droit sur le fichier .exe puis "Exécuter en tant qu'administrateur"
Si la clé n'est pas introduite, il sera demandé de la connecter.
Laisse travailler l'outil.

Note : Si ton Bureau ne réapparaît pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.

Puis rends-toi à l'onglet "processus". Cliques en haut à gauche sur fichiers et choisis "exécuter"

Tapes explorer et valides. Cela te fera apparaître ton Bureau

2) OTMoveIt2 de Old_Timer

Télécharge OTMoveIt2 de Old_Timer sur ton Bureau.

Clique droit sur OTMoveIt.exe puis "Exécuter en tant qu'administrateur"
Copie la liste qui se trouve en citation ci-dessous
Et colle-la dans le cadre de gauche de OTMoveIt :
Paste standard List of Files/Folders to be moved.

E:\Gravure\Nero 8321 Fr + serial\keygen Nero-8.3.2.1.exe
E:\WGA Remover OK\Windows XP Keygen.exe

C:\Users\matthieu\AppData\Roaming\Microsoft\Windows\Recent\key nero8 no serial(crack).lnk

C:\Users\matthieu\AppData\Roaming\Microsoft\Windows\Recent\Nero 8 Fr + Keygen.lnk

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\drvsyskit

HKLM\System\CurrentControlSet\Enum\Root\LEGACY_SROSA

HKLM\System\CurrentControlSet\Enum\Root\rosa

HKLM\System\ControlSet001\Enum\Root\LEGACY_SROSA

HKLM\System\ControlSet001\Enum\Root\rosa

HKLM\System\ControlSet002\Enum\Root\LEGACY_SROSA

HKLM\System\ControlSet002\Enum\Root\rosa

HKLM\System\ControlSet003\Enum\Root\LEGACY_SROSA

HKLM\System\ControlSet003\Enum\Root\rosa

Clique sur MoveIt! pour lancer la suppression.
Le résultat apparaîtra dans le cadre Results.
Clique sur Exit pour fermer.

Il te sera peut-être demander de faire redémarrer le PC pour achever la suppression.

si c'est le cas accepte par Yes.

--> Poste le rapport d'OTMoveIt situé dans C:\_OTMoveIt\MovedFiles (contenu du fichier C:\_OTMoveIt\MovedFiles\********_******.log - les *** sont des chiffres représentant la date et l'heure) ainsi qu'un nouveau rapport HijackThis.

@ suivre.

Par la suite, il faudra tenter de réinstaller Antivir ...

Modifié le 6 octobre 2008 par Le sioux

Wisewise3 · le 6 octobre 2008

Bonjour,

pour la connexion Wifi, je vais la tester à nouveau... PAr contre l'"interrupteur ONOFF du portable ne donne pas signe de vie...Ici je me suis connecté par le reseau cablé. Par contre quand j'ai rallumé le portable, il lancait une restauration...

Donc à mon avis virus toujours présent.

JE l'ai interrompu et relancer normalement.

Voici les rapports demandés:

E:\Gravure\Nero 8321 Fr + serial\keygen Nero-8.3.2.1.exe moved successfully.

E:\WGA Remover OK\Windows XP Keygen.exe moved successfully.

File/Folder C:\Users\matthieu\AppData\Roaming\Microsoft\Windows\Recent\key nero8 no serial(crack).lnk not found.

File/Folder C:\Users\matthieu\AppData\Roaming\Microsoft\Windows\Recent\Nero 8 Fr + Keygen.lnk not found.

< HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\drvsyskit >

Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\drvsyskit deleted successfully.

< HKLM\System\CurrentControlSet\Enum\Root\LEGACY_SROSA >

Unable to delete registry key HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\Root\LEGACY_SROSA\\ .

< HKLM\System\CurrentControlSet\Enum\Root\rosa >

Registry key HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\Root\rosa\\ not found.

< HKLM\System\ControlSet001\Enum\Root\LEGACY_SROSA >

Unable to delete registry key HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\LEGACY_SROSA\\ .

< HKLM\System\ControlSet001\Enum\Root\rosa >

Registry key HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\rosa\\ not found.

< HKLM\System\ControlSet002\Enum\Root\LEGACY_SROSA >

Unable to delete registry key HKEY_LOCAL_MACHINE\System\ControlSet002\Enum\Root\LEGACY_SROSA\\ .

< HKLM\System\ControlSet002\Enum\Root\rosa >

Registry key HKEY_LOCAL_MACHINE\System\ControlSet002\Enum\Root\rosa\\ not found.

< HKLM\System\ControlSet003\Enum\Root\LEGACY_SROSA >

Unable to delete registry key HKEY_LOCAL_MACHINE\System\ControlSet003\Enum\Root\LEGACY_SROSA\\ .

< HKLM\System\ControlSet003\Enum\Root\rosa >

Registry key HKEY_LOCAL_MACHINE\System\ControlSet003\Enum\Root\rosa\\ not found.

OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 10062008_205416

et celui de Hijack (qui ne s'éteint plus tout seul... )

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:03, on 2008-10-06

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal

Running processes:

C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe

C:\Program Files\Logitech\QuickCam\Quickcam.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Windows\system32\wbem\unsecapp.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

C:\Program Files\Common Files\Logishrd\LQCVFX\COCIManager.exe

C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe

C:\Windows\system32\conime.exe

C:\Windows\explorer.exe

C:\Windows\system32\taskeng.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Windows\system32\SearchFilterHost.exe