Une geebx.dll ventouse .... + ?....

Alinus · le 18 novembre 2005

D'abord, un grand bonjour à tous...

Depuis une huitaine, j'erre sur divers forums spécialisés ... je ne vais pas en faire la pub mais je n'ai pas trop de réponse sur mon problème. Sur pas mal d'aspects, il ressemble à bcp d'autres, mais ce que j'ai fait déjà n'a pas marché...

Symptômes, je les ai tous : IE ouvert, redirections vers des pages type www.searc'h, oas.central, paypopup... pour les plus récurrentes...

Ouverture de très jolis pop-ups dessins aux contours très design...

Winfixer qui veut s'installer en permanence....

Ralentissement du proc"

J'ai déjà fait pas mal de kill sous processxp, de fix HJT, de destruction de la geebx sous killpocket, de l2mfix.bat, de vundo Fix, de scan en ligne, de spybot, d'adaware, mais , pour l'instant, l'ordre n'a pas du être bon, puisuq eça persiste/...

Je n'arrive pas à me décrocher la geebx.dll et elle est suivie dans le Winlogon par une autre dll foireuse au nom aléatoire à chaque boot....

J'ai parcouru ce forum et j'ai l'impression que ça peut marcher ici (vil fayot que je suis ; :-P .

Merci à tous d'essayer de m'aider ...

Voici mon log HJT actuel :

Logfile of HijackThis v1.99.1

Scan saved at 18:37:09, on 18/11/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Microsoft IntelliType Pro\type32.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\PcCtlCom.exe

C:\WINDOWS\System32\svchost.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\Tmntsrv.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\tmproxy.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\TmPfw.exe

C:\WINDOWS\System32\HPZipm12.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopOE.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopDisplay.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Documents and Settings\Alain\Mes documents\Unzipped\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.news.yahoo.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINDOWS\System32\geebx.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"

O4 - HKLM\..\Run: [tcactive] C:\Program Files\The Cleaner\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\Program Files\The Cleaner\tcm.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

O4 - Global Startup: hpoddt01.exe.lnk = ?

O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1119644501453

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005102...all/xscan53.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~2\GOEC62~1.DLL

O20 - Winlogon Notify: CSCSettings - C:\WINDOWS\system32\j42qlef51h2.dll

O20 - Winlogon Notify: geebx - C:\WINDOWS\System32\geebx.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Local Security Authority Server (LSA Server) - Logitech, Inc. - (no file)

O23 - Service: Local Security Authority Subsystem Service (lsass) - Logitech, Inc. - (no file)

O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~2\PcCtlCom.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~2\Tmntsrv.exe

O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~2\TmPfw.exe

O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~2\tmproxy.exe

MERCI !

Mark · le 18 novembre 2005

Bonjour Alinus, et bienvenue sur Zeb' Sécurité

J'analyse le tout, et je poste des instructions dans 10 minutes..

Alinus · le 18 novembre 2005

Merci de ton accueil chaleureux...

Même dans 11 minutes, si tu veux...

Mark · le 18 novembre 2005

Rebonjour !

Effectivement, tu es infecté par Vundo, qui s'éradique bien avec VundoFix, selon la bonne technique. Problème : tu as aussi Look2Me qui vient tout gâcher, et que L2MFix ne peut réparer pour l'instant (nous attendons sa nouvelle évolution prochainement). Heureusement... il existe un tool qui va t'enlever Vundo + Look2Me.

Je devrais te demander de faire un pré-nettoyage maintenant, mais je me ravise... on fera plutôt du post-nettoyage

Télécharge SpySweeper (de Webroot) ICI (version d'essai - 14 jours):

Clic sur le lien Free Trial sous la rubrique "SpySweeper".
Installe le programme. Une fois installé, il se lancera.
L'option de le mettre à jour s'affichera; clic Yes.
Lorsque les mises à jour seront installées, clic Options sur la gauche.
Clic sur l'onglet Sweep Options.
Sous What to Sweep, coche les options suivantes:
- Sweep Memory
- Sweep Registry
- Sweep Cookies
- Sweep All User Accounts
- Enable Direct Disk Sweeping
- Sweep Contents of Compressed Files
- Sweep for Rootkits
- DÉCOCHE Do not Sweep System Restore Folder.
[*]Clic Sweep Now sur la gauche.

[*]Clic sur Start.

[*]Quand le scan est terminé, clic sur Next.

[*]Assure-toi que tous les items sont cochés, puis clic sur Next.

[*]Tous les items cochés seront éliminés.

[*]Si Spy Sweeper veut redémarrer pour terminer le nettoyage : ACCEPTE.

[*]Clic Session Log au haut - à droite, et copie tout ce qu'il y a dans la fenêtre.

[*]Clic sur l'onglet Summary, puis clic sur Finish.

[*]Colle le contenu du "Session Log" dans ta prochaine réponse.

Post également un nouveau rapport HijackThis! avec celui de Spy Sweeper.

@ plus tard..

Alinus · le 18 novembre 2005

Le scan de Spy Sweeper et en cours (très long , j'ai 60 go de donnéees), il m'a déjà trouvé virtumonde, icannews, trojan-backdoor-soundcheck, dollarrevenue, effezctive itool bar et plein de spy cookies...

J'ai donc de l'espoir

par contre, cher Qc001, je dois partir à un dîner avec des amis... je laisse tourner la bécane et je poste les logs souhaités vers 12h30 dernier carat...

A+ et bonne soirée

et déjà , merci de ta super-efficacité !!

Mark · le 18 novembre 2005

Ben va falloir faire avec !!

Doucement avec le Beaujolais, car le règlement #1 chez Zeb' : n'effectuer les fixes qu'en toute sobriété :-P

(je viens de l'inventer.. )

BipBip07 · le 18 novembre 2005

Ben va falloir faire avec !!

Doucement avec le Beaujolais, car le règlement #1 chez Zeb' : n'effectuer les fixes qu'en toute sobriété

(je viens de l'inventer.. )

Bonsoir ! Arfff, on vous l'a envoyé jusqu'au Quebec !

Pour l'avoir goutté hier jusqu'a 1h00 du matin (environ) il est toujours aussi "dégueulasse"

Alinus · le 18 novembre 2005

Bon... retour at home... je n'ai pas tourné au beaujolpif' , alors ça va encore.... :-P

Je t'ai supprimé des milliards de lignes "shield ....ad-a-aware etc" et j'ai conservé tout ce qui était différent de cette mention

********

19:18: | Start of Session, vendredi 18 novembre 2005 |

19:18: Spy Sweeper started

19:18: Sweep initiated using definitions version 574

19:18: Starting Memory Sweep

19:19: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

19:19: Found Adware: virtumonde

19:19: Detected running threat: C:\WINDOWS\system32\geebx.dll (ID = 77)

19:19: Found Adware: icannnews

19:19: Detected running threat: C:\WINDOWS\system32\j42qlef51h2.dll (ID = 83)

19:20: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

19:21: Detected running threat: C:\WINDOWS\system32\wanhttp.dll (ID = 83)

19:25: Memory Sweep Complete, Elapsed Time: 00:06:24

19:25: Starting Registry Sweep

19:25: Found Trojan Horse: trojan-backdoor-soundcheck

19:25: HKLM\system\currentcontrolset\control\lsa\ || compaq service drivers (ID = 144196)

19:25: HKLM\software\microsoft\ole\ || compaq service drivers (ID = 144197)

19:25: HKCR\msevents.msevents\ (5 subtraces) (ID = 749130)

19:25: HKCR\msevents.msevents.1\ (3 subtraces) (ID = 749136)

19:25: HKLM\software\classes\msevents.msevents\ (5 subtraces) (ID = 749153)

19:25: HKLM\software\classes\msevents.msevents.1\ (3 subtraces) (ID = 749157)

19:25: Found Adware: dollarrevenue

19:25: HKLM\software\microsoft\drsmartload\ (1 subtraces) (ID = 916795)

19:25: HKU\S-1-5-21-725345543-179605362-1801674531-1004\software\microsoft\ole\ || compaq service drivers (ID = 144193)

19:25: Found Adware: effective-i toolbar

19:25: HKU\S-1-5-18\software\effective-i\ (6 subtraces) (ID = 125657)

19:25: HKU\S-1-5-18\software\microsoft\ole\ || compaq service drivers (ID = 144193)

19:25: HKU\S-1-5-18\software\microsoft\windows\currentversion\runservices\ || compaq service drivers (ID = 144194)

19:25: HKU\S-1-5-18\software\microsoft\windows\currentversion\run\ || compaq service drivers (ID = 144195)

19:25: Registry Sweep Complete, Elapsed Time:00:00:20

19:25: Starting Cookie Sweep

19:25: Found Spy Cookie: 2o7.net cookie

19:25: alain@2o7[1].txt (ID = 1957)

19:25: Found Spy Cookie: yieldmanager cookie

19:25: alain@ad.yieldmanager[1].txt (ID = 3751)

19:25: Found Spy Cookie: falkag cookie

19:25: alain@as1.falkag[1].txt (ID = 2650)

19:25: Found Spy Cookie: belnk cookie

19:25: alain@belnk[1].txt (ID = 2292)

19:25: Found Spy Cookie: bluestreak cookie

19:25: alain@bluestreak[2].txt (ID = 2314)

19:25: alain@dist.belnk[2].txt (ID = 2293)

19:25: Found Spy Cookie: realmedia cookie

19:25: alain@realmedia[1].txt (ID = 3235)

19:25: Found Spy Cookie: serving-sys cookie

19:25: alain@serving-sys[1].txt (ID = 3343)

19:25: Found Spy Cookie: weborama cookie

19:25: alain@weborama[1].txt (ID = 3658)

19:25: Found Spy Cookie: xiti cookie

19:25: alain@xiti[1].txt (ID = 3717)

19:25: Cookie Sweep Complete, Elapsed Time: 00:00:00

19:25: Starting File Sweep

19:26: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

19:35: Warning: Failed to open file "c:\windows\pchealth\errorrep\userdumps\lsass.exe.20051111-064636-00.mdmp". Accès refusé

19:36: Warning: Failed to open file "c:\windows\pchealth\errorrep\userdumps\lsass.exe.20051111-155539-00.mdmp". Accès refusé

19:36: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

19:37: Warning: Failed to open file "c:\windows\pchealth\errorrep\userdumps\lsass.exe.20051111-095602-00.mdmp". Accès refusé

19:38: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

19:41: Found Adware: adtech2005

19:41: adtech2005.exe (ID = 194580)

19:41: timessquare.exe (ID = 194150)

19:41: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

21:03: The Spy Communication shield has blocked access to: www.a-d-w-a-r-e.com

21:04: Warning: Unhandled Archive Type

21:04: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

21:04: Warning: Unhandled Archive Type

21:18: The Spy Communication shield has blocked access to: www.a-d-w-a-r-e.com

21:18: Warning: Invalid Stream

21:18: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

21:19: File Sweep Complete, Elapsed Time: 01:54:26

21:20: Full Sweep has completed. Elapsed time 02:01:19

21:20: Traces Found: 50

21:20: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

23:56: The Spy Communication shield has blocked access to: www.a-d-w-a-r-e.com

23:56: Removal process initiated

23:56: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

23:59: Quarantining All Traces: icannnews

23:59: icannnews is in use. It will be removed on reboot.

23:59: C:\WINDOWS\system32\j42qlef51h2.dll is in use. It will be removed on reboot.

23:59: C:\WINDOWS\system32\wanhttp.dll is in use. It will be removed on reboot.

23:59: Quarantining All Traces: virtumonde

23:59: virtumonde is in use. It will be removed on reboot.

23:59: C:\WINDOWS\system32\geebx.dll is in use. It will be removed on reboot.

23:59: Quarantining All Traces: trojan-backdoor-soundcheck

23:59: Quarantining All Traces: adtech2005

23:59: Quarantining All Traces: dollarrevenue

23:59: Quarantining All Traces: effective-i toolbar

23:59: Quarantining All Traces: 2o7.net cookie

23:59: Quarantining All Traces: belnk cookie

23:59: Quarantining All Traces: bluestreak cookie

23:59: Quarantining All Traces: falkag cookie

23:59: Quarantining All Traces: realmedia cookie

23:59: Quarantining All Traces: serving-sys cookie

23:59: Quarantining All Traces: weborama cookie

23:59: Quarantining All Traces: xiti cookie

23:59: Quarantining All Traces: yieldmanager cookie

23:59: Preparing to restart your computer. Please wait...

23:59: Removal process completed. Elapsed time 00:02:58

********

19:15: | Start of Session, vendredi 18 novembre 2005 |

19:15: Spy Sweeper started

19:16: Your spyware definitions have been updated.

19:17: The Spy Communication shield has blocked access to: www.ad-w-a-r-e.com

19:17: The Spy Communication shield has blocked access to: www.a-d-w-a-r-e.com

19:18: | End of Session, vendredi 18 novembre 2005 |

----------------------------

Log HJT

Logfile of HijackThis v1.99.1

Scan saved at 00:32:20, on 19/11/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\PcCtlCom.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Microsoft IntelliType Pro\type32.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe

C:\Program Files\The Cleaner\tca.exe

C:\Program Files\The Cleaner\tcm.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\Tmntsrv.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\tmproxy.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\PROGRA~1\TRENDM~1\INTERN~2\TmPfw.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopDisplay.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktopOE.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Documents and Settings\Alain\Mes documents\Unzipped\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.news.yahoo.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINDOWS\System32\geebx.dll (file missing)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"

O4 - HKLM\..\Run: [tcactive] C:\Program Files\The Cleaner\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\Program Files\The Cleaner\tcm.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - HKLM\..\Run: [spySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /startintray