Problem även i Windows ME med Online casino mm

20 januari, 2005

Hej!

Har konstaterat att det är ganska många som drabbats av det fenomen som även dykt upp på min ME-dator.

Det som händer är att ett antal ikoner (Casino online, Jackpot osv) ibland (inte alltid) dyker upp på skrivbordet, att det ibland (inte alltid) dyker upp en massa extra favoriter (Cool stuff osv) i menyn, att en extra search bar syns i överkanten ibland och en bredare blå "searchbar" till spel mm ibland (fast mer sällan) syns strax ovanför statusraden samt att en eller två processer iexplore.exe är i gång. Att dessa har med saken att göra märks genom att bl a ikonerna försvinner när man avslutar processen.

Dessa iexplore-processer startar om sig själva så fort man avslutat dem.

Jag vill bli av med skiten och har kört uppdaterad AdAware, uppdaterad Spybot S&D, har uppdaterad SpywareBlaster igång liksom TCMonitor och TCActive. Jag har också tagit bort uppenbara onödigheter med hjälp av HiJackThis.

Dessutom dyker med jämna mellanrum Update service från Teknum system upp trots att jag tagit bort det, rensat _Restore osv.

Lägger in en HiJackThis-log ifall någon skulle komma på något smart...

[log]

Logfile of HijackThis v1.98.2

Scan saved at 19:58:18, on 2005-01-20

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\PROGRAM\NORTON INTERNET SECURITY FAMILY EDITION\NISSERV.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\SSDPSRV.EXE

C:\WINDOWS\SYSTEM\ID2SCAPS.EXE

C:\PROGRAM\NORTON INTERNET SECURITY FAMILY EDITION\NISUM.EXE

C:\WINDOWS\EXPLORER.EXE

C:\PROGRAM\NORTON INTERNET SECURITY FAMILY EDITION\IAMAPP.EXE

C:\PROGRAM\NORTON ANTIVIRUS\POPROXY.EXE

C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE

C:\PROGRAM\NORTON ANTIVIRUS\NAVAPW32.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\PROGRAM\MOUSEWARE\SYSTEM\EM_EXEC.EXE

C:\PROGRAM\CANON\MULTIPASS4\MONITR32.EXE

C:\PROGRAM\THE CLEANER\TCA.EXE

C:\WINDOWS\SYSTEM\MPS.EXE

C:\PROGRAM\THE CLEANER\TCM.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\PALM\HOTSYNC.EXE

C:\PROGRAM\ID2\CSP\ID2CERTMOVER.EXE

C:\PROGRAM\MICROSOFT OFFICE\OFFICE10\MSOFFICE.EXE

C:\PROGRAM\INTERNET EXPLORER\IEXPLORE.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\HJT\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ica.se/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer till dig via Planetis

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.chello.se:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program\google\googletoolbar1.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRAM\SPYBOT~1\SDHELPER.DLL

O2 - BHO: (no name) - {C6A47F43-6119-0C91-0DF6-0DEE5AF54A62} - C:\WINDOWS\PROFILES\ANNA\APPLICATION DATA\PLAY BOOK\GPL BARB.EXE

O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\PROGRAM\MSN TOOLBAR\01.01.1601.0\MSGR.EN-US.EN-XU\MSNTB.DLL

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Norton eMail Protect] C:\Program\Norton Antivirus\POPROXY.EXE

O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRAM\NORTON~1\NAVAPW32.EXE /LOADQUIET

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRAM\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [monitr32] C:\Program\Canon\MultiPASS4\monitr32.exe

O4 - HKLM\..\Run: [tcactive] C:\PROGRAM\THE CLEANER\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\PROGRAM\THE CLEANER\tcm.exe

O4 - HKLM\..\RunServices: [sSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe

O4 - HKLM\..\RunServices: [scriptBlocking] "C:\Program\Vanliga filer\Symantec Shared\Script Blocking\SBServ.exe" -reg

O4 - HKLM\..\RunServices: [iD2Scaps] C:\WINDOWS\SYSTEM\id2scaps.exe

O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe

O4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXE

O4 - Startup: iD2 CSP Certificate Utility.lnk = C:\Program\iD2\CSP\iD2CertMover.exe

O4 - Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office10\OSA.EXE

O4 - User Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXE

O4 - User Startup: iD2 CSP Certificate Utility.lnk = C:\Program\iD2\CSP\iD2CertMover.exe

O4 - User Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Google Search - res://C:\PROGRAM\GOOGLE\GOOGLETOOLBAR1.DLL/cmsearch.html

O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\PROGRAM\GOOGLE\GOOGLETOOLBAR1.DLL/cmcache.html

O8 - Extra context menu item: Si&milar Pages - res://C:\PROGRAM\GOOGLE\GOOGLETOOLBAR1.DLL/cmsimilar.html

O8 - Extra context menu item: Backward &Links - res://C:\PROGRAM\GOOGLE\GOOGLETOOLBAR1.DLL/cmbacklinks.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL

O9 - Extra 'Tools' menuitem: Sun Java-konsol - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL

O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security1.norton.com/SSC/SharedContent/sc/bin/cabsa.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/activedata/SymAData.dll

O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - https://www-secure.symantec.com/techsupp/activedata/ActiveData.cab

[/log]

Har någon verkligen lyckats bli av med detta? Berätta i så fall GÄRNA hur det gick till!

Mvh / Lionheart

20 januari, 2005

Har du provat Spybot search & destroy?

Glöm inte uppdatera programmet innan.

EDIT: Aha, du har visst redan provat det. :-)

---

C:\Eforum\Stefan Eklinder>|

Hårdvara. Samlingsbegrepp för alla datorrelaterade ting som du kan slå på eller slänga i golvet. - Yttermera, E-verything

[inlägget ändrat 2005-01-20 20:01:14 av Stefan Eklinder]

20 januari, 2005

Har du provat Spysweeper den laddar du ner härifrån:

http://www.webroot.com

21 januari, 2005

Hittar inte mycket i den loggen.

Stäng av systemåterställningsfunktionen.

Pröva med att bocka för denna rad i HijackThis:

O2 - BHO: (no name) - {C6A47F43-6119-0C91-0DF6-0DEE5AF54A62} - C:\WINDOWS\PROFILES\ANNA\APPLICATION DATA\PLAY BOOK\GPL BARB.EXE

Avsluta alla program och fönster förutom HijackThis.

Tryck på Fix checked.

Starta om i felsäkert läge

Ta bort mappen

C:\WINDOWS\PROFILES\ANNA\APPLICATION DATA\PLAY BOOK

Starta om i normalt läge.

Sätt på systemåterställningsfunktionen.

Du säger att det kommer och går, kan bero på att du inte har uppdaterat med Windows Update så att du har säkerhetshål eller att du inte har någon brandvägg eller att brandväggen inte är korrekt inställd. Du kan kolla din brandvägg här:

http://www.grc.com/default.htm

Välj ShieldsUp! strax nedanför mitten av sidan.

Alternativt beror det på dina surfvanor så att du får in otrevligheter på nytt.

Se över dina säkerhetsinställningar i Internet Explorer, det finns en del tips här:

https://netfiles.uiuc.edu/ehowes/www/btw/ie/ie-opts.htm

Använd SpywareGuard också inte bara SpywareBlaster:

http://www.javacoolsoftware.com/spywareguard.html

Kör IE-SpyAd:

https://netfiles.uiuc.edu/ehowes/www/resource.htm

25 januari, 2005

Tack för alla förslag!

Jag har nu upptäckt att mitt problem är tvådelat.

Det ena problemet (med casino online) som var det uppenbara löste sig hur enkelt som helst genom att jag avinstallerade Messenger 3 plus (och i stället använder Messenger 7 beta). Och vips var alla extra iexplore och searchbars och mystiska nya favoriter borta. Hurra!

Men när detta väl var gjort blev ett dolt problem synligt, nämligen att jag icke får bort ett program som heter update.exe och verkar komma från Teknum Systems.

Jag misstänker att det följt med något program från EA och ligger dolt under något annat namn, för jag hittar inte den mapp som div antispyware-program säger att programmet ska finnas i.

Symptomen f n är att jag får en TCActive-varning om att update.exe läggs till i registret så fort jag försöker kopiera eller flytta någon fil på min hårddisk. Men inget av AdAware eller Spybot S&D eller HiJackThis hittar sedan detta tillägg (fast det finns där när jag kör regedit).

Så nu är frågan i stället: Hur i all min dar får jag bort detta skräp?

Mvh / Lionheart

25 januari, 2005

Har du ställt in så att du kan se alla filer i Utforskaren?

Verktyg - Mappalternativ - Visning

Välj Visa dolda filer och mappar

Avbocka Dölj filnamnstillägg för kända filtyper

Avbocka Dölj skyddade operativsystemfiler

Bocka för Visa innehållet i systemmappar

Jag hittade de här sidorna med info om Teknum Systems och Update.exe, helt klart att många har lyckats få bort det i alla fall:

http://www.wilderssecurity.com/archive/index.php/t-13100.html

http://www.cybertechhelp.com/forums/archive/index.php/t-11269.html

http://computercops.biz/postp409937.html

Du är säker på att det är update.exe från Teknum som du har:

http://www.2-spyware.com/file-update-exe.html

http://startup.iamnotageek.com/srch-update.exe.html

Var säger antispionprogrammen att filen håller till?

Tillägg: Tack för poängen!

[inlägget ändrat 2005-01-25 18:14:41 av Cecilia]

26 januari, 2005

Hej igen!

Jag har installerat Spywareguard, kört AdAware och Spybot S&D (senaste versionerna) och dessa hittar inte update.exe från Teknum systems

Ändå är registret ganska fullt av nycklar med teknum i (sökte i regedit) liksom man hittar Easy Crypto och Handy Bits på några ställen.

Jag har dessutom sökt (efter att ha ställt in datorn så att den visar allt enligt ditt förslag) i C:\_RESTORE och hittat såväl teknum som update.exe i filer som inte går att ta bort, vare sig i normalt eller felsäkert läge.

Försökte därför starta om datorn med systemåterställningen inaktiverad, men _RESTORE försvinner inte (tänkte att det kunde vara ett sätt att bli av med de oönskade filerna - som för övrigt alla finns i _RESTORE\ARCHIVE.

Skickar med en HJT-logg från felsäkert läge sista gången jag hade det inställt.

[log]

Logfile of HijackThis v1.98.2

Scan saved at 23:57:30, on 2005-01-25

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\HJT\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer till dig via Planetis

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.chello.se:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program\google\googletoolbar1.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRAM\SPYBOT~1\SDHELPER.DLL

O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\PROGRAM\SPYWAREGUARD\DLPROTECT.DLL

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Norton eMail Protect] C:\Program\Norton Antivirus\POPROXY.EXE

O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRAM\NORTON~1\NAVAPW32.EXE /LOADQUIET

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRAM\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [monitr32] C:\Program\Canon\MultiPASS4\monitr32.exe

O4 - HKLM\..\Run: [tcactive] C:\PROGRAM\THE CLEANER\tca.exe

O4 - HKLM\..\Run: [tcmonitor] C:\PROGRAM\THE CLEANER\tcm.exe

O4 - HKLM\..\RunServices: [sSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe

O4 - HKLM\..\RunServices: [scriptBlocking] "C:\Program\Vanliga filer\Symantec Shared\Script Blocking\SBServ.exe" -reg

O4 - HKLM\..\RunServices: [iD2Scaps] C:\WINDOWS\SYSTEM\id2scaps.exe

O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe

O4 - Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL

O9 - Extra 'Tools' menuitem: Sun Java-konsol - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL

O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security1.norton.com/SSC/SharedContent/sc/bin/cabsa.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/activedata/SymAData.dll

O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - https://www-secure.symantec.com/techsupp/activedata/ActiveData.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=34738&clcid=0x409

[/log]

Detta är loggen som blev efter det att jag tagit bort en O4 som innehöll just Teknum Systems update.exe.

Även efter jag gjort detta finns update kvar och symptomen är kvar. Den länk till cybertechhelp du skickade är den som bäst beskriver symptomen och tyvärr fanns det ju inget lyckligt slut på den inläggskedjan.

Och ja, jag är säker på att det är teknum systems update jag har.

Kan du klura vidare på vad jag ska göra?

Mvh / Lionheart (något trött - både pga tiden och problemet...)

26 januari, 2005

Ja, det är tröttade med sådana här problem och inte blir det bättre när klockan går.

Har du laddat ner updEnabler härifrån till att börja med:

http://www.handybits.com/update_service.asp

Finns några av programmen som har med det hela att göra (Easy..., Voicemail eller andra som nämns på ovanstående länk) i Kontrollpanelen - Lägg till och ta bort program? I så fall avinstallera dem därifrån.

Det som finns i systemåterställningen kan i alla fall inte köras så länge som de ligger där, så jag tror inte att du behöver bekymra dig om _RESTORE så länge. Vet inte hur det är i ME, men i XP så är det meningen att alla systemåterställningspunkter ska tas bort om man slår av och sedan slår på systemåterställningsfunktionen. Men slå inte på den förrän din dator är ren i övrigt. I XP ska man absolut inte ta bort enstaka filer i _RESTORE, det kan göra XP väldigt ledsen.

jag får en TCActive-varning om att update.exe läggs till i registret

TCActive varnar bara, den kan inte stoppa ändringen av registret?

I så fall kanske du skulle aktivera funktion TeaTimer i Spybot, du kommer åt den någonstans när man har ställt in Spybot i Advanced mode. TeaTimer frågar om alla förändringar i väsentliga delar av registret och stoppar dem om man så vill.

I en av länkarna står det om en fil:

C:\WINDOWS\PCHEALTH\HELPCTR\DataColl\CollectedData_2145.xml

Har du något sådant på din dator, kan ju finnas i någon annan mapp eftersom du har ME.

Har du en mapp C:\Program Files\Common Files\Teknum Systems eller C:\Program\Common Files\Teknum Systems eller något liknande?

Angående HijackThis-loggen så ser jag att du har en service som heter SSDPSRV igång, som möjligen kan vara en sårbarhet, här står det hur man avaktiverar den:

http://computercops.biz/startuplist-3503.html

Annars så syns det ju inget konstigt i den just då. Men det har kommit ut en nyare version:

http://www.spywareinfo.com/~merijn/downloads.html

Ladda hem den och ta ut en ny logg i normalt läge.

Efter att man har tagit bort O4-raden så måste man ta bort motsvarande fil och alla filer som kan tänkas skapa en ny sådan fil. Det vill säga alla filer som verkar höra ihop med Teknum eller Handybits, det går bra att lägga dem i papperskorgen om man är osäker på vad man tar bort. Om det inte går att ta bort dem så hjälper det ibland att döpa om filerna eller ta bort dem när man har startat datorn från en diskett.

26 januari, 2005

Hej, Cecilia!

Jag citerar och svarar stycke för stycke:

Har du laddat ner updEnabler härifrån till att börja med:
http://www.handybits.com/update_service.asp

Japp. Inget synbart resultat.

Finns några av programmen som har med det hela att göra (Easy..., Voicemail eller andra som nämns på ovanstående länk) i Kontrollpanelen - Lägg till och ta bort program?

Nepp.

TCActive varnar bara, den kan inte stoppa ändringen av registret?
I så fall kanske du skulle aktivera funktion TeaTimer i Spybot, du kommer åt den någonstans när man har ställt in Spybot i Advanced mode.

Halleluja!!! Jag hittade Tea timer bland Residents, aktiverade den och vips behövde jag inte TA och kunde dessutom ställa in S&D till att minnas att inte tillåta update att läggas in i registret. Så enkelt, men ändå så bra!

I en av länkarna står det om en fil:
C:\WINDOWS\PCHEALTH\HELPCTR\DataColl\CollectedData_2145.xml

Har du något sådant på din dator,

Inte som jag kan se. Katalogen DataColl finns, men är tom (även i "visa allt-läge")

Har du en mapp C:\Program Files\Common Files\Teknum Systems eller C:\Program\Common Files\Teknum Systems eller något liknande?

Nej. Inte heller C:\Program\Vanliga Filer\Teknum systems eller så...

Angående HijackThis-loggen så ser jag att du har en service som heter SSDPSRV igång, som möjligen kan vara en sårbarhet, här står det hur man avaktiverar den:
http://computercops.biz/startuplist-3503.html

Fixat.

Annars så syns det ju inget konstigt i den just då. Men det har kommit ut en nyare version:
http://www.spywareinfo.com/~merijn/downloads.html

Ladda hem den och ta ut en ny logg i normalt läge.

Nedladdat och installerat. Här är loggen

[log]

Logfile of HijackThis v1.99.0

Scan saved at 19:30:35, on 2005-01-26

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\PROGRAM\NORTON INTERNET SECURITY FAMILY EDITION\NISSERV.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\ID2SCAPS.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\PROGRAM\NORTON INTERNET SECURITY FAMILY EDITION\NISUM.EXE

C:\WINDOWS\EXPLORER.EXE

C:\PROGRAM\NORTON INTERNET SECURITY FAMILY EDITION\IAMAPP.EXE

C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE

C:\PROGRAM\NORTON ANTIVIRUS\POPROXY.EXE

C:\PROGRAM\NORTON ANTIVIRUS\NAVAPW32.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\PROGRAM\MOUSEWARE\SYSTEM\EM_EXEC.EXE

C:\PROGRAM\CANON\MULTIPASS4\MONITR32.EXE

C:\WINDOWS\SYSTEM\MPS.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\PROGRAM\THE CLEANER\TCA.EXE

C:\PROGRAM\SPYBOT - SEARCH & DESTROY\TEATIMER.EXE

C:\PALM\HOTSYNC.EXE

C:\PROGRAM\ID2\CSP\ID2CERTMOVER.EXE

C:\PROGRAM\SPYWAREGUARD\SGMAIN.EXE

C:\PROGRAM\MICROSOFT OFFICE\OFFICE10\MSOFFICE.EXE

C:\PROGRAM\SPYWAREGUARD\SGBHP.EXE