Hallo Leute,

ich habe zwar einen netten Desktop-Hintergrund, aber es ist etwas lästig, dass ich nach dem Booten nichts anderes mehr sehe!

Mein System: XP Home SP1

Symptome

- Wenn ich den Rechner hochfahre, wird das Benutzerkennwort abgefragt und - egal unter welcher Benutzerkennung ich mich anmelde - erscheint anschließend NUR der jeweilige Desktop-Hintergrund, sonst nichts.

- Die Taskleiste wird zwar für Sekundenbruchteile angezeigt, verschwindet aber sofort wieder.

- Der Task-Manager zeigt zwar viele Prozesse unter den Benutzerkennungen SYSTEM, LOKALER DIENST und NETZWERKDIENST, jedoch läuft kein einziger Prozess unter meinem angemeldeten Benutzernamen.

- Auch die in der Registry nach wie vor vorhandenen Einträge unter HKLM/Software/Microsoft/Windows/Current Version/Run werden nicht gestartet.

- Im Task-Manager kann ich unter Anwendungen mit dem Button "Neuer Task…" Programme starten, die auch überwiegend problemlos laufen.

- Nicht jedoch laufen:
1) C:\WINDOWS\explorer.exe - Wie beim Hochfahren erscheint nur für Sekundenbruchteile die Taskleiste und verschwindet sofort wieder. Sonst passiert nichts. Auch in der Prozessliste taucht nichts auf.
2) Dasselbe passiert beim Doppelklicken von C:\WINDOWS\explorer.scf.
3) C:\Programme\Internet Explorer\iexplore.exe - Hier passiert überhaupt nichts. Auch in der Prozessliste taucht nichts auf.
4) C:\Programme\Outlook Express\msimn.exe - lässt sich starten. Die DFÜ-Verbindung (DSL) lässt sich herstellen. Der Mail-Server wird jedoch nicht gefunden.
5) Auch AntiVir PersonalEdition Classic scannt die Laufwerke zwar problemlos, kriegt aber trotz bestehender DSL-Verbindung keinen Kontakt zum Server fürs Updaten.


Gecheckte Fehlerquellen

- In C:\WINDOWS\ und in C:\WINDOWS\system32 gab's, als der Mist begann, nur einen Neueintrag: das Verzeichnis C:\WINDOWS\system32\sp2logs mit 2 Files:
>> f14.exe, der von AntiVir als "TR/Drop.Small.abs.1" identifiziert und in Quarantäne genommen wurde, und
>> sp2.log, der nur den Text "f14.exe" und ein Sonderzeichen enthält.
Google liefert für "Drop.Small.abs.1" nur einen Treffer, der aber inhaltlich nichts bringt, da es sich nur um einen Listeneintrag handelt.

- Die Datei explorer.exe auf dem XP SP2-Rechner meines Bruders hat 999.424 Bytes - meine dagegen 1.007.104 Bytes. Ich habe versucht, meine umzubenennen und durch die meines Bruders zu ersetzen, klappt aber nicht. Sobald die alte umbenannt ist, wird sie automatisch durch eine neue 1007er Kopie ersetzt. Selbst wenn ich schnell genug bin beim Reinkopieren der 999er Version, so dass sie angezeigt wird, ist sie nach einem F5-Anzeigen-Refresh wieder durch die 1007er Version ersetzt.

- Ich habe die 1007er Version bei Kaspersky einem Online-Filecheck unterziehen lassen. Kaspersky sagte jedoch "You're clean".

- Ein HiJackThis-Lauf brachte auch keine neuen Erkenntnisse. Ich habe das Log unten aber mal angefügt.


Weiß irgend jemand mit diesen Symptomen etwas anzufangen? ...oder hat Tipps für mich, wie ich die Explorer- und IE-Funktionalität wiederbekomme und eine Reparaturinstallation vielleicht doch noch umgehen kann?


Logfile of HijackThis v1.99.1
Scan saved at 03:41:28, on 14.02.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\System32\brss01a.exe
C:\windows\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\windows\System32\nvsvc32.exe
C:\windows\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Microsoft Office2000prof\Office10\WINWORD.EXE
C:\windows\System32\taskmgr.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Eigene Programme\WindowsCommander\WINCMD32.EXE
C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Eigene Downloads\HijackThis\1.99.1\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R3 - Default URLSearchHook is missing
O3 - Toolbar: (no name) - {1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O3 - Toolbar: (no name) - {8B224779-3B0E-4FEA-8AE1-B66C20DD840F} - (no file)
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] XXX_RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CapFax] C:\Programme\Classic PhoneTools\CapFax.EXE
O4 - HKLM\..\Run: [Agent] C:\Programme\Medion\PowerCinema\My_TV\Agent.exe
O4 - HKLM\..\Run: [Dialer Control] C:\PROGRA~1\Coolspot\DIALER~1\dc.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [Windows Update Client ] XXX_C:\windows\system32\wuclient.exe
O4 - Startup: SpywareGuard.lnk = C:\Programme\SpywareGuard\sgmain.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office2000prof\Office10\OSA.EXE
O4 - Global Startup: Zone Labs Security.lnk = C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MIA2DC~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: MedionShop - {36AF14E3-8E6A-413E-A01F-360900AD6802} - C:\windows\System32\shdocvw.dll (HKCU)
O14 - IERESET.INF: START_PAGE_URL=h*p://www.freenet.de
O15 - Trusted IP range: 63.218.226.78
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone
O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone (HKLM)
O16 - DPF: {2A32B14F-4D29-4EA3-AC54-E9B19F436CE7} (Scanner Class) - h*p://www.trojanscan.com/trojanscan/TDECntrl.CAB
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - h*p://security.symantec.com/SSC/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - h*p://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-24.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - h*p://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - h*p://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O19 - User stylesheet: (file missing)
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: COM+-Systemanwendung (COMSysApp) - Unknown owner - XXX_C:\WINDOWS\System32\dllhost.exe (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\windows\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - Unknown owner - C:\WINDOWS\wanmpsvc.exe (file missing)

Entscheide Dich bitte für ein board - hier oder dort?
stupormundi

Halli stupormundi,

ich habe in der Vergangenheit die Erfahrung gemacht, dass ich in verschiedenen Foren von ganz verschiedenen Leuten ganz verschiedene Antworten zum gleichen Thema bekam - Antworten, die mich z.T. weiterbrachten, z.T. auch nicht - und auch Antworten aus verschiedenen Foren, die sich manchmal sinnvoll ergänzten und nur in ihrer Kombination zur richtigen Lösung führten.

Und ich habe immer jeden von mir begonnenen Thread mit einer Zusammenfassung des gefundenen Lösungswegs abgeschlossen - egal aus welchem Forum welche(r) Tipp(s) stammte.

Außerdem stehe ich unter Zeitdruck - am Samstag muss der Rechner wieder normal laufen.

Ich finde es daher nicht "verwerflich" in verschiedenen Foren parallel anzufragen.
Oder verbieten das die NUB dieses Boards? Habe ich da etwas übersehen?

neward

Servus wieder!

Ich finde es daher nicht "verwerflich" in verschiedenen Foren parallel anzufragen.
Oder verbieten das die NUB dieses Boards? Habe ich da etwas übersehen?

Nein, ich denke nicht, dass irgend etwas in diesem Zusammenhang verboten wäre ...
Aber ich habe meinerseits die Erfahrung gemacht, dass andere Crossposter ihre Probleme auf zwei/mehreren boards gleichzeitig vorgestellt haben (oft boards mit diametral gegensätzlicher Problemauffassung) und die TO's sich dann aus den boards die "Rosinen" rausgepickt haben - also nur das aus den beiden boards rausgenommen und abgearbeitet haben, was ihrer Meinung nach einfach(er) war - und am Schluss ist dann ein ganzer Topfen (=Quark) rausgekommen und die investierte Zeit der/des Regulars hier im board war für die Katz'. Oft werden auch sich vollkommen widersprechende Tipps in verschiedenen boards gegeben, was ebenfalls nicht besonders hilfreich für die Lösung des Problems ist.
Also - aus meiner Sicht spricht grundsätzlich nichts gegen den Besuch verschiedener Boards - aber eben nicht gleichzeitig, sondern nacheinander. Wenn Du also in einem board keine für Dich passende Lösung gefunden hast, kannst Du ja anschließend ein anderes aufsuchen (und dort eingangs die bereits versuchten Lösungen schildern).

Nun zu Deinem Problem: In diesem Eintrag

O4 - HKCU\..\Run: [Windows Update Client ] XXX_C:\windows\system32\wuclient.exe

findest Du diesen Trojaner hier.
Da auch sonst einige Einträge in Deinem Log suspekt sind, lass mal escan nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=24192 im abgesicherten Modus http://www.systemwiederherstellung-d...indows-xp.html laufen und poste anschließend das Ergebnis von Hauis45´s 'find.bat' (ist in der Anleitung ebenfalls beschrieben). Halte Dich genau an diese Anleitung (Speicherort von escan-entpacken nach C:\bases_x, Spracheinstellung "English", alle Häkchen wie beschrieben setzen) sonst funktioniert die find.bat nicht. Lies´ die Anleitung zuerst ganz durch, sonst übersiehst Du vielleicht etwas!
Und der im "anderen Board" gegeben Tipp wegen dem Servicepack 2 ist auch richtig und sollte nach der Bereinigung (wenn nicht noch mehr auftaucht) schleunigst nachgeholt werden.
stupormundi

Hallo stupormundi,

danke für deine detailierte Anleitung. Sie hat gefruchtet!

Zwar ging's nicht ganz so wie beschrieben, aber es ist alles wieder da - Explorer, Taskleiste, Icons, Benutzerprozesse, alles!


mein Vorgehen

Zuerst habe ich mich um das HijackThis-Log gekümmert: Hab den alten, deaktivierten wuclient-Eintrag gefixt sowie einige andere Dinge, die dir ganz richtig suspekt vorkamen. Wie ich jetzt las, kann man sein Log auf www.hijackthis.de automatisch checken lassen. Das Ergebnis davon hat weitergeholfen!

Dann habe ich - auf Anraten eines freundlichen Menschen - das Befehlszeilen-Systemdatei-Reparaturprogramm C:\WINDOWS\system32\sfc.exe ausprobiert. Das hat zwar viel und lange auf der Festplatte herumgerödelt, anschließend aber keinerlei Ergebnisse seiner Tätigkeit bekannt gegeben. An der Symptomatik des nackten Desktops hat es auch nichts geändert.

Dann habe ich Cidres Anleitung in Angriff genommen. Die ist ja richtig schön ausführlich.

Da ich - wie beschrieben - mit dem XP-Rechner nicht mehr ins Internet kam, hab ich eScan mit meinem alten 98er Rechner runtergeladen. Der Transfer zum XP-Rechner klappte per CD. Zum Kopieren auf den XP-Rechner konnte ich zwar den Explorer nicht mehr nutzen, aber per TaskManager|Anwendungen|Neuer Task...|Durchsuchen... konnte ich den alten WindowsCommander dafür starten.

Der Internet-Update von eScan klappt natürlich auch nicht, also muss die bereits upgedatete Fassung vom 98er transferiert werden.

Auch der normale Weg, die Systemwiederherstellung zu deaktivieren, funktionierte natürlich nicht.
(Auf die Idee, die zugehörige exe-Datei herauszufinden und manuell zu starten, kam ich erst später:
TaskManager|Anwendungen|Neuer Task...|Durchsuchen... | C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Zubehör\Systemprogramme\Systemwiederherstellung|re MT|Eigenschaften :
"%SystemRoot%\System32\restore\rstrui.exe".)

Also bin ich ohne Änderung an der Systemwiederherstellung in den Abgesicherten Modus gegangen.
Was ich nicht (mehr?) wusste: XP fragt hier, ob man die Probleme im Abgesicherten Modus manuell in Angriff nehmen will oder ob die Systemwiederherstellung gestartet werden soll.
Letztere brachte dann den Durchbruch! Ich bin auf den Zustand vom 19.12.2005 zurückgegangen und alles war wieder da! Was immer den Explorer beim Starten abgeschoss, war damit (hoffentlich endgültig!) beseitigt!

Wenn man's erst mal weiß... nach langer Recherche ein (peinlich) simpler Weg.

Natürlich musste ich anschließend den AntiVir-Update auf Version 7 und das HijackThis-Fixing wiederholen. Und ich denke, ich werde mir demnächst auch mal die Zeit nehmen, SP2 und die folgenden Patches zu installieren.


In dem Zusammenhang eine Frage: XP ist ja bei Neuinstallation extem gesprächig, was Hintergrundkommunikation ins Internet angeht. Wie ist das nach der Installation des SP2? Werden dabei die durch XP AntiSpy gestopften Löcher (und/oder andere) wieder aufgerissen?


Zum Abschluss noch ein kurzes Wort zur beschriebenen Symptomatik:

Wie ich jetzt beim Googlen in verschiedenen Foren las, trat in den letzten Wochen Folgendes bei mehreren Leuten auf:

Beim Systemstart wird die Benutzerkennung erst ganz normal abgefragt, dann werden die Prozesse userinit.exe und explorer.exe gestartet und userinit auch wieder beendet, - soweit ist noch alles ganz normal.
--> Dann jedoch blitzt die Taskleiste nur ganz kurz auf, der Prozess explorer.exe wird gecancelt - warum und durch wen auch immer - und der Desktop bleibt "nackt".
--> Dies traf - zumindest bei mir und einigen anderen der Betroffenen - für ALLE Benutzerkennungen des Rechners zu, sogar auch im Abgesicherten Modus.
--> Es werden keine der Registry-"Run bei Boot"-Programme gestartet.

Da die Probleme - wie bei mir - oft in Anschluss an einen Download auftraten, drängt sich mir die Vermutung auf, dass da irgendeine Malware unterwegs ist, die zumindest AntiVir noch nicht identifiziert.

Naja, ich hoffe jedenfalls, es los zu sein, was immer es gewesen sein mag.
Herzlichen Dank noch mal!!

neward

Danke für Deine Rückmeldung.

Was Deine Fragen zur XPSP2 anbelangt (in Hinblick auf Datenübertragung): Da bin ich sicher kein Spezialist dafür, generell halte ich es aber so: wenn ich einem Softwarehersteller nicht traue, verwende ich auch seine Software nicht - das gilt auch für Windows (was ich sehr wohl verwende) Und die herumgeisternden G'schichtln wegen angeblicher Spionage von M$ am PC (falls Du das gemeint hast): Dazu will ich mich nicht äußern, außer das ich das für höchst albern halte.

alles Gute, stupormundi