nur noch Desktop-Hintergrund sichtbar

Hallo!

mein System: Windows XP Home SP1, Antivir (aktuell), ZoneAlarm, SpywareGuard

Von einer der Internetseiten, die ich offen hatte, ist die Malware web.exe nach C:\WINDOWS\system32 runter geladen worden und verlangte sofort Zugriff aufs Internet. ZoneAlarm stoppte das. Ich konnte in Ruhe den Prozess web.exe (per Utility Ants) killen und die Datei löschen. Die gleichzeitig nach system32 herunter geladene Datei kernels.exe löschte ich mit.
Zwar war auch unter Ctrl-Alt-Del der Task-Manager-Button deaktiviert, aber das beunruhigte mich nicht weiter, da ich dahinter nur eine simple Registry-Einstellungs-Änderung vermute.

Beim nächsten Rechnerstart kam die Fehlermeldung, C:\WINDOWS\system32\kernels.exe könne nicht gefunden werden. Da ich gerade mit meinem Bruder telefonierte, habe ich nebenbei die Registry aufgerufen und nach kernels.exe suchen lassen. Den ersten Eintrag in HK??/.../Run namens System mit dem Inhalt c:\windows\system32\kernels.exe habe ich sofort gelöscht. Eine zweite Fundstelle befand sich in ??/.../RunServices (oder so ähnlich). Dort habe ich nur den Inhalt gelöscht und den Wert ohne Inhalt stehen gelassen. Bei der dritten Fundstelle habe ich - glaube ich - wieder den ganzen Wert gelöscht. Dann wurde nichts mehr gefunden. Leider war ich durch das Telefonat mit meinem Bruder so abgelenkt, dass ich mir von der zweiten und dritten Fundstelle fast nichts gemerkt habe.
Nach Schließen der Registry funktionierte der Rechner erstmal problemlos weiter.

Seitdem tritt beim Neustart allerdings Folgendes auf:
Der Rechner fährt hoch wie gewohnt, fragt mein (Administratoren-) Passwort ab, zeigt meinen Desktop-Hintergrund an und belässt es dabei. Weder die Taskleiste (von Startbutton bis Uhr) noch die Desktop-Icons oder ihre Beschriftung werden angezeigt. Nur der nackte Desktop-Hintergrund. Ctrl-Alt-Del bringt zwar nach wie vor das Windows-Sicherheits-Fenster auf den Schirm (mit immer noch deaktiviertem Task-Manager-Button), aber mehr ist nicht zu wollen.

Ich erinnere mich ganz dunkel, vor längerer Zeit mal etwas von einer Tastenkombination gehört zu haben, die eine Befehlszeile öffnet, über die man per explorer.exe einen ähnlichen Zustand wieder beheben können soll, aber leider kann ich nicht mehr genau nachvollziehen, was das damit auf sich hatte.

Hat irgend jemand einen Tipp für mich, wie ich den Rechner wieder ans Rechnen kriege, statt ihn einfach nur dösen zu lassen?

Danke erstmal

neward




AKTUALISIERUNG:


Als Erstes muss ich Folgendes ergänzen:

Ich habe vor Ewigkeiten einen zweiten Benutzer (allerdings mit eingeschränkten Rechten) auf meinem Rechner angelegt, an den ich mich jetzt wieder erinnerte. Dieser Benutzer hat zwar auch nur den nackten Desktop-Hintergrund und sonst nichts auf dem Schirm, aber DESSEN Task-Manager ist NICHT deaktiviert, so dass ich darüber Zugriff auf den WindowsExplorer und die Registry bekomme.


Dann muss ich berichten, dass ich in einem anderen Forum auf den hiesigen Thread http://www.wintotal-forum.de/index.php/topic,84123.0.html  zum Thema SpySheriff aufmerksam gemacht worden bin.
Die Symptome, die die Leute hier im Forum geschildert haben, treffen nur z.T. auf meinen Fall zu, es sind jedoch so viele Parallelen vorhanden, dass ich vermute, es könnte sich um eine Abart des SpySheriffs handeln.


Es sind bei mir folgende Unterschiede und Parallelen zum SpySheriff zu beobachten:

- Von den im genannten Thread aufgeführten 5 Dateien ist bei mir nur der kernels.exe vorhanden gewesen.
- Der Desktop-Hintergrund ist (im Ggsatz. zum SpySheriff) erhalten geblieben, dafür ist alles andere vom Bildschirm verschwunden.
- Zwar sind bei mir (wie z.T. beim Spysheriff) die Desktopsymbole verschwunden, aber die entsprechenden HideIcons-Einträge der Registry in HKCU und HKU stehen seltsamerweise beide auf 0, wie es sein sollte!?! (Der Inhalt des Ordners C:\Dok+Einst\...\Desktop ist NICHT gelöscht!)
- Meine Start- und Suchseiten sind nicht verändert (im Ggsatz. zum SpySheriff).
- Meine Internet-Präfixe sind in HKLM nicht verändert (im Ggsatz. zum SpySheriff).
- Der Eintrag->Spy( )Sheriff' findet sich nicht in meiner Registry (HKLM).
- Dafür war kernels.exe in 3 Schlüsseln vorhanden - u.a. wohl auch in HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell:  Explorer.exe C:\Windows\system32\kernels.exe .
- Und der Task-Manager war (wie beim SpySheriff) gesperrt.
- Außerdem ist bei mir auch die Taskleiste verschwunden, etwas, was in keinem der anderen Fälle geschildert wurde.


Bei meinem Löschen der drei kernels.exe-Einträge in der Registry habe ich dummerweise aus dem Schlüssel
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell: Explorer.exe C:\Windows\system32\kernels.exe
den GANZEN Wert gestrichen, inklusiv Explorer.exe. Es könnte daher sein, dass ein großer Teil meiner geschilderten Probleme hausgemacht ist.

Ich habe also versucht, den Wert Explorer.exe in den genannten Schlüssel wieder einzutragen. Dabei kriege ich jedoch folgende Fehlermeldung:
shell kann nicht bearbeitet werden: Fehler beim Schreiben des Inhalts des Werts.

Das könnte evt. an den eingeschränken Benutzerrechten liegen, die ich unter dieser Benutzerkennung nur habe??
Oder weiß jemand einen anderen Grund?

Meine Frage nun:
Wie kriege ich den Wert Explorer.exe wieder in die Registry?
Das Administratorkonto hat wegen gesperrtem Taskmanager keine Programmzugriffe und das einfache Benutzerkonto kann zwar zugreifen, darf den Wert aber anscheinend nicht ändern!

Weiß da jemand Rat???

neward

Hallo,

ich wollte nur Bescheid sagen:
Ich habe WIEDER VOLLEN ZUGRIFF AUF MEINEN RECHNER INKL. ALLER PROGRAMME .    


Ich habe folgenden Tipp bekommen:

Beim Rechtsklick auf einen Programmnamen gibt es unter XP die Option Ausführen als.... Die ermöglicht es (durch Passworteingabe) während einer Sitzung als Benutzer mit eingeschränkten Rechten einzelne Programme als Administrator auszuführen. Damit hatte ich GENAU die Kombination, die ich brauchte:
Der beschränkte Benutzer hatte (im Gegensatz zum Administrator) Zugriff auf die Programmdateien und mit Ausführen als... konnte ich mich zu Beginn der Benutzung von regedit.exe zum Administrator upgraden und so den (durch meine eigene Dummheit vergeigten, s.o.) Schlüssel HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell reparieren.

Dann lief das System wieder!

    

neward

Hab seit einiger Zeit SpySheriff drauf. Nach Befolgung von Anleitungen wie
SpySheriff: einige Lösungsmöglichkeiten
http://www.wintotal-forum.de/index.php/topic,84123.0.html
hab ich auch die größten Probleme in den Griff bekommen. Er installiert sich allerdings immer wieder von selbst. Die roten Symbole und die Datei Winstall.exe kommen immer wieder.

Da ich auch nach intensiven Suchen keine neueren Anleitungen als Anfang Juli gefunden habe, meine Frage:

Hat jemand eine neuere, bessere Anleitung um diesen Dreck vom Rechner zu bekommen?

Ihr würdet damit sicher nicht nur mir helfen, deswegen schon mal besten Dank.
... und soll der Erschaffer von SpySheriff in der Hölle schmoren!

Thema zusammengefügt

SpyGast schrieb:

Hat jemand eine neuere, bessere Anleitung um diesen Dreck vom Rechner zu bekommen?

Zum Vergrößern anklicken....

Die beste Anleitung ist, beim Surfen das Gehirn einzuschalten, nicht auf alles klicken und sich nicht auf Seiten rumtreiben, wo man sich sowas einfängt. Und erzähl mir nicht, du hättest dir das auf einer angesehenen Seite eingefangen. Nee, nie im Leben.

Meine ganz persönliche Meinung: alle wichtigen Daten sichern - extern - und System sauber neu aufsetzen.
Die gesicherten Daten dann vor zurückschreiben gründlich scannen.

Also Leute, falls hier Anfänger unter euch sind, wie ich, dann probiert es einfach mit ner Systemweiederherstellung, hat bei mir geklappt und ging ratz-fatz.... Also, so gehts schnell und unkomliziert!

Du musst folgende Dinge tun :

1. sorge dafür, das die programme
- paytime.exe und
- winstall.exe nicht mehr automatisch starten
(beende vorher deren tasks)

2. lösche folgende Dateien
- System>\paytime.exe
- <System>\countrydial.exe
- <Windows>\tool1.exe
- <Windows>\tool2.exe
- <Windows>\tool3.exe
- <Windows>\tool4.exe
- <Windows>\tool5.exe
- <Windows>\kl.exe
- <Windows>\ms1.exe
- <Windows>\de.exe
- <Windows>\uniq
- <Windows>\secure32.html
- <Windows>\desktop.ini
- <Windows>\desktop.html bzw. htm
...wenn alle vorhanden

3. lösche die Registry-Schlüssel
HKCU\Software\Microsoft\Windows\CurrentVersion
adv455
adv455
...(oder ähnlich)

Das Hintergrundbild kannst Du in der Registry unter
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop]

unter Policies Explorer kannst du den Aktivierten Desktop abschalten und unter
Policies System dein Hintergrundbild manuell auswählen

Damit man alles wieder vom Desktop auswählen kann steht sicher bei M$ war aber zu faul zum weiter suchen nur soviel als Hilfe :
http://www.microsoft.com/resources/...s/2000/server/reskit/en-us/regentry/93254.asp

tachchen zusammen,

leider habe ich wohl ein ähnliches Problem, be dem mein rechner im normalen modus eine halbe ewigkeit zum booten braucht und sich auch in der windows oberfläche selber kaum arbeiten lässt.
sämtliche vorgänge sowohl automatisiert wie auch manuell habe ich zur bekämpfung ausgeführt, doch leider will das system nicht wie vorher.(systemwiederherrstellunbg ist bei mir nicht möglich).
P.S das einzige was noch an verdächtigem zu finden ist, ist eine tool3.exe, die ich aber auch nicht löschen kann...
was nu???? :-[