Win XP: Nur noch der Hintergrund....mehr nicht

im Taskmanager: neuen Task starten .
explorer.exe   <<< eingeben 

Das geht leider auch nicht. Mir ist aufgefallen das im Taskmanager desöfteren "guardgui.exe" erschien.

Bitte weitere Hilfen!

Ja die Datei ist noch enthalten in dem Ordner. Wüsste nicht was ich machen sollte..

Bitte helft mir

SO im Taskmanager gemacht ?

Genau so hab ich das gemacht. Das komische ist ja, das der Prozess im Taskmanager angezeigt wird.

Kann es vllt in der Registery was sein? BTW, ich poste euch mal schnell einen hijackthis logfile

:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:37:09, on 14.06.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\explorer.exe
C:\Programme\ICQ6.5\ICQ.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Programme\Trend Micro\HijackThis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yodl.de/?&affid=1&uid=3B865F1C-C5DE-4C93-9A39-70AB546791EB
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R3 - URLSearchHook: QIPBHO Class - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Dokumente und Einstellungen\Maurice\Anwendungsdaten\Microsoft\Internet Explorer\qipsearchbar.dll
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: QIPBHO - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Dokumente und Einstellungen\Maurice\Anwendungsdaten\Microsoft\Internet Explorer\qipsearchbar.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\RunOnce: [*Restore] C:\WINDOWS\system32\restore\rstrui.exe -i
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: RocketDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\prxernsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\prxerdrv.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\prxerdrv.dll
O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - http://icq.oberon-media.com/Gameshell/GameHost/1.0/OberonGameHost.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Google Update Service (gupdate1c9a3c6ffc02c6a) (gupdate1c9a3c6ffc02c6a) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Unknown owner - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

--
End of file - 6618 bytes


mfg
chixz

[?] - R3 - URLSearchHook: QIPBHO Class - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Dokumente und Einstellungen\Maurice\Anwendungsdaten\Microsoft\Internet Explorer\qipsearchbar.dll

[?] - O2 - BHO: QIPBHO - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Dokumente und Einstellungen\Maurice\Anwendungsdaten\Microsoft\Internet Explorer\qipsearchbar.dll

WAS ist das ? Ggf Fixen ...
Mir fällt im Moment nix anderes auf... warte mal auf die Spezialisten
 

Gut, ich warte dann auf die Spezialisten. Ich hoffe die können mir helfen. Ich kann mir das nicht erlauben meinen PC zu formatieren.

Bitte helf mir, es ist verdammt wichtig  :'(

Combofix anwenden -> Logfile hier posten.

Leider bekomme ich keinen Log nach dem Neustart..
Als ich Combofix gestartet habe, stand da eine Warnung 
Klick mich

Die Datei stammt aus dem Temp Ordner. Ich bin da mal reingegangen und es sind ca 14 .temp Dateien die wahrscheinlich der auslöser für mein Problem sind.

Was soll ich jetzt machen?

Bittte führe ComboFix nach der Anleitung an wie es CF verlangt
Jedoch benennen wir sie zuerst in cf.exe um.
bitte dein AntiViren Programm während CF läuft abschalten

Schreibe bitte jede datei auf, wo du von CF gewarnt wirst und poste diese mit der Logfile

Wuahhhhhhhhhhhhhh =D
es geht wieder  

Danke, Danke, Danke

Der log is ein bisschen größer als erwartet geworden.

hab ihn mal bei nopaste eingefügt.

COMBOFIX LOGFILE =) 

Das war kla 

Aber erstmal warten ich schau mir das Logfile in ruhe an und melde mich!

Notepad öffnen.

Start -> Ausführen -> Notepad.

Kopiere dann folgendes aus der Code box hinein:

Funktioniert der Abgesicherte Modus??

Wenn ja Combofix da anwenden!

Und weil es so schön war noch ein zweiter Logfile

Klick mich

Im Abgesicherten Modus bitte den Inhalt folgende ordner loeschen:

    * C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temp---> Inhalt löschen
    * C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temporary Internet Files---> Inhalt löschen
    * C:\WINDOWS\temp---> Inhalt löschen
    * C:\WINDOWS\Prefetch---> Inhalt löschen

 

Das konnte ich Finden :

* C:\WINDOWS\temp---> Inhalt löschen
* C:\WINDOWS\Prefetch---> Inhalt löschen
* C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temp---> Inhalt löschen

Das habe ich nicht gefunden :

* C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temporary Internet Files---> Inhalt löschen

__

Bei dem Ordner C:\WINDOWS\temp ist eine Datei nicht zu löschen. Sie heißt " rga3.tmp "



 

Okay ladt dir bitte Killbox runter, wie in der Anleitung anwenden und die Datei auswählen + löschen.
http://virus-protect.org/killbox.html

 

This File could not be deleted.

Leider Fehlanzeige. 

Delete on Reboot ausgewählt ??

Jetzt aber
gut, Datei gelöscht, aber dafür kam eine neue. Habe sie mal bei Virustotal.de hochgeladen und herausgestellt das ich mit Parite B eingefangen habe. Habe ein Removal Tool von Bitdefender, extra dafür gedacht. Vielleicht klappt es ja. Wenn du noch weitere Lösungen hast, immer her damit

Removal Tool nicht geklappt ?

Okay können nochmal en Anlauf starten.

Sdfix benutzen.

http://virus-protect.org/artikel/tools/sdfix.html

sooo...alle guten Dinge sind drei.
Klick Mich

Ich melde mich morgen!

Lass mal bitte Smitfraudfix laufen und poste das Log hier.
Option 2 im Abgesicherten Modus.

http://siri.urz.free.fr/Fix/SmitfraudFix_De.php  

Das habe ich nicht gefunden :

* C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temporary Internet Files---> Inhalt löschen