[Windows XP-32 bit] Startmenü Einträge verschwunden

[Pepsen]

Hallo,

habe mir heute Mittag einen Virus oder was in der Art eingefangen. Die Folge war, dass mein Desktop verschwunden (schwarzer Screen), mein Startmenü leer war und ich den Taskmanager nicht mehr aufrufen konnte. Windows im abgesicherten Modus konnte ich auch nicht mehr starten. Außerdem hatte sich ein Programm "System Check" automatisch installiert und mich mit falschen Fehlermeldungen bombardiert.
Hab es dann geschafft "Malwarebytes Anti-Malware" runterzuladen und auszuführen. Seitdem ist der Desktop und alle Dateien wieder zu sehen, Taskmanager geht auch wieder. Aber die Startmenüeinträge sind noch immer weg. Ich sehe nur die Ordner, z.B. "Autostart", aber wenn ich mit der Maus draufgehe steht da nur "(leer)". Komme jetzt auch nur über Umwege in Firefox weil das Symbol weg ist. Und auf meiner Festplatte D:/ werden die Dateien auch nicht angezeigt.
Wie kann ich die Einträge / Dateien wieder sichtbar machen? Hab schon recherchiert aber nicht viel gefunden.
Hoffe jemand kann mir helfen.

[AHT]

Mal schauen wo die sind. Das tun:

• Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPF_Scan2
SEARCH_FILES->*.LNK
->
COPY_SCANFILES->C:\PPF_SCAN2
OPEN->C:\PPF_SCAN2
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Nach dem Scan beendet sich der Scanner. Es befinden sich danach im Ordner C:\PPF_Scan2 einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.

[Pepsen]

Danke!

File-Upload.net - ppFiles.txt
File-Upload.net - Scripting.txt

[AHT]

Nicht am Rechner machen, keine sonstigen Programme (Virenscans) ausführen. Das tun:

• Danach die PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

[AHT]

Deine Verlinkungen habe ich scheinbar gefunden. Ich brauch den zweiten Scan damit ich weiß, wohin die gehören.

[AHT]

Nach dem Scan das tun:

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:
  

CREATE_FOLDER->C:\PPF_SCAN3
MOVE_FILE->C:\Dokumente und Einstellungen\PC\Lokale Einstellungen\Temp\smtmp\1\Programme>C:\Dokumente und Einstellungen\PC\Startmenü\Programme
COPY_SCANFILES->C:\PPF_SCAN3
OPEN->C:\PPF_SCAN3
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Nach dem Scan beendet sich der Scanner. Es befinden sich danach im Ordner C:\PPF_Scan3 einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.

Danach müssten deine Verknüpfungen wieder da sein.

[AHT]

Schau bitte hier morgen wieder rein. Es kann sein, dass dein Problem damit noch nicht behoben ist.

[Pepsen]

Puh, das hat jetzt ja echt ewig gedauert...

File-Upload.net - Drivers.txt
File-Upload.net - Eventlog.txt
File-Upload.net - Files.txt
File-Upload.net - Firewall.txt
File-Upload.net - Hidden.txt
File-Upload.net - MD5.txt
File-Upload.net - Modules.txt
File-Upload.net - ppFiles.txt
File-Upload.net - ppRegistry.txt
File-Upload.net - Processes.txt
File-Upload.net - Scripting.txt
File-Upload.net - Services.txt
File-Upload.net - Threads.txt
File-Upload.net - Warnings.txt

[Pepsen]

Super, vielen Dank! Bei der Ausführung des Scripts kam eine Fehlermeldung, die ich mir leider nicht gemerkt habe. Die Einträge sind aber trotzdem wieder da, allerdings doppelt. Sollte ich aber hinkriegen zu löschen.

File-Upload.net - Scripting.txt

Nur auf der rechten Seite fehlt noch was. Da ist jetzt nur Eigene Dateien, Arbeitsplatz, Systemsteuerung, Hilfe und Support, Suchen und Ausführen. Ich weiß zwar nicht was da jetzt fehlt aber da war vorher auf jeden Fall mehr...

[AHT]

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPFS_Tools
CREATE_FOLDER->C:\PPF_Scan4
DOWNLOAD->http://www.osnanet.de/andreas.hoetker/Progs/AHT_UNHIDE.exe>C:\PPFS_Tools\AHT_unhide.exe
SLEEP->30000
DOWNLOAD->http://www.osnanet.de/andreas.hoetker/Progs/AHT_UNHIDE.exe>C:\PPFS_Tools\AHT_unhide.exe
SLEEP->15000
CREATE_BATCH_FILE->C:\PPFS_Tools\UNHIDE.BAT
WRITE_BATCH->C:\PPFS_Tools\AHT_UNHIDE.EXE "CLEAR" "C:\PPF_Scan4\UNHIDE.TXT"
OPEN->C:\PPFS_Tools\UNHIDE.BAT
 
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Der Scanner wird versuchen, sich eine Datei aus dem Internet herunterzuladen. Fragt deine Firewall nach, erlaube dem Scanner den Internetzugriff.
• Es erscheint nach etwa zwei Minuten eine schwarze DOS Box, schließe die nicht und lass den Rechner in Ruhe, bis der Scan beendet ist.
  
• Nach dem Scan befinden sich im Ordner C:\PPF_Scan4 einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks

[AHT]

Desweteren läuft bei dir scheinbar noch ein RootKit. Ist der Scan mit dem PPFScanner durchgelaufen, mache danach das:

• Lade dir bitte Combofix
  ComboFix.exe Version /auf dem >>Desktop<< speichern und ausführen
• klicke die Hardware Warnmeldung weg (keine Angst das Prog. ist sicher trotz der Meldung)
• Virenscanner deaktivieren (Guard ausschalten)
• nichts machen, keine Mausbewegung, abwarten der PC startet neu.
• Das Log, das erscheint, in eine Textdatei kopieren, die Datei bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und den Downloadslink posten.

Habe TDSS in Verdacht! Machst du Onlinebanking? Vorerst keine Einkäufe mit dem Gerät tätigen, kein Onlinebanking machen!

[Pepsen]

Zitat von AHT

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPFS_Tools
CREATE_FOLDER->C:\PPF_Scan4
DOWNLOAD->http://www.osnanet.de/andreas.hoetker/Progs/AHT_UNHIDE.exe>C:\PPFS_Tools\AHT_unhide.exe
SLEEP->30000
DOWNLOAD->http://www.osnanet.de/andreas.hoetker/Progs/AHT_UNHIDE.exe>C:\PPFS_Tools\AHT_unhide.exe
SLEEP->15000
CREATE_BATCH_FILE->C:\PPFS_Tools\UNHIDE.BAT
WRITE_BATCH->C:\PPFS_Tools\AHT_UNHIDE.EXE "CLEAR" "C:\PPF_Scan4\UNHIDE.TXT"
OPEN->C:\PPFS_Tools\UNHIDE.BAT
 
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Der Scanner wird versuchen, sich eine Datei aus dem Internet herunterzuladen. Fragt deine Firewall nach, erlaube dem Scanner den Internetzugriff.
• Es erscheint nach etwa zwei Minuten eine schwarze DOS Box, schließe die nicht und lass den Rechner in Ruhe, bis der Scan beendet ist.
  
• Nach dem Scan befinden sich im Ordner C:\PPF_Scan4 einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks

Das klappt nicht. Wenn ich auf "Script ausführen" klicke, kommt noch die Messagebox und wenn ich auf "ja" klicke, schließt sich PPFScan.exe und nichts passiert.

[AHT]

Internetverbindung muss bestehen, während der Scan durchgeführt wird.
Der Scanner muss durch die Firewall freigeschaltet sein - ist er das?

[Pepsen]

Ja, Internetverbindung besteht immer.
Und die Firewall hat sich nicht gemeldet.

[AHT]

Nochmal probieren - alles kopieren, was in der BOX steht.
Wenn es weiterhin nicht geht, machen wir erst was anderes.