Explorer.exe wird bei Anmeldung beendet

[hoi_polloi]

Hallo liebe Forumsnutzer,

ich quäle mich seit einer Woche mit dem folgenden Problem:

Sobald ich mich anmelde lädt der Explorer ganz normal (Desktop, Symbole, usw.) aber beendet sich schon wenige Sekunden darauf wieder, startet neu, beendet sich, startet neu ... usw. -> erstaunlicherweise AUCH im abgesicherten Modus! <- nun aber der Hammer: nach etwa einer Stunde "An-Aus-Spiel" läuft der Explorer auf einmal problemlos (bis zum nä. Neustart - ab und zu ist das ja doch mal notwendig).

HjThis zeigt nichts aufregendes (wie ich finde) an und in der Registry befinden sich auch keine sonderbaren Eintrgäge wie undefinierte ShellExtensions usw...

Meine Versuche bisher:

1.) McAfee, Kaspersky, Ad-Aware, SpyBot & Co haben nichts gefunden - also wahrscheinlich kein Virus, Wurm oder ähnliches

2.) Ich dachte mir, es wäre bei der letzten Installation irgendein defekter Treiber dabei gewesen. War aber keine Installation in letzter Zeit erfolgt, außer Windows-Updates.

3.) Also dachte ich, weil ich einige Updates von Microsoft nicht erlaubt hatte, ein interner Versionskonflikt liegt vor. SP2 neu eingespielt. Keine Veränderung.

4.) Im Netz bin ich fündig geworden, die explorer.exe zu löschen, weil Windows sie dann auch irgendwelchen Recovery-Ordnern wiederherstellt. Hat er auch gemacht. Löst aber nicht das Problem. Auch nicht die Explorer.exe von einem Nachbarrechner zu nehmen.

5.) Vielleicht ist es ein Hardwarefehler wie RAM-Baustein o.ä. Also Memtest laufen lassen. Keinerlei Fehler.

6.) Eine Lösung wäre sicher XP neu aufsetzen lassen (bin nicht Admin), aber dann ist der Rechner erst einmal ein paar außer Tage fort - den brauche ich aber momentan.

Hat jemand noch Ideen zur Lösung oder etwas Ähnliches erlebt?

Logfile of HijackThis v1.99.1
Scan saved at 12:37:43, on 23.04.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - Default URLSearchHook is missing
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DWQueuedReporting] "c:\PROGRA~1\GEMEIN~1\MICROS~1\DW\dwtrig20.exe" -t
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1130136447076
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1130164116953
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{831A40E9-0B55-4263-BD01-FD547C2AE8BC}: NameServer = 141.44.1.2
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: MGABGEXE - Matrox Graphics Inc. - C:\WINDOWS\system32\mgabg.exe
O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)
O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite XI\Win32\RpcDataSrv.exe
O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite XI\RpcSandraSrv.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

 

[pcpanik]

Steht vielleicht irgend ein Grund im Ereignisprotokoll?

 

[hoi_polloi]

Yep, der Fehler wird von WinLogon erzeugt ID 1002 (bei Microsoft leider nicht sehr viel beschrieben) und lautet: "Die Shell wurde unerwartet beendet und Explorer.exe wurde neu gestartet."

 

[pcpanik]

Schau mal ob Dir dieser MS Artikel weiterhilft.

 

[hoi_polloi]

Vielen Dank.

Ist aber leider auch nicht das richtige.
Ich habe dafür etwas anderes entdeckt.

Die "shell32.dll" aus dem XP SP2 hat folgende Daten:
Datum: 04/08/2004 - Größe: 8.228 KB

Die "shell32.dll" aus dem System32-Verzeichnis hat diese Daten:
Datum: 19/12/2006 - Größe: 8.296 KB

Kann bitte mal jemand nachsehen was bei ihm für Werte stehen? (Win XP Prof. SP2)

Weiß jemand ob mit einem MS-Update zwischen SP2 und jetzt die "shell32.dll" nochmals "upgedated" wurde? Immerhin ist sie wesentlicher Bestandteil des Betriebsystems und enthält fast alle wichtigen Funktionen zur Steuerung, Aufruf und Verifizierung von Programmen.

Ich werde beim nä. Systemstart mal diese Dateie mit der Originalen vom SP2 austauschen. Mal sehen was passiert. Andererseits hätten Virenscanner und Co sicher schon eine Unregelmäßigkeit festgestellt.

 

[pcpanik]

8296 ist der aktuelle Wert der shell32.dll, welche sich in gleicher Größe auch im dll cache wiederfindet.

Du kannst es mit einem "Ausführen" -> sfc /scannow mal versuchen.

Oder Du deinstallierst mal das SP2 komplett und installierst es neu (sofern es nachträglich drauf kam)

 

[hoi_polloi]

Hallo Leute,

ich freue mich diesen Thread beenden zu können. Mein System läuft wieder und das ohne Neuinstallation!

Die Lösung ist die folgende gewesen:
Ich habe mir das Tool CounterSpy von Sunbelt herunter geladen: Link hier.
Im Vergleich zum letzten Update von McAfee hat er sofort zwei Registry-Einträge und eine DLL im System32-Verzeichnis gefunden, diese gelöscht und voila...
Der Trojaner wollte sich jedes Mal zusammen mit der Explorer.exe starten und fragwürdige Dinge tun. Da die Firewall solche Dinge nicht zuließ, kam es vermutlich zum Beenden der Explorer.exe, die aber ja nur unter dem Vorwand des Trojaners starten sollte.
CounterSpy kann ich da wirklich nur empfehlen.
Viel schlimmer ist, dass weder Kaspersky, McAfee und Co überhaupt diese Dinge zu erkennen scheinen.