Die Suchfunktion des Forums hast du aber nicht benutzt? => http://www.trojaner-board.de/85901-w...zum-start.html
Dort herauskopiert/bitte dort auch lesen

PC mit BartPE Boot CD starten oder Festplatte in/an anderen PC einbauen/anschließen

"HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options\userinit.exe". => gesamten Schlüssel komplett löschen, siehe cosinus.
"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Windows NT\CurrentVersion\Winlogon" (der legale, notwendige Eintrag) muss als Wert diesen Eintrag haben: "C:\WINDOWS\system32\userinit.exe," (ohne Anführungszeichen), wobei "c:\windows" der Pfad des Windows-System ist, wie er normal auf diesem System wäre, liegt das Windowsverzeichnis nicht auf c: oder nicht im Verzeichnis "Windows" musst du anpassen. Der Pfad bezieht sich auf dein boot-unwilliges System, so wie dieses System seine Festplattenpartitionen benannt hat.

Beide Varianten können auch gleichzeitig vorhanden sein, also beides kontrollieren!

zu 4. Struktur laden: Du musst da einen Namen angeben, der ist eigentlich beliebig, sollte aber (natürlich) eindeutig und einmalige in diesem Registry-System sein, einfach z.Bsp. Z hat sich eingebürgert.

Am Schluss (wenn via Festplattenumbau vor dem Schließen der Registry die Struktur wieder entladen (Struktur entfernen).

Doch, nur habe ich nicht abstrakt genug gedacht als dass ich das Thema geöffnet hätte.

Trotzdem Danke für den Hinweis mal sehen ob meine bescheidenen Kenntis ausreichend sind den Vorschlag in die Tat umzusetzen.

Zum Suchen: Das ist IMMER das Problem, wenn man die Lösung (oder eine mögliche Lösung) nicht weiß, ist es schwer danach (= nach der Lösung) zu suchen.
Eigentlich ist es nicht schwer, aber man muss aufpassen und es ist ungewohnt. Frag lieber noch mal nach, bevor du was falsch machst (und es MUSS ja nicht einmal die richtige Lösung sein)

Zitat von Shadow

"HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options\userinit.exe". => gesamten Schlüssel komplett löschen, siehe cosinus.
"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Windows NT\CurrentVersion\Winlogon" (der legale, notwendige Eintrag) muss als Wert diesen Eintrag haben: "C:\WINDOWS\system32\userinit.exe," (ohne Anführungszeichen), wobei "c:\windows" der Pfad des Windows-System ist, wie er normal auf diesem System wäre, liegt das Windowsverzeichnis nicht auf c: oder nicht im Verzeichnis "Windows" musst du anpassen. Der Pfad bezieht sich auf dein boot-unwilliges System, so wie dieses System seine Festplattenpartitionen benannt hat.

Ich bin jetzt bis zu diesem Schlüssel vorgedrungen aber unter dem angegebenen Pfad ist keine "userinit.exe" vorhanden.
Was ich nicht ganz verstanden habe ist die Anweisung "den gesamten Schlüssel löschen"! Du meinst sicher nur die "userinit.exe" nicht den gesamten Pfad löschen! In meinem Fall ist diese Datei da schon gar nicht mehr vorhanden.

Bzgl. der Alternativlösung. Der Wert war komplett flasch. Er deutete auch auf ein falsches Laufwerk habe ich nach Deiner Vorgabe abgeändert. Windows startet aber trotzdem nicht nach dem Log in.
Muss ich da vielleicht noch irgendetwas anders machen? Speichern oder Export? Keinen Schimmer!

Der obere Schlüssel ist eine reiner viraler Schlüssel, der in einem sauberen System NICHT vorkommt und deshalb auch unbedingt gelöscht gehörte.
Selbst wenn die Datei nicht mehr vorhanden ist!

Der untere wird durch Malware eben verändert, als Wert(!) muss diesem eben (wie geschrieben) "C:\WINDOWS\system32\userinit.exe," eingetragen werden (ohne Anführungszeichen), dort wo eben die legale userinit.exe liegt (wenn dein Systemverzeichnis d:\windows oder c:\WINNT lautet, dann eben so.)

Kein Speichern, kein Export nötig, zur Not aber hier noch einmal (vorher) nachfragen