S: explorer.exe w2k sp4

Mit w2ksp4.exe /x müsstest du es aus dem Service Pack entpacken können.

Es muss aber eh in %windir%\system32\dllcache sein. Von dort sollte es auch widerhergestellt werden, wenn du die Systemdateiüberwachung nicht kaputt gemacht hast.

Sie sollten identisch sein.

Ich hab's schon dort.

Wenn irgendetwas das explorer.exe verändert, dann wird's sofort mit der Version aus dllcache ersetzt und ein Log-Eintrag generiert.

Vielleicht befällt der Wurm aber auch die Version on dllcache, weiß nicht, ob das geht.