disconnessione automatica

[red_ka.it]

Ciao raga sto sistemando il pc di mia sorella, che ha avuto la capacità di farsi mangiare il sistema solo usando msn, e sto uscendo pazzo.
Praticamente non so quanti virus ho già tolto, ma la cosa + strana è successa pochi minuti fa, e a questo proprio non so ovviare; dopo aver fatto una scansione con panda antirootkit mi ha trovato un file tra i temporanei (classificato come unknow) che ovviamente ho permesso di cancellare dopo il riavvio, solo che ora mi entra in xp ma poi l'account si disconnette automaticamente e non ho alcun modo di entrare, nemmeno in mod.provv.
Il mio timore è che quel file sconosciuto era smss.exe, che kaspersky mi segnalava come rootkit.
Avete idea di come posso risolvere?

[red_ka.it]

Solo ora ricordo che il file cancellato da panda nn era smss ma il logon, quindi si spiega il problema. Ho trovato questa soluzione, spero funzioni, la posto nel caso potesse servire:
Here is the solution to the logon - logoff issue in Windows XP.

Enter the Recovery Console

Boot the system using the Windows XP CD-ROM. In the first screen when the Setup begins, read the instructions press "R" (in the first screen) enter the Recovery Console. Type-in the built-in Administrator password to enter the Console. You'll see the prompt reading C:\Windows (Or any other drive-letter where you've installed XP)

Type the following command and press Enter.

CD SYSTEM32
(If that does not work, try CHDIR SYSTEM32)

COPY USERINIT.EXE WSAUPDATER.EXE

Quit Recovery Console by typing EXIT and restart Windows.

You'll be able to login successfully as you've created the wsaupdater.exe file (now, a copy of userinit.exe)

Now, change the USERINIT value in the registry (see Phase II in this page) and change it accordingly

questa è la phase II
Click Start, Run and type REGEDIT. Navigate to:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ WindowsNT \ CurrentVersion \ Winlogon

In the right-pane, change the value of Userinit to "C:\WINDOWS\system32\userinit.exe,"

Type the above value exactly as given, including the comma - exclude the quotes. Also, change the path to userinit.exe appropriately if Windows is installed in a different drive.

Close Registry Editor and restart Windows. The Quick Launch settings should be retained now

[Dangerous]

ma quando c'è scritto copy userinit.exe eccc eccc
che significa?
copy da dove a dove ?
io bo ho copiato il file userinit.exe dal cd nella cartella system32 ma non si è risolto niente

[xcdegasp]

thread spsotato in area infezioni :)


@ Dangerous:
leggi meglio, c'è scritto tutto e te lo riscrivo in modo più chiaro:


avvia il pc con il cd-rom di Windows all'interno dell'unità ottica (controlla da bios che faccia il boot venga eseguito prima da cd-rom e solo se non viene trovato il cd avvia windows dai dischi rigidi). Nella prima finestra quando il Setup inizia, leggi le istruzioni e premi "R" per entrare nella console di ripristino.
Sarai posizionato nell'unità C:\ o comunque nell'unità nella quale è installato Windows.


scrivi (puoi usare il minuscolo):
CD SYSTEM32
e batti invio se dovesse dare errore prova a scrivere "CHDIR SYSTEM32" e batti invio (trascurando i doppi apici)


scrivi:
COPY USERINIT.EXE WSAUPDATER.EXE
batti invio


esci dalla Console di Ripristino e riavvia il pc questa volta facendo il boot normalmente quindi dal HardDisk


ora rimane da cambiare il valore USERINIT dal registro di windows, quindi:
start -> esegui: regedit
batti invio

posizionati in:
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ WindowsNT \ CurrentVersion \ Winlogon

clickando su "Winlogon" (un solo click) nel pannello di destra ti mostrerà il contenuto, quindi devi trovare in quell'elenco la "Userinit" quindi facci un doppioclick e ti si aprirà un pop-up dove dovrai controllare, ed eventualmente modificare, che abbia il seguente valore:
C:\WINDOWS\system32\userinit.exe,
(mi raccomando anche la virgola finale)

in caso windows sia installato su altra unità sostituire C:\ con la lettera corretta, riavviare. :)



poi cerca eventuali cartelle BAK seguendo questa semplice guida http://www.hwupgrade.it/forum/showthread.php?t=1694322, infine procedi con le scansioni indicate nella Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) e pubblica tutti i log così vediamo se è rimasto qualcosa e cosa :)

[red_ka.it]

beh la guida sembra dettagliata, peccato a me non abbia funzionato.
Ho dovuto ancora ripristinare il pc, per poi salvare tutto e formattare.

[xcdegasp]

magari nel tuo caso era un altra cosa il problema... tipo cancellazione di winlogon.exe :D

[red_ka.it]

eh si infatti era proprio che si era cancellato logon.
Che fai il mago? :D

[xcdegasp]

fatto da AVG? :D :p

[red_ka.it]

no panda antirootkit ha fatto il guaio solo che me lo dava come file unknow
sicuro che fosse il logon xkè prima kaspersky continuava a segnalarlo come rootkit.

[xcdegasp]

azz.. c'è sempre da stare attenti a cosa viene chiesto di cancellare :)

[red_ka.it]

Beh un pò è stato xkè me lo dava come unknow (quindi nn ho visto che era), un pò xkè stavo lavorando da vnc su 3 pc, sul mio x la tesi, e sugli altri due xkè mia sorella ha fatto come il mago Oronzo, "con la sola imposizione delle mani ti fotto due sistemi". :D

[xcdegasp]

magaaa :eek:

ebbrava la sorellina :asd:

scherzo, però effettivamente è stata una tragedia del tuo caso :(

[red_ka.it]

Vabbè ho poi risolto senza problemi, chiuso a catenaccio il firewall, e ora usano un account limitato.
A napoli si dice "dopo i ladri in casa, le sbarre alle finestre" :D
ciao.

[Dangerous]

ovviamente la guida neanche a me è servita a niente

[red_ka.it]

beh allora mi sa che il caso eccezionale era giusto quello del tipo che ha scritto la guida :D

[7D9]

Ciao. :)

Ho all'incirca lo stesso problema. Entro in windows XP, ma poi l'account (che è comparso magicamente, prima non avevo nessun account) si disconnette automaticamente. E lo stesso mi succede in modalità provvisoria.

Fino a stamattina il computer andava bene, poi un mio contatto su msn mi ha segnalato che gli arrivavano un sacco di messaggi dal mio account con un link che rimandava a un virus.
Allora ho fatto lo scan del computer con AVG che ha trovato 8 trojan, poi ho riavviato e adesso sono in questa situazione. :(

Io il CD di windows non ce l'ho (ho un portatile di tre anni fa e non mi avevano dato nessun cd di windows).

Come devo fare? Questo "Avira AntiVir Rescue System" mi può essere d'aiuto?
http://www.hwupgrade.it/forum/showthread.php?t=1689812

Grazie in anticipo per qualsiasi suggerimento. :)

E scusate se magari dico cavolate o chiedo banalità, ma sono veramente niubbo in fatto di computer.

[7D9]

Anche con "Avira AntiVir Rescue System" non è cambiato niente. :(

Purtroppo non so come fare a postarvi il log dei messaggi visto che non ho il lettore floppy sul portatile.

Sapete darmi qualche consiglio?

[Nuz]

Riesci ad accedere in modalità provvisoria?

[7D9]

No. Anche in modalità provvisoria mi si disconnette automaticamente.

[Nuz]

Dovresti procurarti il cd di Windows (Home o Professional) per poter tentare di accedere con un altro cd bbotable che ha molte più opzioni:

www.ubcd4win.com

Oppure potresti usare un cd live come quello di Ubuntu, ma non so se avresti il pieno accesso (cioè anche in scrittura) alla partizione dove è Windows.
Con quello si potrebbe controllare cosa ha eliminato Antivir.

Però io ti consiglio la prima soluzione.

[7D9]

Capito.

Allora cercherò di procurarmi un cd di windows.

Grazie dell'aiuto. :)

[Utonto\Bis]

neach io purtroppo ho risolto ... ma c è un modo di ripristinare ?

[Chill-Out]

neach io purtroppo ho risolto ... ma c è un modo di ripristinare ?

Spiega più dettagliatamente il problema

[Utonto\Bis]

rieccomi scusate... il problema credo sia analogo ai colleghi che hanno postato poco piu sopra...dopo una scansione antivirus e l eleminazione di alcuni files ( ma erano temp....mah) al riavvio del pc arrivo alla schermata utente...clicco nel quadrato mi dice caricamento impostazioni e poi si disconnette e ritrona nuovamente nelal schermata log utente...
ho provato ad entrare in provvisoria e altre modalita ma niente... vorrei ripristinare ma dalla recovery consolle non me lo fa fare...e poi penso non serva...ho provato inutilmente chkdsk /r ma nulla...sono veramente bloccato e il pc non è il mio mmmm
grazie pe rl attenzione
saluti

[Chill-Out]

rieccomi scusate... il problema credo sia analogo ai colleghi che hanno postato poco piu sopra...dopo una scansione antivirus e l eleminazione di alcuni files ( ma erano temp....mah) al riavvio del pc arrivo alla schermata utente...clicco nel quadrato mi dice caricamento impostazioni e poi si disconnette e ritrona nuovamente nelal schermata log utente...
ho provato ad entrare in provvisoria e altre modalita ma niente... vorrei ripristinare ma dalla recovery consolle non me lo fa fare...e poi penso non serva...ho provato inutilmente chkdsk /r ma nulla...sono veramente bloccato e il pc non è il mio mmmm
grazie pe rl attenzione
saluti

Riesci ad accedere alla Console di ripristino di emergenza

[Utonto\Bis]

purtroppo non riesco ad accedere....

[Chill-Out]

purtroppo non riesco ad accedere....

Il motivo?

[Utonto\Bis]

sempre lo stesso dsconnette..mi fa apparire la schermata di logon anche li....

[Chill-Out]

sempre lo stesso dsconnette..mi fa apparire la schermata di logon anche li....

Hai impostato il BIOS per fare il Boot da CD?

[Utonto\Bis]

si si ma nella consolle di recovery del cd riesco ad entrare...infatti ho seguito la procedura...pero nulla...ho provatoanceh ad entrare nel prompt tramite il tasto F8....ma nada ...cmq ti ringrazio

[Utonto\Bis]

Sono riuscito a risolvere...con nlite ho creato un cd xp pro con sp3 integrato e ho fatto la reinstallazioen sopra... con l sp2 non funzionava...grazie ghill per il tempo che mi hai dedicato...buona giornata a tutti

[Chill-Out]

Sono riuscito a risolvere...con nlite ho creato un cd xp pro con sp3 integrato e ho fatto la reinstallazioen sopra... con l sp2 non funzionava...grazie ghill per il tempo che mi hai dedicato...buona giornata a tutti

Perfetto ;)

[*_7he_End_*]

Ragazzi ho lo stesso problema. Vi do dettagli maggiori:
L'avira installato da poco trova dei virus e glieli faccio mettere in quarantena. Fra questi c'era un certo mswinvks.exe (o qualcosa del genere). Poiché il sistema tentava di avviare questo file all'avvio (dandomi dei messaggi di errore ma avviandosi perfettamente) ho ben pensato di toglierne ogni traccia del file exe dal registro di sistema manualmente. Ho però esportato ogni chiave in un file .reg prima di cancellarla.
Se non ricordo male tra le varie (tre o quattro) chiavi che ho cancellato c'era
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell e temo che sia questa ad aver provocato il danno!

Ora, considerando che ho persino un file .reg sull'hd con dentro scritto cosa aggiungere, come faccio a rimettere a posto il registro senza riuscire ad accedere a windows?
Ho proprio bisogno del disco del SO? (che non trovo... e se ne usassi un altro riconoscerebbe che non è quello corretto?)
Grazie in anticipo.


Edit: l'antivirus ha messo in quarantena anche un bel po' di file dalla cartella "C:\System Volume Information" che ora ho scoperto essere quella che contiene i dati del registro! :O
Come devo fare? HELP! :(((((

[Chill-Out]

Ragazzi ho lo stesso problema. Vi do dettagli maggiori:
L'avira installato da poco trova dei virus e glieli faccio mettere in quarantena. Fra questi c'era un certo mswinvks.exe (o qualcosa del genere). Poiché il sistema tentava di avviare questo file all'avvio (dandomi dei messaggi di errore ma avviandosi perfettamente) ho ben pensato di toglierne ogni traccia del file exe dal registro di sistema manualmente. Ho però esportato ogni chiave in un file .reg prima di cancellarla.
Se non ricordo male tra le varie (tre o quattro) chiavi che ho cancellato c'era
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell e temo che sia questa ad aver provocato il danno!

Ora, considerando che ho persino un file .reg sull'hd con dentro scritto cosa aggiungere, come faccio a rimettere a posto il registro senza riuscire ad accedere a windows?
Ho proprio bisogno del disco del SO? (che non trovo... e se ne usassi un altro riconoscerebbe che non è quello corretto?)
Grazie in anticipo.


Edit: l'antivirus ha messo in quarantena anche un bel po' di file dalla cartella "C:\System Volume Information" che ora ho scoperto essere quella che contiene i dati del registro! :O
Come devo fare? HELP! :(((((

Senza sapere che cosa hai cancellato, e senza sapere quali errori ti restituisce all'avvio, questa è la procedura per ripristinare il Registro

http://support.microsoft.com/kb/307545/it

[*_7he_End_*]

Senza sapere che cosa hai cancellato, e senza sapere quali errori ti restituisce all'avvio, questa è la procedura per ripristinare il Registro

http://support.microsoft.com/kb/307545/it

Inanzitutto grazie per la risposta...
L'avevo già trovato quel link!
Cmq ho cancellato sicuramente la chiave Shell dal winlogon ed è per quella che non mi fa entrare in Windows! Non mi dà alcun messaggio d'errore, semplicemente quando clicco sull'utente entra per un istante e poi mi disconnette, come gli altri utenti del thread!

Ora provo a creare un live cd per entrare e rimettere la chiave a posto. Mi sono procurato un CD di windows dato che il mio l'ho perso! La domanda "se ne usassi un altro riconoscerebbe che non è quello corretto?" potrò risponderla io fra non molto!
Vi terrò aggiornati

[Chill-Out]

Inanzitutto grazie per la risposta...
L'avevo già trovato quel link!
Cmq ho cancellato sicuramente la chiave Shell dal winlogon ed è per quella che non mi fa entrare in Windows! Non mi dà alcun messaggio d'errore, semplicemente quando clicco sull'utente entra per un istante e poi mi disconnette, come gli altri utenti del thread!

Ora provo a creare un live cd per entrare e rimettere la chiave a posto. Mi sono procurato un CD di windows dato che il mio l'ho perso! La domanda "se ne usassi un altro riconoscerebbe che non è quello corretto?" potrò risponderla io fra non molto!
Vi terrò aggiornati

http://www.hwupgrade.it/forum/showthread.php?t=1927601