secpol.exe

[l.ced]

Salve mesi fa mi sono infettato con un file secpol.exe. Parlo di novembre ( gli antivirus non lo localizzavano ancora) al tempo ho rimosso il file e la relativa chiamata nel registo dentro HKLM/software/microsoft/windows nt/current version/winlogon. La chiamata al file era nascosta dietro un userinit."C:\WINDOWS\system32\userinit.exe, secpol.exe) Quindi non appare nei processi... Infatti spesso al logon il pc crashava per errore del winlogon.

Non sono riuscito però a ripristinare la schermata di avvio in modo grafico, mi appare quella testuale ( tipo accessa ad un dominio). Ho provato sia ad impostarla nel profilo utente che a forzare la voce nel registro LogonType 1 (sempre nella stessa posizione)
qualcuno ha qualche idea di come ripristinare la schermata di avvio classico?

Dimenticavo, da allora non funziona più windows update per impossibilità di installare lo strumento di veridicità.. ( ho xp originale). Non sono l'unico a cui sta succedendo questo problema, ieri ho visto un pc nella identica situazione.

saluti
l.ced

[Nuz]

Prova con sfc /scannow.

Start->esegui: sfc /scannow.

[l.ced]

già provato
sia sfc /purgecache e poi sfc /scannow che poi sembra anche troppo veloce.
p.s. alcuni ultimi virus sembrano disabilitarlo, lo scannow dura 3 secondi.
qui da me un minuto circa e sono con un p4 3Ghz 1Gb ram

[Nuz]

Hai provato il repair di windows?

P.S. Punto 4 in questa pagina:

http://www.pcalmeglio.net/news.asp?id=188

[l.ced]

no l'avvio e ripristino no, perchè cancella troppi aggiornamenti e ne risento sui programmi.
Repair per repair.... formatto, ma era proprio quello che volevo evitare.
Poi oltre che risolvere... volevo capire il problema dove stava.

[Nuz]

Prova allora a sostituire winlogon con quello preso da un altro pc. Io ho Xp Professional e il file l'ho uppato qualche giorno fa qui:

http://www.hwupgrade.it/forum/showpost.php?p=21490500&postcount=64

Lascia perdere le istruzioni che sono scritte per quell'utente e scarica solo il file.

:)

P.S. Se puoi allegare almeno un log di HiJackThis vorrei potergli dare un occhiata.

[l.ced]

winlogon e logonui già rimessi prendendoli dal cd di windows xp pro sp2 ( estratti ovviamente)
ho allegato il file l.ced_hijackthis.txt

p.s. il svrany mi serve per lanciare hamachi come servizio.

[Nuz]

winlogon e logonui già rimessi prendendoli dal cd di windows xp pro sp2 ( estratti ovviamente)
ho allegato il file l.ced_hijackthis.txt

p.s. il svrany mi serve per lanciare hamachi come servizio.

Come non detto il log di HiJackThis non serve a nulla, certo che se me lo dicevi prima tutto quello che hai fatto evitavamo le soluzioni inutili. :)
Hai già controllato i valori del registro in HKLM/software/microsoft/windows nt/current version/winlogon con un sistema funzionante?

[l.ced]

scusa se non lo ho detto prima, ma sai gli esperimenti son stati tanti che a volte mi sfuggono, ero nella speranza che a qualcun altro fosse capitato ed avesse trovato la soluzione. Cmq per essere più dettagliato da qualche esperimento mio quel secpol è una variante del file UFO o KNIGHT.exe che capita spesso nelle pennette usb. una lingua del secpol era asiatica.
cercando di paragonare,il winlogon secco del registro non vedo tante differenze, solo che nel mio ci sta qualcosa in più forse per le varie installazioni. Ma ora che ci rismanetto forse l'idea è levare tutta la parte relativa al \winlogon\WgaLogon\ che dovrebbe essere del windows genuine advantage (tieni sempre presente che non mi fa fare gli update)
e probabilmente peruna cretinata mia che "forse" ho disinstallato con ccleaner le disinstallazioni di windows (almeno questo credo sia il problema) mi dà errore sul windows update e non mi fa neanche disinstallare la patch relativa al wga.

[Nuz]

E' abbastanza diversa dalla mia la voce winlogon, però tieni conto che ho anche installato XPize,

http://img138.imageshack.us/my.php?image=catskc7.jpg

mentre la voce wgalogon ha i miei stessi valori, quindi direi che è ok.

Edit: ecco cosa compare sulla VM:

http://img136.imageshack.us/img136/5852/cats2ht7.th.jpg (http://img136.imageshack.us/my.php?image=cats2ht7.jpg)

[l.ced]

se sul wgalog ci siamo il problema degli update deve essere altrove allora. per il winlogon anche se il tuo è molto + grande la vase rimane la stessa tranne che quel rundll32 shell32,Control_RunDLL "sysdm.cpl" che ho visto anche su altri pc e non capisco a cosa serve visto che apre le proprietà del sistema.
cmq in precedenza (sto riprendendo il problema visto che avevo il sabato libero e con donna lontana) il mio winlogon era + lungo deve essere stata qualche tool tipo unlead registry booster.
provato ad aggiunge rundll32 shell32,Control_RunDLL "sysdm.cpl" ma nulla da fare

sembra un mistero della fede sto problema.

[Nuz]

Lo differenze sono maggiori, ci sono dei valori dove a te è impostato 1 e a me 0 e viceversa controlla bene. Per esempio logontype.

:)

Edit: possiamo provare ad aggiungere i vari valori. Prima però fai un punto di ripristino. Poi scarica questo, clicca due volte e dai ok.

Clicca qui per scaricare (http://fileup.itadib.com/download.php?id=9XVe3Ae16odP1mbWFZ7J)

[l.ced]

logontype è uguale.
differente erano le option al logon ed ora le ho levate. quella era stata un'altra prova, servono per il testuale quando scegli fra dominio e computer locale

[Nuz]

LogonType a te: 0x00000000

LogonType a me: 0x00000001

In ogni modo prova a fare quello che ti ho scritto qui:

http://www.hwupgrade.it/forum/showpost.php?p=21577721&postcount=12

[l.ced]

il mio logontype era a 0 forse perchè mentre scrivo oggi sto facendo cento prove. cmq rimesso a 1.
avevo già aggiunto le voci diverse, oggi ho installato xp pro su un portatile qua affianco proprio per poterlo seguire passo passo.
cmq ormai credo che il problema non sia nel registo, ma in qualche dll.
Anche perchè se metto il cambio rapido utente, mi compare nel menù start, anche se ovviamente non funziona, fa da blocco della postazione tipo tasto win+L.
cmq ti ringrazio ugualmente per i suggerimenti.