View Full Version : [Vista] Il portatile non parte più....forse un rootkit
Allora accendo il pc, carica tutto regolarmente, arriva alla fase con la barretta-termometro e ci mette una marea di tempo, quindi è qualcosa che carica in quella fase che non va... Cmq si riavvia ed esce in DOS
"Avvia strumento di ripristino all'avvio (scelta consigliata)
Avvia Windows normalmente"
Se si sceglie la seconda rifà il giro di prima, si blocca e si riavvia, tornando a questo punto.
Scegliendo la prima opzione, invece, accade qualcosa di simile a quando carica la Modalità Provvisoria:
si vede "Caricamento dei file in corso..." in DOS e poi compare la barretta-termometro di Windows che carica, ma stavolta per un tempo ragionevole.
Poi compare in stile Windows una finestra con titolo "Ripristino all'avvio" che tenta di ripristinare automaticamente il pc.
Il risultato è puntualmente:
"Impossibile ripristinare automaticamente il computer
Se di recente è stato collegato un dispositivo al computer, come una fotocamera o un lettore musicale portatile, rimuoverlo e riavviare il computer. Se questo messaggio viene nuovamente visualizzato, contattare l'amministratore del sistema o il produttore del computer."
Ovviamente io non ho niente collegato al portatile.
Inoltre compaiono dei link:
"Visualizza dettagli diagnostica e ripristino
Visualizza opzioni avanzate per il ripristino del sistema e per il supporto"
Se clicco sul primo link viene fuori:
"Dettagli diagnosi e ripristino:
Diagnosi e registro di ripristino per Ripristino all'avvio
----------------------
Ora ultimo avvio riuscito: 06/08/2008 13.21.48 (GMT)
Numero di tentativi di ripristino: 18
Dettagli sessione:
----------------------
Disco di sistema = \Device\Harddisk0
Directory Windows = C:\Windows
Controllo automatico = 0
Numero cause principali = 1
Test eseguito:
----------------------
Nome: Controlla aggiornamenti
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 0 ms
Test eseguito:
----------------------
Nome: Test disco di sistema
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 0 ms
Test eseguito:
----------------------
Nome: Diagnosi di errore disco
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 359 ms
Test eseguito:
----------------------
Nome: Test metadati disco
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 78 ms
Test eseguito:
----------------------
Nome: Test sistema operativo di destinazione
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 172 ms
Test eseguito:
----------------------
Nome: Controllo contenuto volume
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 327 ms
Test eseguito:
----------------------
Nome: Diagnosi Boot Manager
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 0 ms
Test eseguito:
----------------------
Nome: Diagnosi registro di avvio sistema
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 0 ms
Test eseguito:
----------------------
Nome: Diagnosi registro eventi
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 765 ms
Test eseguito:
----------------------
Nome: Controllo stato interno
Risultato: Completato. Codice di errore = 0x0
Tempo impiegato = 93 ms
Causa principale rilevata:
----------------------
Strumento di ripristino all'avvio: impossibile determinare la causa del problema nonostante i numerosi tentativi.
----------------------
----------------------
Dettagli sessione
----------------------
Disco di sistema = \Device\Harddisk0
Directory di Windows = C:\Windows
...................e ricomincia con gli stessi dati di prima in cui cambiano solo i millisecondi poiché si riferisce al tentativo di ripristino precedente"
Mi sono informato e ho trovato che il codice di errore 0x0 indica che il test non ha trovato errori, quindi proprio perché non trova errori non riesce a risolvere il problema in automatico.
Cliccando invece sul link
"Visualizza opzioni avanzate per il ripristino del sistema e per il supporto"
compare una finestra che mi fa selezionare la lingua. Io seleziono l'italiano e clicco su "Avanti".
Poi compare il messaggio
"Per accedere alle opzioni di ripristino, accedere come utente locale.
Per accedere anche al prompt dei comandi, accedere utilizzando un account amministratore."
E poi ho:
Nome utente: 3 possibilità -> Administrator, mioNomeUtente, Guest
Password:
Da precisare che io non avevo password sul portatile.
Cmq se metto Administrator senza inserire pw non mi fa procedere.
Se invece inserisco il mioNomeUtente senza pw procede e compare una finestra in cui ci sono 6 strumenti di ripristino.
"Scegliere uno strumento di ripristino
Sistema operativo: Microsoft Windows Vista su ( C: ) Vista
Ripristino all'avvio
Risolve automaticamente i problemi che impediscono l'avvio di Windows
Ripristino configurazione di sistema
Ripristina lo stato di Windows relativo a un momento precedente
Ripristino Windows Complete PC
Ripristino completo del computer da un backup
Strumento di diagnostica memoria Windows
Controlla il computer per individuare eventuali errori hardware relativi alla memoria
Prompt dei comandi
Apri una finestra del prompt dei comandi
Ripristino del sistema operativo Windows
Ripristino del sistema operativo Windows"
Se si clicca sul primo ricompare la finestra "Impossibile ripristinare automaticamente il computer" da cui siamo passati per arrivare qua.
Se si clicca sul secondo compare il messaggio con la X su fondo rosso:
"Nessun punto di ripristino creato nel disco di sistema del computer. Per creare un punto di ripristino, aprire Protezione Sistema."
Se si clicca sul terzo viene fuori una "Ricerca dischi di backup in corso..."
"Impossibile trovare un percorso di backup valido.
Impossibile trovare un backup nei dischi rigidi o nei DVD disponibili nel computer. Collegare il disco rigido corretto o inserire l'ultimo DVD di backup, quindi avviare di nuovo il processo di ripristino."
Se si clicca sulla Diagnostica dei problemi di memoria:
"Individuare eventuali problemi di memoria del computer
I problemi di memoria possono provocare perdite di informazioni o il blocco del computer.
-> Riavvia ora e individua eventuali problemi (scelta consigliata)
-> Individua eventuali problemi al prossimo riavvio del computer"
Effettuando la scelta consigliata il pc si riavvia e parte una scansione della memoria in stile DOS ma su fondo blu
"Strumento di diagnostica memoria Windows
Analisi della memoria in corso..."
Esegue 2 test.
Risultato: nessune errore fino alla fine dei 2 test.
Il Prompt dei comandi apre la classica finestra del DOS ed è da lì che ho cancellato una cartella di 40 GB presente sull'HD dov'è messo il sistema operativo.
Infine il Ripristino del sistema operativo Windows equivale a inserire il DVD di ripristino fornito dalla Toshiba e cioè formatta il portatile e reinstalla Vista ex-novo.
Sono riuscito a impedire il riavvio dopo la schermata blu e mi sono segnato quale errore dà.
STOP: c000021a {Fatal System Error}
The initial session process or system process terminated unexpectedly with a status of 0x00000000 (0xc0000001 0x001004c0).
The system has been shut down.
ciao
facciamo un controllo del disco
start -> esegui -> digita cmd (invio)
nella finestra dos digita
chkdsk x: /f/r
dove x è l'indirizzo della partizione su cui gira win
Ti chiederà di forzare lo smontaggio del disco in quanto è in uso da win, premi S
Riavvia il pc e lasciagli fare il controllo del disco
Sono riuscito a ottenere una lista dei driver caricati e non con "Abilita registrazione all'avvio" e sono postati nel file seguente:
http://wikisend.com/download/485760/ntbtlog.txt
ntbtlog.txt (http://wikisend.com/download/485760/ntbtlog.txt)
da cui però non si capisce un fico secco...credo
per tale motivo posto anche il log che sono riuscito a ottenere da Gmer eseguito in DOS, che però fa un'analisi su X: (che è il disco di boot) e non su C:, che è il disco su cui è messo il sistema operativo....non capisco bene cos'è quell'X:....credo una specie di SO che parte quando non si avvia il principale...
http://wikisend.com/download/709658/gmer.log
gmer.log (http://wikisend.com/download/709658/gmer.log)
Cmq il log è il suddetto: vi sarei molto grato se poteste interpretarmelo....inoltre volevo sapere se è necessario ricavare anche un log di HiJackThis....grazie! :confused:
Ah, dimenticavo: ovviamente Gmer dice che rileva l'attività di un rootkit
Ciao allora il SO nn parte, né normalmente, né in modalità provvisoria, quindi chkdsk lo eseguo dal prompt dei comandi degli strumenti di ripristino.
Inoltre ti posso dire che chkdsk l'ho già eseguito senza gli slash, senza alcun risultato.
Adesso lo rieseguo con gli slash...
Ti posso chiedere f/ ed /r cosa fanno? Perché è partito senza chiedermi di togliermi niente il chkdsk....
edit: mi sa che non mi ha chiesto lo smontaggio perché non è in uso dal PC windows in quanto sto in una specie di Console di Ripristino
Ti posso chiedere f/ ed /r cosa fanno? Perché è partito senza chiedermi di togliermi niente il chkdsk....
edit: mi sa che non mi ha chiesto lo smontaggio perché non è in uso dal PC windows in quanto sto in una specie di Console di Ripristino
/f/r servono per correggere gli errori
non ho capito se riesci ad avviare in modalità normale ed eseguire quanto di ho detto...
Non esegue la modalità normale e nemmeno la provvisoria. Eseguo il chkdsk dalla Console di Ripristino: quella specie di modalità DOS che parte col cd di ripristino, hai presente?
Fatto!
Risultato:
Nessun problema rilevato.
0 kb in settori danneggiati.
Impossibile trasferire i messaggi registrati al registro eventi con stato 50.
Cosa vuol dire l'ultima cosa??? :confused:
ps.c'è qualche uomo di buona volontà che mi sa analizzare il log di gmer di cui sopra? :)
Allora:
per gmer i file infetti sono
disk.sys
USBSTOR.SYS
volsnap.sys
Tutti drivers che gestiscono gli HD. Inoltre ho capito che si tratta di un MBR Rootkit....lo sto scovando...
Ho sostituito i tre file suddetti prendendoli da un PC sano, ma niente
Ci deve essere qualcosa a livello di chiavi di registro o di istruzioni di altri file .dll oppure .sys che fanno annullare il lavoro di sostituzione che ho fatto....
nessuno mi sa analizzare il log di gmer di cui sopra??? tnx
nessuno mi sa analizzare il log di gmer di cui sopra??? tnx
potresti rifarlo aggiornato, ormai i link portano ad altro...
irciverson
30-09-2008, 09:43
Allora:
per gmer i file infetti sono
disk.sys
USBSTOR.SYS
volsnap.sys
Tutti drivers che gestiscono gli HD. Inoltre ho capito che si tratta di un MBR Rootkit....lo sto scovando...
Ho sostituito i tre file suddetti prendendoli da un PC sano, ma niente
Ci deve essere qualcosa a livello di chiavi di registro o di istruzioni di altri file .dll oppure .sys che fanno annullare il lavoro di sostituzione che ho fatto....
sto avendo lo stesso identico problema con un vaio....
hai risolto in qualche modo?? (che nn sia la formattazione)
sto avendo lo stesso identico problema con un vaio....
hai risolto in qualche modo?? (che nn sia la formattazione)
ciao
il pc rimane acceso per poter produrre qualche log?
irciverson
30-09-2008, 10:01
ciao
il pc rimane acceso per poter produrre qualche log?
si..posso usare la winRE
si..posso usare la winRE
il tuo problema quale sarebbe?
la causa è un infezione o un "normale" problema di win?
ha già provato con i vari ripristini di winRE?
irciverson
30-09-2008, 10:08
si.. il ripristino con winRE non produce nessun effetto.
mi trovo nella stessa identica situazione di gtv.
ho provato a lanciare gmer, mi trova quei tre file infetti, li elimino, riavvio ma sono ancora lì e la situazione rimane sempre la stessa...
ho provato anche a disabilitare i servizi all'avvio relativi a quei file, ma nn me lo fa fare, o comunque non serve a niente...
gmer lanciato da dos o a pc avviato?
Prova con il rescue cd di avira
Tutte le info le trovi qui
http://www.hwupgrade.it/forum/showthread.php?t=1689812
Poi se la situazione migliora vediamo come procedere
Chill-Out
30-09-2008, 10:40
disk.sys
USBSTOR.SYS
volsnap.sys
sono legittimi
irciverson
30-09-2008, 10:53
sono legittimi
in realtà l'ho pensato anche io... ma perchè me li segna come rootkit allora?
cmq adesso sto backuppando tutto l'hd..poi vedrò se è il caso di formattare e amen....oppure provare il rescue cd di avira come diceva wjmat.....che scocciatura:rolleyes:
prova col cd di avira, ti costa solo 1 cd ;)
se poi si sblocca qualcosa ne veniamo fuori
Ho eseguito la scansione con Avira, quest'ultimo ha rinominato alcuni file che sembravano innocui, per lo più crack di programmi, ma il problema è rimasto irrisolto: appena riavvio mi si ripresenta la schermata di "Ripristino all'avvio".
Non so piu' che pesci prendere....ma sapete che cosa carica il pc quando finisce di muoversi il termometrino di Windows? A quanto pare l'MBR è ok, altrimenti non partirebbe proprio il termometrino...dico bene?
edit: "termometrino" si fa per dire
torniamo nella tua discussione e facci il punto....
Allora avvio il portatile e mi esce un Fatal System Error
"STOP: c000021a {Fatal System Error}
The initial session process or system process terminated unexpectedly with a status of 0x00000000 (0xc0000001 0x001004c0).
The system has been shut down."
dopo il quale si avvia la modalità di Ripristino, denominata in Vista "Ripristino all'avvio". Quest'ultima dovrebbe risolvere gli errori presenti, ma non trova errori e dice che non puo' risolvere niente.
log del Ripristino (http://www.fileqube.com/shared/bsvGUl117470)
Il computer continua a non partire e ho salvato i driver che carica e quelli che no (e sono questi: http://www.fileqube.com/shared/iDqdPB116521).
Inoltre ho il log di Gmer (http://www.fileqube.com/shared/DUeXRb116527), che pero' potrebbe essere errato poiché Gmer parte su X: (il drive preimpostato per la modalità di ripristino, che è come un drive esterno e lo scan me lo fa eseguire solo su X:, non su C:, dove ho i problemi)
Poiché io non avevo valutato ciò, ho ben pensato (come un cogl....) di sostituire tutti i file nominati nel log di gmer e cioè:
USBSTOR.sys
volmgr.sys
ntfs.sys
cdfs.sys
fastfat.sys
fltmgr.sys
disk.sys
crcdisk.sys
e forse halmacpi.dll
prelevandoli da un portatile "sano", ma di poco diverso dal mio
(Toshiba A100-881 il mio, Toshiba A100-646 l'altro) per grandezza HD, procio uguale come tipo (Duo 2) ma diverso come clock---> forse questa cosa ha finito con l'incasinare tutto oppure i file sono uguali??? Nel senso che se ho un file halmacpi.dll, che gestisce il multicore, e installo hal.dll, che gestisce il procio piu' semplice del mondo senza nemmeno ACPI, si impalla tutto, ma se metto al posto dell'halmacpi.dll un altro halmacpi.dll dello stesso brand non dovrebbe impallarsi molto, giusto?!?!?
Anche perché l'errore non è cambiato da quando ho fatto queste modifiche ad ora: quello che succede è sempre lo stesso e cioè Fatal System Error e Ripristino all'Avvio.
Inoltre mi pare di ricordare che una delle prime volte mi usciva nella schermata blu invece che Fatal System Error c'era una schermata blu con una pagina piena di scritte e alla fine qualcosa come "PAGE_NON_VAULT_AREA" o una cosa del genere....e forse una volta mi ha segnalato questo file (ma non ne sono sicuro, perché mi è successo ad agosto e non ricordo molto, pero' il nome di questo file lo tengo segnato su un fogliettino): LZX32.sys --->>> (e non capisco cosa è!)
Vi prego aiutatemi :ave:
Irci, chissà come ce lo siamo beccati?
Ma tu ti ricordi se hai installato qualcosa prima che si bloccasse? Io sinceramente non ricordo perché è successo il 6 agosto, il giorno prima che partissi per le vacanze..e poi non avevo attivati i Punti di Ripristino automatici, credevo non si dovessero attivare in Vista, che ci fossero di default come in XP...Posso solo dire che nell'ultimo periodo ha subìto un uso massiccio di Emule.
A me a naso sembra qualcosa relativo all'HD, qualche driver che non va come dovrebbe, pero' non capisco proprio. Danni all'hardware sicuro no perché ho fatto un controllo con il tool della Fujitsu e non ci sono errori.
L'unica pecca grave che ho commesso è stato lasciare Kaspersky senza chiave di attivazione ma aperto cmq per un mesetto (ora non so se equivale ad averlo chiuso o qualcosa cmq la protegge)
edit: A te come è andato con Avira?
ps. con cosa lo fai il backup, irci? Mica ti conserva pure i programmi? Io ho semplicemente copiato i documenti e i file importanti su un altro pc, ma i programmi li devo reinstallare e vorrei evitare perché molti non li ho più e farò fatica a trovarli perché sono molto specifici (di progettazione strutturale di velivoli), non si trovano su emule
gtv tu hai provato il ripristino con dvd di win?
mi pare che errori al disco non ce ne fossero...
con le schemate blu, io un controllino alla ram lo farei...scegline una
http://www.hwupgrade.it/forum/showthread.php?t=1189286
http://oca.microsoft.com/en/windiag.asp#top
con entrambe ti crei un cd avviabile, imposti il boot da cd e segui le semplicissime istruzioni
il secondo targato microsoft mi è sembrato meno dettagliato ma un pò più veloce
gtv tu hai provato il ripristino con dvd di win?
Sì ho provato se per ripristino intendi l'utilizzo di quel "Ripristino all'avvio".
Inoltre la RAM e gli HD li ho già controllati, ma per ogni scrupolo lo rifaccio con i tuoi test...
L'ho testata con i tools presenti nella schermata del Ripristino all'avvio, come ho scritto dettagliatamente qui: http://www.hwupgrade.it/forum/showthread.php?t=1806292
però come ho già detto niente da fare.
Cmq è qualcosa che carica quando dovrebbe proprio partire e cioè quando ha finito quella specie di misurino con i quadratini che scorrono....darei oro per capire cosa fa il pc in quel momento...
Come ti sembra questo consiglio, wjmat?
http://www.hwupgrade.it/forum/showthread.php?t=1532850
edit: ma per controllare se è la RAM non si potrebbe sostituirla e vedere se parte? Metodo barbaro, lo so, ma sicuro!
Sì ho provato se per ripristino intendi l'utilizzo di quel "Ripristino all'avvio".
Inoltre la RAM e gli HD li ho già controllati, ma per ogni scrupolo lo rifaccio con i tuoi test...
L'ho testata con i tools presenti nella schermata del Ripristino all'avvio, come ho scritto dettagliatamente qui: http://www.hwupgrade.it/forum/showthread.php?t=1806292
però come ho già detto niente da fare.
Cmq è qualcosa che carica quando dovrebbe proprio partire e cioè quando ha finito quella specie di misurino con i quadratini che scorrono....darei oro per capire cosa fa il pc in quel momento...
Come ti sembra questo consiglio, wjmat?
http://www.hwupgrade.it/forum/showthread.php?t=1532850
il secondo test che ti ho linkato penso sia lo stesso integrato nel dvd
il consiglio di quel 3d ha un link che non porta a nulla
il consiglio di quel 3d ha un link che non porta a nulla
E' un torrent, non ne capisco né ho il software per leggerlo. Non funziona nemmeno come torrent? Però si potrebbe cercare su emule, ma non vorrei che fosse il Vista Recovery Disk, quello che già ho e che equivale a quel drive X: montato sul notebook dalla fabbrica...Nel frattempo sto eseguendo Memtest...per ora niente. Mi ricordo solo che il test di memoria di Windows prevedeva anche sessioni "piu' dure" ma io feci il test standard preimpostato, che era una 'via di mezzo' tra quelli da 2000 ore e quelli da 20 secondi :stordita:
Come previsto.... Memtest86+: "Pass complete, no errors, press Esc to exit" (fatto fare due volte, senza spostare le RAM però...poiché la guida dice che in caso di errori bisogna disporle in tutte le combinazioni possibili rispetto agli slot e provarle)
C'è qualche guida che parla di cosa fa un PC all'avvio? Quali file di sistema legge...dove va a leggere quali file deve leggere....sto cominciando a pensare al file boot.ini oppure un altro boot.....perché ho visto che gli ultimi file modificati sono il boot.ini e il bootcat.cache... (???)
edit: grazie x il link, ma credo sia il Vista Recovery Disk che già ho
Ora lo scarico lo stesso x curiosità
qui c'è quella discussione relativa al torrent...
http://neosmart.net/blog/2008/windows-vista-recovery-disc-download/
Altra cosa: wjmat tu pensi che la cancellazione e la sostituzione di quei file .sys provenienti da un pc quasi identico con un OS identico possa aver danneggiato qualcosa?
scaricare il recovery disc dal sito neosmart credo sia inutile in quanto è lo stesso recovery presente nella partizione dei portatili ...per intenderci quello che avete già provato nel post 3 di questo thread
:)
@ wjmat: test sulla RAM eseguiti (anche quello di Windows, che era diverso da quello del Disco, almeno come interfaccia) e nessun errore trovato, quindi la RAM è a posto e l'HD pure. Quindi hardware OK!
Allora mi chiedo: ma a livello di software cosa puo' impedire l'avvio di un pc??!!
@ shoshen: avevi ragione, quel CD è esattamente identico a cio' che già avevo
con xp molte volte si risolve reinstallandoglielo sopra con vista purtropo non so...
qui ci sono un pò di info
http://windowshelp.microsoft.com/Windows/it-IT/Help/f768809f-ed90-415f-a83f-89b42108b3551040.mspx
wjmat, se sei ancora sveglio l'ultima domanda (x oggi :D):
poiché all'inizio mi uscì un errore di questo tipo, in cui era nominato NTFS_FILE_SYSTEM, mica posso provare una soluzione del genere?
http://support.microsoft.com/kb/228888/it
Come dovrei fare più precisamente? L'articolo non è che lo capisco tanto, me lo potresti "tradurre"? Mille grazie
Nel mio caso dovrei seguire file System NTFS, giusto? Ma l'altro PC che ho, su cui c'è Win XP SP3 va bene per usarlo come FAT32 o cosa dovrei marchingegnarmi per costruirmi un file system FAT32??? Grz
Credo si sia esaurita la memoria non di paging...forse... perché ricordo che prima che si bloccasse avevo poca memoria disponibile perché i file scaricati da emule mi riempivano sempre di più...il pc deve averne scaricati degli altri e il risultato è stato questo
il cd di avira non è riuscito a sistemare nulla?
No, l'ho scritto un po' di post fa :(
Stavo per rinunciare a tutto e formattare, quando andando in C:/Windows/INF/ ho aperto il file setupapi.dev.log e ho visto l'ultimo driver installato, di cui credo che sia la colpa ed è un:
Driver Volume con file system Microsoft WPD
e credo serva per la gestione del lettore di SD card: infatti ricordo che nel pomeriggio in cui si bloccò lessi una SD card!
Irciversion, mi confermi che anche a te è successa la stessa cosa?
Per leggere il tuo file setupapi.dev.log o colleghi l'HD a un altro computer e lo apri normalmente nella cartella Windows/INF/ oppure entri col prompt dei comandi del ripristino e digiti:
cd Windows
cd INF
notepad.exe setupapi.dev.log
Fammi sapere qual è il tuo ultimo driver installato!
Arreso :boh:
Format C: :bsod:
Stesso problema... zero soluzioni... che incredibile perdita di tempo...
adoro Vista.:mad:
xcdegasp
13-08-2009, 16:50
Stesso problema... zero soluzioni... che incredibile perdita di tempo...
adoro Vista.:mad:
già provato con Avira rescue System?
http://www.hwupgrade.it/forum/showpost.php?p=22757132&postcount=13
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.