Wat nu weer???

[NLCOMP]

Bericht 1 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	20-05-2004
Aan	:	Allen	MsgID	:	1580.1
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hallo allemaal,

De PPC is gisteren (wo) door de dochters gebruikt en vanmorgen wil mijn partner ff e-mail bekijken en dan .... een blauw scherm!! Geeft aan dat dingen (documenten) van een van de dochters worden hersteld oid. Dan is ze ongeduldig en zet de PPC weer uit en aan en weer een blauw scherm en een scandisk. Daarna proberen in te loggen, maar dat duurt en duurt en duurt. Er is vrijwel geen reactie. Ik zie een absurde hoeveelheid schijfactiviteit (het lampje van de harde schijf brandt steeds en dat ding is echt niet meer vooruit te branden. Omwisselen naar het beheerdersaccount duurt en duurt. Opstarten van RUN-HUNT duurt en duurt. ik zie daar niet zoveel geks in. Daarna opstarten van Spybot S&D, dat duurt en duurt. Wat kan er aan de hand zijn? Ik heb in ieder geval de internet-kabel er maar uitgetrokken, zodat naar en van internet niets meer plaats kan vinden.

Hebben ze op die PPC weer eens iets opgelopen? Hoop maar van niet, maar ben bang van wel<g>. Waar kan ik beginnen met zoeken?

Groetjes

Pim


Bericht 2 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Just Vecht (Sysop)	Datum	:	20-05-2004
Aan	:	Pimmetje	MsgID	:	1580.2
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Ha Pim,

Donders, donders!

Ik denk niet dat de PPC iets opgelopen heeft, maar erg van slag is-ie wel. Even wachten op de adviezen van Michel is heel verstandig, maar als de PPC bewoners onmiddellijk daden willen zou ik de Knoppix CD erin gooien (of DSL) en dan eens even driftig rommel opruimen in de Temp directories enzo. Jou kennende is dat ding niet voorzien van NTFS partities, want dan heb je een probleem.

Enig idee waar de autoherstel bestanden van Word werden neergekieperd bijvoorbeeld?

groetjes,

Just

Bericht 3 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	20-05-2004
Aan	:	Pimmetje	MsgID	:	1580.3
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Dag Pim,

Tja, kan van alles zijn.

Om te beginnen zou ik eerst eens kijken hoe het zit met het geheugengebruik en de gestartte processen mbv taakbeheer (Ctrl-Shift-Esc). Het was toch WinXP? Kijk naar onbekende processen, en de hoeveelheid gebruikt geheugen, en naar de processorbelasting door de processen. Is er een bij die de pc zwaar belast? Zo ja, welke?

Start MsConfig, en vink tijdelijk alle opgestartte programma's even weg, herstart de pc. Blijft de boel nu nog zo traag? Zo nee, dan is een van de weggevinkte programma's de waarschijnlijke oorzaak.

Verder even kijken naar de hoeveelheid vrije ruimte op de harddisk. (Veel) te weinig? Kieper temp-mappen en internet caches leeg, kijk ook even naar System Restore, zet het desnoods even uit. Zoek met de verkenner naar alle bestanden groter dan bijvoorbeeld 10MB, om zo per ongeluk achtergelaten CD-images enzo te vinden. De-installeer overbodige rommel, en loop de mappen na op resten van oude spellen e.d.

Mocht dat allemaal niet veel bijzonders opleveren, mbv F8 de pc in veilige mode opstarten, en kijken of het gedrag ook in deze modus terugkeert. Zo nee, dan heb je iets aan boord. De vraag is natuurlijk wt. Stuur dan eens een RunHunter logje op.

Slechte plek op de harddisk is ook mogelijk, start, uitvoeren, cmd, geef chkdsk /F /R opgeven, en na bevestiging de pc opnieuw starten. Deze diagnose/reparatie kan een hele tijd duren!

Verder natuurlijk de standaard Virusscan en Spybot ronde doen.

Michel Uphoff
(Sysop)


Bericht 4 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	20-05-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1580.4
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hi Michel,

FF onder linux op de PPC, als laatste redmiddel<g>. Ik heb spybot en antivir gedraaid, ergens vandaag, na veel wachten en wachten, want het duurde en duurde<g>.
Beide gaven aan geen problemen te herkennen. Ook runhunt zag er, naar mijn gevoel, nog net zo uit als een tijdje geleden, toen we het erover hadden. De rest ga ik zo weer doen, als ik weer terug ben in w-xp. Eerst ff de nieuwe spybot ophalen, kan ik die ook meteen installeren. CD-images zijn d'r, volgens mij, niet, omdat branden onder W-xp op een of andere wijze niet lukt, dat doen de meiden onder "good old" linux. Ja, daar kunnen ze ook mee omgaan<g>. Als ik het echt niet voor elkaar krijg dit gedoe, dan moet ik ook nog amsn onder linux installeren, kunnen ze in ieder geval weer MSN'en<g>. Want de wereld vergaat als dat niet kan. Een van de meiden is afgelopen dagen naar Parijs geweest en daar moet natuuuuurlijk nog over nagekletst kunnen worden<g>.

Groetjes

Pim


Bericht 5 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	20-05-2004
Aan	:	Just Vecht (Sysop)	MsgID	:	1580.5
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hi Just,

>>Jou kennende<<
Hoezo mij kennende??

Groetjes

Pim
(zie ook de conversatie met Michel)


Bericht 6 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	20-05-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1580.6
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hi Michel,

In tweede instantie.
Dir geeft 4GB aan diskruimte, lijkt me voorlopig genoeg.
Uitzetten van 3 opstartprocessen (nerocheck, outpost en antivir) helpt niet.
taak beheer:
onder processen: niet-actieve systeem gebruik rond de 90%
gewoon gebruik rond e 10 tot 20% met af en toe een uitschieter naar boven. proces beeindigen lukt niet.

En dan Veilige modus gaat gewoon snel, zoals het hoort. Dus.....
Trouwens tijdens af-melden/sluiten krijg ik 2x een schermpje om explorer.exe te beeindigen, is dat iets?

Groetjes

Pim


Bericht 7 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Just Vecht (Sysop)	Datum	:	20-05-2004
Aan	:	Pimmetje	MsgID	:	1580.7
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Ha Pim,

>> Hoezo mij kennende? <<

Eh ja, ehh ja, ehh - - - . Ja , we zien je hier regelmatig.

Maar nog geen oplossing, he?

Groetjes,

Just

Blog - http://justvecht.blogspot.com

Bericht 8 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	20-05-2004
Aan	:	Pimmetje	MsgID	:	1580.8
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

>> En dan Veilige modus gaat gewoon snel, zoals het hoort. Dus..... Trouwens tijdens af-melden/sluiten krijg ik 2x een schermpje om explorer.exe te beeindigen, is dat iets? <<

Dag Pim,

Processen lijken in orde, (90% niet actieve processen is redelijk normaal) en Runhunter (stuur toch zekerheidshalve toch een logje), Spybot en Nav vinden niets.
Harddisk lijkt ok. Maar in Veilige mode draait alles wel correct. Samen met jouw melding van die explorer fouten lijkt het er dus het meest op, dat die pc iets vervelends opgelopen heeft.

Vraag is natuurlijk wt.. Heb je met Spybot al gekeken naar BHO's, ActiveX, browserpagina's en Hosts bestand? (optie geavanceerd in versie 1.3 moet daarvoor aangezet worden, en de genoemde tools moete aangevinkt zijn). Door Spybot als veilige herkende BHO's en ActiveX onderdelen worden met een groen vinkje aangegeven.

Die Hosts file kon wel eens van belang zijn. Kies eerst (indien nodig) verwijder Spybot Hosts list. Als dat gebeurd is, moet er alleen nog localhost 127.0.0.1 vermeld worden. Is het meer, dat is de hostfile waarschijnlijk gekaapt/gehackt. Geef de inhoud van die file dan even door. Voeg altijd na gedane arbeid het SnD host bestand toe, en immuniseer de pc dmv Spybot.

Michel Uphoff
(Sysop)


Bericht 9 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	21-05-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1580.9
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hi Michel,

In eerste instantie, straks ga ik wel weer verder.
Ik heb gisteravond laat die chkdsk laten draaien, ging toch redelijk snel, dacht ik, maar ik ben natuurlijk in slaap gevallen<g>.
Dan runhunt, zie hierna:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

+ C:\WINDOWS\system32\userinit.exe

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

+ Explorer.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

+ C:\PROGRA~1\AGNITUM\OUTPOS~1.0\outpost.exe /waitservice

+ C:\WINDOWS\system32\NeroCheck.exe

+ C:\Program Files\AVPersonal\AVGNT.EXE /min

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce\

HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices\

HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce\

C:\Documents and Settings\All Users\Menu Start\Programma's\Opstarten

C:\Documents and Settings\beheerderpim\Menu Start\Programma's\Opstarten

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\

+ PostBootReminder -> C:\WINDOWS\system32\shell32.dll

+ CDBurn -> C:\WINDOWS\system32\shell32.dll

+ WebCheck -> C:\WINDOWS\system32\webcheck.dll

+ SysTray -> C:\WINDOWS\system32\stobject.dll

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load

HKCU\Software\Policies\Microsoft\Windows\System\Scripts

HKLM\Software\Policies\Microsoft\Windows\System\Scripts

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceEx\

C:\WINDOWS\win.ini

Task Scheduler

Voor alle duidelijkheid, Spybot is nog versie 1.2, antivir = niet Nav. Wat ik verder vreemd vind, dat ik de outpost-pictogram niet meer op de taakbalk zie.
Hierna een lijstje van de lopende processen:
outpost.exe
explorer.exe
avguard.exe
svchost.exe
outpost.exe
avwupsrv.exe
spoolsv.exe
svchost.exe geeft aan: lokale service
svchost.exe
svchost.exe
taskmgr.exe
lsass.exe
services.exe
winlogon.exe
csrss.exe
smss.exe
outpost.exe
system
niet-actieve systeem processen

Ik zie bij tabblad netwerk geen activiteiten, dus lijkt me dit echt een lokaal gebeuren?

Zal later op de dag eens Spybot 1.3 installeren.
Overigens, is er ook nog zoiets als systeemherstel, terug naar een vorig meetpunt? Ik heb nooit iets van dien aard ingesteld of aangepast of uitgezet. Dus vraag is dat automatisch ingesteld en kan ik eventueel terug naar zo'n herstelpunt?

Groetjes

Pim


Bericht 10 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	21-05-2004
Aan	:	Pimmetje	MsgID	:	1580.10
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Dag Pim,

Het enige vreemde dat ik zie (maar daar ben ik niet 100% zeker van) is 3x (!) outpost.exe bij de processen. Samen met jouw melding, dat het ding ook niet meer in de systray verschijnt lijkt het in de richting te wijzen van dit programma.

Denstalleer outpost eens volledig, en kijk wat dat oplevert. Overigens, als ze daar achter een Nat router zitten, zou ik outpost niet meer installeren.

Je kan inderdaad kijken of het terugzetten van een herstelpunt soelaas geeft.

Michel Uphoff
(Sysop)


Bericht 11 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	21-05-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1580.11
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hi Michel,

>>Denstalleer outpost eens volledig<<
Doe ik.

>>achter een Nat router<<
Helaas, pindakaas. Dus niet.

>>terugzetten van een herstelpunt<<
En, hoe doe ik dat, want ik weet natuurlijk ook niet alles<g>.

Groetjes
Pim



Bericht 12 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Just Vecht (Sysop)	Datum	:	21-05-2004
Aan	:	Pimmetje	MsgID	:	1580.12
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Ha Pim,

Tik maar herstelpunt of systeemherstel in het zoekvenster van de Help en je wordt compleet bij het handje genomen.

Okee, je voelt je ietwat kleuter, maar het werkt fantstisch <grinnik>

groetjes,

Just

- Vroegah..(nou ja, laahmaar)

Bericht 13 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	21-05-2004
Aan	:	Just Vecht (Sysop)	MsgID	:	1580.13
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Nou Just,

>>je voelt je ietwat kleuter<<
En moet je dat nou hier, ten overstaan van iedereen zeggen!!!!!!!

Groetjes

Pim


Bericht 14 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Just Vecht (Sysop)	Datum	:	21-05-2004
Aan	:	Pimmetje	MsgID	:	1580.14
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Ha Pim,

Ik had er nog een heel verhaal bij over auto's met ingebrande contactpuntjes, vastzittende vervroegers, uitgelubberde verdelers en lekkende oliebadluchtfilters. Dat waren nog eens tijden, toen was het nog..

groetjes,

Just <maar als ie dan liep, dat was een hrlijk gevoel>

PS: "als!

Bericht 15 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Ton Van Hest (Sysop)	Datum	:	21-05-2004
Aan	:	Just Vecht (Sysop)	MsgID	:	1580.15
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Just,

>> Ik had er nog een heel verhaal bij over auto's met ingebrande contactpuntjes, vastzittende vervroegers, uitgelubberde verdelers en lekkende oliebadluchtfilters. Dat waren nog eens tijden, toen was het nog.. <<

ja, die goeie ouwe tijd! Toen je het lipje nog aan het palletje zag zitten wat het boutje van het moertje aanstuurde zodat je kon starten. (of was't kon remmen?)

Groeten
Ton van Hest


Bericht 16 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Just Vecht (Sysop)	Datum	:	21-05-2004
Aan	:	Ton Van Hest (Sysop)	MsgID	:	1580.16
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Ha Ton,

Heerlijk om aan al die leuke momenten terug te denken. De slechte ben ik al aardig vergeten <g>..

Groetjes,

Just

Bericht 17 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	22-05-2004
Aan	:	Pimmetje	MsgID	:	1580.17
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hi Michel,

Outpost is gedeinstalleerd en nu loopt het weer soepel. Lijkt me dat outpost is gekaapt. Heb opnieuw spybot en antivir gedraaaid, maar die leveren geen resultaten op. Nu outpost weer opnieuw installeren?

Groetjes

Pim


Bericht 18 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Just Vecht (Sysop)	Datum	:	22-05-2004
Aan	:	Pimmetje	MsgID	:	1580.18
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Ha Pim,

Michel is even lekker uitwaaien. Ja, ik zou Outpost er maar weer opzetten, maar kieper eerst alle mappen weg. Misschien ook even in C:\Documents en Settings gluren, zal daar toch geen instellingen staan waarmee je kaper weer aan boord springt?

Groetjes,

Just

Bericht 19 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	23-05-2004
Aan	:	Just Vecht (Sysop)	MsgID	:	1580.19
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Hi Just,

Nou het draait weer soepeltjes, zoals het hoort. Ik had eerst nog wat problemen met de inetrnet installingen, maar dat heb ik uiteindelijk ook kunnen oplossen. En nu maar wachten tot de volgende ramp<g>. Trouwens, ik had ook de neiuwe spybot geinstalleerd en ook die teatimer, maar daar krijg ik een fout op bij het opstarten.

Groetjes

Pim


Bericht 20 van 31

NL Computer Forum ~ Computerbeveiligin g

Van	:	Just Vecht (Sysop)	Datum	:	23-05-2004
Aan	:	Pimmetje	MsgID	:	1580.20
Onderwerp	:	wat nu weer???	Forum	:	ws-nlcomputer

Ha Pim,

Fijn dat de boel weer draait!

>> teatimer, maar daar krijg ik een fout <<

Wat is de foutboodschap overigens? Ik wil de nieuwe Spybot ook installeren (hier draait al de beta trouwens en goed)..

Groetjes,

Just