rpc shutdown, maar geen virus/xfire gevonden.

[insomniac]

Help!!

Ik kom er niet meer uit, een kleine uitleg.

Van een vriend een computer in de handen geduwd gekregen met de mededeling dat er iets niet goed was, hij starte iedere 60 seconden opnieuw op. Simpel dacht ik, vast sasser of blaster virus.

Echter op de win xp pc staat service pack2. NOD32 draait erop met de nieuwste update.
Het rare is NOD32 en AVG kunnen allebei geen virussen vinden.
Als ik van symantec de fixblast tool draai loopt hij halverwege vast, altijd op dezelfde plek.

Ook geprobeerd in veilige mode.

Ik niet voor 1 gat te vangen; dus schroef de schijven eruit en hang ze als extra schijf in een "oudere" pc (wel met verse scanners), laat ook hier zoeken op virussen en de symantec tool draaien. Zelfde resultaat. geen virus vinden, wel vastlopen. Dit is dus met een andere windows installatie, wel xp en ook sp2.

overige symptomen;
* zoeken met windows gaat niet, het zoek programma start niet op.
* totaal geen netwerk verbindingen in overzicht, wel in apparaatbeheer en zonder fouten.
* configuratie scherm start snel op, alles daarin zeer traag.
* internet/netwerk werkt niet
* inter explorer start zeer traag op, gewone explorer wel weer snel.
* booten van windows duurt eeuwen.
* systeemherstel uitzetten gaat niet

De RPC shutdown lijkt dus op die van blaster.
Shutdown -a werkt, maar dan moet ik dit om de 2 minuten doen want de shutdown komt gewoon terug.
Behoorlijk lopen zoeken op dit forum en ook gekeken naar xfire, maar xfire heeft er niet opgestaan.

iemand een idee?
of heeft de pc een primeur te pakken?
http://www.stop-sign.com/...m_st1&virusid=20061218_01

ik kom er niet meer uit.
MvGr,

Jeroen

update:
met de symantec sasser fixtool loopt hij wel alles door, maar vind geen virus. Dus dat werkt weer wel.

[ Voor 3% gewijzigd door insomniac op 19-12-2006 12:30 ]

[axis]

Komt die shutdown ook terug als je niet aan het internet hangt dan?

[insomniac]

ja helaas wel. zonder enige vorm van netwerk verbindingen komt het ook tevoorschijn.
dus ook zonder netwerkkabel of blauwe tand.

[Verwijderd]

is het niet een processor of videokaart die slecht gekoeld is.. (of te lage waarde bios (shutdown temp)

heb hetzelfde gehad, bleek de koeling te zijn.

[insomniac]

hmmm, goede tip zal eens kijken naar de temps.

edit: cpu temp blijft rond de 40 C systeem temp onder de 25
videokaart blijft ook reuze koel.

[ Voor 51% gewijzigd door insomniac op 19-12-2006 12:36 ]

[massareal]

als je in veilige modus start heb je het dan nog?

Zo wel, probeer dan een live-cd ergens te downloaden, zodat je "devices" wel gebruikt worden, maar dat er geen gebruik wordt gemaakt van je windows installatie.

Zo niet, zit het toch ergens in je windows....www.hijackthis.nl en post dit.


greetz

[insomniac]

ja, ook in veilige mode.
www.hijackthis.nl is gedownload, eens kijken wat het resultaat is. bedankt alvast.
een live cd? wat mag dat zijn?

edit:
hier de hijackthis info:
Logfile of HijackThis v1.99.1
Scan saved at 12:56:04, on 19-12-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Eset\nod32krn.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Program Files\eAcceleration\Station\station.exe
C:\Program Files\Acceleration Software\Anti-Virus\stopsignav.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
G:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.zeelandnet.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\Userinit.exe
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [SoftwareStation] "C:\Program Files\eAcceleration\Station\station.exe" /b Startup
O4 - HKLM\..\Run: [StopSignSsTsMon] Rundll32.exe "C:\Program Files\Acceleration Software\Anti-Virus\sstsmon.dll",VerifyStatus
O4 - HKLM\..\Run: [webscan] "C:\Program Files\Acceleration Software\Anti-Virus\stopsignav.exe" -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
O4 - Global Startup: BlueSoleil.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~2\tools\iesdpb.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.../MineSweeper.cab31267.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn...rStatsClient.cab31267.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn...aireShowdown.cab31267.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NBService - Unknown owner - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe (file missing)
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

[ Voor 95% gewijzigd door insomniac op 19-12-2006 12:59 ]

[massareal]

Een live-cd met linux is (meestal) gratis en kan je mooi je systeem testen (zonder HD).
Als het aan je hardware ligt (3-5% kans) kom je er op deze manier snel(ler) achter....DOS gebruik je maar een heel klein deel van de mogelijkheden van je systeem.

Hier een distrotje:

http://www.centos.org/ (wel met liveCD in de naam downloaden, anders heb je een gewone install CD)

k zal meteen je log effen nalopen.

[massareal]

zo te zien staat er nix ongewoons in, het verdient wel niet de schoonheidsprijs (te veel wordt er gestart)

toch heb ik 2 kanttekeningen/vraagjes:
1. BTNtService - Waar gebruik je dit voor? of ken je het niet?
2. Explorer.EXE - Soms kan deze corruppt zijn of door een virus is vervangen (eens gehad)

Bij 2 kan je c:\windows\explorer.EXE renamen en dan de laatste goede versie halen uit : C:\WINDOWS\system32\dllcache

reboot en test opnieuw

[insomniac]

BTNtService - is de service voor de blue tooth verbinding

er worden nu meerdere virusscanners gestart, dit was om dat ik bezig was met testen van verschillende pakketten. Nu start de pc helemaal niet meer op. hij blijft hangen bij welkom, ook in veilige mode.

@massareal: bedankt voor alle hulp zover, ben de distro aan het downloaden. Eens kijken wat dat geeft.

[Verwijderd]

Nod32:

code:

C:\Program Files\Eset\nod32krn.exe
C:\Program Files\Eset\nod32kui.exe

AVG:

code:

C:\PROGRA~1\Grisoft\AVG7\avgcc.exe

Wat is dit?

code:

C:\Program Files\eAcceleration\Station\station.exe
C:\Program Files\Acceleration Software\Anti-Virus\stopsignav.exe

Zo te zien draaien er meerdere antivirus programma's, of in ieder geval resten daarvan.
Dat gaat niet goed

edit:
Ik heb overigens alleen nog maar gekeken naar de lopende processen. Er staat nog veel meer in

[ Voor 11% gewijzigd door Verwijderd op 20-12-2006 00:08 ]

[The Eagle]

Heb je bij dat ding al aangegeven dat ie niet moet rebooten bij kritieke fouten (zit ergens onder de eigenschappen van "Deze computer") Dan krijg je je BSOD's te zien...want ik vermoed dat de fout hardwarematig is