[XP] Rundll32.exe "verdwenen", systeem trager.*

[Danny the dog]

Ik heb sindskort een zeer vervelend probleempje…
Als ik op “deze computer ==> eigenschappen” klik, krijg ik deze foutmelding:


=== Configuratiescherm ================================================= X

Windows kan het bestand C:\windows\system32\rundll32.exe niet vinden. Controleer of u de naam juist hebt ingevoerd en probeer het daarna opnieuw. Klik als u naar een bestand wilt zoeken op de knop Start en daarna op Zoeken.

=============================== OK ===================================


Deze melding komt ook als je in het configuratiescherm bijvoorbeeld op “hardware” of “software” klikt. Kort door de bocht genomen: Je kunt dus niks meer aan je systeem wijzigen of instellen….

Daarnaast heb ik het gevoel dat de pc een stuk trager is als eerst.

De pc is pas een maandje of 2 geleden voor t eerst geïnstalleerd (nieuw dus).
De gegevens:

• Core2Duo E6300
• 1 Gyg ram
• Asus mobo P5LD2
• Etc….
• Windows XP SP1 opgewaardeerd naar SP2 (met slechts 1 user account)
• Norton Internet Security 2004
• Windows Firewall uit (doet Norton immers)
• Ik gebruik nooit p2p programmas

Verder staat er niet veel op de pc geïnstalleerd.
Genoemde problemen vielen me eigenlijk pas een weekje of 2 geleden op. Daarvoor nergens problemen mee gehad.


Wat ik al gedaan heb:

Gezocht naar Rundll32.exe middels “zoeken”:

Het bestand staat onder mijn account niet in de System32 map. Wel elders.
Kopieren naar de System32 map gaat niet, Windows zegt dat de schijf beveiligd is tegen schrijven of vol is. Kopieer ik willekeurig elk ander bestand naar de System32 map, lukt het wel.

Opstarten in Safe mode ==> als Administrator:

Nu staat het bestand WEL in de sytem32 map…. Schiet mij maar lek! (het is immers exact dezelfde map…..) Ook klikken op “deze computer ==> eigenschappen” lukt…

Rundll32.exe terugplaatsen vanaf de originele Windows CD:

Terugplaatsen vanuit de cabinet file naar de System32 map geprobeerd, maar na reboot is het probleem er nog steeds. Onder mijn account is het bestand dan ook niet in de System32 map te vinden.

Scannen op virussen:

Nope… er zitten geen virussen op mijn systeem.
Gescand met Norton AV en online via TrendMicro / Pc-Cillin.

Scannen op Spyware:

Gescand met Ad-Aware. Eerst volledig ge-update natuurlijk.

Scannen met Removal-tools van Symantec:

Omdat ik toch al een week aan het zoeken ben naar oplossingen, kwam ik een aantal artikels tegen met mogelijke oplossingen. Het zou de “Sircam” worm kunnen zijn… Maar goed, je snapt m al, niks gevonden. Ook een andere tool gebruikt, op zoek naar het “Yaha” virus.

Scannen (algemeen):

Ik heb gescand in safe mode, dus als admin, zoals iedere scan-boer aanraadt en ook onder mijn eigen standaard account. Onder beide accounts niks te vinden. Ook Windows Systeemherstel uitgeschakeld van tevoren en alle updates gedaan….


Dus…. Wat te doen??

Ik heb geen zin de pc weer opnieuw te installeren. Ik heb hem eindelijk zo ingericht zoals ik dat graag wil… Hij geeft ook geen foutmeldingen en ik kan ermee doen wat ik moet.
Ik heb er gewoon geen goed gevoel bij dat er iets niet in orde is.
Ook is het erg onhandig dat je geen software kunt verwijderen en voelt de pc trager aan. Dit terwijl het een vrij verse install is en de pc allerminst verouderd te noemen valt.

Ik heb menig topic hier gelezen, gezocht middels Google, op de site van Symantec en Microsoft etc etc, maar nergens wordt een adequate oplossing gegeven. Het kan zijn dat ik wat over het hoofd heb gezien.

Ik hoop dat iemand mij verder kan helpen…. Wellicht iemand die het probleem herkent?
Of een systematische manier van probleem-analyse / aanpak?

Een format C: is voor mij echt de laatste uitweg, maar ik ben bang dat ik het probleem dan binnen de kortste keren weer heb, aangezien ik niets anders heb gedaan dan de laatste 5 jaar op mijn oude pc. Daar heb ik in al die tijd geen enkel virus op gehad, of wat dan ook,…

Alvast bedankt voor jullie hulp.

[Danny the dog]

Owja... kan t überhaupt kwaad dat die file "ontbreekt"?
En Rundll32.exe staat btw wel tussen de lopende processen onder mn eigen account...

[CyberThijs]

Laat anders 'ns het ingebouwde herstel-mechanisme van Windows op je pc los via het commando

sfc /scannow

Hierbij wordt je volledige windowsinstallatie gecontroleerd op ontbrekende of beschadigde systeembestanden... Je houdt best je windows-cd bij de hand, want als hij beschadigde bestanden vindt zal hij ze opnieuw van de cd willen inlezen..

[Danny the dog]

CyberThijs schreef op zondag 07 januari 2007 @ 21:03:
Laat anders 'ns het ingebouwde herstel-mechanisme van Windows op je pc los via het commando

sfc /scannow

Hierbij wordt je volledige windowsinstallatie gecontroleerd op ontbrekende of beschadigde systeembestanden... Je houdt best je windows-cd bij de hand, want als hij beschadigde bestanden vindt zal hij ze opnieuw van de cd willen inlezen..

Oh ja! Dat had ik ook al geprobeerd ja

Bij het checken moest ik de Windows cd erin laten zitten en toen laten lopen.
Ik geloof dat ik een keertje of 100 op "OK" heb moeten klikken, toen een melding kwam met de mededeling dat de Windows versie op de CD ouder was als de geinstalleerde versie. Verder geen meldingen gehad... (ben pas weer in het weekend thuis, dus kan dan nog eens checken wat ie precies zei..)

Het rare aan de melding is dat de CD wel degelijk de CD is vanwaar ik geinstalleerd heb: Een officiele Windows XP Pro SP1. Na installatie heb ik die wel ge-update naar SP2...
Ik neem aan dat daardoor het "leeftijdsverschil" ontstaat...

[cman]

log in als administrator en maak eens een nieuwe account aan om te kijken of het met die nieuwe account ook is? Als alles wel werkt als administrator, en niet met je andere gebruiker, dan lijkt het mij een gebruikersprofiel probleem

[Danny the dog]

cman schreef op maandag 08 januari 2007 @ 13:22:
log in als administrator en maak eens een nieuwe account aan om te kijken of het met die nieuwe account ook is? Als alles wel werkt als administrator, en niet met je andere gebruiker, dan lijkt het mij een gebruikersprofiel probleem

Zal het eens proberen!

t Probleem doet zich inderdaad niet voor in safe mode, dus als admin...
Nieuw profieltje aanmaken en documents en settings kopieren van t ouwe naar t nieuwe profiel en je kunt weer werken als vanouds, hoop ik!

Probeer t van weekend eens, ben door de week niet thuis ivm werk.

Maar dan blijft nog het mysterie onopgelost waardoor dit probleem zich voordoet....
Een virus? Spyware? Hardwarefout? Error in windows?

[Hero of Time]

Profiel kopieëren is niet verstandig. Alle instellingen staan daarin en als je die meeneemt komt het in een andere map te staan. Tevens neem je de fout mee.

[Danny the dog]

Tja.. dat is wel zo, dat je de fout mee zou kunnen nemen bij kopieren van je personal settings...
Maar van de andere kant, moet je anders toch nog alle programmas opnieuw installeren.
Mijns inziens de meest irritante eigenschap van XP.

Maar wat me het meeste bezighoudt is hoe de fout ontstaan is.... een probleem oplossen, zonder de oorzaak te kennen is een kwestie van uitstel tot het probleem zich weer voordoet...

Komt dit probleem niemand bekend voor of heeft iemand er misschien zelf al eens last van gehad?

Begrijp me niet verkeerd, ik stel elk antwoord en het meedenken zeer op prijs!

[ Voor 7% gewijzigd door Danny the dog op 08-01-2007 22:59 ]

[wens]

Mogelijk een rootkit, die alleen geladen wordt als je niet in Safe Mode opstart (normaal opstarten dus)?
En die maskeert dan de wel aanwezige C:\Windows\System32\rundll32.exe?
http://www.microsoft.com/...ties/RootkitRevealer.mspx

Wat zegt het volgende commando in een CMD-venster?
dir /s c:\windows\rundll32.exe

[ Voor 12% gewijzigd door wens op 08-01-2007 23:26 ]

[Hero of Time]

Programma's opnieuw installeren omdat je een nieuwe gebruiker aanmaakt is onzin. Als dat zo is met de programma's die jij gebruikt moet je naar andere gaan zoeken want dan zijn ze heel slecht gemaakt. Programma's schrijven hun register dingen weg in HKLM, settings in HKCU of in ini's. Je moet ze alleen opnieuw instellen als je ze runt, dat is alles.

@wens:
Een rootkit kan, maar dan moet die alleen draaien onder zijn huidige gebruikersaccount want Administrator ziet Rundll32.exe wel goed.

[Henri]

Ja het kan er totaal niks mee te maken hebben hoor..
Ik heb een tijdje een soortgelijke melding gehad, elke keer als ik configuratiescherm opende ging dat niet en kreeg ik een melding alleen weet ik niet zeker of dat hetzelfde was.
Ik had een ander thema via de visual styler van Tuneup Utilities geinstalleerd, toen ik deze weer naar het standaard thema heb gezet werkte het wel weer.
Misschien kan je er wat mee..

[Danny the dog]

wens schreef op maandag 08 januari 2007 @ 23:25:
Wat zegt het volgende commando in een CMD-venster?
dir /s c:\windows\rundll32.exe

Nou.. ik kan het pas in t weekend allemaal weer proberen, maar dir /s is toch gewoon een lijstweergave van alle bestanden in een map + alle submappen...?
Ik had al gezocht met de "zoeken" functie van XP en in de verkenner en was t bestand onder mijn account niet tegengekomen in de C:\windows\system32\ map...

Dat van die Rootkit ga ik zeker checken! Thnx! (weet niet wat n rootkit is, maar goed )

Hero Of Time schreef op maandag 08 januari 2007 @ 23:54:
Programma's opnieuw installeren omdat je een nieuwe gebruiker aanmaakt is onzin. Als dat zo is met de programma's die jij gebruikt moet je naar andere gaan zoeken want dan zijn ze heel slecht gemaakt. Programma's schrijven hun register dingen weg in HKLM, settings in HKCU of in ini's. Je moet ze alleen opnieuw instellen als je ze runt, dat is alles.

Je hebt gelijk... Exquise me
Werk nooit met meerdere accounts. Heb t 1x geprobeerd bij mn 1e kennismaking met Windows. Is me waarschijnlijk verkeerd bijgebleven. Zal gewoon de snelkoppelingen overhalen naar de progjes vanuit mn oude profiel naar t nieuwe. Toch?

Damien schreef op dinsdag 09 januari 2007 @ 10:09:
Ja het kan er totaal niks mee te maken hebben hoor..
Ik heb een tijdje een soortgelijke melding gehad, elke keer als ik configuratiescherm opende ging dat niet en kreeg ik een melding alleen weet ik niet zeker of dat hetzelfde was.
Ik had een ander thema via de visual styler van Tuneup Utilities geinstalleerd, toen ik deze weer naar het standaard thema heb gezet werkte het wel weer.
Misschien kan je er wat mee..

Lijkt toch veel op mijn probleem! De pop-up die ik krijg meldt nl. ook "configuratiescherm", zie de startpost. Alleen... Tuneup Utilities heb ik niet geinstalleerd... Tenminste als dat niet standaard onder XP of n MS update zit. Hou ik me niet zo mee bezig, met dat soort dingen. Zal wel s proberen met t veranderen van t Thema. Wellicht dat t helpt

[Henri]

Lijkt toch veel op mijn probleem! De pop-up die ik krijg meldt nl. ook "configuratiescherm", zie de startpost. Alleen... Tuneup Utilities heb ik niet geinstalleerd... Tenminste als dat niet standaard onder XP of n MS update zit. Hou ik me niet zo mee bezig, met dat soort dingen. Zal wel s proberen met t veranderen van t Thema. Wellicht dat t helpt

Ja volgens mij werkt het op hetzelfde principe als al die andere themers zoals stylesxp en ook die hack die je zelf kunt doen (ben alleen even vergeten hoe die heette maar het ging om uxtheme.dll )

[Danny the dog]

Damien schreef op dinsdag 09 januari 2007 @ 13:18:
[...]
Ja volgens mij werkt het op hetzelfde principe als al die andere themers zoals stylesxp en ook die hack die je zelf kunt doen (ben alleen even vergeten hoe die heette maar het ging om uxtheme.dll )

Nou... ik heb geen style of theme-pack geinstalleerd en ook geen hacks gedaan.
Het is gewoon een clean install met een aantal progjes.. that's all....

Zal wel s zoeken naar die dll die je zegt en hem eens apart zetten in een andere map....

[Danny the dog]

wens schreef op maandag 08 januari 2007 @ 23:25:
Mogelijk een rootkit, die alleen geladen wordt als je niet in Safe Mode opstart (normaal opstarten dus)?
En die maskeert dan de wel aanwezige C:\Windows\System32\rundll32.exe?
http://www.microsoft.com/...ties/RootkitRevealer.mspx

Ik heb de Rootkit revealer eens laten lopen onder mijn eigen account.
1e keer liep t progje vast na een tijdje. Dus maar alle overige draaiende applicaties afgesloten, zoals virusscanner, firewall, etc.
Deze keer geen crash.

Dit is de dump:

---

HKLM\SECURITY\Policy\Secrets\SAC* 22-9-2006 14:31 0 bytes Key name contains embedded nulls (*)

HKLM\SECURITY\Policy\Secrets\SAI* 22-9-2006 14:31 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\.ids\ 29-10-2006 17:29 9 bytes Data mismatch between Windows API and raw hive data.

HKLM\SOFTWARE\Classes\blue.Shortcut\ 29-10-2006 17:29 15 bytes Data mismatch between Windows API and raw hive data.

HKLM\SOFTWARE\Classes\blue.Shortcut\shell\open\command\ 29-10-2006 17:29 15 bytes Data mismatch between Windows API and raw hive data.

HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32* 19-10-2006 18:51 0 bytes Key name contains embedded nulls (*)

HKLM\SOFTWARE\Classes\Installer\Products\32418F9EE1126B64A90E8365B85CFCF6\ProductName 23-9-2006 23:36 26 bytes Data mismatch between Windows API and raw hive data.

HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed 13-1-2007 10:25 80 bytes Data mismatch between Windows API and raw hive data.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{E9F81423-211E-46B6-9AE0-38568BC5CF6F}\DisplayName 23-9-2006 23:38 26 bytes Data mismatch between Windows API and raw hive data.

HKLM\SYSTEM\ControlSet001\Services\a347scsi\Config\jdgg40 9-1-2007 7:35 0 bytes Hidden from Windows API.

C:\Program Files\Common Files\Symantec Shared\VirusDefs\20070112.052\vscanmsx.dat 13-1-2007 10:31 2.02 KB Hidden from Windows API.

C:\WINDOWS\system32\rundll32.exe 31-12-2006 18:30 33.00 KB Hidden from Windows API.

C:\WINDOWS\system32\timedate.cpl 31-12-2006 18:30 92.50 KB Hidden from Windows API.

---

Nou weet ik dus niet precies wat ik met deze data moet...
Rundll32.exe wordt wel weergegeven (heb ik gemarkeerd)
Anyone?

[Jouke74]

Als je alle stappen van Rootkitrevealer goed hebt gevolgd, heb je volgens mij vrijwel zeker een rootkit te pakken. En ook een die je "achterdeur" wagenwijd open gezet heeft denk ik. Vraag me niet hoe hem te verwijderen, want dat heb ik nog nooit gedaan. De register sleutels wissen kan gevaarlijk zijn omdat ook gewone windows processen zulke meldingen kunnen maken. _{Voor de veiligheid een nieuwe install lijkt me eigenlijk toch beter...}

[ Voor 19% gewijzigd door Jouke74 op 14-01-2007 09:33 ]

[barrrt]

backuppen en dan reinstall ?

[Danny the dog]

Jouke74 schreef op zondag 14 januari 2007 @ 09:28:
Als je alle stappen van Rootkitrevealer goed hebt gevolgd, heb je volgens mij vrijwel zeker een rootkit te pakken. En ook een die je "achterdeur" wagenwijd open gezet heeft denk ik. Vraag me niet hoe hem te verwijderen, want dat heb ik nog nooit gedaan. De register sleutels wissen kan gevaarlijk zijn omdat ook gewone windows processen zulke meldingen kunnen maken. _{Voor de veiligheid een nieuwe install lijkt me eigenlijk toch beter...}

Mmm... En.. waaraan zie je dat dan, dat er een rootkit zit en de "achterdeur" openstaat?

Ik vraag me echt zwaar af waardoor dit is gekomen... heb echt niks raars gedaan.
Maarja.. dan wordt het maar weer opnieuw installeren.. als niemand anders wellicht nog n ideetje heeft?

[Verwijderd]

Rootkits zijn toch te verwijderen met respectievelijk Rootkitrevealer (sysinternals?) en Rootkit Detective (McAfee)? rundll32.exe wordt dan verwijderd waarna windows file protection via de windows cd het originele bestand wil herstellen (eventueel met sfc /scannow). succes

[Jouke74]

Hoe ik dat zie: Misschien even googlen "Rundll32.exe" en "Rootkit" en "InprocServer32". Server zegt misschien iets over wat het programma misschien kan doen. Met de laatste search krijg ik de eerste twee woorden ook gelijk in een beeld gevangen met soms ook de worden "Hack" en "Virus".

Een klikje verder: http://forums.spybot.info/archive/index.php/t-3045.html

De programma's die fl!pull aan geeft misschien even gebruiken.

Virus scanners ook Norton lopen altijd achter de dingen aan en werken niet 100%. Nieuwe malware schakelt AV zelfs uit. Hoe je eraan komt : ik heb hier een originele Half-life generations CD liggen waar Abode Acrobat opstaat die het WinCih virus bevat... Ik noem maar eens wat.

[Danny the dog]

Zo.. eindelijk eens ff tijd...

Hartelijk dank voor de reacties allemaal!

Ben helaas érg weinig thuis op het moment en als ik thuis ben, heb ik niet veel tijd voor de pc op t moment.
Ik denk dus dat ik van t weekend de boel gewoon formatteer en installeer. Ik heb al de genoemde dingen geprobeerd, maar als je gaat afwegen of de tijd van het verder zoeken en proberen in verhouding staat tot de tijd die het kost voor een clean install, kies ik nu ff voor optie 2.
Dan weet ik tenminste zeker dat t weer in orde is.

Als ik weer wat meer tijd heb, zoek ik nog eens verder hoe dit nu heeft kunnen gebeuren.

Denk wel dat ik een ghost / image maak van de mn boot-disk na de clean install. Dan ben ik een volgende keer niet zoveel tijd kwijt

Is Norton Ghost een goede optie hiervoor of zijn er betere en makkelijkere programmas?

[Danny the dog]

Oh my frikkin' God!!

Ik stond net op t punt mn systeem opnieuw te installeren, denk ik... ff mn gelockte folders unlocken...
Zie ik daar in het wonderlijke progje Lock Folder XP 3.5 ook mijn Rundll32.exe filetje onder gelockte files staan!!!

Dus... unlocked ---> alles lukt weer!

Het is ongelooflijk! En vooral ongelooflijk stom!

Denk, k meld t toch maar ff --> wellicht heeft iemand dit probleem ook eens en leest ie deze thread.