[XP] Systeemherstel vanuit DOS omgeving

[Verwijderd]

Ik start vanmorgen mijn computer op, krijg ik een melding dat er een Trojan horse gevonden in een bestand in de trend van iets met 'user'. Ik denk dat ik op verwijder gedrukt heb, en bam de computer start opnieuw op. Hij start nu elke keer op nieuw op na het Windows XP laden scherm. Ik dacht eerst ach laat ik c: gewoon leeggooien en een nieuwe windows installatie erop, maar nu heb ik nog belangrijke bestanden op het bureau blad staan.

Iemand enig idee hoe ik Windows weer aan de praat kan krijgen?

Wat ik geprobeerd heb:
- Veilige modus opstarten.
- Opstarten met de laatste werkende versie.
- Systeemherstel -> bootcfg/rebuild

Als ik mijn bestanden in de documents and settings kan kopieren naar de D: partitie ben ik ook gered, maar ik heb geen idee hoe ik dat voor elkaar krijg. Door middel van de CDROM en dan R te kiezen kom ik in een DOSomgeving waar ik beland in C:/Windows. Ik kan echter niet in de Root komen... Doe ik iets fout?

En is het een oplossing om een nieuwe installatie over de oude te installeren of ben ik dan mijn bestanden kwijt?

Ik hoop dat iemand een oplossing heeft.

[Verwijderd]

Een simpele oplossing is een Linux boot cd-tje te downloaden (bijv. Ubuntu) en het op deze manier veilig stellen.

[elevator]

How to recover from a corrupted registry that prevents Windows XP from starting

[Verwijderd]

elevator schreef op zondag 09 november 2008 @ 11:28:
How to recover from a corrupted registry that prevents Windows XP from starting

Geprobeerd inderdaad, maar tevergeefs...

[elevator]

Hoezo tervergeefs? Als je dat uitvoert voer je daadwerkelijk een systeemherstel uit, dus als dat niet werkt is dat niet je probleem.

Sowieso is het misschien interessant als je wat meer informatie geeft - wat gebeurt er bijvoorbeeld precies? Krijg je een BSOD?

[FlipFluitketel]

Het gaat niet om het register maar om het bestand user32.dll in de windows\system32 map die verwijderd is als gevolg van een false positive van AVG.
Als het goed is staat in de windows\ServicePackFiles\i386 map nog een kopie van dat bestand. Als je die terugzet in de system32 map zou het opgelost moeten zijn.

[Verwijderd]

Ik heb precies hetzelfde probleem...

Maar ik kom de veilige modus ook niet meer in. Dus dat bestand terugzetten lukt zo niet.. Enig idee wat ik dan moet?

[FlipFluitketel]

Je zou elevator in "[XP] Systeemherstel vanuit DOS omgeving" natuurlijk eens kunnen lezen en combineren met FlipFluitketel in "[XP] Systeemherstel vanuit DOS omgeving"..
Als die user32.dll niet in die map staat dan even zoeken naar een andere user32.dll en die terugzetten en kijken of het dan weer werkt..

[ Voor 23% gewijzigd door FlipFluitketel op 09-11-2008 13:38 ]

[Verwijderd]

Het is géén DOS omgeving, maar een command interface met een bepaalde set aan instructies en de mogelijkheid bestanden te openen in %windir%\*.*

Ik heb een heel goed advies voor je in de toekomst.

ERUNT van Lars Hederer.
Kan Windows NT (Windows 2000, XP, Vista, Server 2003, Server 2008 al niet 64-bits) zo vanuit de recovery console herstellen met het commando "batch erdnt.con" in "%windir%\ERDNT\(datum)

Dat heeft deze Vista al een maand geleden gered van een wisse dood.

Dus hier een groot voordeel van Vista over Xp. Je kan met de originele Vista DVD zo systeemherstel draaien en in jouw geval kun je niet in %root%\System Volume Information waar ze in staan.

Begin inderdaad met een Linux bootCD en dat is op dit moment voor jou de gepaste oplossing. Kopieer alles en begin opnieuw, maar nu met ERUNT.

Lullig dat ik zeg "voor de toekomst", maar laat het een les/advies zijn die vriendelijk bedoeld is

[ Voor 31% gewijzigd door Verwijderd op 09-11-2008 14:00 ]

[Fish]

als je enige probleem is dat je nog belangrijk bestanden hebt op je dektop kijk je toch in c:\documents and setting\<gebruiker>\desktop

backup je die, dan heb je bestanden in ieder geval veilig
daarna kun je je uitleven

[ Voor 10% gewijzigd door Fish op 09-11-2008 14:01 ]

[Verwijderd]

fish schreef op zondag 09 november 2008 @ 14:00:
als je enige probleem is dat je nog belangrijk bestanden hebt op je dektop kijk je toch in c:\documents and setting\<gebruiker>\desktop

dan heb je bestanden in ieder geval veilig

Neem dan heel de map c:\documents and settings mee zodat je alle accounts tegelijk kopieert.

Wacht even:

Al "Fixboot" en "FixMBR" geporobeert ?

[ Voor 6% gewijzigd door Verwijderd op 09-11-2008 14:05 ]

[Dolemans]

Ook ik ben in de false positive gestonken.

Bovenstaande suggesties werken bij mij niet:

Veilige modus opstarten - levert dezelfde loop op.
XP cd er in en via deze cd opstarten: krijg ik een BSOD (7B)

Volgende vragen leven bij mij:
* Is die user32.dll altijd dezelfde? Raak ik geen data kwijt met een ander user32.dll?
* Hoe kom ik bij een prompt zodat ik handmatig een user32.dll kan kopieren?

[FlipFluitketel]

Verwijderd schreef op zondag 09 november 2008 @ 13:57:
Het is géén DOS omgeving, maar een command interface met een bepaalde set aan instructies en de mogelijkheid bestanden te openen in %windir%\*.*

Ik heb een heel goed advies voor je in de toekomst.

ERUNT van Lars Hederer.
Kan Windows NT (Windows 2000, XP, Vista, Server 2003, Server 2008 al niet 64-bits) zo vanuit de recovery console herstellen met het commando "batch erdnt.con" in "%windir%\ERDNT\(datum)

Dat heeft deze Vista al een maand geleden gered van een wisse dood.

Dus hier een groot voordeel van Vista over Xp. Je kan met de originele Vista DVD zo systeemherstel draaien en in jouw geval kun je niet in %root%\System Volume Information waar ze in staan.

Begin inderdaad met een Linux bootCD en dat is op dit moment voor jou de gepaste oplossing. Kopieer alles en begin opnieuw, maar nu met ERUNT.

Lullig dat ik zeg "voor de toekomst", maar laat het een les/advies zijn die vriendelijk bedoeld is

Of je gebruikt een WinPE cd en dan kun je dus wel in de System Volume Information map bladeren. Vaak genoeg op die manier een pc weer hersteld door oudere registry-settings terug te zetten.

[Verwijderd]

FlipFluitketel schreef op zondag 09 november 2008 @ 14:04:
[...]

Of je gebruikt een WinPE cd en dan kun je dus wel in de System Volume Information map bladeren. Vaak genoeg op die manier een pc weer hersteld door oudere registry-settings terug te zetten.

Jawel!, maar wist je dat die bestanden niet hun originele naam hebben en je kunt een virus/trojan zo mee terug kopiëren. Wees er wel erg voorzichtig mee

Zoals 000010ED.rts
Ik zou die niet terug weten te vinden

[ Voor 6% gewijzigd door Verwijderd op 09-11-2008 14:09 ]

[FlipFluitketel]

Verwijderd schreef op zondag 09 november 2008 @ 14:07:
[...]


Jawel!, maar wist je dat die bestanden niet hun originele naam hebben en je kunt een virus/trojan zo mee terug kopiëren. Wees er wel erg voorzichtig mee

Die bestanden moet je inderdaad even hernoemen en de keren dat ik dat nodig heb gehad ging het erom dat er de melding kwam dat windows\system32\config\ niet gevonden kon worden. Oplossing staat ook in die post van elevator alleen werkt het met een GUI voor de meeste mensen net iets handiger/sneller.

Het ging dan om de bestanden default, sam, security, software en system (en ja, ook die hadden nog wat andere meuk ervoor staan maar dat is een kwestie van hernoemen en klaar).

[ Voor 13% gewijzigd door FlipFluitketel op 09-11-2008 14:10 ]

[Verwijderd]

BEGIN NU MET BACKUP maken en dan pas onze tips toepassen! Ik wil het niet op mijn geweten hebben als jij je waardevolle data kwijtraakt.

Is het teveel, eerst FixMBR verplicht uitvoeren en dan pas voorafaan beginnen.
Download gewoon het gratis ERUNT en ik prijs het in de hemel, echt. Zo'n tool die kosteloos is koester ik want die kom je niet vaak tegen.

Bespaar je ergenis en loop je kennis af want je zult vast weten hoe je Windows opnieuw installeert en dat process ken je. Doe dat na de back-up en maak handmatig met ERUNT een back-up als Admin zodra je iets gaat installeren. XP: Antwoord Yes of het elke dag een back-up mag maken van je register. Gaat het fout, kun je zo terug. No issue

Windows start om 2 redenen niet op:
1. Het register of een van de HIVES is corrupt
2. Problemen met bestanden in directe relatie met een foutief NTFS volume.

CHKDSK /V al gedaan?

[ Voor 6% gewijzigd door Verwijderd op 09-11-2008 14:19 ]

[Verwijderd]

Ik heb hetzelfde probleem sinds vanochtend, ook win32.dll trojan horse virus melding van AVG ( net als 2 andere forum topics hier? )

Ik heb al van alles geprobeerd, Originele boot CD van WinXP Home , hij laad de setup en bestanden maar voor ik op R kan drukken krij ik al weer een BOSD met Systeem fout.

Heb ook http://www.nu2.nu/pebuilder/ gebruikt, Deze laad ook en als hij klaar is krijg ik een BOSD met systeem fout..

Ik denk dt ik maar ga proberen de hardeschijf op 2e PC aansluiten, daar kijken of ik nog bij de bestanden kan , dan op mijn eigen PC de hardeschijf aansluiten en windows herinstalleren

[LouisXV]

Al geprobeerd om via een Live CD op je PC te komen? Met Ubuntu kon ik perfect alle belangrijke bestanden backuppen toen mijn Windows het niet meer deed.

[Perceptive]

ik zat een uur geleden ook met dit probleem, zie:
\[XP/AVG] user32.dll per ongeluk verwijderd, wat nu?

[Verwijderd]

Als mijn PC blijft hangen op een blauw scherm met de foutmelding, hoe moet ik dan in de Veilige Modus komen?

[Verwijderd]

Heel dubieus

Want het is namelijk zo dat de Telegraaf het had over een nieuw zeer gevaarlijk virus dat iets met het bestandssysteem doet en met je metabestanden en dat het openen van een mail al genoeg was voor besmetting "én" ik lees nu de ene na de andere post over het besmetting.

Ik heb Avira AntiVir, de betaalde versie en ik heb nog geen melding gehad en mijn laptops werken beide zoals het hoort.

Sowieso heb ik Windows Mail niet actief staan. Ik zie het op Googlemail van bovenaf zonder ze te moeten openen.

http://www.virusalert.nl/...s&id=2197&name=W32.Gaut.A Dit is een zeer gevaarlijk virus dat zich goed weet te verspreiden. Raadpleeg bronnen om het te verwijderen en volg de guide.
Sowieso biedt virusalert waardevolle informatie en nog een site die niet uit je favorieten mag ontbreken is http://www.waarschuwingsdienst.nl/.


Safeguard guide:
1. Voer een FixMBR commando uit in de console om het virus uit het MBR te halen mocht het er staan.
2. Installeer Vista of XP met drivers helemaal vanaf de grond en laat de netwerkkabel eruit!!
3. Installeer de virusscanner en wacht even met bijwerken
4. Installeer Spybot Search and destroy en schakel TEAtimer in
5. Schakel de services <SSDP, NetBIOS> uit door ze te disablen en schakel ook de remote mogelijkheid uit bij systeemeigenschappen en dat kan voor zowel Vista als XP, voor beide werkt deze guide hetzelfde. Disable elke mogelijk tot delen. Pas desnoods wat rechten aan op je NTFS schijf.
6. Duw nu je netwerkkabel erin en voer een onmiddelijke update uit van alle programma's met de virusscanner als eerste candidaat en dan Windows.
7. Ga naar je netwerkadaptersettings en schakel alles uit behalve IPv4, soms moet eerst de netwerkkabel er al inzitten en doe dit dan als allereerst
8. Je bent vrij dom bezig als je UAC uitschakeld. Moet je echt niet doen


Raadpleeg verder http://tweakhound.com/

Ik hoop dat je er wat aan hebt en zel ben ik heel eerlijk om te zeggen dat ik al 5 jaar geheel vrij ben van "ongewenste" software

Daarom ben ik ook zo'n fan van Nlite/Vlite omdat je dan alle updates en instelling al vooraf kan opgeven. In dit geval een leuke troost.

[ Voor 30% gewijzigd door Verwijderd op 09-11-2008 20:35 ]

[alt-92]

Verwijderd schreef op zondag 09 november 2008 @ 20:10:
Heel dubieus

Want het is namelijk zo dat de Telegraaf het had over een nieuw zeer gevaarlijk virus dat iets met het bestandssysteem doet en met je metabestanden en dat het openen van een mail al genoeg was voor besmetting "én" ik lees nu de ene na de andere post over het besmetting.

Maar je mist deze?
AVG geinstalleerd en bluescreen/PC herstart? Lees hier.


Ik zou de krant van zombie-nederland nou niet bepaald IT specialisten willen noemen.

[ Voor 8% gewijzigd door alt-92 op 09-11-2008 22:07 ]

[Verwijderd]

Onderstaande werkt in de meeste gevallen zie ook dit topic

quote: url

Het enige wat je hoeft te doen is user32.dll vervangen. Een goede versie kan gevonden worden in het mapje c:\windows\$NTuninstallKB925902$ dit is in de meeste gevallen de meest recente versie van deze dll.
Dit kan je doen door een windows xp cd erin te doen vervolgens te kiezen voor systeemherstel en vervolgens kom je in de dos omgeving en hierin kun je dan het bovengenoemde bestandje kopiëren naar c:\windows\system32. Als het goed is werkt je computer dan weer.

In dos taal zou je dan het volgende moeten tikken:

copy c:\windows\$NTuninstallKB925902$\user32.dll c:\windows\system32

[Verwijderd]

ook bij mij hetzelfde probleem. Ik heb inmiddels het zipbestandje user32.dll op een usb stick staan. de kunst is nu om dit via dos gekopieerd te krijgen in de windows\system32 map, toch?
Ik kan niet vanuit de veilige modus werken. Ik krijg wel het optie-scherm om door te gaan naar de veilige modus. Ook herstellen naar laatst bekende werkende configuratie heeft niets opgeleverd.
herstel via de mastercd geeft aan dat alle bestanden verloren zullen gaan.
hoe luidt het commando in dos om dit voor elkaar te krijgen??? Ik heb echt geen kaas gegeten van dos!

[pm1]

ik heb vandaag een pc binnengekregen met hetzelfde probleem en heb een zeer gemkakkelijke oplossing gevonden

brand deze iso van BARTPE op een cd start de pc vanop de cd.

als hij vraagt network help ... klik maar op nee.

klik op GO/programs/ en dan file explorer 42 of zoiets

je krijgt iets gelijkaardigs aan verkenner van windows, nu ga je naar de I386 map op je cd-rom je kopieert het bestand USER32.DLL

nu ga je naar je C schijf naar windows/system32 en je plakt het bestand daar, je herstart je systeem en als hij nu terug een BSOD geeft met winsrv.dll of GDI32.dll

herhaal dan de stappen maar dan met het bestand waar hij naar vraagt, in sommige gevallen vraagt hij om het bestand te overschrijven, dat doe je dan maar, geloof me bij mij werkte het


edit: isoburner

* knip BartPE url *

Modbreak:

Je bedoelt het wellicht goed, maar het beschikbaar stellen van een BartPE ISO waar copyrighted materiaal op staat (Windows XP) is niet toegestaan.

edit2: ik heb op deze site de tekst die je in DOS moet typen gevonden maar het is eerder tijdsverspilling want het werkte totaal neit bij mij, het was het gemakkelijkste op mijn eigen manier

oplossing met DOS

[ Voor 30% gewijzigd door alt-92 op 10-11-2008 18:52 ]

[Verwijderd]

dank voor je reactie. helaas werkte het allemaal niet bij mij. Ik heb mbv bart PE alle bestanden gekopieerd inclusief de winsrv.dll die hij miste na kopieren van user32.dll
ook dit leverde niets op.
ga het nu toch maar met dos proberen?!
ben bang dat het toch helemaal opnieuw windows erop zetten wordt!

[FlipFluitketel]

Verwijderd schreef op maandag 10 november 2008 @ 17:49:
dank voor je reactie. helaas werkte het allemaal niet bij mij. Ik heb mbv bart PE alle bestanden gekopieerd inclusief de winsrv.dll die hij miste na kopieren van user32.dll
ook dit leverde niets op.
ga het nu toch maar met dos proberen?!
ben bang dat het toch helemaal opnieuw windows erop zetten wordt!

Probeer eens op te starten in veilige modus en dan AVGte verwijderen. Ik heb vandaag in totaal zo'n 15 pc's onder handen gehad met user32.dll of winsvr.dll problemen. Het grootste deel had het probleem met user32.dll en 2 stuks met winsvr.dll. Die 2 pc's met winsvr.dll konden nl. wel in veilige modus opstarten en nadat AVG verwijderd was startte deze wel weer normaal op.

[pm1]

ik weet eig niet of bartPE copyright materiaal bevat, anyway, je hebt in ieder geval een bootCD nodig om de bestanden terug te zetten.

achja veilige modus zonder user32.dll kan je dat wel vergeten

[ Voor 20% gewijzigd door pm1 op 10-11-2008 20:12 ]

[HyperBart]

Euhm, en wat als je system32 mapje de user32.dll al bevat ?
Ik krijg namelijk de regsrv foutmelding... met een 0000135 code...

Ik geraak bv in veilige modus, daar kan ik dan aan de files in de dllcache, maar ik kan ze niet overhevelen naar system32 omdat daar user32.dll in gebruik is omdat windows draait.

Ik kan user32.dll niet vervangen via de commandline omdat mijn schijf daar niet benaderbaar in is, de drivers worden niet geladen van een usb-stick.

edit: na een vervanging van user32.dll mbv een usb-kitje voor de sata schijf, krijg ik nog steeds de foutmelding na reboots.

[ Voor 92% gewijzigd door HyperBart op 10-11-2008 20:56 ]

[FlipFluitketel]

HyperBart schreef op maandag 10 november 2008 @ 20:42:
Euhm, en wat als je system32 mapje de user32.dll al bevat ?
Ik krijg namelijk de regsrv foutmelding... met een 0000135 code...

Ik geraak bv in veilige modus, daar kan ik dan aan de files in de dllcache, maar ik kan ze niet overhevelen naar system32 omdat daar user32.dll in gebruik is omdat windows draait.

Ik kan user32.dll niet vervangen via de commandline omdat mijn schijf daar niet benaderbaar in is, de drivers worden niet geladen van een usb-stick.

edit: na een vervanging van user32.dll mbv een usb-kitje voor de sata schijf, krijg ik nog steeds de foutmelding na reboots.

Al eens geprobeerd AVG te verwijderen in veilige modus en dan normaal opstarten?

[Verwijderd]

alt-92 schreef op zondag 09 november 2008 @ 22:06:
[...]


Maar je mist deze?
AVG geinstalleerd en bluescreen/PC herstart? Lees hier.


Ik zou de krant van zombie-nederland nou niet bepaald IT specialisten willen noemen.

Dat blijkt

Fijne software dat AVG. Avira heeft zo'n raar issue nog nooit gehad en die draai ik al jaren. Ik vind de fout nogal lomp en toch bedankt voor je attentie

[pm1]

HyperBart schreef op maandag 10 november 2008 @ 20:42:
Euhm, en wat als je system32 mapje de user32.dll al bevat ?
Ik krijg namelijk de regsrv foutmelding... met een 0000135 code...

Ik geraak bv in veilige modus, daar kan ik dan aan de files in de dllcache, maar ik kan ze niet overhevelen naar system32 omdat daar user32.dll in gebruik is omdat windows draait.

Ik kan user32.dll niet vervangen via de commandline omdat mijn schijf daar niet benaderbaar in is, de drivers worden niet geladen van een usb-stick.

edit: na een vervanging van user32.dll mbv een usb-kitje voor de sata schijf, krijg ik nog steeds de foutmelding na reboots.

edit: ik gebruik al jaren AVAST en daar heb tot nu toe nog nooit problemen mee gehad

Vanuit veilige modus kan je user32.dll niet vervangen, omdat windows dit bestand initieel nodig heeft om op te starten, waarom denk je dat AVG moest rebooten om het zogezegde virus te verwijderen.
Je moet booten via een andere omgeving en dan kan je alles doen wat je maar wil, zoals met BARTPE, daar zit je volledig in het geheugen/CD-rom te werken en kan je vrij je gang gaan op je normale HDD.
Zoals ik dus al uitgelegd had moet je de bestanden waar windows een foutmelding over geeft vervangen en dan zou hij normaal terug moeten opstarten.

@ moderators: er staat een mooi artikel over bartpe op wikipedia dus volgens mij is het legaal, het is ook de meest gemakkelijke en efficiëntste manier volgens mij.

[HyperBart]

Ondertussen op één pc het opgelost, AVG moest verwijderd worden... (in veilige modus gedaan)

Op een andere PC (een Dell) geraak ik niet bij de schijven via verschillende manieren, maar daar heb ik al een apart draadje voor gestart, om te voorkomen dat hier verschillende mensen hun problemen door mekaar lopen:
[Dell Dimension E520/AVG/user32.dll] Schijf niet benaderbaar

[ Voor 60% gewijzigd door HyperBart op 11-11-2008 16:00 ]