Windows 10 blue screen en reboot, vervolgens boot niet meer

[BartDG]

Beste allen,

Ik heb sinds deze week een raar issue met mijn 3 PC's (1 desktop en 2 laptops).

Eergisteren merkte ik op dat Avira Free antivirus mijn Driver Easy programma opeens brandmerkte als een "potentially unwanted application" en deze in de quarantaine ging zetten. Vreemd gedrag want Driver Easy is een heel gewoon programma waar ik zelfs voor betaald heb en dat ik al jarenlang tot mijn perfecte tevredenheid gebruik.

Ik merkte ook op dat een USB stick die ik in de PC stopte niet meer werd ingelezen in verkenner. Of het één iets met het ander te maken had weet ik niet, maar toen ik de PC rebootte startte hij niet meer goed op. Hij bleef haverwege het bootproces hangen en gaf uiteindelijk een Windows 10 blue screen (nog nooit gezien trouwens, wel mooi met die QR code erop nu ) Herstarten haalde niets uit. Uiteindelijk in systeemherstel geraakt en laten terugzetten naar een herstelpunt. Alles werkte weer prima. USB werd weer herkend etc.

Ik kom een halfuur later EXACT hetzelfde tegen met mijn 2 laptops : eerst de USB die niet meer wordt herkend en dan na een reboot het blue screen. Daardoor wist ik ook onmiddellijk dat het niet lag aan de hardware van mijn desktop. (die nu toch al een 4-tal jaar oud is). Ook de beide laptops kan ik weer fixen door terug te rollen naar een herstelpunt.

Die Avira heb ik er dan maar afgegooid en ik heb een licentie (voor de 3 PC's) genomen op Bitdefender. Ik dacht dat daarmee de kous af was.

Echter gisteren, toen ik aan naar een youtube filmpje aan het kijken was op mijn desktop viel plots het scherm weg, een fractie van een seconde verscheen weer dat windows 10 blue screen en daarna rebootte de pc automatisch. Hij startte echter niet op, maar gaf een mededeling in de aard van dat er geen boot device gevonden was. Ik schakelde de PC volledig uit, wachtte een minuutje en daarna bootte hij weer zonder problemen op.

Dat niet meer opstarten en aangeven dat er geen boot device te vinden is na een reboot het ik wel al eerder eens gehad, maar nog nooit eerder gebeurde deze reboot spontaan na het geven van een bluescreen. Op zich was dit ook al vreemd natuurlijk, maar omdat het bijna nooit gebeurt had ik er geen last van. Nu begint het mij toch te irriteren omdat ik dus nu met een pc werk die ieder moment blijkbaar kan rebooten.

Herkent iemand dit gedrag? Het lijkt mij haast een windows update die verkeerd is gelopen (hoewel windows update zegt dat de laatste update van 7/12 was) of een virus, maar dat lijkt me sterk dat dat op alledrie mijn PC's zou staan. Bovendien werd alles grondig gescand door Bitdefender en werd niets gevonden.

Iemand een suggestie? Indien nog extra info gewenst is: shoot.

Bedankt!

[nelizmastr]

Die driver update programma’s zijn je reinste rotzooi. Als je serieus betaalt voor dergelijke software dan zit de toko die het gemaakt heeft hartelijk te lachen.

Zou me niet verbazen als die troep een storage driver (AHCI driver, XHCI driver, etc.) heeft geüpdatet en daarmee je Windows deels heeft gemold. Drivers worden door de fabrikant op hun website geplaatst en bijgewerkt indien nodig. De rest doet Microsoft. Geen tussenkomst van 3rd party meukware.

[ Voor 4% gewijzigd door nelizmastr op 17-01-2018 21:45 ]

[MarchelHoek]

Vandaag ook een klant gehad waarvan de laptop moeilijk deed met afsluiten en opstarten.
De klant gaf aan dat het gebeurd lijkt te zijn na een update van Windows naar 1709 build. Ook hier was Avira in het spel.

AV laten verwijderen, na reboot wilde Windows helemaal niet meer starten, gelukkig via advanced recovery de laptop aan de praat gekregen.
Van de Avira site vervolgens de laatste installatie opgehaald en geïnstalleerd. Nu werkt alles weer correct.

Ik vermoed dat het een issue is geweest tussen een "oude" versie Avira, meltdown patch en overige updates van deze maand.
Patch Tuesday is tenslotte net geweest.

[BartDG]

Driver Easy werkt voor mij al tijden heel goed. Bovendien had het in weken geen driver updates gedaan toen het probleem zich manifesteerde. Het heeft er met andere woorden niets mee te maken.

Bedankt @MarchelHoek Jouw verhaal lijkt mijn vermoeden te bevestigen. Toch blijft het raar dat het systeem na het verwijderen van Avira nog eens uit het niets rebootte. Aan de andere kant: vandaag heb ik er ook de ganse dag mee gewerkt en geen enkel probleem gehad. Het blijft vreemd ...

[EricJH]

Als je een oude versie van Avira draaide dan zou krijg je de Meltdown/Specter patch niet. Je moet eerst de laatste versie van Avira geïnstalleerd hebben hiervoor.

Als het moederbord geen boot device kan vinden betekent dat dat de boot drive (ik neem aan je SSD) door de BIOS niet gevonden word. Dat kan een probleem met een kabel zijn of de SSD zelf.

Kijk eens met BlueScreenView van Nirsoft wat het blauwe scherm heeft veroorzaakt.

[Verwijderd]

6 malware makers zien op VirusTotal dit programma als malware.
Heb je de foutcode van de BSOD?

[ Voor 36% gewijzigd door Verwijderd op 18-01-2018 00:57 ]

[BartDG]

@EricJH Ik weet wat die foutcode betekent. Toch vind ik het heel vreemd dat, als ik het systeem daarna volledig uitschakel en een minuut later weer in, dat de computer dan wel zonder problemen doorstart. De kabel heb ik ondertussen al vervangen, dus was ook mijn eerste idee. Maar daar ligt het dus blijkbaar niet aan. De SSD, een Crucial MX100, toont verder geen enkel probleem. Hij draait op zijn meest recente firmware en de SMART gegevens tonen ook aan dat de schijf verder in goede gezondheid is.

@Verwijderd Om het met een politiek antwoord te zeggen: dat zijn er nog altijd 61 die het niet al malware zien. Maar je hebt gelijk, het is vreemd. De foutcode van de BSOD heb ik niet, die ging te snel. Het scherm werd maar een fractie van een seconde vertoond voor het systeem rebootte. Ik wist eerst zelfs niet eens dat het een BSOD was, want die heb ik eigenlijk sinds WinXP nooit meer gezien en deze zien er toch iets anders uit. De code heb ik dus niet, maar kan ik die nog ergens uithalen? Ik bedoel, wordt dat ergens gelogd ofzo?
Bedankt trouwens voor die links naar VirusTotal. Ik kende die site niet, maar lijkt me heel interessant. Die gaat in mijn bookmarks.

[Verwijderd]

Daar heb jij gelijk in hoor Bart, maar je kent de term ZeroDay?
Eigenlijk heb je dit soort hulp programma ook niet nodig, drivers worden aangeboden op de website van de fabrikant. Je hele Avira werd wild en je ziet op VirusTotal dat Avira dit programma als PUP, potential unwanted Program is gaan zien in hun definities.

Dus daar aan kan je dan snel zien waarom Avira daar op reageerde.
Ik ga je niet alle ontwikkelingen op al die gebieden nu omschrijven, maar je kan spreken van positieve en negatieve software dan eigenlijk, malware is ook software. Alleen keihard voor de gebruiker.

Ik volg dat al sinds 2002 toen ik na 6 jaar lang offline computer gebruik online ging. Van al die zaken word je op een gegeven moment wel wijzer in.

Wil je een BSOD langer in beeld doe dan het volgende:
Open Deze PC en open in de map:
C:\WINDOWS\system32\SystemPropertiesAdvanced.exe
Klik op de knop Instellingen onder Opstart en herstel instellingen
Vink "De computer automatisch opnieuw opstarten" uit onder "Systeemfouten"
dan zal een blauw scherm in beeld blijven tot je met de knop de computer uitschakeld en zie je die foutcode langer.
Je kan ook in het logboek gaan zoeken om de fout te vinden.
eventvwr.msc = Logboek (C:\Windows\System32)

Ik vermoed dat je ervaringen hiermee misschien als gebruiker niet dit zo beheren is nog.
Ik hoop dat je het niet te lastig vindt.

Overigens in een ander topic ging het toevallig over drivers Bart.
Ik quote even een bericht van mezelf, hoe dat in Windows werkt.
Ik snap dat dit onbekend is, maar het werkt dus zo in Windows:

Verwijderd schreef op donderdag 18 januari 2018 @ 15:30:
[...]


Hoi MsG, ja dat kan je ook zien als een soort sport. Eigenlijk ben je dan ook meer bezig met het systeem zelf, en leer je ondertussen wat wel of niet kan.
Wat betreft de drivers is dat de extensie sys en die worden standaard in de kernel geladen in Windows zoals je in de broncontrole kan zien hier boven.

Dat is ntoskrnl.exe die via de bootmgr geladen wordt als Windows start. Bestanden met de extensie (type) *.sys communiceren rechtstreeks met de hardware. Je kan dat alles per proces zien in de broncontole gefilterd op modules. Een AV maakt ook gebruik van drivers, die kunnen gewoon in een programma geladen worden net als in ntoskrnl.exe.

Maar dan de functie van dll extensie is in Windows de inhoud van wat men noemt de interface. En vanuit dll bestanden zou jij dan knoppen en teksten in een schermpje willen zien die er niet zijn.

Als dat dus niet ondersteund wordt door MS, en een derde partij besluit daar een programma voor te maken, dan zit je eigenlijk al in een third party.
Ik hoop niet dat deze info vervelend voor je is. Maar zo werkt dat systeem.

Je kan in de broncontrole bij alle programma's die in het geheugen zijn geladen de modules zien, je kan dan ook zien dat programma's gebruik maken van dll bestanden van MS, daar is dat systeem zo voor bedoeld. Een programma kan een dll oproepen, die in de map system32 staat en functies gebruiken.

Je kan ook in de broncontrole zien dat meerdere programma's dezelfde dll bestanden op kunnen roepen.
Als je weet hoe dat in het geheugen wordt geladen, een exe is een frame, is het eigenlijk simpel.
Als je een BMP extensie laadt in mspaint.exe is dat eigenlijk voor een processor een zelfde beweging als sys en dll in ntoskrnl.exe laden. Maar dan met andere functies, de kernel heeft geen interface naar de gebruiker toe. mspaint.exe wel.

Veel succes.

nelizmastr schreef op woensdag 17 januari 2018 @ 21:44:
Die driver update programma’s zijn je reinste rotzooi. Als je serieus betaalt voor dergelijke software dan zit de toko die het gemaakt heeft hartelijk te lachen.

Zou me niet verbazen als die troep een storage driver (AHCI driver, XHCI driver, etc.) heeft geüpdatet en daarmee je Windows deels heeft gemold. Drivers worden door de fabrikant op hun website geplaatst en bijgewerkt indien nodig. De rest doet Microsoft. Geen tussenkomst van 3rd party meukware.

Nou inderdaad nelizmastr, gemold voor de eigenaar van het apparaat, en al die tijd misschien ook wel overgenomen, omdat drivers rechtstreeks met de hardware communiceren, en drivereasy geïnstalleerd is met administratorrechten, in principe heeft dat programma de vrijheid om in het geheugen te doen wat het wil. Men noemt die strategie ook wel een rootkit op kernel niveau.

[ Voor 55% gewijzigd door Verwijderd op 18-01-2018 17:05 ]

[BartDG]

OK jongens, dan gooi ik die Driver Easy er wel af.

Beste Erik, ik snap het allemaal wel hoor. Ik werk al met Pc's van in het DOS tijdperk, dus nog van voor Windows dus. En hoewel ik geen coder ben snap ik vrij goed hoe een PC (en vooral dan Windows) in elkaar steekt. Ik wist alleen niet dat die driver programma's zo gevaarlijk waren. (hoewel ik op zich nog wel vertrouwen heb in Driver Easy)

BTW, je kan het heropstarten na een kritieke fout ook voorkomen door in het systeemmenu -> geavanceerde systeeminstellingen -> opstart en herstelinstellingen -> de computer automatisch opstarten uitvinken.

Hartelijk dank voor de moeite! Ik denk nog steeds dat het ergens een combinatie geweest is van Avira met de updates voor Meltdown/Spectre en Driver Easy misschien. Dat verklaart nog altijd niet waarom het systeem eergisteren dan ook plots rebootte, maar sindsdien is er niets meer voorgevallen, dus misschien moet ik dat maar catalogeren onder "one time only".

Thx!

[Verwijderd]

OK Bart, ik begrijp dat je best wel een ervaren computer gebruiker bent nu je dit schreef, maar Windows wordt al sinds 2000 niet meer in DOS geladen.
Dos was een besturingssysteem die 1 programma tegelijk in het geheugen kon laden.
Windows 1.0 was dat ene programma die dan meer programma's tegelijk in het geheugen kon laden, en crashte toen voortdurend in het geheugen als er meer programma's in het geheugen werkte, die problemen werden opgelost na Windows 1 omdat de programma's geïsoleerd in het geheugen werden geladen.

Beetje nostalgie, dat was de tijd dat het bestandssysteem FAT16 overging naar FAT32.
Slaan we een stukje over, toen het NTFS was geworden was er al geen DOS meer nodig.
De ontwikkelingen hoe dat in het geheugen aangevallen kon worden, had in Windows XP te maken met dat processen in het geheugen altijd dezelfde ID kregen, en hackers precies wisten hoe explorer aan te vallen, toen kwam in Windows Vista een variabele PID (proces Identifier) die niet steeds hetzelfde adres gebruikte na opstarten, om de malware op dat niveau weer voor te zijn.

Maar zoals je weet, gaan die dan weer wat anders verzinnen ook, als in een wedloop.
Op dit moment kan je in de broncontrole mede door die EU wetgeving van rond het jaar 2004 alle bronnen zien in de broncontrole.

Dus Bart, alles veranderd constant en we raken allemaal nooit uitgeleerd op dat gebied, en als ik je kan helpen met dat beheren met minimum aan risico, dan doe ik dat graag, en anderen ook zie ik hier, zoals
nelizmastr die je eigenlijk ook al zegt: die TROEP moet je niet gebruiken al in the first place, vertrouwen is goed, maar opletten is beter.
Dat jij te vertrouwen bent Bart, wil niet zeggen dat iedereen te vertrouwen is. Succes.

[BartDG]

Beste Erik, ik weet dat Windows sinds Microsoft ME niet meer in DOS wordt geladen. Ik zei dat enkel omdat ik wilde aantonen dat ik toch wel al wat kilometers op de teller heb. Hartelijk dank ook voor je uitleg, maar die was mij ook niet vreemd. Ik heb ervaring met overgang van FAT16 naar FAT32 (leuk die partities van max 2 GB, weet je nog?), later ook met exFAT, ext2, 3, 4 ReiserFS, JFS en ZFS. (uiteraard dan wel niet in Windows maar Linux) Om maar iets te zeggen.

Wat ik niet wist is dat manier waarop je illustreerde dat Microsoft het heeft aangepast om geheugenaanvallen te beperken. Ik wist uiteraard wel dat ze iets gewijzigd hadden en daarom werkten ook de oude XP drivers niet meer, maar wat precies was mij niet gekend. Nu dus wel, bedankt daarvoor!

Het computerlandschap wijzigt inderdaad constant, en dat is net het leuke/uitdagende eraan. Je bent nooit uitgekeken, want je hebt het nooit allemaal gezien.

Ter info, ik heb zonet ook een anti-rootkit software laten draaien op mijn systeem en een scan laten uitvoeren. Gelukkig volledig negatief. Driver Easy werd ondertussen verwijderd.

[Verwijderd]

Zo is het Bart, mooi om te lezen over je ervaringen. Samen weet je altijd weer meer.

[BartDG]

Heh. Wat ik nou lees. Het zal toch wel niet zeker? Mijn platform is een Ivy Bridge CPU op een Z77 chipset.