Riavvio improvviso con schermata blu

[FrankSix]

Ciao a tutti!
Oggi ho acceso il pc e dopo un po' è apparsa una schermata blu con un messaggio e il pc si è riavviato...dopo il riavvio sembra tutto normale.

L'unica cosa che ho notato è stato un processo che non avevo mai visto nel task manager: savedump.exe

Nel visualizzatore eventi ho notato anche una voce sotto "sistema" con origine save dump appunto che dice:

Il computer è stato riavviato da un controllo errori. Il controllo errori era: 0x000000c2 (0x00000007, 0x00000cd4, 0x00000000, 0x0038007a). È stata salvata un'immagine della memoria in: C:\WINDOWS\Minidump\Mini100110-01.dmp.

Penso che la motivazione del riavvio sia questa...secondo voi cosa può essere? Problema di sicurezza o problema di SO?

Grazie in anticipo a tutti!

[sondlive07]

http://www.processlibrary.com/it/directory/files/savedump/

[FrankSix]

Grazie della info Adesso savedump è scomparso...

Ho fatto degli aggiornamenti di windows (xp) di net.framework, è possibile che il riavvio sia stata loro conseguenza??

Adesso altra stranezza... E' comparso un altro processo che non avevo, "mscorsvw.exe", che sembra essere facente parte sempre di net.framework.
In più però il pc è diventato lento all'avvio e soprattutto tarda ad avviare la protezione in tempo reale di avast .

Qualche idea?

[everi]

fai uno scandisk e deframmentazione ..poi vai su esegui scrivi services.msc e metti il net framework da automatico a manuale o disabilitato

[FDAC]

- Scarica ed installa Hijackthis dal link sottostante:
http://www.hijackthis.de/downloads/HJTInstall.exe
- lancia Hijackthis
- clicca su Do a system scan and save a logfile
- al termine della scansione verrà rilasciato un file di testo: salvalo sul Desktop perché lo dovrai inviare qui

[FrankSix]

Dunque intanto qualche piccolo aggiornamento...
Il processo mscorsvw.exe ho scoperto che fa parte degli ultimi aggiornamenti riguardati il net.framework. In pratica rimane attivo per un periodo di "ottimizzazione" delle librerie net.framework e una volta finito questo procedimento...puff..scompare nel nulla. Il rallentamento all'avvio era provocato da questo processo.
Ho comunque fatto sia un bel defrag che uno scandisk (tutto regolare).

Rimane però ancora il mistero del riavvio con schermata blu di ieri...

- Scarica ed installa Hijackthis dal link sottostante.......

Ecco il log di HJT per sicurezza:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13.05.00, on 02/10/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\Programmi\Wireless Console 2\wcourier.exe
C:\Programmi\Intel\Wireless\Bin\ifrmewrk.exe
C:\WINDOWS\ATK0100\HControl.exe
C:\Programmi\Intel\Wireless\Bin\EOUWiz.exe
C:\Programmi\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\ASUS\Power4 Gear\BatteryLife.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\Programmi\RocketDock\RocketDock.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Documents and Settings\Francesco\Desktop\Tools Sicurezza\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: QFX Software KeyScrambler - {2B9F5787-88A5-4945-90E7-C4B18563BC5E} - C:\Programmi\KeyScrambler\KeyScramblerIE.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [Wireless Console 2] C:\Programmi\Wireless Console 2\wcourier.exe
O4 - HKLM\..\Run: [IntelWireless] "C:\Programmi\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [EOUApp] "C:\Programmi\Intel\Wireless\Bin\EOUWiz.exe"
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programmi\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ABLKSR] C:\WINDOWS\ABLKSR\ABLKSR.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Power_Gear] C:\Programmi\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Programmi\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {5C106A59-CC3C-4caa-81A4-6D909B5ACE23} - C:\Programmi\KeyScrambler\KeyScramblerIE.dll
O9 - Extra 'Tools' menuitem: &KeyScrambler Options - {5C106A59-CC3C-4caa-81A4-6D909B5ACE23} - C:\Programmi\KeyScrambler\KeyScramblerIE.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com
O16 - DPF: {3F932FFA-F092-4FDB-92C5-1285978614D2} (WATCH_16R Control) - http://XXX.XXX.X.XXX/WATCH_16R.cab <----[HO MESSO LE X SUL MIO IP]
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 4368073067
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 4368206005
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.DLL
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - AVAST Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - AVAST Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe

--
End of file - 7619 bytes

[FDAC]

Rilancia Hijackthis e:
- spunta la casellina fianco di ogni singola voce che ti indicherò sotto
- una volta spuntate le voci:
- chiudi tutte le applicazioni aperte
- chiudi tutte le pagine del browser aperte
- in Hijackthis fixa le voci cliccando su Fix checked

Queste le voci da fixare:

O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com
O16 - DPF: {3F932FFA-F092-4FDB-92C5-1285978614D2} (WATCH_16R Control) - http://XXX.XXX.X.XXX/WATCH_16R.cab <----[HO MESSO LE X SUL MIO IP]
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 4368073067
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 4368206005
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab

Piccola precisazione:
Sarebbe meglio disabilitare il TeaTimer di Spybot Search And Destroy in quanto va in conflitto con l'antivirus residente; prosegui cosi':
http://www.malwarehelp.org/how-to-enabl ... timer.html

[FrankSix]

Grazie FDAC...Una domanda però: le voci da fixare sono voci infette? perché ad esempio la voce "O16 - DPF: {3F932FFA-F092-4FDB-92C5-1285978614D2} (WATCH_16R Control) - http://XXX.XXX.X.XXX/WATCH_16R.cab" so cos'è e non posso eliminarla.

[FDAC]

Ciao Frank,
vai tranquillo è un Controllo Activex -quelli che si aprono quando visiti certi siti che necessitano di tale controllo-.
Quando rivisiterai lo stesso sito, ti chiederà di installare il Controllo Activex.
Io faccio cancellare sempre tutte le 016, per scrupolo.
Fammi sapere.
E dopo dimmi come va il PC, casomai si passa alle maniere forti.

[FrankSix]

Ok grazie per la precisazione

Per il resto il PC funziona...va tutto benone...mi stranizza solo quella maledetta schermata blu di ieri così all'improvviso!

Non c'è un modo per vedere cosa può avere provocato la blue screen di ieri?

[crazy.cat]

Non c'è un modo per vedere cosa può avere provocato la blue screen di ieri?

http://www.MegaLab.it/4734/2/scopri-chi ... di-windows

[FDAC]

Ti ha ampiamente risposto Crazy.
Vorrei fare pero' un controllino.

Scarica mbr.exe e salvalo direttamente nella Directory C:\
http://www2.gmer.net/mbr/mbr.exe

Riavvia il PC e avvialo in modalità provvisoria, premendo ripetutamente F8 subito dopo l'accensione del PC finchè non compare una schermata in nero con delle opzioni in bianco.

Da Start/Esegui e digita

C:\mbr.exe -f

e clicca su OK

NB - C'è uno spazio vuoto tra "C:\mbr.exe" e "-f"

La scansione durerà pochi secondi.
Posta il log situato in C:\ come mbr.log

[FrankSix]

Eccomi qui.

Dunque ho scaricato bluescreenView...l'ho avviato e... non si sa perché la finestra era vuota. In pratica la cartella minidump è vuota!! Possibile che ci colpi CClenaer??

Per quanto riguarda mbr.exe, l'ho fatto partire in modalità provvisoria (a proposito c'erano due utenti: il mio e Administrator. Ho fatto bene a entrare come Administrator??)
Il log per fortuna è pulito!

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Bel sospiro di sollievo considerando che ci sono già passato.. (vedi http://www.MegaLab.it/forum/topic66312.html)

Quindi in pratica rimarrò per sempre con il dubbio di cosa cavolo era quella BSOD giusto?

[crazy.cat]

Possibile che ci colpi CClenaer??

Ccleaner cancella anche i file di dump delle schermate blu.
Se è successo una volta sola non me ne preoccuperei più di tanto, con windows è una cosa quasi normale.
L'importante è che non si ripeta troppo spesso.

[FrankSix]

Se è successo una volta sola non me ne preoccuperei più di tanto, con windows è una cosa quasi normale.
L'importante è che non si ripeta troppo spesso.

Questo mi rincuora... No in effetti non era mai successo... E' successo solo l'altro giorno dopo aver utilizzato il portatile senza alimentatore fino a far scaricare la batteria. L'ho fatto ricaricare per ben benino, ho avviato e bum schermata blu.

Allora mi metto il cuore in pace (e magari mi procuro un mac o una bella distro linux )

Grazie a entrambi

[FDAC]

Ciao Frank, vediamo di fare un po' di pulizia finale :)

Scarica ATF Cleaner da qui:
http://www.atribune.org/ccount/click.php?id=1
Avvia ATF Cleaner con un doppio click
1) seleziona la casella Select All
2) clicca sul pulsante Empty selected
3) aspetta l'avviso Done Cleaning
(se usi Opera o Firefox, spunta anche le loro sezioni)

[FrankSix]

Ciao FDAC io utilizzo normalmente CCleaner; è lo stesso? Te lo chiedo per evitare di installare programmi in più

[FDAC]

Ciao Frank.
Si, Ccleaner usalo una volta ogni settimana.
Fai questa pulizia con ATF Cleaner, è un programma che non si installa, ne' sporca il registro di Windows, una volta eseguita la pulizia, cestina pure il file scaricato.
Fammi sapere.
Ciao :)

[FrankSix]

Fatto! Ho usato ATF Cleaner! Davvero un programmino utile!

Ti ringrazio

[FDAC]

Ok.
Ciao :)