Laptop kernsanieren

[Butter]

Ich habe von einem Kollegen ein IBM Notebook bekommen, das nach ca. 2 Minuten unter Windows XP einfriert, soweit so gut.

Ich start das Laptop und es taucht kurz die Meldung auf Boot.ini defekt, danach startet Windows XP Pro ganz normal.
Die Festplatte rattet die ganze Zeit vor sich hin und läd Programme ohne Ende, bestimmt Malware usw.

Was sollte ich jetzt tun? Ich kann LEIDER Windows nicht neuinstallieren, aber was kann an Programmen mal darüberlaufen lassen?

[GanjaBob]

abgesicherter modus, dann mal spybot drüber laufen lassen und sämtlichen müll aus dem autostart (über msconfig) raushauen.

e: evtl. gleich noch "chkdsk" und "sfc /scannow" auf der kommandozeile ausführen.

[Gast]

und "sfc /scannow" auf der kommandozeile ausführen.Da würd ich lieber gleich SP3 draufhauen ;)

[nn23]

echo off
"%Programfiles%\pc-retten\EventLog-Write.exe" -l Application -s SC-IT -m "1.Hilfe wird gestartet. Hoffen Sie dass alles OK ist." -t Warning -i 4711
cls

echo *************************************
echo *** ***
echo *** ***
echo *** EDV 1. Hilfe wird gestartet ***
echo *** ***
echo *** ***
echo *************************************
echo.
echo.

echo *************************************************************
echo *** Desktop wird nun gesperrt! Bitte den PC einfach laufen lassen!
"%Programfiles%\pc-retten\sleep" 3
"%windir%\system32\rundll32.exe" user32.dll,LockWorkStation
echo.
echo.

c:
cd \

echo *************************************************************
echo *** Virenscanner beenden ***
echo *************************************************************
net stop "Kaspersky Anti-Virus Service"
"%Programfiles%\pc-retten\sleep" 3
echo.
echo.

echo *************************************************************
echo *** $NTUNINSTALL bereinigen ***
echo *************************************************************
attrib -h /D /S $NT*
For /D %%i in (%WINDIR%\$NT*.*) do rmdir "%%i" /S /Q
"%Programfiles%\pc-retten\sleep" 3
echo.
echo.

echo *************************************************************
echo *** Automatische Updates bereinigen ***
echo *************************************************************
net stop "Automatische Updates"
"%Programfiles%\pc-retten\sleep" 3
rmdir %WINDIR%\SoftwareDistribution /S /Q
"%Programfiles%\pc-retten\sleep" 3
net start "Automatische Updates"
echo.
echo.

echo *************************************************************
echo *** TEMP bereinigen ***
echo *************************************************************
"%Programfiles%\pc-retten\sleep" 3
del /F /S /Q "%windir%\temp\*.*"
del /F /S /Q "%TMP%\*.*"
cd "%ALLUSERSPROFILE%"
cd "Startmen*"
del /F /Q *.lnk
echo.
echo.

echo *************************************************************
echo *** Autostart bereinigen ***
echo *************************************************************
cd "%ALLUSERSPROFILE%"
cd "Startmen*"
cd Programme
cd Autostart
del /F /Q "Windows-Desktopsuche.lnk"
del /F /Q "HP Digital Imaging monitor.lnk"
echo.
echo.

echo *************************************************************
echo *** Registry bereinigen ***
echo *************************************************************
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "NeroFilterCheck" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "HotKeysCmds" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "MSMSGS" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "LogitechSoftwareUpdate" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "LogitechSoftwareUpdate" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Synchronization Manager" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SunJavaUpdateSched" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "ChkAdmin" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "CPQEASYACC" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "KernelFaultCheck" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "PROMon.exe" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "RAM Idle" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "UserFaultCheck" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "HP Software Update" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "HPDJ Taskbar Utility" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "UDC Integration" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "McAfeeUpdaterUI" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "FreePDF Assistant" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "ISUSPM Startup" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "ISUSScheduler" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "QuickTime Task" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "TPKMAPHELPER" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "High Definition Audio Property Page Shortcut" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "MMReminderService" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "pdfSaver3" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "DeviceDiscovery" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "HP Component Manager" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "HP Software Update" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "HPDJ Taskbar Utility" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Persistence" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "IgfxTray" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "NvCplDaemon" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "nwiz" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "NvMediaCenter" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "BluetoothAuthenticationAgent" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SoundMAXPnP" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Adobe Reader Speed Launcher" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Apoint" /F 2> c:\null
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "PSQLLauncher" /F 2> c:\null





echo.
echo.


echo *************************************************************
echo *** Festplatte defragmentieren ***
echo *************************************************************
"%ProgramFiles%\OO Software\Defrag Professional\oodcmd" /SPACE:C
echo.
echo.

echo *************************************************************
echo *** Virenscanner starten ***
echo *************************************************************
net start "Kaspersky Anti-Virus Service"
"%Programfiles%\pc-retten\sleep" 20
echo.
echo.

echo *************************************************************
echo *** Virenscanner Update ***
echo *************************************************************
"%Programfiles%\Kaspersky Lab\Kaspersky Anti-Virus for Workstation 5\kavshell" UPDATE
"%Programfiles%\pc-retten\sleep" 3
echo.
echo.

echo *************************************************************
echo *** Virenscanner FullScan ***
echo *************************************************************
"%ProgramFiles%\Kaspersky Lab\Kaspersky Anti-Virus for Workstation 5\kavshell" FULLSCAN
"%Programfiles%\pc-retten\sleep" 3
echo.
echo.

echo *************************************************************
echo *** Richtlinien aktualisieren ***
echo *************************************************************
gpupdate
"%Programfiles%\pc-retten\sleep" 3
echo.
echo.

echo *************************************************************
echo *** Updates initiieren ***
echo *************************************************************
wuauclt /DetectNow /resetauthorization /r
"%Programfiles%\pc-retten\sleep" 3
echo.
echo.

echo *************************************************************
echo *** DNS aktualisieren ***
echo *************************************************************
ipconfig /flushdns
"%Programfiles%\pc-retten\sleep" 3
ipconfig /registerdns
echo.
echo.


echo *************************************************************
echo *** Zeitsynchronisation ***
echo *************************************************************
w32tm /resync /rediscover
echo.
echo.

echo *************************************************************
echo *** Prozessoptimierung ***
echo *************************************************************
rundll32.exe advapi32.dll,ProcessIdleTasks
"%Programfiles%\pc-retten\sleep" 60
echo.
echo.

echo *************************************************************
echo *** Eventlog MSG ***
echo *************************************************************
"%Programfiles%\pc-retten\EventLog-Write.exe" -l Application -s XXX -m "1.Hilfe wurde ausgeführt. Alles ist OK." -t Warning -i 666
echo.
echo.

echo *************************************************************
echo *** Neustart initiieren ***
echo *************************************************************
shutdown -r -t 30
echo.
echo.


exit



Meine "cleanup Batch".
KAV 5 und OO Defrag musste ggf. ersetzen.
Aber warum ist das Code-Fenster so breit?

Und denk dran, man sollt enie unbekannte *.BAT ausführen ohne genau zu wissen was die tun ;)

[Schnitzl]

sorry, aber schon hier stellen sich mir die Haare zu Berge:
For /D %%i in (%WINDIR%\$NT*.*) do rmdir "%%i" /S /Q
Die Verzeichnisse sind nicht umsonst da ;)

Zur Thread-Frage:
Ist ein HW-Defekt auszuschliessen?
Wird evtl. ein Bauteil zu heiss?

Ich würde als erstes mal die Treiber checken und evtl. neuinstallieren, sofern man einen HW-Defekt ausschliessen kann.
Als zweites gibt es noch die Möglichkeiten XP-Reperatur usw

Was spricht gegen eine Neu-Installation?

[nn23]

Die Verzeichnisse sind zur deinstallatin der Updates da.
So, da wir auf der Arbeit ne Softwareverteilung einsetzen wird da bei Problemen nicht lange gesucht, sondern 5 Minuten suchen, Rechtsklick, PC neu aufsetzen. Geht schneller.

Und auf Privat ist die frage ob man die braucht. Wenn Platzmangel herrscht (was bei einem alten laptop durchaus der Fall sein kann) spricht da imo nichts gegen.

Man beachte auch den Hinweis unten in meinem Post "Und denk dran, man sollt enie unbekannte *.BAT ausführen ohne genau zu wissen was die tun"

;)

[Modulor]

- Spybot Search & Destroy: http://www.safer-networking.org/de/spybotsd/index.html
- O&O Defrag Free 2000: http://www.pctipp.ch/downloads/betriebssystem/14146/oo_defrag_2000_free.html
- M$ Bootvis: http://www.chip.de/downloads/BootVis_13002882.html

[Butter]

Der Typ hatte 2 Virenscanner gleichzeitig installiert, 1x mein Freund von Norton und 1x Avira, ich habe im abgesicherten Modus Avira durchlaufen lassen, dann regcleaner drüber und nun läuft die Kiste.
Der Fehler mit der Boot.ini usw. ist erstmal egal, er soll eine Datensicherung durchführen und dann Windows neuninstallieren.

[GanjaBob]

ohje, ja - 2 virenscanner ist nie gut... keine ahnung wie die leute darauf kommen 2 zu installieren... "doppelt hält besser" oder was? :usad:

@butter: poste doch mal die boot.ini, das kann man bestimmt beheben...

e: @nn23, nette batch, wollte auch schon mal so etwas ähnliches basteln, da kann ich mir ja gleich ein bisschen was abkupfern ;). soweit is ja alles klar, nur, was machen die dinger:

"%Programfiles%\pc-retten\EventLog-Write.exe" -l Application -s SC-IT -m "..." -t Warning -i 4711
"%Programfiles%\pc-retten\sleep" 3
? thx

[Lokadamus]

ohje, ja - 2 virenscanner ist nie gut... keine ahnung wie die leute darauf kommen 2 zu installieren... "doppelt hält besser" oder was? :usad:
"%Programfiles%\pc-retten\EventLog-Write.exe" -l Application -s SC-IT -m "..." -t Warning -i 4711
"%Programfiles%\pc-retten\sleep" 3
? thxmmm...

2 Virenscanner sind immer eine dumme Idee, einer sollte rausfliegen.

Beim oberen Tool tippe ich auf das hier bei Punkt 4 http://www.sql-und-xml.de/freeware-tools/index.html
Es dient dazu ein Eintrag im Eventlog zu machen.

Und das untere dürfte dafür dienen, dass einfach 3 Sekunden gewartet wird, bevor zum nächsten Punkt gegangen wird.
XP bringt von sich kein sleep, delay bzw. wait mehr mit. Man kann so ein Delay über ping -w 1000 -n 3 10.0.0.1 (es darf kein Gerät antworten) machen, aber ob die Zeitangabe wirklich funzt, weiß ich nicht ;(.

[nn23]

mmm...

2 Virenscanner sind immer eine dumme Idee, einer sollte rausfliegen.

Beim oberen Tool tippe ich auf das hier bei Punkt 4 http://www.sql-und-xml.de/freeware-tools/index.html
Es dient dazu ein Eintrag im Eventlog zu machen.

Und das untere dürfte dafür dienen, dass einfach 3 Sekunden gewartet wird, bevor zum nächsten Punkt gegangen wird.
XP bringt von sich kein sleep, delay bzw. wait mehr mit. Man kann so ein Delay über ping -w 1000 -n 3 10.0.0.1 (es darf kein Gerät antworten) machen, aber ob die Zeitangabe wirklich funzt, weiß ich nicht ;(.

Jupp, genau das :)
Der sleep ist einfach sauberer.

Wenn noch jmd Tipps für so eine Batch hat => Immer her damit :)

[GanjaBob]

...
Wenn noch jmd Tipps für so eine Batch hat => Immer her damit :)

du könntest noch die homepage auf euren company-default setzen (sofern das nicht über GP sowieso gemacht wird.
REG ADD "HKLM\SOFTWARE\Microsoft\Internet Explorer\Main" /v Default_Page_URL /t REG_SZ /d http:... /f
REG ADD "HKLM\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /t REG_SZ /d http:... /f


und das mit den autostart würde ich auch etwas optimieren. z.bsp. den "Run" key kopieren, löschen, neu anlegen (mit nötigen Einträgen).


achja, bei meinem zeitsync script hab ich noch drinne dass die einstellung gesetzt wird mit der domäne zu synchronisieren. manche clients haben das nicht korrekt gehabt.
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters" /v Type /t REG_SZ /d NT5DS /f

[Lokadamus]

mmm...

Was ich nicht verstehe, wozu steht das am Ende der reg delete Zeilen?
2> c:\null

Wozu dient die 2 und wieso lenkst du es immer um auf C:\null und überschreibst es gleich wieder anstatt gleich alles nach /null bzw. nul zu verschieben?

[nn23]

du könntest noch die homepage auf euren company-default setzen (sofern das nicht über GP sowieso gemacht wird....


Startseite wird per GPO gesetzt.
Aber den unteren werd ich doch nächste Woche gleich mal ausprobieren :)
Danke


mmm...


Korrekt müsste es nul heißen, hab ich ein l zuviel drin.

mit dem 2> :

die standardausgabe ist die 1> oder auch einfach nur >
sieht so aus:


C:\>dir 1>nul

C:\>


Folgendes passiert wenn der Returncode <>0 ist:


C:\>cd sss 1>nul
Das System kann den angegebenen Pfad nicht finden.

C:\>



Folgendes passiert wenn ich 2> umleite (2 ist die Fehlerausgabe)


C:\>cd sss 2>nul

C:\>


Ich möchte nur bei erfolgreichem löschen eine ANzeige haben.
Wenn der Reg-Key existiert steht da "Wurde erfolgreich gelöscht"
Existiert der Key nicht steht garnichts da.


Lange Rede kurzer Unsinn:
1> lenkt nur die Erfolgsmeldungen um
2> lenkt nur die Fehlermeldungen um

[Lokadamus]

Korrekt müsste es nul heißen, hab ich ein l zuviel drin.

mit dem 2> :
Folgendes passiert wenn der Returncode <>0 ist:
Ich möchte nur bei erfolgreichem löschen eine ANzeige haben.
Wenn der Reg-Key existiert steht da "Wurde erfolgreich gelöscht"
Existiert der Key nicht steht garnichts da.

Lange Rede kurzer Unsinn:
1> lenkt nur die Erfolgsmeldungen um
2> lenkt nur die Fehlermeldungen ummmm...

Das weiß ich nicht, in wie weit es null oder nul heißen muss, auf deutschem XP funzt aufjedenfall beides, zumindest hab ich keine Datei mit dem Namen null erzeugt. Die Datei wurde direkt auf c:\ abgelegt und nicht im aktuellen Ordner ...
"dir nul" bringt aufjedenfall einen interessanten Pfad zum Vorscheinen, muss also nul heißen :).

Ok, ich lass mir in solchen Fällen immer alle Meldungen als Log in irgendeine Datei speichern und benutze Unixtools (http://unxutils.sourceforge.net/), meistens grep und sed, um sie unter Dos auszuwerten.
Ebenso ist die Rückmeldung auch vom Befehl abhängig, einige Befehle werfen andere Fehlercodes zurück :( ...

[nn23]

Kennt jamend einen Befehl um die Updates, welche heruntergeladen aber noch nicht installiert sind zu installieren?
Also praktisch das "Updates installieren und herunterfahren" im Menu Start->Ausschalten?
Updates werden bei uns nicht automatisch installiert, sondern der User muss es explizit anklicken.
Funktioniert auch bei den meisten, bei den anderen halt nicht - und nein, es geht vorerst nicht anders ;)

[Lokadamus]

mmm...

Wie meinst du das? Willst du aus der Ferne das installieren erzwingen oder soll der User das irgendwie machen :confused:

Der einzige Befehl, der mir dazu einfällt, ist da beschrieben: http://www.wsus.de/index.php?page=133
Das Installieren einzelner Patche kann man ansonsten durch Aufrufen der einzelnen Dateien. Mit dem Parameter /? am Ende erfährt man die möglichen Optionen, die beim Installieren des Updates möglich sind.

[nn23]

In der GPO steht:
Automatisch herunterladen, aber nicht automatisch installieren.
Der PC lädt also irgendwann neue Updates runter, und dann passiert erstmal nix.
Bis der Benutzer den PC herunterfährt.
Dann bekommt er die Auswahl "Updates installieren und herunterfahren"
Das sollte er im Optimalfall machen, machen aber nicht alle ;(

Jetzt dachte ich mir, in das Script einen Befehl mit ein zu bauen, welcher noch nicht installierte Patche einfach so bei ausführung installiert.
Praktisch ein wuauclt /InstalliereJetztAlleUpdates

macht der /UpdateNow sowas ähnliches?

[Lokadamus]

macht der /UpdateNow sowas ähnliches?mmm...

Keine Ahnung, die Funktion ist nirgends genau beschrieben.
Laut einem Bericht bei Google würde das Symbol erscheinen und anfangen die Updates herunterzuladen.
Allerdings wurde dabei zuerst der detectnow- Parameter benutzt und es sieht aus als wäre keine besondere Aktivität vorhanden.
Must du mal testen und sagen, was das Ergebnis ist ;( ...

[GanjaBob]

nee, ich glaube /updatenow edit: achne, das war /detectnow tut sich nur am wsus melden "hallo hier bin ich, haste was für mich". /updatenow scheint noch ohne funktion.

aber so ein kommando wäre nicht schlecht, weil selbst beim wsus kann man nur angeben zu welchem zeitpunkt die updates installiert werden sollen. die option dass der anwender nach belieben selbst installieren kann "Updates sind verfügbar, möchten sie diese jetzt installieren" wird auch nur angezeigt wenn der user lokaler admin ist. aber moment, vielleicht könnte man diese funktion irgendwie für normale user freischalten?!? hmmmm.....

[nn23]

nee, ich glaube /updatenow tut sich nur am wsus melden "hallo hier bin ich, haste was für mich"

aber so ein kommando wäre nicht schlecht, weil selbst beim wsus kann man nur angeben zu welchem zeitpunkt die updates installiert werden sollen. die option dass der anwender nach belieben selbst installieren kann "Updates sind verfügbar, möchten sie diese jetzt installieren" wird auch nur angezeigt wenn der user lokaler admin ist. aber moment, vielleicht könnte man diese funktion irgendwie für normale user freischalten?!? hmmmm.....

Kann man, heißt "Nicht administratoren erlauben Update Benachrichtigungen zu erhalten"
Ist ne Einstellung in den WSUS-GPOs.

Leider ist da halt wieder der Benutzer im Boot.

Danke trotzdem schonmal fürs Link raussuchen und antworten :)

€: Bräuchte das halt ohne Benutzerinteraktion. Praktisch als weiteren Punkt indem geposteten Script.
Das Script kann ich nämlich auch von hier aus starten (also Remote von meinem PC aus - oder als geplanten Task, und per WOL die PCs in der Nacht wecken, oder/usw.)