Archief - foutmelding bij het opstarten :(

sinds gistere krijg ik, telkens ik de pc opstart, 2 keer de foutmelding dat 'servicesnt.exe' ontbreekt. Nu dit is wel heel irritant en ik weet niet goed waar deze file naar verwijst dus ik dacht dat iemand hier mss de oplossing wist.

thx op voorhand,
kingeh

ziet er mij een restant uit van een virus/trojan/spyware/...

Start: uitvoeren: regedit

ga naar de sleutel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

In de lijst zou er nu (ergest) een entry moeten zitten met die servicesnt.exe in.

Kijk ook es in de RunOnce en de andere Run* foldertjes.

ik denk van niet, bij mij staat daar:
bij run:
-standaard
-nvcplDaemon
-rundll
-win32 usb2 driver
bij run once:
-standaard
-win 32 usb2 driver
bij runonceex:
-standaard
bij runservices:
-standaard
-win32 usb2 driver

toch merci voor uwen uitleg

*edit* in die submappen van run staat ook niks eh

Kan ook op andere plaatsen in het register zitten. Download hijackthis en post het log.

Logfile of HijackThis v1.97.7
Scan saved at 22:53:02, on 10/12/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\drivers\etc\system\spool.exe
C:\WINDOWS\System32\updatemgr.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\explorer.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Xfire\Xfire.exe
C:\WINDOWS\System32\WISPTIS.EXE
C:\sdkjfhdsf.exe
D:\Program Files\teamspeak2_RC2\TeamSpeak.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Daan Lochs\Bureaublad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.beyondgaming.be/forums?
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll
O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - C:\WINDOWS\System32\bridge.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\System32\bridge.dll",Load
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Win32 USB2 Driver] updatemgr.exe
O4 - HKLM\..\RunServices: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\Run: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKLM\..\RunOnce: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\RunOnce: [Win32 USB2 Driver] updatemgr.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Gelijkwaardige pagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Research (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O10 - Broken Internet access because of LSP provider 'xfire_lsp_10650.dll' missing
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B54BA4F8-1349-47EC-A3FB-7F359799EBE6}: NameServer = 195.238.2.21 195.238.2.22

Zet hijackthis in een eigen folder (voor de backups). Start in veilige modus met netwerkmogelijkheden. Maak een nieuw log.

Download en gebruik rapidblaster killer: de fout zou een rest kunnen zijn van een oude besmetting.
Download en gebruik spybot.
Scan on line op virussen(housecall, panda,...)

Stuur C:\sdkjfhdsf.exe naar de prullenmand.

Verwijder:
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll
O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - C:\WINDOWS\System32\bridge.dll
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\System32\bridge.dll",Load
O4 - HKLM\..\Run: [Win32 USB2 Driver] updatemgr.exe
O4 - HKLM\..\RunServices: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\Run: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKLM\..\RunOnce: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\RunOnce: [Win32 USB2 Driver] updatemgr.exe
updatemgr is vrijwel zeker een virus/adware
O10 - Broken Internet access because of LSP provider 'xfire_lsp_10650.dll' missing


Als dat het niet oplost, moeten we in de services gaan kijken of er daar geen spoor van 'servicesnt.exe' is.

Logfile of HijackThis v1.97.7
Scan saved at 9:32:36, on 11/12/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\Daan Lochs\Bureaublad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.beyondgaming.be/forums?
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll
O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - C:\WINDOWS\System32\bridge.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\System32\bridge.dll",Load
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Win32 USB2 Driver] updatemgr.exe
O4 - HKLM\..\RunServices: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\Run: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKLM\..\RunOnce: [Win32 USB2 Driver] updatemgr.exe
O4 - HKCU\..\RunOnce: [Win32 USB2 Driver] updatemgr.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Gelijkwaardige pagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Research (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O10 - Broken Internet access because of LSP provider 'xfire_lsp_10650.dll' missing
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B54BA4F8-1349-47EC-A3FB-7F359799EBE6}: NameServer = 195.238.2.21 195.238.2.22

*edit* rapidblaster vond niks, nu bezig met spybot
*edit2* zowel spybot als houseware hebben een hoop dingen gevonden, maar niets dat nie te herstellen was denk ik.

*edit3* het is dus nog altijd nie weg eh

Je moet nog in hijackthis de instructies uit mijn bovenstaande post aanvinken en ze dan verwijderen. Herstart en post een nieuw log (als het probleem nog bestaat).
Dan pas weten we zeker dat het probleem niet daardoor wordt veroorzaakt.

Logfile of HijackThis v1.97.7
Scan saved at 9:42:35, on 12/12/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\drivers\etc\system\spool.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\Daan Lochs\Bureaublad\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.beyondgaming.be/forums?
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Documents and Settings\Daan Lochs\Bureaublad\PC-cleaning\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Gelijkwaardige pagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Research (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B54BA4F8-1349-47EC-A3FB-7F359799EBE6}: NameServer = 195.238.2.21 195.238.2.22

nog altijd niks :/

Hoi,

Doe het volgende eens: ga naar Start>Run en typ msconfig . Je krijgt dan een venster met 4 tabs. Ga naar de tab "opstarten" (laatste). Kijk of er daar niks verdachts tussen staat en vink da dan desnoods weg. Zo zal hij da nie meer opstarten

Vladimir

Vladimirvlad zei:

Hoi,

Doe het volgende eens: ga naar Start>Run en typ msconfig . Je krijgt dan een venster met 4 tabs. Ga naar de tab "opstarten" (laatste). Kijk of er daar niks verdachts tussen staat en vink da dan desnoods weg. Zo zal hij da nie meer opstarten

Vladimir

Klik om te vergroten...

te doen in veilige mode ANDERS zet da prog zich zelf terug!! idem voor hijackthis llogs

Dit bestand is terug opgedoken:
C:\WINDOWS\system32\drivers\etc\system\spool.exe
Ik heb het een keer in combinatie met de servicesnt-fout gevonden, en op inet wordt het als verdacht beschouwd(zonder te weten wat het is).

Start op in veilige modus, hernoem C:\WINDOWS\system32\drivers\etc\system\spool.exe naar b.v. ...\spool.test, en kijk dan bij een herstart of het probleem hetzelfde blijft. Het wordt als service opgestart, misschien krijg je een (andere?) foutmelding als we de exe wijzigen.
Kijk ook eens of je plots problemen hebt met printers/faxen e.d., dan is het bestand misschien toch in orde.

kheb gedaan wa ge zij, maar het is dus nog nie weg :/
screen genomen van de 2e fout, misschien helpt dit.

linkje

servicesnt.exe is niet van windows, en vind je soms ook in C:\WINDOWS\system32\drivers\etc\system\ of op andere rare plekken in system32.
Start>uitvoeren>msconfig>opstarten: kijk of er daar iets verdachts tussen zit.
Kijk daar ook bij services, en vink servicesnt uit.
Start dan in veilige modus met netwerkverbindingen, en scan op virussen.

Zoek nu op je harde schijf naar ftp.exe en servicesnt.exe , als je ze vindt en je weet niet wat ftp.exe is -> ook hernoemen.

N.B. Staan er nog andere exe's in C:\WINDOWS\system32\drivers\etc\system\ ?

in totaal 7, samen met die servicesnt. (kannek die niet gewoon verwijderen btw?)

-pskill.exe
-spool.exe
-info.exe
-tlist.exe
-svghost.exe
-kill.exe

hopelijk ben je hier iets mee

j . zei:

Dit bestand is terug opgedoken:
C:\WINDOWS\system32\drivers\etc\system\spool.exe
Ik heb het een keer in combinatie met de servicesnt-fout gevonden, en op inet wordt het als verdacht beschouwd(zonder te weten wat het is).

Start op in veilige modus, hernoem C:\WINDOWS\system32\drivers\etc\system\spool.exe naar b.v. ...\spool.test, en kijk dan bij een herstart of het probleem hetzelfde blijft. Het wordt als service opgestart, misschien krijg je een (andere?) foutmelding als we de exe wijzigen.
Kijk ook eens of je plots problemen hebt met printers/faxen e.d., dan is het bestand misschien toch in orde.

Klik om te vergroten...

j.


spool.exe is normaal op een systeem en heeft te maken met het printgebeuren... dus enige voorzichtigheid is aangeraden

ff gegoogled en eerste hit



http://forums.majorgeeks.com/archive/index.php/t-42797

*edit*

beetje verder op de pagina:

chaslang
I have heard of ntservice.exe which is the Bat.Mumu.A worm. Perhaps this is the same thing. Symantec has a removal tool for this.

This link has info in the worm
http://www.sarc.com/avcenter/venc/data/bat.mumu.a.worm.html

Here is the direct link to the removal tool (it's on the above page too):
http://securityresponse.symantec.com/avcenter/venc/data/bat.mumu.a.worm.removal.tool.html

Give it a try. Let me know if it helps.

If that does not work I would suggest doing the below:
Click Start, Run, and enter the following in the Open box: "services.msc" (without the quotes). Then click OK. Now in the Services window that pops up look for servicesnt or ntservices. If you find that service, you must stop it by right clicking on it then select stop. Now disable it by right clicking on it and selecting Properties. Then in the General tab see the area that says "Startup type: " click on the pull down arrow and change it to Disabled.

dit zou moeten lukken (naar het schijnt)

@ LSD-ProZac: spoolsv.exe is normaal het windows-bestand dat de printer-spooler is(vanaf win 2000?), en dat vind je in de systeem-map van windows.
Voor spool.exe vind ik alleen verwijzingen naar virussen e.d.
Zie ook http://www.google.be/search?q=cache...C:\WINDOWS\system32\drivers\etc\system\&hl=nl
Toegegeven, je vindt erg weinig (maar dat alleen al is vreemd voor een programma dat essentieel voor een printer is).
Het gaat inderdaad om een virus, maar ik verdenk alle bestanden in die map ervan virussen te zijn.

@king_wlv: Kopieer die map eens naar een andere map op je HD, en wis de originele dan. Herstart, en kijk of alles normaal werkt. Probeer ook je printer uit.
Heb je zoals LSD-ProZac zegt, al eens in de services gekeken of je daar een opstartinstructie vindt(die geeft waarschijnlijk die foutmelding)?

Het is weg!! :applause:
Had eerst die removal tool geprobeert, maar die deed dus niks. Daarna eens in services.msc gaan kijken, en inderdaad daar stond ie. Hij stond al uitgeschakelt maar er stond nog wel dat hij mee opstartte.

Nuja iedereen da mij heeft geholpen heel hard bedankt en als ik u ooit erges mee kan helpen dan weete het maar te zeggen :applause: