virus nebo hardware??

[Trubecka]

Zdravím,

mám následující problém: po připojení jednoho HDD navíc k PC s W7 (kterej se používal jen na zálohy předchozího PC s WXP) se během startu spustil nějakej scan souborů toho disku (kterej jsem u W7 předtím nikdy neviděl přestože tam připojuju každou chvíli nějakej HDD navíc).
Potom pár sekund po přihlášení do W7 modrá obrazovka "registry error" a nějaký řeči o tom že os musel bejt ukončen aby se zabránilo poškození HW.
Každej následující start pak končil touto chybou, fungoval jen nouzonej režim. Po několika takových pádech nebo startech do nouzáku se bios sám od sebe zhroutil do defaultního nastavení a pak to normálně nastarotvalo a fungovalo.
Nepamatuju si přesně kolik startů to šlo ale moc asi né. Teď je to v podstatě tak že při restartu (nebo vypnutí a zapnutí) se stane jedna ze 3 možností:

1) PC vytuhne hned po zapnutí (ještě než se objeví bios, nestihne ani pípnout) musí se resetovat a pak startuje s biosem v defaultu (což hned poznám protože maj v defaultu vypnutý řízení ot. ventilátorů takže mi jedou skoro všechny na max a to je fakt rachot , rovnou vlezu do biosu a naházím tam zpátky svoje nastavení protože tím to není (délá to i když nechám bios v defaultu), PC pak normálně nastartuje a funguje. Většinou je rozhozený čas a to klidně třeba i o rok.
2) PC staruje rovnou s biosem v deafaultním nastavení, pak normálně nastartuje a funguje. Většinou je rozhozený čas a to klidně třeba i o rok.
3) Pokud nenastane ani jedno z výše uvedených a startuje normálně (moc často se to nestává) tak končí chybou "registry error" pár sekund po přihlášení do win.

Další poznatky:
- přišel jsem na provizorní řešení - pokud mezi každým vypnutím a zapnutím vypnu alespoň na pár sekund i vypínač na zdroji (aby PC bylo úplně bez proudu) tak to problém s biosem, časem a chybou "registry error" úplně vyřeší! To už mi tu tak funguje několik měsíců. Jako kdyby tam něco zůstávalo po vypnutí a spouští se to ještě před startem OS a nějak to sabotuje nastavení biosu a hodin.
- Když jsem ten zmíněný disk připojil k jinému PC s W8 na kterým mi tolik nesejde, ze ho tam proskenuju nějakými tooly co tu doporučujete, tooly nic nenašly ale ten čas mi tam začal z toho blbnout taky! Akorát že tam se nerozhodí při restartu ale spožďuje se (nebo předbíhá) postupně při zapnutým PC. Problém se opět úplně vyřeší pokud mezi každým vypnutím a zapnutím vypnu alespoň na pár sekund i vypínač na zdroji!
- Měl jsem tu teď ještě jedno PC s W10 a tam bych řekl že se to nakazilo i z USB flash disku (začal se rozcházet čas) ale to nemohu tvrdit jistě neb jsem to nezkoumal protože byl určen stejně k vymazání.
- odpojit oba zmíněné disky nepomohlo
- zakódovat bios nepomůže
- Avast nic nenajde, ani v tom testu před startem OS s nastavením heuristiky na max a test celých souborů.
- rescue CD bit defenderu našlo nejakej miner na jednom nesystémovým HDD v System Volume Information (smazán) - žádná změna.
- rescue CD kaskerskyho našlo pár dalších jako "generic.trojan" na stejném místě - smazány - žádná změna
- adwcleaner smazal nějakej doplňek na instagram do chromu - žádná změna
- mbar až na jeden planej poplach nic
- tdskiller - nic

Věcy který s tím můžou a nemusej souviset:
- den předtím mě začal blbnout jeden ze 3 HDD (třeba hodinu funguje normálně pak mu začnou jakoby kolísat otáčky a pár minut na to úplně zmizí ze systému jako kdyby tam nikdy nebyl Po vypnutí a zapnutí zase třeba hodinu jede. SMART je bez chyb.
- nejde vytvořit rescue CD Avastu
- nefungujou body obnovení, teda né že by vždycky fungovaly jak maj ale alespoň obnovování vždy proběhlo do konce bez chyb, teď vrací chybu že se to nemohlo dostat k nějakým souborům.

Prosím případně jen nedestruktivní řešení pokud víte čím by to mohlo být (ještě nemám hotový rezervní PC)

[JaRon]

ahoj,
s vysokou pravdepodobnostou ide o HW problem - bud ho sposobuje disk, ktory meni otacky alebo mas slabo dimenzovany zdroj pre 3 disky
doporucujem:
1. pri zapojenom jednom disku s OS W7 spustit s príkazového riadku chkdsk a nasledne chkdsk/r >restart
po oprave chkdisk-om skontrolovat disk hdtune free 2.55 - vloz obrazok benchmark
2. to iste vykonat s diskom 2 a 3 >> pri kontrole zadat chkdsk x: kde x je nahradene aktualnym pismenom disku napr. e:
+
ak je to mozne zmeraj napatie baterie pre CMOS

[Trubecka]

- Tak ten disk co měnil ty otáčky už v žádném v PC dávno není a je tam místo něj jiný který funguje normálně. Ani ten se zálohama po jehož připojení začaly tyto problémy. Myslím že jsem to uváděl že odpojit ty 2 zmíněné disky nepomohlo. Takže tím to být asi nemůže, ne?

- Ten zdroj je (pokud si to pamatuju správně) nějaký Fortron raider kolem 500W, až se v tom budu hrabat tak zkusím opsat typ pokud to tam bude vidět. Vážně může být 500W zdroj na 3 disky málo? S tímto zdrojem mi to se 3 disky (občas 4 když něco zálohuju nebo přenášsím data jinam) funguovalo cca 3 roky. Navíc utáhne i Radeon HD5850 (150W) + C2Q při max. vytížení což je oproti idle rozdíl min. o 140W, ten disk by měl brát tak 10W jeden, ne? Nemělo by se to projevit spíš při hraní pokud by byl slabý zdroj? Někdy hraju i 6h v kuse a normálně to běží.

- Na tu baterii se podívám, ale měnila se preventivně cca před 3 lety když jsem to koupil. Mě to teda Asusácká deska vždycky napsala v tom logu při startu když byla vybitá baterie (už jsem měl asi 4), navíc pokud bylo PC stále pod proudem tak to nemělo na nic vliv, pocejtil jsem to vždy až když vypli proud Tento problém se přerušením dodávky proudu naopak opraví. Ale je fakt že to nebylo u týhle konkrétní desky tak možná je to tam nějak jinak nebo to má v tom nějakou poruchu. Ale nevím jak dlouho mi to bude trvat protože kvůli tomu musím rozebrat půlku pixly protože ta baterka je někde mezi těmi sloty takže se k ní nedostanu dokud nevyházím všechny ty karty a min. 2 hdd protože kvůli nim nevytáhnu ty tlustý kabely z GFX karty. Tak to tu zatím nezamykejte, já na to nemám hned čas a je možný že to bude trvat několik dní.

- Odpojit všechny HDD kromě systémovýho a ten chkdsk zkusím to je nezabije, akorát to chkdsk/r >restart nevím co to má dělat ale pokud to potřebuje restart tak to asi nepůjde protože ty restarty mi právě nefungují, jedině pokus o restart - zásek - reset (nebo odpojení připojení proudu) a následně start.

- Toto mi ale nevysvětluje proč mi ten čas začal blbnout i v úplně jiným PC (jak jsem psal výše) po připojení toho zálohovacího disku a nepřestalo to ani po jeho odpojení, řeší to zase jedině to vypínání zdroje mezi každým vypnutím a zapnutím. Opravdu tam na 100 procent podle těch logů žádný virus, mw, rootkit ani nic takového podle žádného moderátora není? Jde o to že to PC co je tam W8 občas vypnu odpojím všechny disky, připojím jiný systémový disk s čistou instalací Win + avast + nějaký důležitý aplikace, síť připojím jen na chvilku jak aplikace potřebuje a zase odpojím, prohlížeč tam nepoužívám, pak to zas hned vypnu a disk odpojím, protože potřebuju aby byl fakt 100 procentně čistej, takže by se tam nic dostat nemělo ale jestli tam zůstává něco přes vypnutí třeba v biosu tak jsem v loji a pokud by mi z něj někdo vyhackoval konkrétní soubory nebo nalogoval nějaký hesla tak to by byl průšvih jako Brno. Tady třeba popisuje že virus v biosu měl a neustále se to natahovalo z MBR do biosu a obráceně https://community.mcafee.com/t5/Malware ... d-p/326152

[JaRon]

- v logoch nie je nic co by zasadne mohlo ovplyvnovat chod PC - mozes preventivne prescanovat vsetky disky s AVPTool - bude to trvat dlho
- po zadani chkdsk/r sa opyta, ci naplanovat pri dalsom starte - preto ten restart >> doporucujem vykonat so vsetkymi diskami
- pokial by kolegovia chceli nieco doplnit - je to vitane

[Trubecka]

- Chtěl jsem se zeptat, připojil jsem k pixle s w8 ten záložní disk co způsobil ty problémy a zkoušel jsem zobrazit asi ten MBR pomocí programu HxD podle tohoto návodu https://forum.viry.cz/viewtopic.php?f=1 ... y&start=15 Pak dál tam píše že by v těch sektorech 1-62 měly být všude nuly, toto platí i pro mě?? Protože já tam mám něco jinýho a na jednom disku dokonce nemám nuly ani v jednom z těchto sektorů. Tady se řešilo něco podobného https://forum.viry.cz/viewtopic.php?f=1 ... hilit=nuly
- Zkoušel jsem tam i ten APVTool, detekce žádná akorát nějaký chyby (viz.obrázek)

[JaRon]

preventivne skus prescanovat MBR s https://www.bleepingcomputer.com/download/aswmbr/
+
v logoch w8 je subor C:\Windows\slsvc.exe otestuj ho na www.virustotal.com

[Trubecka]

Ten soubor na Virustotal - žádná detekce, logy z toho mbr scaneru v příloze. Nevíte jestli existuje něco co umí uložit obsah CMOS, BIOS, a sektoru 0-62 z disku do souboru? já jsem našel akorát toto: https://www.softpedia.com/get/System/Sy ... rest.shtml ještĚ jsem to nezkoušel.

[JaRon]

To aswmbr si pouzil aj Fix
Su tam dva subory txt ...

[Trubecka]

Ne, psali jste jen scan. Jeden soubor .txt je z pixly s W8 a druhy z pixly s W7, měloby to být pojmenované, hxd obrazek je z pixly sW8.

[JaRon]

Aha, no ten mbr s w7 je podozrivy
Mas dve moznosti
Bud pouzijes fix v aswmbr, alebo Combofix
Oba kroky maju iste percento ze PC po starte nenabehne
+
alebo https://www.howtoguides.org/check-MBR-f ... a-MBRCheck

[Trubecka]

- no tak tento krok bych zatím odložil minimálně dokud nebudu mít hotovou záložní pixlu když je to nejisté a navíc si nejsme jisti že je to tím

- díval jsem se na ten HW, ty restarty jsou možná deskou, pravděpodobně to má nějakej bug v biosu, našel jsem o tom spoustu threadů na fórech kde řešili podobný problém - deska po zapnutí jen roztočí větráky a rozsvítí diody, duď nestartuje ani opakovaně vůbec nebo s resetovaným biosem, řešením ve většině případů bylo vyndat baterii na delší dobu nebo resetovat cmos juperem. Jeden popisoval že se to chovalo stejně jako u mě - startovalo to normálně jen po vypnutí zdroje na pár sekund - on musel navíc provést nějaké změny v nastavení biosu a zvýšit voltage.

https://forums.tomshardware.com/threads ... g.2490086/
https://superuser.com/questions/146809/ ... ost-at-all
https://social.technet.microsoft.com/Fo ... rohardware
https://www.overclockers.co.uk/forums/t ... .18041291/
https://www.overclockers.co.uk/forums/t ... 291/page-2

- uložil jsem obsah CMOS do souboru (několikrát - první 4 hodnoty souboru jsou pokaždé jiné (že by čas?) ostatní stále stejné), vyndal jsem baterii na několik minut, baterie má 3.14V, toto problém ale nevyřešilo, opĚt jsem uložil obsah CMOS do souboru a porovnal s tím před výmazem - občas je tam nějaká hodnota jiná (při stejném nastavení biosu).

- vlezl jsem teda do biosu a mírně zvednul všechny voltage a změnil pár dalších nastavení a deska už 2 dny normálně startuje i restartuje! Přijít na to čím to je je asi na dlouho protože toho nastavení je tam halda a po každé bych musel vyzkoušet nejen běh ale i restarty z windows, momentálně na to neni čas.

- zdroj je Fortron Raider RA550 (550W)

[Trubecka]

Zkoušel jsem ještě ten MBRcheck z toho posledního odkazu, logy jsou v příloze. Na W8 to u toho většího disku píše non-standard or infected MBR - to je ten disk po jehož připojení k W7 začaly ty problémy (nesystémový). Na žádným disku co je teď ve W7 to ale není. Ten aswMBR asi scanuje pouze MBR systemoveho disku, ne (proto to nenapsal)? Při startu se spouští pouze MBR ze systémového disku nebo se mohou spouštět i ty ostatní? Bootovat jsem se z toho zmíněného disku nikdy nesnažil (v biosu nebyl v žádném pořadí pro boot).

Ještě jsem našel cosi o tom že existuje nějaký nový druh malwaru co se nedá najít nikde na disku ale jen v ram, nevíte jestli na to existuje nějaký detektor? Nebo byste to poznali z těch logu z prvního příspěvku? Já jsem našel jen toto ale to je z pochybného zdroje: https://www.darknet.org.uk/2020/03/memh ... detection/

[JaRon]

Vratim sa k prvej odpovedí, ze pojde skor o problem HW nevynimajuc MB
MBR ma zmysel testovat na diskoch z ktorych sa bootuje OS - u Teba asi 2PCs
Virus sa do pamate dostava z disku, RAM ked strati napajanie tak sa data stratia
Ja sa uz tiez pomaly stracam v teme

[Trubecka]

Téma je fůrt stejný nebo v čem se ztrácíte? Vždyť je tu pár příspěvků. To že tam je (/byl) HW problém přece neznamená že tam nemůže být i vir. Pixla s W7 po úpravě těch voltages startuje i funguje už x dní normálně a čistou instlaci v 2. pixle už jsem musel stejně použít takže pokud tam něco zůstávalo přes vypnutí tak už to tam je taky Takže to zatím odkládám dokud se to nějak neprojeví, nebo až na to bude čas. Zatím děkuju za odpovědi, možná se ještě ozvu