| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: BIOS/Firmware Virus/RK sehr hartnäckig und intelligentWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
22.02.2010, 18:02
| #1 |
 |  BIOS/Firmware Virus/RK sehr hartnäckig und intelligent Guten Abend Community, mein Notebook hat es mit einem sehr widerlichen Virus/Rootkit zu tun, dieser erstellt bei der Installation von jeglichem OS einen RAMDISK und installiert von dort aus das Betriebssystem, FINDRAMD bestätigt error Laufwerk c=3. 2 Ordner und paar dateien erstellt dieser Virus/RK $WIN_NT$.~BT und $WIN_NT$.~LS in diesen dann die Ordner I386 und system32 enthalten sind. und immer wieder diese komischen Präfixe $LPR$ z.B. BIOS habe ich geflasht jedoch ohne Erfolg, beim booten richtet er sich immer wieder neu ins RAMDISK nach der Meldung NVRAM checking und bei NVRAM updatet ..OK ist er wieder aktiv. Neu ist auch das eine Ausgabe auftaucht mit sämtlichen USB Geräten die angeschlossen sind. Rechts unten erscheint eine Zahl z.B A078 A068 die bei jedem refresh des Screens, Batterie habe ich schon rausgenommen und sämtliche Hardware die ich nicht zum booten brauche, jedoch ohne Erfolg. Linux habe ich mit und ohne Festplatte gebootet, so richtig als root will er mich nicht rein lassen weil jedesmal nach der Befehlszeile Root:# <-- ein Präfix dahinter sitzt. VGA BIOS Version wird angezeigt mit VER009.012.001.013.A05801.012 Ich bin schon längst verzweifeltes Screens sich ändert. Batterie habe ich schon rausgenommen und sämtliche Hardware die ich nicht zum booten brauche, jedoch ohne Erfolg. Linux habe ich mit und ohne Festplatte gebootet, so richtig als root will er mich nicht rein lassen weil jedesmal nach der Befehlszeile Root:# <-- ein Präfix dahinter sitzt. VGA BIOS Version wird angezeigt mit VER009.012.001.013.A05801.012 Ich bin schon längst verzweifelt, Antivirus Software eignet er sich sich an sodass er nichts erkennt und mit WindowsUpdate sich Datenmaterial holt. Hier noch das Startup Info vom csrss.exe was mich sehr stutzig macht  Code:
ATTFilter C:\WINDOWS\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16
Code:
ATTFilter Path=C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\System32\Wbem
|
|
22.02.2010, 21:32
| #2 | ||||
| /// Winkelfunktion /// TB-Süch-Tiger™   | BIOS/Firmware Virus/RK sehr hartnäckig und intelligent Hallo und
__________________ Zitat:
Zitat:
Zitat:
Zitat:
 Du hast Erfahrung mit der Linuxshell, was willst Du da genau machen und hast Du überhaupt in der shell auch mit dem "Präfix" die Befehlseingabe getestet? Das klingt alles nicht nicht nachvollziehbar was Du da so schreibst...
__________________ |
|
23.02.2010, 00:05
| #3 | ||
| | BIOS/Firmware Virus/RK sehr hartnäckig und intelligentZitat:
FINDRAMD habe ich genauso ausgeführt, woraufhin er mir C als Ramdisk zeigte. Zitat:
nur mit der Recovery DVD kann ich das System einigermaßen installieren, aber halt mit den ausgetauschten Windows Dateien, das Virus scheint auch Zertifikate (von Versisign?) als gültig erscheinen obwohl diese nicht gültig sein dürften, habe diese löschen können worraufhin gleich Windows mit einer Fehlermeldung prompt kam, da diese keine Original Windows Dateien sein können, weiter bin ich aber nicht gekommen. mit der Linuxshell wollte ich lediglich das MBR löschen mit /fixmbr dd if=/dev/zero of=/dev/xxx bs=440 count=1 aber die Original root wird irgendwie versteckt..... Konfus studiere schon seit Tagen das Verhalten von diesem Plagegeist, verständlich wenn es nicht nachvollziehbar ist Kann es sein dass das Programm mit $bytesion 5.02 geschrieben worden ist? das habe ich nch in irgendeiner Datei rauslesen können .. die Frage brauchst du nicht zu beantworten |
|
23.02.2010, 00:18
| #4 |
| | BIOS/Firmware Virus/RK sehr hartnäckig und intelligent Achso hier habe ich noch eine Kopie von meiner HKEY Current User Registry Datei die ich mit GMER exportiert habe, einige Einträge sind rot markiert, was interessant sein könnte hier die komplette REG http://www.filedump.net/dumped/registry1266881135.zip Geändert von BiosViruZzZ (23.02.2010 um 00:29 Uhr) |
|
23.02.2010, 00:59
| #5 | |||||
| /// Winkelfunktion /// TB-Süch-Tiger™ | BIOS/Firmware Virus/RK sehr hartnäckig und intelligentZitat:
 Schonmal überlegt, dass diese von der Recovery-CD selbst kommen können? Auf vielen Recovery-Medien werkelt ein PE (=Preinstalled Environment) und wer BartPE kennt, der weiß auch, dass eigentlich immer ne RAM-Disk erstellt wird. Zitat:
Zitat:
Zitat:
Tipp mal ein mount in die shell von Linux ein und dann siehste welches /dev/xxx auf / eingehängt ist  Zitat:
 Studiere besser mal unserer Anleitung zur Neuinstallation von Windows.
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
23.02.2010, 02:11
| #6 | |
| | BIOS/Firmware Virus/RK sehr hartnäckig und intelligent Ähm ja vielleicht bin ich ja nur Paranoid  aber ich werde das Gefühl nicht los, dass meine Windows Umgebung vom "Plagegeist"  emuliert wirdZitat:
das mit Mount in der Linux Shell ist eine Idee, was ich noch später ausführen werde. thx für deine Anregungen ich werde bekloppt  |
|
23.02.2010, 12:56
| #7 |
| /// Winkelfunktion /// TB-Süch-Tiger™ |  BIOS/Firmware Virus/RK sehr hartnäckig und intelligent So ganz klar ist mir das aber noch nicht bei Dir und auf meine Fragen gest Du auch nicht so richtig ein 
__________________ Logfiles bitte immer in CODE-Tags posten |
|
26.02.2010, 17:53
| #8 |
| | BIOS/Firmware Virus/RK sehr hartnäckig und intelligent So, hat sich bestätigt der Root ist im BIOS hab HD rausgehängt und mit MEM.exe den Speicher lesen lassen, die ersten Sektoren von der HD werden mit Microsoft Hauseigenen Produkten Cypto... gelockt und so der MBR unlesbar gemacht, sodass ich die ersten 63 Sektoren weder mit dd... noch mit anderen Tools löschen kann. Ist echt wicked |
|
26.02.2010, 18:31
| #9 | |
| | BIOS/Firmware Virus/RK sehr hartnäckig und intelligentZitat:
ich habe erst das Bios versucht upzudaten nachdem ich die Symptome entdeckt habe und gesehen habe, dass sich der Root Flashing tools fürs BIOS bereit gestellt hatte. ich habe das System jetzt wieder mal neu aufgesetzt, der Root emuliert meine Windows Umgebung, ich habe es geschafft die LOG Datei abzusnappen die Windows bei der Installation erstellt hat, da kann man verfolgen, was alles der Root verändert. Code:
ATTFilter ...07/27/2006 00:55:05.765,d:\xpsprtm\base\ntsetup\syssetup\ctls.c,444,,SETUP: file to register is C:\WINDOWS\system32\rsaenh.dll...
07/27/2006 00:55:05.875,d:\xpsprtm\base\ntsetup\syssetup\ctls.c,467,,SETUP: C:\WINDOWS\system32\rsaenh.dll registered successfully
07/27/2006 00:55:05.937,d:\xpsprtm\base\ntsetup\syssetup\ctls.c,444,,SETUP: file to register is C:\WINDOWS\system32\dssenh.dll...
07/27/2006 00:55:06.000,d:\xpsprtm\base\ntsetup\syssetup\ctls.c,467,,SETUP: C:\WINDOWS\system32\dssenh.dll registered successfully
07/27/2006 00:55:06.046,d:\xpsprtm\base\ntsetup\syssetup\ctls.c,444,,SETUP: file to register is C:\WINDOWS\system32\initpki.dll...
07/27/2006 00:55:12.796,d:\xpsprtm\base\ntsetup\syssetup\ctls.c,467,,SETUP: C:\WINDOWS\system32\initpki.dll registered successfully
07/27/2006 00:55:18.312,d:\xpsprtm\base\ntsetup\syssetup\cmdline.c,228,,SETUP: SpSetupLoadParameter was unable to find nondriversigningpolicy.
07/27/2006 00:55:18.406,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\NT5INF.CA_ wurde nach C:\WINDOWS\system32\dllcache\NT5INF.CAT kopiert.
07/27/2006 00:55:18.593,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\NT5.CA_ wurde nach C:\WINDOWS\system32\dllcache\NT5.CAT kopiert.
07/27/2006 00:55:18.812,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\SP2.CAT wurde nach C:\WINDOWS\system32\dllcache\SP2.CAT kopiert.
07/27/2006 00:55:18.890,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\NTPRINT.CAT wurde nach C:\WINDOWS\system32\dllcache\NTPRINT.CAT kopiert.
07/27/2006 00:55:18.968,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\NT5IIS.CA_ wurde nach C:\WINDOWS\system32\dllcache\NT5IIS.CAT kopiert.
07/27/2006 00:55:19.015,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\MAPIMIG.CA_ wurde nach C:\WINDOWS\system32\dllcache\MAPIMIG.CAT kopiert.
07/27/2006 00:55:19.031,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\FP4.CA_ wurde nach C:\WINDOWS\system32\dllcache\FP4.CAT kopiert.
07/27/2006 00:55:19.046,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\IMS.CAT wurde nach C:\WINDOWS\system32\dllcache\IMS.CAT kopiert.
07/27/2006 00:55:19.062,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\MSMSGS.CA_ wurde nach C:\WINDOWS\system32\dllcache\MSMSGS.CAT kopiert.
07/27/2006 00:55:19.062,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\HPCRDP.CA_ wurde nach C:\WINDOWS\system32\dllcache\HPCRDP.CAT kopiert.
07/27/2006 00:55:19.078,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\MW770.CA_ wurde nach C:\WINDOWS\system32\dllcache\MW770.CAT kopiert.
07/27/2006 00:55:19.156,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\wmerrenu.ca_ wurde nach C:\WINDOWS\system32\dllcache\wmerrenu.cat kopiert.
07/27/2006 00:55:19.156,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\IASNT4.CA_ wurde nach C:\WINDOWS\system32\dllcache\IASNT4.CAT kopiert.
07/27/2006 00:55:19.171,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\MSTSWEB.CA_ wurde nach C:\WINDOWS\system32\dllcache\MSTSWEB.CAT kopiert.
07/27/2006 00:55:19.187,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\OEMBIOS.CA_ wurde nach C:\WINDOWS\system32\dllcache\OEMBIOS.CAT kopiert.
07/27/2006 00:55:19.203,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\msn7.ca_ wurde nach C:\WINDOWS\system32\dllcache\msn7.cat kopiert.
07/27/2006 00:55:19.218,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\msn9.ca_ wurde nach C:\WINDOWS\system32\dllcache\msn9.cat kopiert.
07/27/2006 00:55:19.234,d:\xpsprtm\base\ntsetup\syssetup\log.c,133,,C:\$WIN_NT$.~LS\I386\startoc.ca_ wurde nach C:\WINDOWS\system32\dllcache\startoc.cat kopiert.
07/27/2006 00:55:19.250,d:\xpsprtm\base\ntsetup\syssetup\cmdline.c,228,,SETUP: SpSetupLoadParameter was unable to find AccMagnifier.
07/27/2006 00:55:19.250,d:\xpsprtm\base\ntsetup\syssetup\cmdline.c,228,,SETUP: SpSetupLoadParameter was unable to find AccReader.
07/27/2006 00:55:19.250,d:\xpsprtm\base\ntsetup\syssetup\cmdline.c,228,,SETUP: SpSetupLoadParameter was unable to find AccKeyboard.
07/27/2006 00:55:19.265,d:\xpsprtm\base\ntsetup\syssetup\cmdline.c,228,,SETUP: SpSetupLoadParameter was unable to find optionaldirs.
07/27/2006 00:55:19.265,d:\xpsprtm\base\ntsetup\syssetup\cmdline.c,228,,SETUP: SpSetupLoadParameter was unable to find userexecute.
07/27/2006 00:55:19.265,d:\xpsprtm\base\ntsetup\syssetup\cmdline.c,228,,SETUP: SpSetupLoadParameter was unable to find skipmissingfiles.
07/27/2006 00:55:19.265,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,1955,END_SECTION,Processing parameters from sif
07/27/2006 00:55:19.265,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,1970,BEGIN_SECTION,Loading service pack (phase 1)
07/27/2006 00:55:19.375,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,1986,END_SECTION,Loading service pack (phase 1)
07/27/2006 00:55:19.375,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2004,BEGIN_SECTION,Cleaning up hard drive tags
07/27/2006 00:55:19.375,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2006,END_SECTION,Cleaning up hard drive tags
07/27/2006 00:55:19.375,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2017,BEGIN_SECTION,Initializing OEM preinstall
07/27/2006 00:55:19.390,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2019,END_SECTION,Initializing OEM preinstall
07/27/2006 00:55:19.390,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2250,BEGIN_SECTION,Invoking external app (unattended only)
07/27/2006 00:55:19.390,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2286,END_SECTION,Invoking external app (unattended only)
07/27/2006 00:55:19.390,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2316,BEGIN_SECTION,Initialize user profiles (preinstall)
07/27/2006 00:55:19.625,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2359,END_SECTION,Initialize user profiles (preinstall)
07/27/2006 00:55:19.625,d:\xpsprtm\base\ntsetup\syssetup\syssetup.c,2395,BEGIN_SECTION,Copying System Files...
sieht so aus als ob ich das System aufgeben aus :-( es sei denn ihr zeigt mir einen Ausweg Geändert von BiosViruZzZ (26.02.2010 um 18:37 Uhr) |
|
26.02.2010, 18:53
| #10 |
| | BIOS/Firmware Virus/RK sehr hartnäckig und intelligent In der Datei NTLDR konnte ich folgendes kopieren, zuvor habe ich es nicht geschafft den Inhalt aus dem Zwischenspeicher zu kopieren weil der Inhalt beim kopieren ungültig wurde. Code:
ATTFilter Zur Ausfhrung von Windows NT werden 512 KB konventioneller
Speicherplatz ben”tigt. Sie mssen evtl. Ihren Computer aufrsten
oder ein Konfigurationsprogramm des Herstellers ausfhren.
Windows NT hat nicht gengend Erweiterungsspeicher gefunden. Zur
Ausfhrung von Windows NT werden 7 MB Erweiterungsspeicher
ben”tigt. Sie mssen evtl. Ihren Computer aufrsten oder ein
Konfigurationsprogramm des Herstellers ausfhren.
Speichertabelle:
%lx - %lx
NTLDR ist besch„digt. Das System kann nicht gestartet werden. NTLDR ist besch„digt. Das System kann nicht gestartet werden. ax:%x dx:%x cx:%x bx:%x es:%x
TRAP %lx
DEBUG TRAP ================== DOUBLE FAULT ================================
===== STACK SEGMENT OVERRUN or NOT PRESENT FAULT ===============
============== GENERAL PROTECTION FAULT ========================
=================== PAGE FAULT =================================
** At linear address %lx
===================== EXCEPTION ================================
tr=%x cr0=%lx cr2=%lx cr3=%lx
gdt limit=%x base=%lx idt limit=%x base=%lx
cs:eip=%x:%lx ss:esp=%x:%lx errcode=%x
eax=%lx ebx=%lx ecx=%lx edx=%lx ds=%x es=%x
edi=%lx esi=%lx ebp=%lx cr0=%lx fs=%x gs=%x
flags=%lx Cy NoCy Zr NoZr IntEn IntDis Up Down TrapEn
TrapDis
Link %x
Esp0 %x
SS0 %x
Esp1 %lx
Cr3 %lx
Eip %lx
Eflg %lx
Eax %lx
Ebx %lx
Ecx %lx
Edx %lx
Esp %lx
Ebp %lx
Esi %lx
Edi %lx
ES %x
CS %x
SS %x
DS %x
FS %x
GS %x
Ldt %x
¸ ¸ MZ ÿÿ ¸ @ Ð º ´ Í!¸LÍ!This program cannot be run in DOS mode. $ ®¯žCêÎðêÎðêÎð)ÁÿÉÎð)Á¯“Îð)Á®ëÎð)Á¬ëÎð)ÁªëÎðRichêÎð PE L
N{A à
öôöF „€ ‹N;ÐÇhbin‰^wù r f÷Áÿt ÇF ‹O$ƒ‰ø j SVPWèaþÿÿ€=*G u öôöF t= @u ‹G$ƒˆø 3À…ÀŒ8ÿÿÿ‹FðØ;u ‚/ÿÿÿé!ÿÿÿ¸L Àéÿÿÿ N{A L P^ P< C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC ‚SPS SPQ ‚HLR HLQ ‚NCE ‚NCR NCQ ‚NAK OFF ‚UNR ‚ERR ‚RSP REQ ‚RSU RQU ‚RES AU2 AUT ‚CHL NEG NOLEGACY \ntdetect.com ntdetect.com \i386\ntdetect.com InitializeMemory failed %lx
multi(0)disk(0)rdisk(0)partition(1) multi(0)disk(0)rdisk(0)partition(%u)
Rebooting in 5 seconds...
Couldn't initialize I/O
Couldn't initialize memory
Couldn't allocate memory for TSS
Couldn't allocate memory for PCR
multi(0)disk(0)rdisk(0)partition(0) multi(0)disk(0)cdrom(%u) ramdisk(0) net(0) multi(0)disk(0)fdisk(0) C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC
*** Assertion failed %s in %s line %d
C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC S c s i A d a p t e r %04x C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC SPCR _UUID_ [m C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC LoaderMemoryData descriptor!
ERROR - FwAllocateHeapPermanent couldn't find the
Out of permanent heap!
Out of temporary heap!
GDT - %lx (%x) IDT - %lx (%x)
ERROR - GDT and IDT are not contiguous!
ERROR - MempSetupPaging(%lx, %lx) failed
MempSetDescriptorRegion failed %lx
C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC FACP C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC PXENV_GET_BINL_INFO(BINLREPLY) failed with %x
PXENV_GET_BINL_INFO(DHCPACK) failed with %x
n e t C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC net( C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC .rsrc V S _ V E R S I O N _ I N F O C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC ERROR - Unimplemented Firmware Vector called (FID %lx)
TRUE LastKnownGood multi(0)disk(0)rdisk(1)partition(0) multi(0)disk(0)rdisk(1)partition(%d) multi(0)disk(0)rdisk(1)partition(1) D: multi(0)disk(0)rdisk(0)partition(%d) C: multi(0)disk(0)fdisk(1)partition(0) B: multi(0)disk(0)fdisk(0)partition(0) A: %s(%d) BlFindDiskSignature found no match for %s
multi eisa multi(xxx)disk(xxx)rdisk(xxx) [0m [K [0K [J [0J [H[J [2J NTBOOTDD.SYS \NTBOOTDD.SYS C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC restart Restart the system immediately.
? Display this message.
Invalid Command, use '?' for help.
restart help ? \ !SAC>
C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC 5.1.2600.2180 C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC HalGetBusData: SlotDataSize > TotalDataSize
HalGetBusData: KeFindConfigurationEntry failed
C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC scsi(%d)cdrom(%d)fdisk(%d) scsi(%d)disk(%d)rdisk(%d) scsi(%d)disk(%d)fdisk(%d) scsi(%1d) BuildRequest: Write Command
BuildRequest: Read Command
StartUnit: Enter routine
InterpretSenseInfo: Request sense info not valid
InterpretSenseInfo: Media changed
InterpretSenseInfo: Bus reset
InterpretSenseInfo: Unit attention
InterpretSenseInfo: Media write protected
InterpretSenseInfo: Command aborted
InterpretSenseInfo: Unrecognized sense code
InterpretSenseInfo: Illegal command
InterpretSenseInfo: Illegal block address
InterpretSenseInfo: Invalid LUN
InterpretSenseInfo: Music area
InterpretSenseInfo: Data area
InterpretSenseInfo: Volume overflow
InterpretSenseInfo: Illegal SCSI request
InterpretSenseInfo: No specific sense key
InterpretSenseInfo: In process of becoming ready
InterpretSenseInfo: Manual intervention required
InterpretSenseInfo: Format in progress
InterpretSenseInfo: Initializing command required
InterpretSenseInfo: Lun not ready
InterpretSenseInfo: Waiting for device
InterpretSenseInfo: Device not ready
InterpretSenseInfo: Bad media
InterpretSenseInfo: Hardware error
InterpretSenseInfo: Additional sense code qualifier is %x
InterpretSenseInfo: Additional sense code is %x
InterpretSenseInfo: Sense key is %x
InterpretSenseInfo: Error code is %x
ScsiDiskFilterBad: Found Hitachi CDR-1750S.
HITACHI CDR-3650/1650S HITACHI CDR-1750S FilterBad: Enter routine
FindScsiDevices: Vendor string is %s
%s FindScsiDevices: Vendor string is %.24s
FindScsiDevices: Inquiry data at %lx
SCSI ReadDriveCapacity: Number of Sectors is %d
SCSI ReadDriveCapacity: Sector size is %d
SCSI ReadCapacity: Enter routine
partition disk cdrom fdisk rdisk scsi(0) )disk scsi signature C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC IoAllocateAdapterChannel: Out of map registers.
IoAllocateAdapterChannel: Called while adapter in use.
C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC c d f s C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC CDROM CD001 u d f s C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC +NSR n t f s C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC \bootstat.dat \hiberfil.sys NTFS f a s t f a t C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC e t f s C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC EL TORITO SPECIFICATION C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC \BOOTFONT.BIN BOOTFONT.BIN C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC multi(0)video(0)monitor(0) multi(0)key(0)keyboard(0) eisa(0)disk(0)fdisk(1) multi(0)disk(0)fdisk(1) eisa(0)disk(0)fdisk(0) eisa(0)disk(0)fdisk(1)partition(0) eisa(0)disk(0)fdisk(0)partition(0) C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC RamdiskOpen: no file table entry available
RamdiskOpen: exit success
RamdiskOpen: not ramdisk 0
RamdiskOpen: not a ramdisk path
ramdisk RamdiskMount called
RamdiskReadStatus called
RamdiskSetFileInfo called
RamdiskRename called
RamdiskGetDirectoryEntry called
RDIMAGELENGTH = 0x%0I64x bytes
RDIMAGEOFFSET = 0x%x bytes
RDCHUNKSIZE = 0x%0I64x bytes
RDFILESIZE = 0x%0I64x bytes
RDMTFTPTIMEOUT = %d
RDMTFTPDELAY = %d
RDMTFTPSPORT = %d
RDMTFTPCPORT = %d
RDMTFTPADDR = %u.%u.%u.%u
RDPATH = %s
RAMDISK options:
RDCHUNKSIZE RDFILESIZE RDMTFTPTIMEOUT RDMTFTPDELAY RDMTFTPSPORT RDMTFTPCPORT RDMTFTPADDR RDIMAGELENGTH RDIMAGEOFFSET RDPATH %08lx
Unable to read RAM disk image: status %d count %x (wanted %x)
Unable to seek RAM disk image: %d
Done reading ramdisk
BlGetFileInformation(%s) failed: %d
BlOpen(%s) failed: %d
RomMtftpReadFile failed %d
MTFTP Download complete. 0x%I64x bytes transferred using %d sessions
MTFTP Session %d: %s from %u.%u.%u.%u sport=%d cport=%d offset=0x%I64x
Allocated %d pages at page %x for RAM disk
BlAllocateAlignedDescriptor(%d pages) failed: %d
Downloading Ramdisk using MTFTP. File Size=0x%I64x Chunk Size=0x%I64x
status from TftpGetPut 0x%x
calling TftpGetPut(%s,0x%x)
ArcOpen(%s) failed: %d
no \ found in path
RamdiskReadImage(%s)
Ramdisk is active
RamdiskInitializeFromPath(%s)
RamdiskWrite entered
Mapped offset %x, va %p, availableLength %x
RamdiskRead: read beyond EOF
RamdiskRead: offset %x, length %x, buffer %p
term keyboard pointer print monitor modem other audio key point par video net serial worm tape dti tc sc sdc sic pdc pic fpu cpu arc C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC \Device\Harddisk %s%s(%d)%s(%d)%s(%d) \Device\Floppy \Device\CDRom %s%s(%d)%s(%d) C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC partition(0) C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC BD: %s base address %p
OS Loader .debug C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC [7m [%d;%dH C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC [%dm %s%wZ C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC PCI C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC EFI PART C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC 3gb 3GB C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC \boot.bmp C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC CentaurHauls GenuineTmx86 CyrixInstead AuthenticAMD GenuineIntel C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC DEBUGSTOP BD: Boot Debugger Initialized
COM DEBUG BAUDRATE DEBUGPORT NODEBUG C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC
Boot Debugger Using: COM%d (Baud Rate %d)
File too big C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC Bad opcode received Bad TFTP packet length Timeout on receive Unexpected port number Block number greater than expected Sorry, wasn't talking to you! Bad TFTP options tsize blksize octet œÞA ¤ÚA ¤ÚA ¤ÚA ¤ÚA ¤ÚA 3èA ¬ÚA ¬ÚA ¬ÚA ¬ÚA ¬ÚA ÚÞA ´ÚA ´ÚA ´ÚA ´ÚA ´ÚA (àA ¼ÚA ¼ÚA ¼ÚA ¼ÚA ¼ÚA âA ÄÚA ÄÚA ÄÚA ÄÚA ÄÚA ×âA ÄÚA ÄÚA ÄÚA ÄÚA ÄÚA %s: %s() failed 0x%lx
%s: OldBase : %p
%s: NewBase : %p
%s: Diff : 0x%I64x
%s: NextOffset : %p
%s: *NextOffset : 0x%x
%s: SizeOfBlock : 0x%lx
LdrRelocateImageWithBias –0 w,aîºQ ™Äm ôjp5¥c飕dž2ˆÛ¤¸Üy éÕàˆÙÒ—+L¶ ½|±~ -¸ç‘ ¿d· ò °jHq¹óÞA¾„}ÔÚëäÝmQµÔôÇ…ÓƒV˜lÀ¨kdzùbýìÉeŠO\Ùlcc=úõ
È n;^iLäA`Õrqg¢Ñä<GÔKý…
Òkµ
¥ú¨µ5l˜²BÖÉ»Û@ù¼¬ãlØ2u\ßEÏ
ÖÜY=Ñ«¬0Ù&: ÞQ€Q×Èaпµô´!#ijV™•ºÏ¥½¸ž¸(ˆ_²Ù Æ$é
±‡|o/LhX« aÁ=-f¶AÜvqÛ¼ Ò˜*Õ±q µ¶¥ä¿Ÿ3Ô¸è¢É x4ù Ž¨ –˜á»
j-=m—ld‘\cæôQkkbal Ø0e…N bòí•l{¥Áô‚WÄõÆÙ°ePé·ê¸¾‹|ˆ¹üß ÝbI-Úó|ÓŒeLÔûXa²MÎQµ:t ¼£â0»ÔA¥ßJוØ=mÄѤûôÖÓjéiCüÙn4Fˆg*и`Ús-Då 3_L
ªÉ|
Ý<qPªA'
¾† É%µhW³…o Ôf¹ŸäaÎùÞ^˜ÉÙ)"˜Ð°´¨×Ç=³Y
´.;\½·*lºÀ ƒ¸í¶³¿š ⶚ұt9GÕê¯wÒ&ÛƒÜs
cã„;d”>jm
¨Zjz
Ïäÿ “'®
±ž }D“ðÒ£‡hò þÂi]Wb÷Ëge€q6lçknvÔþà+Ó‰ZzÚÌJÝgoß¹ùùﾎC¾·ÕŽ°`è£ÖÖ~“Ñ¡ÄÂØ8RòßOñg»ÑgW¼¦Ýµ?K6²HÚ+
ØL
¯öJ6`zAÃï`ßUßg¨ïŽn1y¾iFŒ³a˃f¼*Òo%6âhR•w ÌG
»¹"/&U¾;ºÅ(
½²’Z´+j³\§ÿ×Â1Ïе‹žÙ, ®Þ[°Âd›&òc윣ju
“m© œ?6ë…g rW ‚J¿•z¸â®+±{8¶ ›ŽÒ’
¾Õå·ïÜ|!ßÛ
ÔÒÓ†BâÔñø³ÝhnƒÚ ;[&¹öáw°owG·æZˆpjÿÊ;f\
ÿžei®bøÓÿkaEÏlxâ
*îÒ
×TƒN³9a&g§÷`ÐMGiIÛwn>JjÑ®ÜZÖÙf
ß@ð;Ø7S®¼©Åž»ÞϲGéÿµ0 ò½½ŠÂºÊ0“³S¦£´$6к“×Í)WÞT¿gÙ#.zf³¸JaÄh]”+o*7¾
´¡Ž ÃßZï- ‚ B " @ € EEE50 P (8PX 700WP `h```` ppxxxx ( n u l l ) (null) ( ( ( ( ( H „ „ „ „ „ „ „ „ „ „ ‚ ‚ ‚ ‚ ‚ ‚ h ( ( ( ( H „ „ „ „ „ „ „ „ „ „ ‚‚‚‚‚‚ H EROFS ENXIO ENOTTY ENOTDIR ENOSPC ENOMEM ENOEXEC ENOENT ENODEV ENAMETOOLONG EMLINK EMFILE EISDIR EIO EINVAL EFAULT EBUSY EBADF EAGAIN EACCES E2BIG operation was success C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC \pagefile.sys consolein consoleout partition( %spartition(0) signature( \AppPatch\ d r v m a i n . s d b \inf\ \SYSTEM\ \FONTS\ \system32\ SYSTEM \SYSTEM32\CONFIG\SYSTEM.SAV system.sav \SYSTEM32\CONFIG\SYSTEM system.alt system \system32\config\
x86systempartition s a c d r v . s y s s a c d r v S A C hal.dll ntoskrnl.exe kdcom.dll systempartition system32\ \SystemRoot LastGood\ LastGood.Tmp\ SDIBOOT= osloadpartition LASTKNOWNGOOD osloadfilename osloader xipmegs= XIPMEGS= xipram= XIPRAM= xiprom= XIPROM= xipboot XIPBOOT .DLL debugport= DEBUGPORT= KERNEL= HAL= execute EXECUTE noexecute NOEXECUTE noexecute=alwaysoff NOEXECUTE=ALWAYSOFF nopae NOPAE pae PAE BOOTLOGO sos SOS SAFEBOOT osloadoptions C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC load x86systempartition= osloadoptions= osloadfilename= osloadpartition= systempartition= \System32\NTLDR osloader= \boot.ini boot.ini /fastdetect scsi( consoleout=multi(0)video(0)monitor(0) consolein=multi(0)key(0)keyboard(0) Couldn't open drive %s
SRAT ntkrnlpa.exe C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC D e f a u l t L a s t K n o w n G o o d %wZ \ S y s t e m R o o t \ R e s t a r t S e t u p S e t u p A u t o R e b o o t C r a s h C o n t r o l C o n t r o l V e r i f y M o d e M e m o r y M a n a g e m e n t S e s s i o n M a n a g e r W i n N T Bad ProductType value Missing ProductType value P r o d u c t T y p e Missing ProductOptions key P r o d u c t O p t i o n s Missing Control key CmpResolveDriverDependencies Missing or invalid Control\ServiceGroupOrder\List registry value CmpFindDriver CmpFindNLSData CmpFindControlSet \ R e g i s t r y \ M a c h i n e \ S y s t e m \ C u r r e n t C o n t r o l S e t \ S e r v i c e s \ S y s t e m 3 2 \ D r i v e r s \ system.log C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC %s %s %s LastBootStatus=%d C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC xpress SAFEBOOT:DSREPAIR SOS BASEVIDEO BOOTLOG SAFEBOOT:MINIMAL(ALTERNATESHELL) SOS BOOTLOG NOGUIBOOT SAFEBOOT:NETWORK SOS BOOTLOG NOGUIBOOT SAFEBOOT:MINIMAL SOS BOOTLOG NOGUIBOOT C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC %d
%s C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC C:\ CRASHDEBUG /WIN95 /WIN95DOS /MAXMEM /REDIRECT /SCSIORDINAL: undo ROLLBACK cmdcons NTFS \bootsect.dos [%sm 1;34 %s.%s %s.w40 %s.dos config autoexec bat io winboot.sys msdos sys command com default usebiossettings redirect 19200 57600 115200 redirectbaudrate timeout DefSwitches [operating systems] [multiboot] [flexboot] [boot loader] C:\windows\ C:\winnt C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC BlAllocateDescriptor failed!
Couldn't allocate PCR descriptor in NtProcessStartup,BlSetupForNt is failing
Couldn't allocate valid TSS descriptor in NtProcessStartup, BlSetupForNt is failing
C üC ôC ìC äC ÜC ÔC ÌC ÄC ¼C ´C ¬C ¤C œC ”C ŒC „C |C tC lC NoMem ?ÿ ÿþüøðàÀ€ ? ÿ ÿ ÿ ÿ ÿ ÿ ÿ? ÿ ÿÿ ÿÿ ÿÿ ÿÿ ÿÿ ÿÿ ÿÿ? ÿÿ ÿÿÿ ÿÿÿÿÿÿÿÿÿ ÿÿÿÿÿÿ ÿÿÿ?ÿÿÿÿÿÿÿ 0123456789ABCDEF0 1 2 3 4 5 6 7 8 9 A B C D E F N{A žY / / ÈW „X @Y ü ´
1& Ê ë ƒ% Â ³ v @ !$ ï + Þ, ´% ð ó Í$ K a V ; Q F } “ ˆ \ r g ç
F l ‚ w s2 © ž Ê à Õ ~2 ¿ ´ «Y µY ÄY ÜY Z (Z 9Z PZ cZ yZ Z «Z ºZ ×Z ñZ [ [ +[ >[ S[ k[ ‡[ £[ À[ Ö[ ì[ \ #\ C\ d\ ~\ ˜\ ³\ Î\ å\ û\ ] 5] S] j] ] ™] º] Û] ý] ^ 3^
! " # $ % & ' ( ) * + , - . osloader.EXE RtlAssert ScsiDebugPrint ScsiPortCompleteRequest ScsiPortConvertPhysicalAddressToUlong ScsiPortConvertUlongToPhysicalAddress ScsiPortFlushDma ScsiPortFreeDeviceBase ScsiPortGetBusData ScsiPortGetDeviceBase ScsiPortGetLogicalUnit ScsiPortGetPhysicalAddress ScsiPortGetSrb ScsiPortGetUncachedExtension ScsiPortGetVirtualAddress ScsiPortInitialize ScsiPortIoMapTransfer ScsiPortLogError ScsiPortMoveMemory ScsiPortNotification ScsiPortQuerySystemTime ScsiPortReadPortBufferUchar ScsiPortReadPortBufferUlong ScsiPortReadPortBufferUshort ScsiPortReadPortUchar ScsiPortReadPortUlong ScsiPortReadPortUshort ScsiPortReadRegisterBufferUchar ScsiPortReadRegisterBufferUlong ScsiPortReadRegisterBufferUshort ScsiPortReadRegisterUchar ScsiPortReadRegisterUlong ScsiPortReadRegisterUshort ScsiPortSetBusDataByOffset ScsiPortStallExecution ScsiPortValidateRange ScsiPortWritePortBufferUchar ScsiPortWritePortBufferUlong ScsiPortWritePortBufferUshort ScsiPortWritePortUchar ScsiPortWritePortUlong ScsiPortWritePortUshort ScsiPortWriteRegisterBufferUchar ScsiPortWriteRegisterBufferUlong ScsiPortWriteRegisterBufferUshort ScsiPortWriteRegisterUchar ScsiPortWriteRegisterUlong ScsiPortWriteRegisterUshort RSDSwXŠ¥aŽJˆÖgtFÕ±ü osloader.pdb se\boot\bldr\ger\obj\i386\osloader.pdb ÜC < % @ƒF Ç ü é â ä à å ‡ ê ë è ï î ì Ä Å É æ Æ ô ö ò û ù ÿ Ö Ü ¢ £ ¥ § ’á í ó ú ñ Ñ ª º ¿ #¬ ½ ¼ ¡ « » ‘%’%“%%$%a%b%V%U%c%Q%W%]%\%[%%%4%,% % %<%^%_%Z%T%i%f%`%P%l%g%h%d%e%Y%X%R%S%k%j%% %ˆ%„%Œ%%€%±ß “À£Ãµ Ħ˜©´ "Ƶ)"a"± e"d" #!#÷ H"° "· " ² *%* ×±@ ˆ@ à¤@ “@ Lj@ ̈@ û•@ lˆ@ À$C ,%C %C &C x&C €
ɻȼºÍ
þ A /c@ š0A ! A /c@ ˜ A è A ˜/A /c@ /c@ /c@ /c@ Ó A /c@ &A V/A /c@ ˜ A µ(A ï/A /c@ /c@ /c@ /c@ Ó A /c@ &A w/A /c@ ˜ A /c@ ï/A /c@ /c@ /c@ /c@ ×±@ 4A \3A •EA ³4A ˜ A ¢DA H4A Ö4A ù4A 5A t0C p0C l0C h0C d0C `0C \0C X0C ÐC T0C *#C P0C ÈC p#C H0C x#C @0C 80C 40C ,0C (0C 0C 0C 0C 0C ˆ#C €#C H0C 0C ü/C ô/C ì/C à/C Ø/C 0C ÐC *#C ÈC 40C <*C p#C x#C ˆ#C €#C x#C ù, ú, P Û P ,„A l„A …A „„A ÄA ¼…A :…A {…A ó…A P†A *†A h†A Š†A ‡A φA ó†A
ÿ? €Ààðøüþÿ€@ Ú! À
Ú À (
ð@» <>C ,>C J>C R@C . «
B «
B «
B «
B «
B «
B u˜ s˜ OS Loader V5.10
O S L o a d e r V 5 . 1 0
osloader.exe ntoskrnl.exe hal.dll KDCOM.DLL CC øBC ðBC èBC àBC ØBC ÐBC ÈBC ÄBC ¼BC ´BC ¬BC œBC ”BC ŒBC „BC |BC tBC lBC dBC \BC TBC d P debug \hiberfil.sys 0123456789abcdef ú* äLC ÿÿÿÿ û* ¼LC ÿÿÿÿ ý* „LC ÿÿÿÿ ÿÿÿÿ + |LC ÿÿÿÿ + pLC ÿÿÿÿ + ÿÿÿÿ hB ÿ* XLC ÿÿÿÿ + <6C ÿÿÿÿ + ÿÿÿÿ hB ÿÿÿÿ + ÿÿÿÿ
+ ÿÿÿÿ
+ ÿÿÿÿ &FB ÿÿÿÿunsupporteddebug
ÿÿÿÿ ÿÿ @ ÀöF —˜ pG \G HG \G 4G \G (G \G $G G G \G ÿÿÿÿÿÿÿÿÿ S A M U S E R \ . D E F A U L T D E F A U L T S O F T W A R E S E C U R I T Y M A C H I N E \ H A R D W A R E Ø0G ¨ G x G \ G @ G G G à G È G ´ G ˆC œ G p G P G 0 G G ð G Ì G ¨ G „ G \ G 8 G G ð G Ð G ° G „ G d G D G G üG ØG °G ˆG hG HG $G G àG °G €G L0G lG HG G ÀG `G G ÀG xG @G èG ˆG G °G G ¨G 0G €G G ˆG hG 8G (G ˜G tG DG G ¨G \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ C O N T R O L \ B I O S I N F O S y m b o l i c L i n k V a l u e C o n t r o l \ S e s s i o n M a n a g e r P r o c e s s o r C o n t r o l \ R E G I S T R Y \ M A C H I N E \ S O F T W A R E \ M I C R O S O F T \ W I N D O W S N T \ C U R R E N T V E R S I O N \ P E R F L I B S Y S T E M \ R E G I S T R Y \ M A C H I N E \ C L O N E \ R E G I S T R Y \ U S E R \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ S E R V I C E S \ E V E N T L O G \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ C O N T R O L \ B O O T L O G \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ C O N T R O L \ S E S S I O N M A N A G E R \ M E M O R Y M A N A G E M E N T \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ C O N T R O L \ S A F E B O O T \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ C O N T R O L \ C L A S S \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ H A R D W A R E P R O F I L E S \ C U R R E N T \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ S E R V I C E S \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ E N U M \ R O O T \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ E N U M \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ C U R R E N T C O N T R O L S E T \ R E G I S T R Y \ M A C H I N E \ S Y S T E M \ R E G I S T R Y \ M A C H I N E \ H A R D W A R E \ O W N E R M A P \ R E G I S T R Y \ M A C H I N E \ H A R D W A R E \ R E S O U R C E M A P \ R E G I S T R Y \ M A C H I N E \ H A R D W A R E \ D E V I C E M A P \ R E G I S T R Y \ M A C H I N E \ H A R D W A R E \ D E S C R I P T I O N \ S Y S T E M \ R E G I S T R Y \ M A C H I N E \ H A R D W A R E \ D E S C R I P T I O N \ R E G I S T R Y \ M A C H I N E \ H A R D W A R E \ R E G I S T R Y \ M A C H I N E \ R E G I S T R Y R e a l M o d e P C I E n u m e r a t i o n R e a l M o d e I r q R o u t i n g T a b l e D o c k i n g I n f o r m a t i o n S y s t e m M e m o r y N e t w o r k P e r i p h e r a l L i n e P e r i p h e r a l O t h e r P e r i p h e r a l T e r m i n a l P e r i p h e r a l K e y b o a r d P e r i p h e r a l P o i n t e r P e r i p h e r a l P r i n t e r P e r i p h e r a l M o n i t o r P e r i p h e r a l M o d e m P e r i p h e r a l T a p e P e r i p h e r a l F l o p p y D i s k P e r i p h e r a l D i s k P e r i p h e r a l O t h e r C o n t r o l l e r A u d i o C o n t r o l l e r K e y b o a r d C o n t r o l l e r P o i n t e r C o n t r o l l e r P a r a l l e l C o n t r o l l e r D i s p l a y C o n t r o l l e r N e t w o r k C o n t r o l l e r S e r i a l C o n t r o l l e r W o r m C o n t r o l l e r C d R o m C o n t r o l l e r T a p e C o n t r o l l e r D i s k C o n t r o l l e r M u l t i f u n c t i o n A d a p t e r D t i A d a p t e r T c A d a p t e r E i s a A d a p t e r S e c o n d a r y C a c h e S e c o n d a r y D C a c h e S e c o n d a r y I C a c h e P r i m a r y D C a c h e P r i m a r y I C a c h e F l o a t i n g P o i n t P r o c e s s o r C e n t r a l P r o c e s s o r (0G $0G h3C 0G 0G 0G 0G
0G
@ MPSA MPIPI CBUS PCMCIA VME MCA ISA Ø0G Ä0G ¸0G ¨0G 0G x0G `0G L0G U n d e f i n e d M e m o r y C l a s s P e r i p h e r a l C o n t r o l l e r A d a p t e r C a c h e P r o c e s s o r S y s t e m
€ 8 € P € h € € (D Ô# *@ ˆ ˆ4 V S _ V E R S I O N _ I N F O ½ïþ „(
„(
? è S t r i n g F i l e I n f o Ä 0 4 0 9 0 4 B 0 L C o m p a n y N a m e M i c r o s o f t C o r p o r a t i o n @ F i l e D e s c r i p t i o n B o o t L o a d e r r ) F i l e V e r s i o n 5 . 1 . 2 6 0 0 . 2 1 8 0 ( x p s p _ s p 2 _ r t m . 0 4 0 8 0 3 - 2 1 5 8 ) :
I n t e r n a l N a m e o s l o a d e r . e x e € . L e g a l C o p y r i g h t © M i c r o s o f t C o r p o r a t i o n . A l l r i g h t s r e s e r v e d . B
O r i g i n a l F i l e n a m e o s l o a d e r . e x e j % P r o d u c t N a m e M i c r o s o f t ® W i n d o w s ® O p e r a t i n g S y s t e m @ P r o d u c t V e r s i o n 5 . 1 . 2 6 0 0 . 2 1 8 0 D V a r F i l e I n f o $ T r a n s l a t i o n °
(# @# | B# H# ˆ J# m# ì ' "' ù* + + + Ì ù, ú, # ˜: ˜: # ›: ›: t# ¢: ¢: ¬# BL_MSG_FIRST
p Windows konnte wegen eines Softwarefehlers nicht gestartet werden.
Bitte melden Sie dieses Problem als:
h Windows konnte nicht gestartet werden, da folgende ben”tigte
Datei nicht gefunden werden konnte:
d Windows konnte nicht gestartet werden, da eine fehlerhafte
Kopie der folgenden Datei vorlag:
\ Windows konnte nicht gestartet werden, da folgende Datei
fehlt oder besch„digt ist:
` Windows konnte nicht gestartet werden, da ein Speicher-
konfigurationsproblem vorlag.
` Windows konnte nicht gestartet werden, da ein Festplatten-
konfigurationsproblem vorlag.
p Windows konnte nicht gestartet werden, da ein allgemeines
Computerhardware-Konfigurationsproblem vorlag.
` Windows konnte nicht gestartet werden, da folgendes ARC-
Konfigurationsproblem vorlag:
D šberprfen Sie die Speicherkonfiguration und verfgbares RAM.
( Zu viele Konfigurationseintr„ge.
H Es konnte nicht auf die Partitionstabellen zugegriffen werden.
D Der Wert fr den Parameter 'osloadpartition' ist ungltig.
| Vom ausgew„hlten Startdatentr„ger konnte nicht gelesen werden.
šberprfen Sie Startpfad und Datentr„gerhardware.
D Der Wert fr den Parameter 'systempartition' ist ungltig.
| Vom ausgew„hlten Systemstartdatentr„ger konnte nicht gelesen werden.
šberprfen Sie den Pfad von 'systempartition'.
P Der Parameter 'osloadfilename' verweist nicht auf eine zul„ssige Datei.
, <Windows root>\system32\ntoskrnl.exe.
H Der Parameter 'osloader' verweist nicht auf eine zul„ssige Datei.
( <Windows root>\system32\hal.dll.
'osloader'\hal.dll
Ladeprogrammfehler 1.
Ladeprogrammfehler 2.
0 Ladeprogramm ben”tigt DLLs fr Kernel.
, Ladeprogramm ben”tigt DLLs fr HAL.
$ Systemtreiber werden gesucht.
$ Systemtreiber werden gelesen.
< Systemstartger„tetreiber konnte nicht geladen werden.
8 Systemhardware-Konfigurationsdatei wird geladen.
4 Ger„tename der Systempartition wird gesucht.
, Name der Startpartition wird gesucht.
H ARC-Name fr HAL und Systempfade wurden nicht richtig generiert.
Ladeprogrammfehler 3.
, <Windows root>\system32\ntoskrnl.exe
\ Bitte wenden Sie sich an Ihren Supportansprechpartner,
um dieses Problem zu melden.
Ü Sie k”nnen versuchen, diese Datei zu reparieren, indem Sie
Windows Setup unter Verwendung der Original-CD starten.
W„hlen Sie in der ersten Bildschirmanzeige die Option 'R',
um die Setupreparatur zu starten.
L Installieren Sie ein Exemplar der oben angegebenen Datei
erneut.
¼ Informieren Sie sich in der Windows-Dokumentation ber die
Hardwarespeicherplatzanforderungen, und ziehen Sie die
Hardwarereferenzhandbcher fr zus„tzliche Informationen zu Rate.
¼ Informieren Sie sich in der Windows-Dokumentation ber die
Hardwarefestplattenkonfiguration, und ziehen Sie die
Hardwarereferenzhandbcher fr zus„tzliche Informationen zu Rate.
´ Informieren Sie sich in der Windows-Dokumentation ber die
Hardwarekonfiguration, und ziehen Sie die Hardwarereferenz-
handbcher fr zus„tzliche Informationen zu Rate.
˜ Weitere Informationen ber ARC-Konfigurationsoptionen finden Sie
in der Windows-Dokumentation und in den Referenzhandbchern
dieses Computers.
Ì Hardwareprofil und Wiederherstellung der Konfiguration
In diesem Men k”nnen Sie ein Hardwareprofil ausw„hlen, das beim
Start von Windows verwendet werden soll.
Dieses Men erm”glicht Ihnen auáerdem, zu einer frheren System-
konfiguration zu wechseln, um eventuelle Systemstartprobleme zu
beheben.
WICHTIG: Alle Žnderungen der Systemkonfiguration, die seit dem letzten
erfolgreichen Starten gemacht worden sind, gehen verloren.
| Verwenden Sie Pfeil nach oben bzw. unten, um einen Eintrag zu markieren.
Drcken Sie anschlieáend die EINGABETASTE.
ˆ Es sind keine Hardwareprofile definiert. Sie k”nnen Hardwareprofile mit
der Anwendung 'System' in der Systemsteuerung erstellen.
À Drcken Sie die L-TASTE, um die letzte als funktionierend bekannte
Konfiguration zu verwenden. Drcken Sie die F3-TASTE, um dieses Men
zu verlassen und den Computer neu zu starten.
° Drcken Sie die S-TASTE, um die Standardhardwarekonfiguration zu
verwenden. Drcken Sie die F3-TASTE, um dieses Men zu verlassen und
den Computer neu zu starten.
L
S
L Sekunden, bis die markierte Auswahl automatisch gestartet wird: %d
”
Drcken Sie JETZT die LEERTASTE, um das Men fr das Hardwareprofil
und die letzte als funktionierend bekannte Konfiguration aufzurufen.
0 Standardhardwarekonfiguration verwenden
| Das System wird in den vorherigen Zustand gestartet.
Drcken Sie die LEERTASTE, um diesen Vorgang zu unterbrechen.
L Das System konnte nicht in den vorherigen Zustand gestartet werden,
< weil nicht gengend Arbeitsspeicher vorhanden ist.
8 weil die Wiederherstellungsdaten besch„digt sind.
` weil die Wiederherstellungsdaten nicht mit der aktuellen Konfiguration
kompatibel sind.
0 weil ein interner Fehler aufgetreten ist.
0 weil ein interner Fehler aufgetreten ist.
, weil ein Lesefehler aufgetreten ist.
, Der Systemneustart wurde angehalten:
D Wiederherstellungsdaten l”schen und zum Startmen wechseln.
$ Systemneustart fortsetzen.
t Der letzte Versuch, das System in den vorherigen Zustand zu starten,
ist fehlgeschlagen. Erneut versuchen?
D Mit Debug-Breakpoint bei Systemwiederherstellung fortsetzen.
Windows kann nicht gestartet werden, weil der angegebene Kernel
entweder nicht vorhanden, oder nicht zu diesem Prozessor kompatibel ist.
Windows wird gestartet...
$ Windows wird fortgesetzt...
ø Windows kann aufgrund eines Fehlers beim Lesen der Starteinstellungen
von NVRAM nicht gestartet werden.
šberprfen Sie die Firmwareeinstellungen. M”glicherweise mssen Sie
die NVRAM-Einstellungen von einer Sicherung wiederherstellen.
[Debugger aktiviert]
$ Windows (Standardeinstellung)
4 NTLDR: Datei BOOT.INI ist nicht vorhanden.
H NTLDR: Abschnitt [operating systems] fehlt in der Datei BOOT.TXT.
, Starten des Standardkernels von %s.
4 W„hlen Sie das zu startende Betriebssystem:
€
Verwenden Sie Pfeil nach oben bzw. unten, um einen Eintrag zu markieren.
Drcken Sie anschlieáend die EINGABETASTE.
H Sekunden, bis die markierte Auswahl automatisch gestartet wird:
4 Fehlerhafte Datei BOOT.INI.
Starten von %s.
D E/A-Fehler beim Zugriff auf Startsektordatei %s\BOOTSECT.DOS.
< NTLDR: Auf Laufwerk %s kann nicht zugegriffen werden.
H NTLDR: Schwerwiegender Fehler %d beim Lesen der Datei BOOT.INI.
4
NTDETECT V5.0 berprft die Hardware...
$ NTDETECT ist fehlgeschlagen.
H Aktuelle Auswahl:
Titel...: %s
Pfad....: %s
Optionen: %s
, Geben Sie die neuen Ladeoptionen an:
[EMS-aktiviert]
Ungltige BOOT.INI-Datei
D Erweiterte Windows-Startoptionen
W„hlen Sie eine Option aus:
Abgesicherter Modus
0 Abgesicherter Modus mit Netzwerktreibern
( Schritt fr Schritt best„tigen
4 Abgesicherter Modus mit Eingabeaufforderung
VGA-Modus
H Verzeichnisdienstwiederherstellung (Windows-Dom„nencontroller)
8 Letzte als funktionierend bekannte Konfiguration
Debugmodus
< Automatischen Neustart bei Systemfehler deaktivieren
( Startprotokollierung aktivieren
P Problembehebung und erweiterte Windows-Startoptionen: F8-TASTE drcken
VGA-Modus aktivieren
L
Normaler Systemstart ohne abgesicherten Modus: ESC-TASTE drcken
Windows normal starten
4 Zum Betriebssystemauswahlmen zurckkehren
Neustarten
¨ Windows konnte leider nicht erfolgreich gestartet werden. Dies kann durch eine
vor kurzem erfolgte Hardware- oder Software„nderung verursacht worden sein.
W„hlen Sie "Letzte als funktionierend bekannte Konfiguration", um die letzten
funktionierenden Einstellungen wiederherzustellen, wenn der Computer nicht mehr
reagierte, unerwartet neu startete oder automatisch heruntergefahren wurde, um
Dateien und Ordner zu schtzen.
W„hlen Sie "Windows normal starten", wenn ein vorheriger Startversuch durch einen
Stromausfall unterbrochen wurde oder weil die Einschalt- oder Resettaste gedrckt
wurde, oder wenn Sie sich nicht sicher sind, was das Problem verursachte.
( Windows konnte nicht erfolgreich heruntergefahren werden. Falls die Ursache
ist, dass das System nicht reagiert oder zum Schutz von Daten heruntergefahren
wurde, k”nnen Sie das System m”glicherweise wiederherstellen, indem Sie
'Abgesicherter Modus' im unten angezeigten Men ausw„hlen:
, Sekunden bis Windows gestartet wird:
Û
³
T Windows konnte aufgrund eines RAMDISK-Startfehlers nicht gestartet werden.
8 Das RAMDISK-Abbild konnte nicht ge”ffnet werden.
( RAMDISK-Abbild wird geladen...
|
|
28.02.2010, 17:27
| #11 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | BIOS/Firmware Virus/RK sehr hartnäckig und intelligentZitat:
Mit etwas Glück kannst Du das originale BIOS zurückflashen. Da mir aber die Erfahrung mit einem zermurksten BIOS fehlt, kann ich das nur vermuten
__________________ Logfiles bitte immer in CODE-Tags posten |
|
20.03.2010, 00:21
| #12 |
| | BIOS/Firmware Virus/RK sehr hartnäckig und intelligent [QUOTE=cosinus;505599]Was ist denn jetzt an der RAM-Disk so schlimm? Ich will so nicht ganz glauben, dass ein Schädling im BIOS ständig RAM-Disks erstellt, wenn ein Windows aktiv ist Schonmal überlegt, dass diese von der Recovery-CD selbst kommen können? Auf vielen Recovery-Medien werkelt ein PE (=Preinstalled Environment) und wer BartPE kennt, der weiß auch, dass eigentlich immer ne RAM-Disk erstellt wird. QUOTE] Du hattest Recht, inzwischen kenne ich auch BartPE und dieser wurde so modifiziert, sodass Botclients über meinen Rechner verbinden konnten, die Treiber von meinen UMTS MODEM haben sie auch so gemoddet, sodass das MODEM sich ins Netz einwählt ohne, dass ich mich manuell verbinden muss, die DOS Umgebung mit den richtigen Treibern reicht denen aus, clever! |
|
| Themen zu BIOS/Firmware Virus/RK sehr hartnäckig und intelligent |
| antivirus, betriebssystem, booten, c:\windows, code, csrss.exe, dateien, error, festplatte, hardware, hartnäckig, installation, laufwerk, laufwerk c, meldung, neu, notebook, ordner, prozesse, refresh, shell, software, system32, update, usb, usb geräte, version, win |
Linear-Darstellung
