BUG #: 41219 (Konserwacja zawartości)
Objawy
Na komputerze z systemem Microsoft Windows Server 2003, Microsoft Windows XP lub Microsoft Windows 2000 może wystąpić jeden lub więcej z następujących symptomów:
Komputer zostanie automatycznie uruchomiony ponownie.
Po zalogowaniu się pojawia się następujący komunikat o błędzie:
Uwaga
Microsoft Windows
System odzyskał sprawność po poważnym błędzie.
Utworzono dziennik tego błędu.
Poinformuj firmę Microsoft o tym problemie.
Utworzyliśmy raport o błędach, który możesz wysłać, aby pomóc nam w ulepszaniu systemu Microsoft Windows. Będziemy traktować ten raport jako poufny i anonimowy.
Aby zobaczyć, jakie dane zawiera ten raport o błędach, kliknij tutaj.Aby wyświetlić zawartość raportu o błędach, kliknij tutaj. Po kliknięciu linku Kliknij tutaj u dołu okna komunikatu zostaną wyświetlone informacje podpisu błędu podobne do jednego z poniższych przykładowych danych.
Próbka danych 1BCCode : 00000050 BCP1 : f8655000 BCP2 : 00000001 BCP3 : fc7cc465
BCP4 : 00000000 OSVer : 5_1_2600 SP : 0_0 Produkt : 256_1 Próbka danych 2BCCode : 0000008e BCP1 : c0000005 BCP2 : 00000120 BCP3 : fd28eaa4
BCP4 : 00000000 System operacyjny: 5_1_2600 SP : 0_0 Produkt : 256_1Jest wyświetlany jeden z następujących komunikatów o błędach "Stop".
Wiadomość 1
Uwaga
Został wykryty problem. System Windows został zamknięty, aby zapobiec uszkodzeniu komputera...
Dane techniczne:STOP: 0x00000050 (0xf8655000, 0x00000001, 0xfc7cc465, 0x00000000)
PAGE_FAULT_IN_NONPAGED_AREA (50)
Wiadomość 2
Uwaga
Został wykryty problem. System Windows został zamknięty, aby zapobiec uszkodzeniu komputera...
Dane techniczne:STOP: 0x0000008e (0xc0000005, 0x00000120, 0xfd28eaa4, 0x00000000)
KERNEL_MODE_EXCEPTION_NOT_HANDLED_M (1000008e)
W dzienniku zdarzeń systemowych są rejestrowane komunikaty o błędach podobne do poniższych:
Uwaga
Data:
DATA
Źródło: System
Czas błędu:
Czas
Kategoria: (102)
Typ: Błąd
Identyfikator zdarzenia: 1003
Użytkownik: B/A
Komputer:
KOMPUTER
Opis: Kod błędu 00000050, parametr 1 f8655000, parametr 2 00000001, parametr 3 fc7cc465, parametr 4 00000000. Aby uzyskać więcej informacji, zobacz Centrum pomocy i obsługi technicznej w witrynie http://support.microsoft.com. Dane: 0000: 53 79 73 74 65 6d 20 45 System E 0008: 72 72 6f 72 20 20 45 72 rror Er 0010: 72 6f 72 20 63 6f 64 65 kod 0018: 20 30 30 30 30 30 30 30 35 0000050 0020: 30 20 20 50 61 72 61 6d 0 parametr 0028: 65 74 65 72 73 20 66 66 Eters FF 0030: 66 66 66 66 64 31 2CUwaga
Data:
DATA
Źródło: System
Czas błędu:
Czas
Kategoria: (102)
Typ: Błąd
Identyfikator zdarzenia: 1003
Użytkownik: B/A
Komputer:
KOMPUTER
Opis: Kod błędu 0000008e, parametr1 c0000005, parametr2 00000120, parametr3 fd28eaa4, parametr4 00000000. Aby uzyskać więcej informacji, zobacz Centrum pomocy i obsługi technicznej w witrynie http://support.microsoft.com. Dane: 0000: 53 79 73 74 65 6d 20 45 System E 0008: 72 72 6f 72 20 20 45 72 rror Er 0010: 72 6f 72 20 63 6f 64 65 kod 0018: 20 30 30 30 30 30 30 30 35 000008e 0020: 30 20 20 50 61 72 61 6d 0 parametr 0028: 65 74 65 72 73 20 66 66 Eters FF 0030: 66 66 66 66 64 31 2C
Notatki
Symptomy błędu zatrzymania różnią się w zależności od opcji awarii systemu komputera.
Aby uzyskać więcej informacji dotyczących konfigurowania opcji awarii systemu, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Baza wiedzy Microsoft Knowledge Base:
307973 Jak skonfigurować opcje awarii i odzyskiwania systemu w systemie Windows
Cztery parametry podane w nawiasach komunikatu o błędzie zatrzymania różnią się w zależności od konfiguracji komputera.
Przyczyna
Ten problem może wystąpić, jeśli komputer jest zainfekowany wariantem wirusa HaxDoor.
Wirus HaxDoor tworzy ukryty proces. Dodatkowo wirus ukrywa pliki i klucze rejestru. Nazwa pliku wykonywalnego wirusa HaxDoor może się różnić, ale nazwa pliku jest często Mszx23.exe. Wiele wariantów tego wirusa umieszcza na komputerze sterownik o nazwie Vdmt16.sys lub Vdnt32.sys. Ten sterownik jest używany do ukrywania procesu wirusa. Warianty wirusa HaxDoor mogą przywrócić te pliki, jeśli je usuniesz.
Rozwiązanie
Ważne W tej sekcji, metodzie lub zadaniu podano informacje dotyczące modyfikowania rejestru. Niepoprawne zmodyfikowanie rejestru może jednak być przyczyną poważnych problemów. Dlatego należy uważnie wykonywać podane czynności. Aby zapewnić dodatkową ochronę, przed zmodyfikowaniem rejestru należy wykonać jego kopię zapasową. Dzięki temu będzie można przywrócić rejestr w przypadku wystąpienia problemu. Aby uzyskać więcej informacji dotyczących wykonywania kopii zapasowej i przywracania rejestru, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Baza wiedzy Microsoft Knowledge Base:
322756 Jak wykonać kopię zapasową rejestru i przywrócić go w systemie Windows
Aby rozwiązać ten problem, wykonaj następujące czynności:
Wydrukuj następujący artykuł z bazy wiedzy Baza wiedzy Microsoft Knowledge Base. Skorzystaj z tego artykułu jako przewodnika po tej procedurze.
307654 Jak zainstalować konsolę odzyskiwania i używać jej w systemie Windows XP
Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz polecenie regedit, a następnie kliknij przycisk OK.
Odszukaj następujący podklucz rejestru:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\NotifyZnajdź i usuń wszystkie wpisy w podkluczu rejestru, które odwołują się do "drct16" lub "draw32".
Na przykład mogą być wyświetlane wpisy podobne do poniższych:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\drct16
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\draw32Włóż instalacyjny dysk CD systemu Windows XP, a następnie uruchom ponownie komputer z tego dysku CD.
Na ekranie Instalator — Zapraszamy , naciśnij klawisz R (Napraw), aby uruchomić konsolę odzyskiwania systemu Windows.
Wybierz numer odpowiadający instalacji systemu Windows, którą chcesz naprawić. Ta liczba wynosi zazwyczaj 1.
Jeśli zostanie wyświetlony monit, wpisz hasło administratora. Jeśli hasło administratora nie istnieje, naciśnij klawisz ENTER.
W wierszu polecenia przejdź do folderu C:\Windows\System32. Na przykład wpisz cd C:\Windows\System32.
Użyj polecenia ren (zmień nazwę), aby zmienić nazwy następujących plików, jak pokazano. Pamiętaj, aby po wpisaniu każdego polecenia nacisnąć klawisz ENTER. Jeśli zostanie wyświetlony komunikat "Nie znaleziono pliku", przejdź do następnego pliku na liście.ren 1.a3d 1.a3d.bad ren cm.dll cm.dll.bad ren cz.dll cz.dll.bad ren draw32.dll draw32.dll.bad ren drct16.dll drct16.dll.bad ren dt163.dt dt163.dt.bad ren fltr.a3d fltr.a3d.bad ren hm.sys hm.sys.bad ren hz.dll hz.dll.bad ren hz.sys hz.sys.bad ren i.a3d i.a3d.bad ren in.a3d in.a3d.bad ren klo5.sys klo5.sys.bad ren klogini.dll klogini.dll.bad ren memlow.sys memlow.sys.bad ren mszx23.exe mszx23.exe.bad ren p2.ini p2.ini.bad ren ps.a3d ps.a3d.bad ren redir.a3d redir.a3d.bad ren tnfl.a3d tnfl.a3d.bad ren vdmt16.sys vdmt16.sys.bad ren vdnt32.sys vdnt32.sys.bad ren w32tm.exe w32tm.exe.bad ren WD.SYS WD.SYS.bad ren winlow.sys winlow.sys.bad ren wmx.a3d wmx.a3d.bad ren wz.dll wz.dll.bad ren wz.sys wz.sys.bad ren
Jeśli chcesz usunąć te pliki po zakończeniu pracy, wpisz del *.bad.Wyjmij instalacyjny dysk CD systemu Windows XP, a następnie wpisz
Wyjdź, aby ponownie uruchomić komputer.Po ponownym uruchomieniu komputera kliknij przycisk
Start, kliknij polecenie Uruchom, wpisz polecenie regedit, a następnie kliknij polecenie
Dobrze.Znajdź i usuń następujące podklucze rejestru oraz wszelkie wpisy, które mogą znajdować się w każdym z nich. Jeśli brakuje podkluczy rejestru z tej listy, przejdź do następnego podklucza na liście.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vdmt16
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vdnt32
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winlow
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\memlowHKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vdmt16
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vdnt32
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\winlow
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\memlowHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ENUM\ROOT\LEGACY_VDMT16
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ENUM\ROOT\LEGACY_VDNT32
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ENUM\ROOT\LEGACY_WINLOW
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ENUM\ROOT\LEGACY_MEMLOWZnajdź i usuń wszystkie wpisy zawierające nazwę pliku Mszx23.exe w następujących podkluczach rejestru:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesZamknij Edytor rejestru.
Upewnij się, że programy antywirusowe i antyszpiegowskie są zaktualizowane do najnowszych definicji, a następnie wykonaj pełne skanowanie systemu.
Poniższe złośliwe oprogramowanie zostało zidentyfikowane przez producentów oprogramowania antywirusowego.
| Symantec: | Backdoor.Haxdoor.D |
|---|---|
| Trend Micro: | BKDR_HAXDOOR. BC, BKDR_HAXDOOR.BN, BKDR_HAXDOOR.BA, BKDR_HAXDOOR. AL |
| PandaLabs: | HAXDOOR. AW |
| F-Secure: | Backdoor.Win32.Haxdoor, Backdoor.Win32.Haxdoor.al |
| Sophos: | Troj/Haxdoor-AF, Troj/Haxdoor-CN, Troj/Haxdoor-AE |
| Kaspersky Lab: | Backdoor.Win32.Haxdoor.bg |
| McAfee: | BackDoor-BAC |