[fallenwerewolf@vk]

Petya V4sechkin, Ну что могу сказать. Поставил чистую ось, обновы не ставил (только Framework, обновы к нему и библиотеки Visual C ++). Полет нормальный. Видимо, проблема кроется в несовместимости какой-то проги с каким-то обновлением.

Up: Эта ошибка меня решила доконать. Меня вот что интересует - может ли она быть связана как-нибудь с DEP? Пробовал в какой раз гуглить Stackhash_xxxx, почти везде есть упоминание о DEP.

[***DELT@***]

Доброго времени суток! Не обошла меня печалька, посему прошу помощи...
Собственно, стал падать проводник при попытке копировать файл.

Началось с того, что перестал работать скайп, новый не ставился. Были установлены один за другим сервис паки, затем и скайп благополучно встал. Но пришла проблема.

Система win7 домашняя расширенная x64.

Вычитал, что проблемы с доступом к explorer.exe могут быть. С горем пополам права исправил, но проблему это не решило.

Ответы на вопросы:
1. Отключение пунктов меню результата не дало.
2. В безопасном режиме проблема не исчезает.
3. При сканировании никаких сообщений не было, но лог таки приложил. Уж больно там эрроры различные изобилуют...
4. Установлен аваст. Сегодня проведена полная проверка ноута CureIt.

Ссылочка на архив с логом и дампом памяти.

Помогите, пожалуйста!

[Petya V4sechkin]

***DELT@***, сбой на
C:\Program Files (x86)\EgisTec\MyWinLocker 3\x64\psdprotect.dll
Удалите EgisTec MyWinLocker.

[***DELT@***]

***DELT@***, сбой на C:\Program Files (x86)\EgisTec\MyWinLocker 3\x64\psdprotect.dll »

Спасибо огромное!!! Это оно!
Время в логах, думаю, Вы заметили, совсем утро, уже даже написание поста помню смутно, вырубался... Но что именно в логах указало на проблему? Хочу сам теперь посидеть, почитать, сделать выводы. )

[Afanasov]

Добрый день. Помогите разобраться с проблемой: при попытке вызова контекстного меню для некоторых типов файлов перезапускается проводник. Сообщение об аварийном завершении работы программы не появляется. Просто перезапуск… Заранее благодарен за ответ.

1. Отключение пунктов контекстного меню не дало ни каких результатов.
2. В безопасном режиме проблема наблюдается ровно в том же виде.
3. Проверка системных файлов не обнаружила ошибок и нарушения целостности.
4. Последняя проверка на вирусы производилась 03.12.2016. Антивирус Dr.Web 11.0.
Ссылка на дамп: http://rgho.st/6LjMcnlbc

Ноутбук ASUS X540C.
ОС Windows 10 Домашняя для одного языка x64, версия 1607 (построение ОС 14393.447).
Проблема появилась после обновления до версии ОС 1607.

[ruslan...]

Afanasov,

Сбой на C:\Program Files (x86)\Foxit PhantomPDF\plugins\ConvertToPDFShellExtension_x64.dll

[Petya V4sechkin]

Но что именно в логах указало на проблему? Хочу сам теперь посидеть, почитать

В большинстве случаев достаточно открыть дамп в WinDbg (Debugging Tools for Windows) и выполнить команду !analyze -v или просто k для просмотра стека.

[Afanasov]

ruslan..., огромное Вам спасибо!

[fallenwerewolf@vk]

Проводник уже достал) Может что новое в информации из дампа есть?

Анализ дампа

Код:

Microsoft (R) Windows Debugger Version 6.12.0002.633 AMD64
Copyright (c) Microsoft Corporation. All rights reserved.


Loading Dump File [C:\Users\FallenWerewolf\Desktop\explorer.exe_161207_202537.dmp]
User Mini Dump File: Only registers, stack and portions of memory are available

Comment: '
*** C:\ProcDump\procdump.exe  -accepteula -e explorer.exe C:\ProcDump\
*** Unhandled exception: C0000005.ACCESS_VIOLATION'
Symbol search path is: SRV*G:\Symbols*http://msdl.microsoft.com/download/symbols
Executable search path is: 
Windows 7 Version 7601 (Service Pack 1) MP (4 procs) Free x64
Product: WinNt, suite: SingleUserTS
Machine Name:
Debug session time: Wed Dec  7 20:25:37.000 2016 (UTC + 10:00)
System Uptime: not available
Process Uptime: 0 days 2:34:18.000
................................................................
................................................................
................................................................
...............
Loading unloaded module list
................................................................
This dump file has an exception of interest stored in it.
The stored exception information can be accessed via .ecxr.
(6b0.160c): Access violation - code c0000005 (first/second chance not available)
00000000`07110fd8 ??              ???
0:022> !analyze -v
*******************************************************************************
*                                                                             *
*                        Exception Analysis                                   *
*                                                                             *
*******************************************************************************

*** ERROR: Symbol file could not be found.  Defaulted to export symbols for IDMShellExt64.dll - 
*** ERROR: Symbol file could not be found.  Defaulted to export symbols for IDMNetMon64.DLL - 
*** ERROR: Symbol file could not be found.  Defaulted to export symbols for shellex.dll - 
GetPageUrlData failed, server returned HTTP status 404
URL requested: http://watson.microsoft.com/StageOne...htm?Retriage=1

FAULTING_IP: 
+aa
00000000`07110fd8 ??              ???

EXCEPTION_RECORD:  ffffffffffffffff -- (.exr 0xffffffffffffffff)
ExceptionAddress: 0000000007110fd8
   ExceptionCode: c0000005 (Access violation)
  ExceptionFlags: 00000000
NumberParameters: 2
   Parameter[0]: 0000000000000008
   Parameter[1]: 0000000007110fd8
Attempt to execute non-executable address 0000000007110fd8

PROCESS_NAME:  explorer.exe

ERROR_CODE: (NTSTATUS) 0xc0000005 - <Unable to get error code text>

EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - <Unable to get error code text>

EXCEPTION_PARAMETER1:  0000000000000008

EXCEPTION_PARAMETER2:  0000000007110fd8

WRITE_ADDRESS:  0000000007110fd8 

FOLLOWUP_IP: 
shell32!CShellTaskScheduler::_TT_MsgWaitForMultipleObjects+aa
000007fe`fe272c5e 90              nop

FAILED_INSTRUCTION_ADDRESS: 
+aa
00000000`07110fd8 ??              ???

MOD_LIST: <ANALYSIS/>

NTGLOBALFLAG:  0

APPLICATION_VERIFIER_FLAGS:  0

IP_ON_HEAP:  0000000007110fd8
The fault address in not in any loaded module, please check your build's rebase
log at <releasedir>\bin\build_logs\timebuild\ntrebase.log for module which may
contain the address if it were loaded.

IP_IN_FREE_BLOCK: 7110fd8

FAULTING_THREAD:  000000000000160c

BUGCHECK_STR:  APPLICATION_FAULT_SOFTWARE_NX_FAULT_INVALID

PRIMARY_PROBLEM_CLASS:  SOFTWARE_NX_FAULT_INVALID

DEFAULT_BUCKET_ID:  SOFTWARE_NX_FAULT_INVALID

LAST_CONTROL_TRANSFER:  from 0000000077279bdd to 0000000007110fd8

STACK_TEXT:  
00000000`068df938 00000000`77279bdd : 00000000`00000000 00000000`00000038 00000000`068df9e8 00000000`77278fb9 : 0x7110fd8
00000000`068df940 00000000`772798e2 : 00000000`068dfab0 00000000`07110fd8 00000000`0000ea60 00000000`00884220 : user32!UserCallWinProcCheckWow+0x1ad
00000000`068dfa00 000007fe`fe272c5e : 00000000`00000002 00000000`00000002 00000000`07110fd8 00000000`068dfb38 : user32!DispatchMessageWorker+0x3b5
00000000`068dfa80 000007fe`fe272b20 : 00000000`0445ae90 00000000`00000000 00000000`0ac8ee60 00000000`00000000 : shell32!CShellTaskScheduler::_TT_MsgWaitForMultipleObjects+0xaa
00000000`068dfb00 000007fe`fe3b1a0a : 00000000`02eff510 00000000`02eff510 ffffffff`fffffffe 00000000`00000002 : shell32!CShellTaskScheduler::TT_TransitionThreadToRunningOrTerminating+0xac
00000000`068dfb80 000007fe`fe272b96 : 00000000`02eff510 00000000`02eff510 00000000`00000000 00000000`00000010 : shell32!CShellTaskThread::ThreadProc+0x152
00000000`068dfc20 000007fe`fd89c71e : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : shell32!CShellTaskThread::s_ThreadProc+0x26
00000000`068dfc50 00000000`773759cd : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : shlwapi!WrapperThreadProc+0x19b
00000000`068dfd50 00000000`774aa561 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : kernel32!BaseThreadInitThunk+0xd
00000000`068dfd80 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : ntdll!RtlUserThreadStart+0x1d


SYMBOL_STACK_INDEX:  3

SYMBOL_NAME:  shell32!CShellTaskScheduler::_TT_MsgWaitForMultipleObjects+aa

FOLLOWUP_NAME:  MachineOwner

MODULE_NAME: shell32

IMAGE_NAME:  shell32.dll

DEBUG_FLR_IMAGE_TIMESTAMP:  57c45548

STACK_COMMAND:  dt ntdll!LdrpLastDllInitializer BaseDllName ; dt ntdll!LdrpFailureData ; ~22s; .ecxr ; kb

FAILURE_BUCKET_ID:  SOFTWARE_NX_FAULT_INVALID_c0000005_shell32.dll!CShellTaskScheduler::_TT_MsgWaitForMultipleObjects

BUCKET_ID:  X64_APPLICATION_FAULT_SOFTWARE_NX_FAULT_INVALID_BAD_IP_shell32!CShellTaskScheduler::_TT_MsgWaitForMultipleObjects+aa

WATSON_STAGEONE_URL:  http://watson.microsoft.com/StageOne...htm?Retriage=1

Followup: MachineOwner
---------

Пытался гуглить инфу из дампа, нашел 1 случай, который повторяет мой точно также, но там посоветовали заменить файл проводника и shell32.dll файлами из установочного образа винды. Я сравнил версии этих файлов, на образе они древние как мамонт.

[aaalekseyyy]

Посмотри, может все банально просто – у тебя взломанный проводник.

Смотри здесь:

>>>>>>>>>>>>>>

Бывают случаи, когда Проводника Windows подменяется взломанным. Антивирусы не всегда это определяют.

Официальное местожительство Проводника Windows папка C:\Windows\explorer.exe.

А бывает, заводится ее один explorer.exe в папке C:\Windows\System32.

В папке C:\Windows\System32 файла explorer.exe быть не должно, и если он там есть, то это вирус.

Хакеры часто помещают взломанный explorer.exe в папку C:\Windows\System32, а так же в ключе реестра HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache изменяют параметры проводника с "C:\\Windows\\Explorer.exe"="Проводник" на "C:\\Windows\\System32\\explorer.exe"="Проводник".

Вирусу не нужен и автозапуск, он автоматически будет грузиться при любом запуске проводника.

Тогда при запуске Windows будет грузиться нормальный проводник, из папки C:\Windows, но при открытии любой папки, будет грузить взломанный проводник из папки C:\Windows\System32.

И если взломанный explorer.exe сильно не соответствует вашей версии Windows, то вы и получаете крах, перезапуск проводника.

Что бы проводник перезапускался автоматически, в ключе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр AutoRestartShell должен быть равен 1.

Команда sfc/scannow не будет проверять файл проводника explorer.exe по адресу C:\Windows\System32, так как его там быть не должно.


Примечание. А вот если бы хакеры изменили файл проводника explorer.exe по адресу C:\Windows, то команда sfc /scannow быстро его восстановила.
Ключ реестра HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache команда sfc/scannow также не проверяет.


Команды Dism /Online /Cleanup-Image /RestoreHealth (для Windows 8, 8.1, 10) и DISM.exe /Online /Cleanup-image /ScanHealth (для Windows 7) тоже не помогут по аналогичной причине.

Если вирус, замаскированный под проводник, еще не известен антивирусу, или играет не основную, а какую-нибудь дополнительную роль, то, вполне вероятно, что антивирус его тоже не заметит.

Так что удалять его надо вручную.

Для этого:
1. Удаляем файл explorer.exe в папке C:\Windows\System32
2. Исправляем параметр ключа реестра HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache с C:\Windows\System32\explorer.exe на C:\Windows\explorer.exe
3. Запускаем команды Dism /Online … и sfc/scannow - они восстановят файл explorer.exe и все его компоненты в папке C:\Windows

P.S. Аналогично видел вирус, маскирующийся под редактор реестра regedit.exe.
Так же располагают его в папке C:\Windows\System32, где его быть не должно (его местожительство папка C:\Windows), и аналогично меняют параметр ключа реестра HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache с C:\Windows\regedit.exe на C:\Windows\System32\regedit.exe.
Лечение аналогичное:
1. Удалить файл regedit.exe в папке C:\Windows\System32 (проверить, что бы regedit.exe был в папке C:\Windows, а то так можно остаться и без редактора реестра)
2. Поправить параметры ключа реестра HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache с C:\Windows\System32\regedit.exe на C:\Windows\regedit.exe
3. Команды Dism /Online … и sfc/scannow - восстановят файл regedit.exe в папке C:\Windows.