Letzte Änderung in der Registry

[Boom1 10]

Hallo zusammen,

 

folgendes Problem.

Wir benutzen Windows XP als Client in einer AD Struktur. Die Clients werden per Softwareverteilung aufgesetzt. In der letzten Zeit kommt es vermehrt vor, das Notebooks (nur Notebooks von DELL) sich mit einem Bluescreen (C000021A) verabschieden.

Habe Onkel Google befragt, leider keine hilfreichen Tipps oder Lösung erhalten.

Die Notebooks können weder mit der XP Reperatur Funktion noch mit den F8 Funktionen wieder gestartet werden.

 

Habe mich etwas intensiever damit beschäfftigt. Habe ein Client mit einer LiveCD gestartet und die Datei c:\Windows\System32\config\System gesichert. Dann diese mit der aus c:\windows\repair überschrieben.

Windows startet wieder ganz normal.

 

Ich würde gerne den Grund für den Bluescreen herausfinden.

Ich kann die SYSTEM Datei in meine Registry importieren und durchsuchen. Jedoch ist es sehr mühsam.

 

Kennt einer von euch ein Tool, ausser Regshot, Regcool, Regmon usw..., mit dem ich mir die letzten Änderungen von einer importierten Registry Struktur anzeigen lassen kann?

 

Danke vorab

[NilsK 2.785]

Moin,

 

könntest du bitte erst mal dein unglaublich geschmackloses Benutzerbild ändern? Danke.

 

Fehler 21A deutet auf eine Malware-Infektion hin.

http://aumha.org/a/stop.php#0x21a

 

Gruß, Nils

[Boom1 10]

Hallo Nils,

 

habe ich geändert. Das hat mir bei meiner Problemlösung sehr weiter geholfen. Danke

[NilsK 2.785]

Moin,

 

meinst du wirklich, dass du dich beschweren solltest?

 

Gruß, Nils

PS. Lies noch mal.

[Boom1 10]

Hi, ich habs gelesen. Mein Userbild hat mit diesem Thema garnix zutun. Vielleicht hätte man das auch über eine PN mitteilen können.

 

Sorry hatte ich vergessen zu erwähnen. Ich bin natürlich auch alle Quellen, die mir Google ausgespuckt hat, nachgegangen. Malware könnte natürlich sein, aber im System deutet garnichts in die Richtung.

 

Das System läuft ja wieder, würde nur gerne heraus finden, welcher Eintrag in der Registry zurletzt geändert wurde.

[NilsK 2.785]

Moin,

 

Mein Userbild hat mit diesem Thema garnix zutun.

 

vordergründig nicht. Für jeden Leser schon.

 

Vielleicht hätte man das auch über eine PN mitteilen können.

 

Hätte man. Aber dein Bild war nun mal weltweit sichtbar und nicht nur privat.

 

Das System läuft ja wieder, würde nur gerne heraus finden, welcher Eintrag in der Registry zurletzt geändert wurde.

 

Ich glaube nicht, dass dich das weiterbringt. Was sollte denn in dem Fall "zuletzt" sein? Und was sagt dir, dass die Änderung überhaupt kurz vor dem Bluescreen stattgefunden haben könnte? Was sagt dir, dass überhaupt etwas in der Registry passiert ist, das zur Ursache zählen könnte?

 

Die anderen Hinweise auf der Webseite hast du gesehen?

 

Gruß, Nils

PS. Du suchst nach "Forensik Toolkit", hast aber anscheinend Ging oder Boogle noch nicht danach gefragt. Aber wie gesagt ... ich bezweifle, dass das zielführend ist.

[lefg 276]

....In der letzten Zeit kommt es vermehrt vor, das Notebooks (nur Notebooks von DELL) sich mit einem Bluescreen (C000021A) verabschieden......

 

Hallo,

 

bitte beschreibe das doch mal genauer! Die Sache mit dem Vermehrt?

 

Warum werden die Clients (neu?) aufgesetzt?

[Boom1 10]

Wir haben nur Geräte von DELL im Einsatz. Bei den Notebooks sind es die D und E Serie.

Alle Clients sind mit aktuellen Updates von Microsoft bestückt. Virenscanner ist McAfee.

Wir haben derzeit 7 Vorfälle. Bei einem Notebook ist dies innerhalb 3 Wochen 3 mal passiert. Auch als wir das Gerät getauscht hatten, trat es wieder auf.

Am Profil kann es nicht liegen, wir haben keine Roaming Profiles. Vom gesicherten Profil werden auch nur .doc, .xls Dateien und das Outlook Archiv (wenn vorhanden) übernommen. Die User sind angehalten, Ihre Daten auf Share zu speichern.

 

Bei einem Gerät hat sich das wiefolgt zugespielt:

Anwender meldet sich morgens an seinem Notebook an und arbeitet damit. Dabei fällt ihm auf, das einer der USB Ports nicht funktioneirt und meldet sich beim Support. Unser Support Kollegen rät ihm, sein System mal neuzustarten.

Nach dem Neustart trat dieser Fehler auf. Der Rechner startet immer wieder neu. Kommt bis zu dem Punkt, wo das Windows Logo das erste mal erscheint und startet neu. Die F8 Funktionen helfen hier auch nicht mehr. Habe mir das Gerät zuschicken lassen. Auch eine Repair mit Windows CD bringt nichts.

Es hat sich im nachhinein rausgestellt, das bei diesem Gerät ein Kabel für den USB Port nicht richtig eingesteckt war (DELL Vorort Support). Also daran lag es nicht.

 

Da ich aber weiss, das es am morgen noch funktioniert hat und ich das System mir einer Sicherung der SYSTEM Datei wieder an laufen bekomme, möchte ich wissen, was die letzte Änderung in der Registry war.