Diagnostyka infekcji na niestartujących Windows

[picasso]

Diagnostyka na niestartujących Windows:

 
 
Tworzenie raportów z poziomu niestartującego Windows:

• Farbar Recovery Scan Tool (FRST)
• Narzędzia archiwalne

Skanery:

• Gotowe płyty startowe ze skanerami

.
 
 
Copyright @picasso fixitpc.pl Powielanie tej pracy zabronione.

[picasso]

 

 
Farbar Recovery Scan Tool (FRST)
 
Platforma: Windows XP, Vista, Windows 7, Windows 8/8.1, Windows 10 32-bit i 64-bit
 
Strona domowa
Autoryzowany polski tutorial obsługi
 
Pobierz wersję dla systemów 32-bit:
 
Pobierz
 
Pobierz wersję dla systemów 64-bit:
 
Pobierz

 

 

FRST posiada tryb Recovery dedykowany diagnostyce i naprawie niestartującego Windows, przystosowany do zewnętrznego Środowiska odzyskiwania systemu Windows (Windows Recovery Environment aka WinRE). Pod tym kątem zasadniczo jest to narzędzie głównie dla nowszych systemów Vista do Windows 10. Aczkolwiek Windows XP też jest uwzględniony w zestawie, o ile zostanie zastartowana płyta pasująca do zadania, czyli dowolne LiveCD stworzone via kreator typu Bart, WinRE też wchodzi (nie wykrywa systemu XP, ale linia komend jest czynna, a tylko tyle wystarczy tu).
Aplikacja uruchomiona w tym trybie umożliwia przeskanowanie systemu i stworzenie loga tekstowego wyliczającego typowe punkty ładowania. Raport nie uwzględnia komponentów, które nie mają znaczenia dla procesu startu systemu, np. elementy przeglądarek internetowych. Po doprowadzeniu Windows do życia FRST może zostać uruchomiony spod Windows, a log utworzony spod działającego systemu opowie o reszcie komponentów.



Uruchamianie FRST w środowisku WinRE
 
Wymagania
 
Pendrive na którym jest zapisane narzędzie FRST.exe (systemy 32-bit) lub FRST64.exe (systemy 64-bit) oraz dostęp do środowiska WinRE.

 

Wersja FRST i wersja WinRE muszą być zgodne bitowo. Jeśli naprawiany system to Windows 64-bit, oba elementy muszą być 64-bitowe. Podobnie w przypadku 32-bit.

 
 
Uruchamianie WinRE

Metody wejścia do WinRE na Windows 7 i Vista:

 

Metody wejścia do WinRE na Windows 10 i 8/8.1:

• Spod uruchomionego systemu, co odpada gdy nie można się dostać do systemu lub są poważne uszkodzenia (np. konta). Na Windows 10: klik w ikonę Start > Ustawienia > Aktualizacja i zabezpieczenia > Odzyskiwanie > Uruchamianie zaawansowane > Uruchom teraz. Na Windows 8/81: z klawiatury + I > Zmień ustawienia komputera > Aktualizacja i odzyskiwanie (8.1) lub Ogólne (8) > i dalej jak w/w.
• Z poziomu DVD lub USB instalacyjnego Windows: zbootuj komputer z nośnika > na pierwszym ekranie klik w Dalej (Next) > na kolejnym wybierz Napraw komputer (Repair your computer) > wybierz pozycję Rozwiąż problemy (Thoubleshoot) > wybierz Opcje zaawansowane (Advanced options).

 
 
Jeśli nie posiadasz nośnika, można go utworzyć na innym dostępnym komputerze z zainstalowanym systemem Windows 7 lub nowszym. Klucz produktu nie jest potrzebny, gdyż chodzi tu o wejście do opcji naprawczych a nie instalację systemu.

• Pobierz i uruchom Narzędzie do tworzenia nośnika Windows 10.
• Wybierz opcję Utwórz nośnik instalacyjny dla innego komputera.
• Wybierz język, wersję i architekturę (32-bit lub 64-bit) odpowiadającą parametrom poszkodowanego systemu, odznacz "Użyj opcji zalecanych dla tego komputera".
• Następnie zdecyduj czy ma być tworzony bootowalny nośnik USB, czy obraz ISO do późniejszego zgrania na DVD.
• Narzędzie pobierze Windows 10 i utworzy nośnik instalacyjny.

Pomimo że jest to nośnik z Windows 10, można go użyć też na starszych systemach (ale bity muszą się zgadzać). Płyta nie uruchomi się jednak na bardzo starym sprzęcie.


Uruchamianie FRST

1. Podepnij do poszkodowanego komputera pendrive z narzędziem FRST. Zastartuj do środowiska WinRE według powyższych wytycznych i wybierz opcję Wiersz polecenia (Command Prompt):

Windows 10, Windows 8/8.1:
 


Windows 7, Vista:
 

 
 
2. Pierwszy krok to sprawdzenie pod jaką literą jest zmapowany pendrive, na którym jest zlokalizowane narzędzie. Najprostszy sposób to posłużenie się starym dobrym trikiem z Notatnikiem. W linii komend wpisz notepad i ENTER. W Notatniku z menu File / Plik wybierz Open / Otwórz i w oknie eksploratora po lewej kliknij w pozycję Komputer. Zostanie otworzony widok z listą wszystkich dysków twardych i wymiennych aktualnie dostępnych pod WinRE. Sprawdzamy pod jaką literką jest pendrive z narzędziem. Następnie zamykamy oba okna, pozostawiając tylko linię komend.


 
 
3. Uruchamiamy FRST w linii komend poprzez wpisanie X:\FRST.exe (systemy 32-bit) lub X:\FRST64.exe (systemy 64-bit), pod X podstawiając oczywiście literę pendrive pozyskaną w punkcie 2, ENTER. W przykładzie będzie to F:\FRST.exe. Pojawi się komunikat o ustawianiu dysku lokalnego:
 
 

 

 

W zależności od układu partycji mogą wystąpić następujące scenariusze:

System postawiony na C i brak ukrytych partycji:

Liternictwo partycji nie zostanie zmienione.
 
Układy z ukrytą partycją "Zastrzeżone przez system":
 
Windows 7 i nowsze podczas instalacji na czystym dysku tworzą dwie partycje, widoczną na system oraz ukrytą na jego pliki startowe (Zastrzeżone przez system / System Reserved). Spod działającego Windows partycja z Windows jest widziana jako C, ukryta nie ma litery. Ale taki układ prezentuje się odmiennie z poziomu środowiska zewnętrznego, w którym partycja ukryta staje się widoczna i otrzymuje priorytetowo literę C, a partycja z Windows przesuwa się pod dalszą literę. FRST jest nastawiony na "C", dlatego też w przypadku zastania omawianego schematu podejmuje działania tymczasowego "przemontowania" układu i nadanie partycji z Windows litery C. Proces jest transparentny i przeciętny użytkownik nie musi nic więcej na ten temat wiedzieć. Po ukończeniu pracy z narzędziem i restarcie sytuacja i tak wróci do pierwotnego układu.

 
4. Jeśli FRST jest uruchamiany po raz pierwszy, zgłosi się EULA, a potem zostanie wykonany backup rejestru. Narzędzie do dyspozycji daje trzy funkcje: Skanuj (Scan), Napraw (Fix), Szukaj plików (Search Files).
 

 

Funkcja Szukaj w rejestrze (Search Registry), choć obecna w interfejsie, nie działa w środowisku RE.

 
 
5. Pozostaw wszystkie opcje w stanie domyślnym i klik w Skanuj (Scan). Skanowanie w normalnych warunkach nie zabiera więcej niż minutę. Ukończenie skanowania jest notowane odpowiednim komunikatem. Wynikowo powstaje log o nazwie FRST.txt w tym samym miejscu z którego uruchomiono narzędzie FRST.exe, czyli na pendrive. Log ten należy nam przedstawić na forum.



Co dalej

Po ocenie raportu przez nas użytkownik ewentualnie otrzyma gotowy skrypt dopasowany do jego sytuacji, który musi zapisać pod nazwą fixlist.txt i umieścić na pendrive obok narzędzia FRST. Usuwanie polega na: uruchomieniu narzędzia FRST zgodnie z powyższym opisem, wybór opcji Napraw (Fix) w oknie narzędzia, skrypt zlokalizowany na pendrive zostanie automatycznie przetworzony i wynikowo na pendrive pojawi się raport z usuwania o nazwie Fixlog.txt. Log ten należy nam przedstawić na forum.
 
Jeśli system zostanie naprawiony i pomyślnie się uruchomi, należy wykonać raporty FRST spod Windows:

 

 

[picasso]

Opis zaktualizowany, dodana też instrukcja tworzenia płyty Windows 10, by wejść do WinRE. A stare (nielegalne zresztą) OTLPE przeniesione do lamusa. To jest tak stara płyta z archaicznym OTL, że nie ma szans na uruchomienie i poprawną diagnostykę na nowoczesnych systemach i sprzęcie.