Strange Window before the logon window

[rmanal]

Hello,

I have changed the letter of my secondary hard disk et now just before the
logon screen (at the start of Windows and when I change the user, before the
logon sreen) I see a strange window appears containing non sense characters
and with just an "OK" button. If I click on this button the window disappears
and then everything works well.
How can I know which is launching this window?

thank you

 

[Ron Badour]

Start with this technique:

How to perform advanced clean-boot troubleshooting in Windows XP
http://support.microsoft.com/?kbid=316434

--
Regards

Ron Badour
MS MVP
Windows Desktop Experience

 

[rmanal]

I have already done the following:
- booting in safe mode: same result.
- use of msconfig to desactivate one by one all I can (.ini, services, run
directory in registry, driver, ...): same result.

Is there a way to follow step by step what is done by Windows after the
start of the OS and before the launch of a session?

 

[Randem]

Yes, use the /BOOTLOG option to find out what is happening at boot time.

--
Randem Systems
Your Installation Specialist
The Top Inno Setup Script Generator
http://www.randem.com/innoscript.html
http://www.randem.com/installerproblems.html
http://www.randem.com/vistainstalls.html
http://www.financialtrainingservices.org

 

[rmanal]

I have tested the following:
*/ Here are the pictures of the screen I have:
http://cjoint.com/?mFnHy6d6BV
http://cjoint.com/?mFnHYfifgA

*/ With msconfig, I have deactivated everything (.ini files, autoruns,
services): same result.

*/ With /BOOTLOG I have not seen anything wrong. Here are the ntblog.txt file:
Service Pack 312 6 2008 10:12:47.500
Pilote charg‚ \WINDOWS\system32\ntoskrnl.exe
Pilote charg‚ \WINDOWS\system32\hal.dll
Pilote charg‚ \WINDOWS\system32\KDCOM.DLL
Pilote charg‚ \WINDOWS\system32\BOOTVID.dll
Pilote charg‚ sptd.sys
....
Le pilote n'a pas ‚t‚ charg‚ Pilotes audio hérités
Le pilote n'a pas ‚t‚ charg‚ Périphériques MCI
Le pilote n'a pas ‚t‚ charg‚ Périphériques de capture vidéo hérités
Le pilote n'a pas ‚t‚ charg‚ Codecs vidéo
Le pilote n'a pas ‚t‚ charg‚ Miniport réseau étendu (L2TP)
Le pilote n'a pas ‚t‚ charg‚ Miniport réseau étendu (IP)
Le pilote n'a pas ‚t‚ charg‚ Miniport WAN (PPPOE)
Le pilote n'a pas ‚t‚ charg‚ Miniport réseau étendu (PPTP)
Le pilote n'a pas ‚t‚ charg‚ Miniport d'ordonnancement de paquets
Le pilote n'a pas ‚t‚ charg‚ Miniport d'ordonnancement de paquets
Le pilote n'a pas ‚t‚ charg‚ Miniport d'ordonnancement de paquets
Le pilote n'a pas ‚t‚ charg‚ Parallèle direct
Pilote charg‚ \SystemRoot\System32\Drivers\Cdfs.SYS
Le pilote n'a pas ‚t‚ charg‚ Processeur AMD K7
Le pilote n'a pas ‚t‚ charg‚ NVIDIA(R) nForce(TM) MCP Audio Processing Unit
(Dolby(R) Digital)
Le pilote n'a pas ‚t‚ charg‚ NVIDIA(R) nForce(TM) Audio Codec Interface
Le pilote n'a pas ‚t‚ charg‚ 3Com 3C920B-EMB Integrated Fast Ethernet
Controller
Le pilote n'a pas ‚t‚ charg‚ Contrôleurs hôte IEEE 1394 compatible OHCI
Le pilote n'a pas ‚t‚ charg‚ Radeon X1650 Series
Le pilote n'a pas ‚t‚ charg‚ Radeon X1650 Series Secondary
Le pilote n'a pas ‚t‚ charg‚ Port de communication
Le pilote n'a pas ‚t‚ charg‚ Port de communication
Le pilote n'a pas ‚t‚ charg‚ Port imprimante ECP
Le pilote n'a pas ‚t‚ charg‚ Périphérique MIDI compatible MPU-401
Le pilote n'a pas ‚t‚ charg‚ Port jeu standard
Le pilote n'a pas ‚t‚ charg‚ Codecs audio
Le pilote n'a pas ‚t‚ charg‚ Pilotes audio hérités
Le pilote n'a pas ‚t‚ charg‚ Périphériques MCI
Le pilote n'a pas ‚t‚ charg‚ Périphériques de capture vidéo hérités
Le pilote n'a pas ‚t‚ charg‚ Codecs vidéo
Le pilote n'a pas ‚t‚ charg‚ Miniport réseau étendu (L2TP)
Le pilote n'a pas ‚t‚ charg‚ Miniport réseau étendu (IP)
Le pilote n'a pas ‚t‚ charg‚ Miniport WAN (PPPOE)
Le pilote n'a pas ‚t‚ charg‚ Miniport réseau étendu (PPTP)
Le pilote n'a pas ‚t‚ charg‚ Miniport d'ordonnancement de paquets
Le pilote n'a pas ‚t‚ charg‚ Miniport d'ordonnancement de paquets
Le pilote n'a pas ‚t‚ charg‚ Miniport d'ordonnancement de paquets
Le pilote n'a pas ‚t‚ charg‚ Parallèle direct
Pilote charg‚ \SystemRoot\System32\Drivers\Fastfat.SYS
Service Pack 312 6 2008 10:19:11.500
Pilote charg‚ \WINDOWS\system32\ntoskrnl.exe
Pilote charg‚ \WINDOWS\system32\hal.dll
Pilote charg‚ \WINDOWS\system32\KDCOM.DLL
Pilote charg‚ \WINDOWS\system32\BOOTVID.dll
Pilote charg‚ sptd.sys
Pilote charg‚ \WINDOWS\System32\Drivers\WMILIB.SYS
Pilote charg‚ \WINDOWS\System32\Drivers\SPTD6909.SYS
Pilote charg‚ ACPI.sys
Pilote charg‚ pci.sys
Pilote charg‚ isapnp.sys
Pilote charg‚ ohci1394.sys
Pilote charg‚ \WINDOWS\System32\DRIVERS\1394BUS.SYS
Pilote charg‚ pciide.sys
Pilote charg‚ \WINDOWS\System32\DRIVERS\PCIIDEX.SYS
Pilote charg‚ MountMgr.sys
Pilote charg‚ ftdisk.sys
Pilote charg‚ PartMgr.sys
Pilote charg‚ pavboot.sys
Pilote charg‚ VolSnap.sys
Pilote charg‚ atapi.sys
Pilote charg‚ si3112r.sys
Pilote charg‚ \WINDOWS\system32\drivers\SCSIPORT.SYS
Pilote charg‚ disk.sys
Pilote charg‚ \WINDOWS\System32\DRIVERS\CLASSPNP.SYS
Pilote charg‚ fltmgr.sys
Pilote charg‚ SiWinAcc.sys
Pilote charg‚ avgntmgr.sys
Pilote charg‚ KSecDD.sys
Pilote charg‚ Ntfs.sys
Pilote charg‚ NDIS.sys
Pilote charg‚ nv_agp.sys
Pilote charg‚ Mup.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\nic1394.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\amdk7.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\usbohci.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\usbehci.sys
Pilote charg‚ \SystemRoot\system32\drivers\nvax.sys
Pilote charg‚ \SystemRoot\System32\Drivers\ASAPIW2K.sys
Pilote charg‚ \SystemRoot\System32\Drivers\ElbyCDFL.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\cdrom.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\redbook.sys
Pilote charg‚ \SystemRoot\System32\Drivers\GEARAspiWDM.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\imapi.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\el90Xbc5.SYS
Pilote charg‚ \SystemRoot\system32\DRIVERS\ati2mtag.sys
Pilote charg‚ \SystemRoot\System32\Drivers\dtscsi.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\fdc.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\serial.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\serenum.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\parport.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\i8042prt.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\L8042pr2.Sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\LMouFlt2.Sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\mouclass.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\itchfltr.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\kbdclass.sys
Pilote charg‚ \SystemRoot\system32\drivers\msmpu401.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\gameenum.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\audstub.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\rasl2tp.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\ndistapi.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\ndiswan.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\raspppoe.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\raspptp.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\msgpc.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\psched.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\ptilink.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\raspti.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\termdd.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\swenum.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\update.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\mssmbios.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\MarvinBus.sys
Pilote charg‚ \SystemRoot\system32\DRIVERS\vdiskbus.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\usbhub.sys
Pilote charg‚ \SystemRoot\System32\Drivers\NDProxy.SYS
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\NDProxy.SYS
Pilote charg‚ \SystemRoot\system32\drivers\nvapu.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\flpydisk.sys
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\lbrtfdc.SYS
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\Sfloppy.SYS
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\i2omgmt.SYS
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\Changer.SYS
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\Cdaudio.SYS
Pilote charg‚ \SystemRoot\SYSTEM32\DRIVERS\avgntdd.sys
Pilote charg‚ \SystemRoot\System32\Drivers\Fs_Rec.SYS
Pilote charg‚ \SystemRoot\System32\Drivers\Null.SYS
Pilote charg‚ \SystemRoot\System32\Drivers\Beep.SYS
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\kbdhid.sys
Pilote charg‚ \SystemRoot\System32\drivers\vga.sys
Pilote charg‚ \SystemRoot\System32\Drivers\mnmdd.SYS
Pilote charg‚ \SystemRoot\System32\DRIVERS\RDPCDD.sys
Pilote charg‚ \SystemRoot\System32\Drivers\Msfs.SYS
Pilote charg‚ \SystemRoot\System32\Drivers\Npfs.SYS
Pilote charg‚ \SystemRoot\System32\DRIVERS\rasacd.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\ipsec.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\tcpip.sys
Pilote charg‚ \systemroot\system32\drivers\tdimsys.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\netbt.sys
Pilote charg‚ \SystemRoot\System32\drivers\afd.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\netbios.sys
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\processr.sys
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\PCIDump.SYS
Pilote charg‚ \SystemRoot\System32\DRIVERS\rdbss.sys
Pilote charg‚ \SystemRoot\System32\Drivers\PQNTDrv.SYS
Pilote charg‚ \??\C:\WINDOWS\system32\drivers\pclepci.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\mrxsmb.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\ipnat.sys
Pilote charg‚ \SystemRoot\System32\Drivers\Fips.SYS
Pilote charg‚ \SystemRoot\System32\DRIVERS\wanarp.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\arp1394.sys
Pilote charg‚ \SystemRoot\System32\Drivers\Cdfs.SYS
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\adildr.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\ndisuio.sys
Pilote charg‚ \??\C:\WINDOWS\System32\vsdatant.sys
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\rdbss.sys
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\mrxsmb.sys
Pilote charg‚ \SystemRoot\system32\drivers\wdmaud.sys
Pilote charg‚ \SystemRoot\system32\drivers\sysaudio.sys
Pilote charg‚ \SystemRoot\system32\drivers\splitter.sys
Pilote charg‚ \SystemRoot\system32\drivers\aec.sys
Pilote charg‚ \SystemRoot\system32\drivers\swmidi.sys
Pilote charg‚ \SystemRoot\system32\drivers\DMusic.sys
Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys
Pilote charg‚ \SystemRoot\system32\drivers\drmkaud.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\mrxdav.sys
Pilote charg‚ \??\C:\WINDOWS\System32\drivers\Haspnt.sys
Pilote charg‚ \SystemRoot\System32\Drivers\ParVdm.SYS
Pilote charg‚ \SystemRoot\System32\Drivers\SENTINEL.SYS
Pilote charg‚ \??\C:\WINDOWS\system32\drivers\aslm75.sys
Pilote charg‚ \SystemRoot\System32\drivers\aspi32.sys
Pilote charg‚ \SystemRoot\System32\Drivers\ElbyCDIO.sys
Pilote charg‚ \SystemRoot\System32\Drivers\Fastfat.SYS
Pilote charg‚ \??\C:\WINDOWS\System32\drivers\hardlock.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\secdrv.sys
Pilote charg‚ \SystemRoot\System32\DRIVERS\srv.sys
Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\ipnat.sys
Pilote charg‚ \SystemRoot\System32\Drivers\HTTP.sys
Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys
Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys
Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys
Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys

 

[3c273]

Make sure you have a good backup. When the message is on your screen, open
up task manager, go to the processes tab and start killing processes until
the window goes away. I would start with the higher numbered processes as
they are more likely to be processes started by the user and less likely to
be critical to windows.
Louis

 

[rmanal]

At this stage I don't have access to processes tab.

 

[John John (MVP)]

I think that this is probably loaded by a Machine Startup Script or by
the LegalNoticeCaption value at HKLM\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\Winlogon

http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/regentry/12322.mspx?mfr=true

John

 

[rmanal]

I don't know where to search for Machine startup Script.
I have verified the "LegalNoticeCaption" but everything look good.
Because in the screen I never have the same characters, I think it is
probably an error screen or something like that.

 

[John John (MVP)]

Look in the Group Policies (Gpedit.msc):
Computer Configuration\Windows Settings\Scripts

Machine Startup Scripts are usually stored in the
%systemroot%\system32\GroupPolicy\Machine\Scripts\Startup folder.

If the characters (text) change at every reboot then I would have to
strongly suspect that malware is at work.

John

 

[rmanal]

I have only a familial version of XP, so I don't have this folder nor access
to Gpedit.msc.
Because of the point when the screen appears, I don't think it is a malware:
what can I check?
Is there a way to do a complete "debug" start?

 

[3c273]

Use Sysinternals (MS) Process Explorer, it is like Task Manager on steroids.
It is free from MS. Google it.
Louis

 

[John John (MVP)]

Malware can be started at any time during the startup process, don't
think that because you are not yet logged on that malware isn't at play!
Try Autoruns to get more information on the things that startup when
the computer boots:
http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx

John