Hallo zusammen,
ich hatte vor ein paar Tagen ein eigenartiges Verhalten auf meinem PC festgestellt. Und zwar wurde immer der erste Link nachdem ich bei Google etwas gesucht hab zu einer Werbeseite weitergeleitet (wo meine Suchanfrage nochmal verarbeitet wurde und mich auf kommerzielle Ergebnisse meiner Suche weiterleitete).
Ich durchsuchte meinen Taskmanager und fand spontan eine Datei die mich stutzig machte und zwar wurde die csrss.exe zweimal gestartet, einmal von SYSTEM einmal von meinem Useraccount.
Kurze Suche im Netz und diese Datei stellte sich als faul raus.
Diese tauchte aber immer wieder auf, sowohl der Eintrag im Autostart der Registry als auch die Datei selber. Anscheinend waren noch zwei weitere Dateien damit involviert, alle drei waren laut diverser Webseiten als auch Malwarebytes Antimalware (wurd ichd ruaf hingewiesen es damit mal zu versuchen am Schluss) faul, die Dateien fanden sich an folgenden Stellen:
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\csrss.exe
C:\Dokumente und Einstellungen\user\Anwendungsdaten\Microsoft\conhost.exe <-- laut Netz hat die wohl auf einem XP System nur bedingt was zu suchen und ist wohl eher auf Vista/7 zu finden.
C:\Dokumente und Einstellungen\user\Anwendungsdaten\dwm.exe
Nach einem Neustart von Windows kam es aber dazu das der Generic host Process for Win32 Services ein Problem feststellte und beenden werden wollte. Seitdem fehlte mir unter Systemsteuerung/Sounds und Audiogeräte im Reiter Audio die jeweiligen Geräte, alles war ausgegraut und sämtliche Prozesse (Spiele/Browser/u.ä.) die keine explizite Soundeinstellung hatten wo man das jeweilige Gerät auswählen kann, hatten zu dem Zeitpunkt keinen Sound mehr.
(Ich habe aktuell festgestellt das der Dienst Windows Audio auf manuell starten steht aber beendet war, wenn ich diesen starte, sind wieder alle Soundeinstellungen perfekt und auch habe ich überall Sound. Allerdings beendet sich dieser Dienst von alleine nach exakt 60 Sekunden wieder)
Aber noch schlimmer war das nach neuerlichen Neustarts irgendwann ein noch schlimmeres Problem hinzu gesellte, und zwar funktionierte das Internet nun nich mehr wirklich. (Ich benutze eine normale Einwahlverbindung über ein externes per Netzwerk angeschlossenes DSL-Modem.) Ich wähl mich kurz nach Systemstart ein, die Generic Host Fehlermeldung erscheint kurz darauf, klicke ich die Fehlermeldung weg, ist mein Internet auch sofort weg, lasse ich sie stattdessen stehen habe ich noch ca. für fünf Minuten Internet bis es sich dann trotzdem verabschiedet. Wie ihr euch denken könnt ist gerade das eine extreme Bremse bei der eigenen Rat- und Fehlersuche im Internet, womit ich mich nun an euch wende. Ich werde wahrscheinlich nur sporadisch heute reinschauen können da ich fürs neues Internet auch immer neu rebooten muss, darum verzeiht mir verspätete Antworten.
Ich habe inzwischen mein Windows auf das Nötigste reduziert, daher gestaltet sich auch ein log von hijackthis recht kurz:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:37:37, on 06.02.2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17093)
Boot mode: Normal
Running processes:
C:\WINXP\System32\smss.exe
C:\WINXP\system32\winlogon.exe
C:\WINXP\system32\services.exe
C:\WINXP\system32\lsass.exe
C:\WINXP\system32\nvsvc32.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\Explorer.EXE
C:\Programme\Razer\Copperhead\razerhid.exe
C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe
C:\WINXP\system32\ctfmon.exe
C:\Programme\DAEMON Tools Lite\daemon.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\HP\Digital Imaging\bin\hpqimzone.exe
C:\Programme\Razer\Copperhead\razertra.exe
C:\Programme\Razer\Copperhead\razerofa.exe
C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\system32\dllhost.exe
C:\WINXP\system32\NOTEPAD.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINXP\system32\spoolsv.exe
C:\WINXP\system32\svchost.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Programme\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Programme\DAEMON Tools Toolbar\DTToolbar.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programme\TechSmith\SnagIt 8\SnagItIEAddin.dll
O3 - Toolbar: &TerraTec Home Cinema - {AD6E6555-FB2C-47D4-8339-3E2965509877} - C:\PROGRA~1\TerraTec\TERRAT~1\THCDES~1.DLL
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINXP\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [razer] C:\Programme\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINXP\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programme\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O10 - Unknown file in Winsock LSP: c:\programme\vmware\vmware workstation\vsocklib.dll
O10 - Unknown file in Winsock LSP: c:\programme\vmware\vmware workstation\vsocklib.dll
O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262E} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/3.0.0.0/srl_bin/sysreqlab3.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINXP\system32\nvsvc32.exe
O23 - Service: VMware Agent Service (ufad-ws60) - VMware, Inc. - C:\Programme\VMware\VMware Workstation\vmware-ufad.exe
--
End of file - 5366 bytes
Mein System ist Windows XP Professionell mit den aktuellen Patches (allerdings von winfuture.de).
Browser sind IE und FF wobei ich nur FF nutze.
Virensoftware war Antivir, inzwischen läuft aus aktuellen Anlass Malwarebytes Anti-Malware.
Ich bedanke mich schon einmal im vorraus für eure Hilfe und hoffe das ich alle nötigen Angaben gemacht habe.
Gruß
Chris
pico Gast |
