XP Admin wird langsam

Internet Internet Sicherheit
#1

Hi,
seit einiger Zeit betrachte ich auf meinem Admin Account eine zunehmende Geschwindigkeits-Abnahme.
Nun habe ich mich verständlicherweise gefragt waru dies so ist, und bin zu dem Schluss gekommen, dass ich keine Ahnung habe.
Ich habe ein paar toolbars (aber die meisten sind deaktiv) und meine CPU ist „Grundlos“ hoch(fast immer 100% dabei werden ca. 280.000K in den Prozessen angezeigt).

Hier ein paar PC infos:
Betriebssystem:Windows 2.5.1.2600 (Service Pack 2)
CPU-Typ:Intel® Pentium® 4 CPU 2.80GHz
CPU-Geschwindikeit (GHz):2,82
Systemspeicher (GB):0,999
Grafikkartenmodell:NVIDIA GeForce FX 5200 (Microsoft Corporation)
Grafikkartentreiber:nv4_disp.dll
Desktop-Auflösung:1920x1080
Festplattengröße (GB):298,016
Verfügbarer freier Speicher (GB):160,767

Hier HijackThis Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:06:53, on 14.07.2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\PROGRA~1\WinTV\EPG Services\System\EPGService.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\PROGRA~1\WinTV\EPG Services\System\EPGClient.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programme\Ahead\InCD\InCD.exe
C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\uTorrent\uTorrent.exe
C:\Programme\Vidalia Bundle\Vidalia\vidalia.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Winamp Remote\bin\OrbTray.exe
C:\Programme\Vidalia Bundle\Tor\tor.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Winamp Remote\bin\Orb.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
H:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.mywebsearch.com/index.jhtml?n=77C09F4F&p…
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Programme\Winamp Toolbar\winamptb.dll
R3 - URLSearchHook: techno4ever Toolbar - {33b974a8-e892-4f5f-bd17-f7b0331843d5} - C:\Programme\techno4ever\tbtec1.dll
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Programme\MyWebSearch\bar\1.bin\MWSSRCAS.DLL
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\MPK\MPK.exe
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Programme\MyWebSearch\bar\1.bin\MWSSRCAS.DLL
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Programme\MyWebSearch\bar\1.bin\MWSBAR.DLL
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll
O2 - BHO: techno4ever Toolbar - {33b974a8-e892-4f5f-bd17-f7b0331843d5} - C:\Programme\techno4ever\tbtec1.dll
O2 - BHO: flvdirect - {a22ddae0-20a3-7b47-e5c4-11863b4eabd1} - C:\WINDOWS\system32\9nOsc-NjmWux_-o.dll
O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Programme\TGTSoft\StyleXP\TGT_BHO.dll
O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: techno4ever Toolbar - {33b974a8-e892-4f5f-bd17-f7b0331843d5} - C:\Programme\techno4ever\tbtec1.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll
O3 - Toolbar: FireShot - {6E6E744E-4D20-4ce3-9A7A-26DFFFE22F68} - C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Firefox\Profiles\u64vivnz.default\extensions{0b457cAA-602d-484a-8fe7-c1d894a011ba}\library\fsaddin-0.80.dll
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4FE6-8A56-BBB695989046} - (no file)
O3 - Toolbar: My Web Search - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\Programme\MyWebSearch\bar\1.bin\MWSBAR.DLL
O4 - HKLM…\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM…\Run: [EPGServiceTool] C:\PROGRA~1\WinTV\EPG Services\System\EPGClient.exe
O4 - HKLM…\Run: [avgnt] „C:\Programme\Avira\AntiVir Desktop\avgnt.exe“ /min
O4 - HKLM…\Run: [SunJavaUpdateSched] „C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe“
O4 - HKLM…\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM…\Run: [Adobe Reader Speed Launcher] „C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe“
O4 - HKLM…\Run: [RemoteControl] „C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe“
O4 - HKLM…\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM…\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM…\Run: [hpfsched] C:\WINDOWS\hpfsched.exe
O4 - HKLM…\Run: [My Web Search Bar Search Scope Monitor] „C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe“ /m=2 /w /h
O4 - HKLM…\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKCU…\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU…\Run: [uTorrent] „C:\Programme\uTorrent\uTorrent.exe“
O4 - HKCU…\Run: [Vidalia] „C:\Programme\Vidalia Bundle\Vidalia\vidalia.exe“
O4 - HKCU…\Run: [Skype] „C:\Programme\Skype\Phone\Skype.exe“ /nosplash /minimized
O4 - HKCU…\Run: [Google Update] „C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe“ /c
O4 - HKCU…\Run: [Orb] „C:\Programme\Winamp Remote\bin\OrbTray.exe“ /background
O4 - HKCU…\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‚LOKALER DIENST‘)
O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‚NETZWERKDIENST‘)
O4 - HKUS\S-1-5-21-220523388-1592454029-682003330-1006…\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User ‚****‘)
O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‚SYSTEM‘)
O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User ‚Default user‘)
O4 - Global Startup: AutoStart IR.lnk = C:\Programme\WinTV\Ir.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch…
O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (file missing)
O9 - Extra ‚Tools‘ menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra ‚Tools‘ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: EPGService - Hauppauge Computer Works - C:\PROGRA~1\WinTV\EPG Services\System\EPGService.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programme\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: My Web Search Service (MyWebSearchService) - MyWebSearch.com - C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\Programme\TuneUp Utilities 2010\TuneUpDefragService.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

–
End of file - 9403 bytes

#2

Hi,
seit einiger Zeit betrachte ich auf meinem Admin Account eine
zunehmende Geschwindigkeits-Abnahme.
Nun habe ich mich verständlicherweise gefragt waru dies so
ist, und bin zu dem Schluss gekommen, dass ich keine Ahnung
habe.
Ich habe ein paar toolbars (aber die meisten sind deaktiv) und
meine CPU ist „Grundlos“ hoch(fast immer 100% dabei werden ca.
280.000K in den Prozessen angezeigt).

lad dein logfile mal zu http://hijackthis.de hoch und klicke auf Auswertung. Da grinsen dir einige rote Kreuze entgegegen. Zumindest die solltest du fixen, bei den gelben solltest du noch ein wenig ergooglen, um was es sich genau handelt

Gruss
ExNicki dem es momentan zu warm ist, um eine genaue Analyse zu machen

#3

Hallo,

das sieht ja nicht schön aus.

Auf jeden Fall solltest Du eine Datensicherung machen und dann erst einmal eine Antiviren-Live-CD wie z.B.

http://dlpro.antivir.com/package/rescue_system/commo…

durchlaufen lassen.

Dann natürlich den Typ von Ex-Nicki befolgen.

Ansonsten gelten die üblichen Ratschläge: Die einzig 100%ig sichere Lösung ist es, das System neu aufzusetzen.

mfg

tf (dem es auch zu heiß ist)

#4

Hallo,
auf deinem System laufen viele Prozesse, die das System ausbremsen können. Unnötige Prozesse solltest du deaktivieren. Mit Hilfe des Tools „Process Explorer“ von Sysinternals kannst du die Verursacher der CPU-Last leicht ermitteln und ggf. deaktivieren. Wenn du in diesem Programm einen Prozess anklickst und M eingibst, öffnet sich eine Internetsuchmaschine mit dem jeweiligen Suchbegriff. Damit wird dir diew Auswahl der Prozesse erleichtert.

http://technet.microsoft.com/de-de/sysinternals/defa…

Grüße Culles

#5

sieht nicht nach einem Virus oder ähnlichen aus. Alle Dateien sind üblich und wenns die orginalen sind auch ok. Du hast einfach einen Haufen Müll am Start. Mit Autoruns von sysinternals (microsoft) könntest du einiges manuell loswerden. Vorsicht das Programm kann alles und nicht alles was es kann sollte man auch machen. Ich denke mal das dein Antiviren Programm da kräftig am werkeln ist und zu der hohen Auslastung führt.

Kann aber auch an der Hardware liegen. Die Hitze im Moment und ein verdreckter PC lässt die Geschwindigkeit auch runter gehen.

Viele grüße ricnbg

#6

Widerspruch!
Hallo ricnbg,

Du hast aber das Logfile gelesen? Und schreibst dennoch: „Alle Dateien sind üblich und wenns die orginalen sind auch ok.“!?

Isses nicht Dein Ernst, oder? Aber ich lerne ja gerne immer dazu. Erkläre doch z.b. folgende Einträge:

O3 - Toolbar: My Web Search - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\Programme\MyWebSearch\bar\1.bin\MWSBAR.DLL

O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Programme\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

O4 - HKLM…\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe

R3 - URLSearchHook: (no name) - - (no file)

usw.

Auf jeden Fall sollten diese - und noch eine Reihe anderer Einträge gelöscht werden. Spybot darüber laufen lassen usw.

Ich gehöre ja nicht unbedingt zu denjenigen, die bei jedem Auftreten eines Schädlings nach einer Neuinstallation schreien (deshalb bin ich in diesem Brett auch so ruhig; pure Angst), aber Hitze hin und her: „Üblich“ ist ein solches Logfile in keinem Fall.

mfg

tf

1 Like
#7

Hallo,
was hast du an einer Toolbar auszusetzen?
Okay ich halte sowas auch nur für totalen Schrott den kein Mensch brauch, aber es gibt bestimmt irgendwen der sowas benutzt. Gefährlich ist sowas eigentlich nicht nur unnütz.

MfG Dominik

1 Like
#8

Hallo,

was hast du an einer Toolbar auszusetzen?

es handelt sich im konkreten Fall um Adware/Spyware.

Okay ich halte sowas auch nur für totalen Schrott den kein
Mensch brauch, aber es gibt bestimmt irgendwen der sowas
benutzt. Gefährlich ist sowas eigentlich nicht nur unnütz.

Software, die sich ungefragt tief im System einnistet und von der niemand so recht weiß, was sie tut und welche Daten sie an wen übermittelt, befindest Du also für ungefährlich?

Gruß

S.J.

#9

Hallo ricnbg,

Du hast aber das Logfile gelesen? Und schreibst dennoch: „Alle
Dateien sind üblich und wenns die orginalen sind auch ok.“!?

Isses nicht Dein Ernst, oder? Aber ich lerne ja gerne immer
dazu. Erkläre doch z.b. folgende Einträge:

O3 - Toolbar: My Web Search -
{07B18EA9-A523-4961-B6BB-170DE4475CCA} -
C:\Programme\MyWebSearch\bar\1.bin\MWSBAR.DLL

O2 - BHO: MyWebSearch Search Assistant BHO -
{00A6FAF1-072E-44cf-8957-5838F569A31D} -
C:\Programme\MyWebSearch\bar\1.bin\MWSSRCAS.DLL

O4 - HKLM…\Run: [MyWebSearch Email Plugin]
C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe

R3 - URLSearchHook: (no name) - - (no file)

usw.

und es läuft noch Tor und Torrents etc.

also da würd ich schonmal nachgugen welcher prozess wieviel nutzlast trägt.

100% ist ja keine angabe , oder gibt es nur einen prozess z.b. IDLE der 100% hat ?

#10

Hallo,

ich halte Toolbars für ungefährlich nicht aber Spyware.
Informiere dich mal über die MyWebSearchBar, ich halte die TuneUpSystemShredderUtilites für viel gefährlicher…

MfG Dominik

2 Like
#11

google mal nach „combofix“ von bleeping computer" den dann durchlaufen lassen.
darüber hinaus ist spybot auch ne gute alternative.