merkwürdiges Computerproblem

[Lukas]

Moin,

nachdem ich ein Programm der Firma Softdepo von der Seite Chip.eu runtergeladen und installiert habe hat mein Computer angefangen zu spinnen. Nach kurzer Zeit nach dem Start hängt sich der Großteil des Computers auf bzw. scheint völlig ausgelastet zu sein, es erscheint das entsprechende Mausicon. Wenn ich rechtzeitig das Internet öffne, mit Firefox, kann ich allerdings problemlos weiter surfen. Allerdings komm ich sonst nirgends mehr hin. Im abgesicherten Modus läuft der Computer jedoch problemlos.

Ich habe bereits das Programm wieder gelöscht und den Registryeintrag entfernt. Ich habe eine Virenprüfung mit Antivir hinter mir und die Festplatte mit Checkdisk geprüft. Weder Viren noch sonstige Fehler wurden gefunden. Eine Defragmentierung ist leider nicht möglich, da nach der Datenträgerprüfung der Computer vereits hängt und ich somit keine Defragmentierung starten kann. So langsam gehen mir also die Ideen aus. Ich wäre für jede Hilfe dankbar.

[Rezeguet]

was sagt denn der taskmanager zur ausnutzung von cpu und ram und was für prozesse sind das und durch welches porgramm wurden die gestartet?

[Lukas]

Die Auslastung von CPU und Ram kann damit nichts zu tun haben, da, wenn ich es schnell genug starte, ich sogar problemlos Alarmstufe Rot 3 spielen kann. Nur der Desktop und Programme die kein eigenes Fenster ausführen funktionieren nicht. Nur wenn ich einmal wieder auf den Desktop wechsle kann ich natürlich keine Programme mehr starten.

Welcher Prozess daran schuld ist weiß ich nicht, aber ich kann mal ein paar Screenshots machen und die hier reinstellen, vielleicht findest du ja einen Auffälligen Prozess.

Anhänge entfernt!

[CrazyTroglodyte]

Das nächste mal kannst du die Bilder als png bei Imageshack oder so hochladen, dann muss man sich nichts runterladen.
(TIPP)


Prüfe mal mit Panda. (<- gutes Dingens )
Habe auch mal was von so einem Virus gehört "vhost.exe".
Genaueres weiß ich leider nicht wirklich.

[hafensaenger]

Du hast aber verdammt viel Prozesse am laufen. Die Zusammen mit einem Hintergrunddienst können schnell einen Pc auslasten. Ich würde davon mal ne ganze Menge beenden und dann schauen ob es besser wird.

[dragonling]

Würde auch sagen, das da viel zu viel läuft. Die Services sollten dringend mal aufgeräumt werden.
u.a. die beiden "rundll32" und die sehr vielen "svchost" sind Kandidaten für ein ausmisten. Ist der Google-Kram wirklich lebensnotwendig? Mehrere "scheduler" (jusched, realsched, sched32) (der erste müßte vom Java sein, der 2. ist vom Realplayer): müssen die wirklich laufen? Brauchst Du die Aufgaben ("Taskeng")? Und dann gleich zwei mal?

Ich habe zwar kein Vista, sondern XP, aber meine Prozessliste ist nur halb so lang.

[Lukas]

Es sind sicherlich viele Prozesse, aber ich hatte vorher nicht weniger. Das Problem kam mit dem Programm. Vielleicht sollte ich mal auflisten was so in meinem Computer steckt.

Betriebssystem: Windows Vista 64 bit
Prozessor: Intel Core 2 Quad Q9300
Ram: 8 GB DDR2 667
Grafik: Nvidia Geforce 9600GT
Festplatte: WD Caviar 500GB
Optisch: DVD-Laufwerk, Blu-Ray Brenner

Dann noch ne blöde Frage. Wenn ich einen überflüssigen oder sogar schädlichen Prozess finde, wie sorge ich dafür, dass der nicht beim nächsten Neustart wieder aktiviert wird? Oder anders, wie werde ich den Protess dauerhadt los?

Die Taskeng.exe ist übrigens doppelt, weil er sie aus dem Ordner System 32 sowie SysWOW 64 heraus aktiviert.

Ich hab jetzt übrigens noch ein paar Speicherhungrige Spiele getestet. Sowohl Command and Conquer AR3 also auch Trackmania United Forever laufen völlig problemlos. Nur der Desktop schmiert ab weshalb ich nach dem Verlassen des Spiels nichts weiter tun kann als Neustart. Und was mir auch noch aufgefallen ist, sobald ich den Startknopf drücke ist der Desktop wieder ansprechbar, natürlich nicht lange, da der Computer dann runterfährt, aber anscheinend ist die Ursache ein Programmrest oder ein schädlicher Prozess der beendet wird wenn man während des Windowsbetriebs den Startknopf drückt.

Ich vergleich nochmal die Prozessliste mit der im abgesicherten Modus. Vielleicht finde ich ja was Auffälliges.

Und danke für die bisherige Hilfe. Wenn euch noch was gutes einfällt immer her damit.

PS:
Folgende Prozesse sind im abgesicherten Modus nicht vorhanden:
brs.exe *32 / Core.exe *32 / dwm.exe / fpassist.exe *32 / Googledesktop / googletalk / IAAnotif.exe / IAANTmon.exe / jusched.exe *32 / MSAMCui.exe / napster.exe *32 / nvvsvc.exe / PDVDServ.exe / PMVService.exe / PSIService.exe / RAVCpl64.exe / reader_sl.exe / realsched.exe / rlservice.exe / rundll32.exe / sched.exe *32 / SearchFilterH... / Searchindexe... / SearchProtoc... / sidebar.exe / SLsvc.exe / soffice.bin *32 / soffice.exe *32 / taskeng.exe / WmiPrvSE.exe / Wmpnetwk.exe / WUDFHost.exe

In der Tat eine ganze Menge. Aber sind da auch welche bei die schädlich sein könnten?

[dragonling]

Mir kommt da ein ganz blöder Gedanke:
Vorhin habe ich etwas gelesen von einem aktuellen Trojaner, der ein Windowssystem als "Geisel" nimmt und zum Senden einer SMS an eine teure Nummer aufruft. Was wenn Du das Ding hast, aber das Teil mit dem Vista64 nicht so richtig zu recht kommt und statt dem ursprünglichen "PCnappen" einfach nur fehlerhaft funktioniert? Denn dieser Trojaner soll angeblich das System blockieren.

Da Du im abgesicherten Modus starten kannst, tue das mal und schaue dann in der Registry unter HKEY_LOCAL_MACHINE->Software->Microsoft->Windows->CurrentVersion->Run oder RunService.
Und das gleiche nochmal unter HKEY_CURRENT_USER

PS:
Der "Rundll" ist ein heißer Kandidat für meine Theorie.

[CrazyTroglodyte]

Ich habe zwar kein Vista, sondern XP, aber meine Prozessliste ist nur halb so lang.

Vista hat im nackten Zustand an die 35 Prozesse.
Ich hab bei mir diese ganze Mediakacke mal unter Dienste deaktiviert und auf manuell gestellt.

svchost kann durchaus öfters ausgeführt sein. Bei Windows 2000 z.B. auch. Bei Vista wird es bei mir glaube ich auch, an die 10 Mal ausgeführt.

[Lukas]

So, hab mal alle Prozesse im Internet gesucht und kann zwei nicht zuordnen:
PMVService.exe und rlservice.exe. Kann jemand damit was anfangen?

Und in der Registry hab ich auch nachgesehen. Unter HKEY_LOCAL_MACHINE usw. habe ich folgende einträge gefunden:

(Standard) REG_SZ (Wert nicht gesetzt)
IAAnotif REG_SZ "C:\Program Files (X86)\ Intel \ etc."
NvCplDaemon REG_SZ RUNDLL32.EXE C:\Windows\System32\ etc.
NvMediaCenter REG_SZ RUNDLL32.EXE C:\Windows\System32\ etc.
RtHDVCpl REG_SZ RAVCpl64.exe
Skytel REG_SZ Skytel.exe
toolbar_eula_launcher REG_SZ C:\Program Files\GoogleEULA\ etc.
Windows Defender REG_EXPAND_SZ %ProgramFiles%\WindowsDefender\ etc.

Und unter HKEY_CURRENT_USER:

(Standard) REG_SZ (Wert nicht gesetzt)
EA Core REG_SZ "C_\Program Files (X86)\ Electronic Arts\ etc.
Sidebar REG_SZ C:\Program Files\ Windows Sidebar\ etc.
Skype REG_SZ "C:\Program Files (X86)\ Skype\ etc.
WMPNSCFG REG_SZ C:\Program Files (X86)\ Windows Media Player\ etc.

Scheint nichts auffälliges bei zu sein. Aber Urteile selbst.

[dragonling]

Die genannten Einträge aus der Registry erscheinen unverfänglich, obwohl ich bei "Electronic Arts" die kalte Krätze kriege. (Dieser Kopierschutzvermarkter kommt mir nicht mehr auf meine Platte Nichts gegen Kopierschutz, nur er hat einfach nichts auf meinem System zu installieren.) Bei "RtHDVCpl REG_SZ RAVCpl64.exe" weiß ich nicht, was das sein soll.

Schau mal, ob es in Vista noch das Programm "msconfig" gibts (einfach unter Start->Ausführen eingeben). Dort kann man unter "Systemstart" alles sehen, was beim starten läuft. Evtl. mußt Du dazu aber wieder "normal" starten.

Es gibt in Windows ungefähr 348 Wege (übertrieben!), etwas zum Programmstart zu starten, wobei die Dienste und die Registry die bekanntesten sind.

rlservice.exe: http://www.whatsrunning.net/whatsrunnin ... cess=19154
PMVService.exe: http://www.whatsrunning.net/whatsrunnin ... cess=20629

Ps:
RAVCpl64: http://www.whatsrunning.net/whatsrunnin ... cess=16678 "Unknown"!!

[hafensaenger]

PMVService.exe is part of Acer Arcade application. The program allows the user to perform multimedia tasks such as browse pictures, listen to music

Ich wusste es. Völlig unnütz.

Der RelevantKnowledge Prozess gehört zur Software RelevantKnowledge der Firma RelevantKnowledge (www.relevantknowledge.com).

Charakteristik: rlservice.exe befindet sich im Ordner C:\Windows\System32. Bekannte Dateigrößen unter Windows XP sind 86016 bytes (80% aller Vorkommen), 77824 bytes.
Das Programm ist nicht sichtbar. Die Datei rlservice.exe ist keine Systemdatei, befindet sich aber dennoch im Windows Order. Die Datei ist keine Datei, die vom Windows System unbedingt benötigt wird. Deshalb bewerten wir diese Datei zu 50% als gefährlich, aber vergleichen Sie diese Wertung mit den

[Lukas]

Zur RAV die auch in den Prozessen erscheint habe ich bereits was gefunden, die gehört zu meiner Realtek Onboard Soundkarte.

Okay, RelevantKnowledge scheint was mit Marktforschung im Internet zu tun zu haben. Kann das mit HarrisPoll zusammenhängen? Da mache ich nämlich regelmäßig bei Umfragen mit. HarrisPoll ist ein Marktforschungsinstitut das Onlinebefragungen durchführt für die man dann Punkte erhält die man in Naturalien umtauschen kann. Nur für die, die nichts damit anfangen können.

Und der PMVkram gehört zu Cyberlink. Das passt also und ist anscheinend erforderlich für PowerDVD. Es nennt sich im Ganzen "CyberLink PlayMovie Resident Program".

Nur was kann es noch sein, wenn weder ein schadhafter Prozess noch ein Virus auf meinem Computer ist?

Achso, was den EA-kram angeht. Das gehört nicht zum Kopierschutz sondern zum Update Manager über den man alle EA-Produkte auf dem neuesten Stand halten kann. Für irgendwas war der erforderlich, ich glaube um Updates zu AR3 runterladen zu können. Aber der Kopierschutz von EA ist noch vergleichsweise harmlos, hab nichts von ihm gemerkt, man muss sich nirgends registrieren und kann das Spiel ohne Datenträger spielen. Ob EA nun weiß wie oft ich den Alliierten in den Arsch trete ist mir schnuppe.

Aber zurück zum Thema.

[Gorion]

Hallo Lukas *s*

Hast Du kein Image von Deiner Partition, dass Du nach vorne spielen kannst?

Oder falls möglich, setze Dein System zu einem Zeitpunkt zurück, bevor Du das Programm installiert hattest.



Gorion

[dragonling]

Und was ist mit der "msconfig"? Gibt es die noch? Denn scheinbar scheint der Störenfired ein Dienst oder ein Programm zu sein, was man nur finden muß.

[Lukas]

Ja, die msconfig gibts noch.
Folgende Programme sind im Systemstart enthalten:

Windows Defender, Microsoft
RAID Event Monitor, Intel
toolbar_eula_launcher, Hersteller unbekannt
HD Audio Control Panel, Realtek
Realtek Voice Manager, Realtek
NVIDIA Compatible Windows Vista Display driver, ver. 180.20, NVidia
NVIDIA Media Center Library, NVidia
Betriebssystem Microsoft Windows, Microsoft
EA Download Manager, Electronic Arts
Skype, Skype
WMPNSCFG, Hersteller unbekannt
cyberlink brs, cyberlink
Power DVD, Cyberlink
Language Application, Hersteller unbekannt
Cyberlink PlayMovie, Cyberlink
StartMen Application, Cyberlink
Corel Photo Downloader, Hersteller unbekannt (naja )
Quicktime, Apple
Google Desktop, Google
Napster, Napster
FreePDF_Assistant, shbox.de
Adobe Acrobat, Adobe
Java(TM) Platform SE 6 U 11, Sun Microsystems
Realplayer (32-bit), RealNetworks
Antivir Workstation, Avira
Google Talk, Google
OpenOffice.org 3.0, Hersteller unbekannt

Das waren alle. Außer WMPNSCFG und toolbar_eula_launcher kann ich mir überall einen Reim drauf machen. Normalerweise dauert der Systemstart auch nicht sehr lange. Es dauert vielleicht zehn Sekunden nach dem Start von Windows bis alle Programme gestartet wurden. Am langsamsten ist Skype aber das verursacht keine Probleme dieer Art.

[hafensaenger]

WMPNSCFG = Windows Mediaplayer Softwareconfiguration.

[dragonling]

Ja, diese Sachen sehen nicht so verdächtig aus.
Die Nachricht über den Trojaner habe ich hier gesehen, aber es ist unwahrscheinlich, das Du den hast.

Im Moment habe ich keine weitere Idee.

Außer einer: Du könntest z.B. mit dem Programm "Sandboxie" das Tool von Chip.eu nochmal installieren. Zum einen verhindert das Programm, das eine Installation im echten System "herummanscht" und zum anderen kann man sehen, was wirklich wo installiert wird. So teste ich Softwareinstallationen, um z.B. das Verteilen von Dateien im Windows-Verzeichnis zu überwachen.

[Lukas]

So, der Computer scheint wieder zu gehen. Ich habe einfach mal RelevantKnowledge gelöscht weil ich nicht wusste woher das kommt und nun ist der Fehler anscheinend behoben. Ich hoffe mal dass er auch wirklich dauerhaft behoben ist und ich nicht nur einmal Glück hatte.
Danke jedenfalls an alle Helfer.

[Gobo]

Ich habe zwar kein Vista, sondern XP, aber meine Prozessliste ist nur halb so lang.

Vista hat im nackten Zustand an die 35 Prozesse.
Ich hab bei mir diese ganze Mediakacke mal unter Dienste deaktiviert und auf manuell gestellt.

svchost kann durchaus öfters ausgeführt sein. Bei Windows 2000 z.B. auch. Bei Vista wird es bei mir glaube ich auch, an die 10 Mal ausgeführt.

svchost ist an sich kein einzelner Prozess, sondern fasst einige Dienste zusammen in einem Eintrag.