Unerwünschter Task lässt sich nicht vertreiben

[Balu der Bär]

Moin Moin,

folgendes Problem (WinXP, SP2):

Seit heute früh ist nach jedem Windows-Start ein seltsamer Task bei mir aktiv, DWTRIG20.EXE. Per Google fand ich heraus, dass dies irgendwo ein Signifizierungstask von Microsoft bzw. Office ist. Warum dieser Task plötzlich nach jedem Windows-Start da ist, weiß ich nicht. Nach dem Start kann ich den Task zwar per Taskmanager abschießen, beim nächsten Start ist er aber wieder da. :?

Weder RegCleaner noch der TuneUp StartupManager zeigen mir dieses Ding an, also wie kann ich verhindern das das überhaupt startet?

Grüße

[Nuclear-Ping]

Mal mit msconfig geschaut?

[Balu der Bär]

Jab, ebenfalls nichts von diesem Task zu sehen. :?

[jmit]

Hallo,

schau Dir einmal folgenden Link an. Dort steht das der Task eigentlich unsichtbar sein soll. Also wirst Du ihn auch schon länger haben, aber warum er jetzt erst sichtbar ist, dies ist eine berechtigte Frage.

Scheint aber nichts bösartiges zu sein.

Gruß Jörg

[Balu der Bär]

Was ist denn mit sichtbarer Task gemeint? Ist damit gemeint das der Task ein Programmfenster besitzt oder das er im Taskmanager angezeigt wird? Davon abgesehen wurde mir dieser Task im SecurityTaskManager vorher auch noch nie angezeigt, und der zeigt eigentlich alles an. ;)

[Balu der Bär]

Ich habe grad folgenden Kommentar gefunden:

Zitat:

Was added as startup process after I installed PhotoshopCS2.

Das kommt hin, ich habe gestern Abend die CS3 Trial installiert. Der Task wird jedoch weder in der Registry noch sonstwo gelistet. Muss doch irgendwie möglich sein dessen Start zu verhindern. :wall:

[himitsu]

hast mal nachgesehn ob/durch welches Programm dieser Task gestartet wird?
(eventuell mit'm ProcessExplorer)

Wenn dieser Prozess nicht über die bekannten Autostarteinträge gestartet wird, dann muß her halt durch was anderes gestartet werden ... eventuell durch einen anderen Prozess.

[Zacherl]

Guck dir mal das Program "Autoruns" von www.sysinternals.com an. Damit wirst du den Autostart 100%ig finden. Es gibt so viele Möglichkeiten ein Programm beim Systemstart mitstarten zu lassen .. das Programm ist schon beeindruckend, da es (hoffe ich mal) alle Möglichkeiten auflisten kann.

[Balu der Bär]

Zitat:

Zitat von himitsu

hast mal nachgesehn ob/durch welches Programm dieser Task gestartet wird?

Hallo,

der Security Taskmanager kann das auch. Bei jedem (!) aktiven Task steht da: [Zeit] [gestartet von]

Außer bei meinem geliebten DWTRIG20.EXE steht nur [Zeit] da. :wall:

@Florian: Ich wollte es vermeiden noch tausend Programme zu installieren, aber ok ich guck mal, danke.

[Zacherl]

Musst du nicht installieren. Ist nur eine stand-alone EXE. Und bisher das beste Programm zum verwalten der Autostarts, das ich kenne. Wirklich einen Blick wert.

[Balu der Bär]

Zitat:

Zitat von Florian Bernd

Musst du nicht installieren. Ist nur eine stand-alone EXE. Und bisher das beste Programm zum verwalten der Autostarts, das ich kenne. Wirklich einen Blick wert.

Soviel zu deinen 100%.

Autoruns listet mir wirklich ne Menge Zeug auf (was ich nicht gedacht hätte) aber die DWTRIG20.EXE taucht nirgendswo auf. :wall:

Ich guck nochmal mit dem ProcessExplorer drüber.

[Zacherl]

Unter diesen Autostarts ist dein Programm auch zu 100%. Was das Schwierige ist, ist zu gucken, welche Dll oder welches andere Programm deinen unerwünschten Task startet. Dazu lohnt es sich vielleicht erstmal alle Elemente zu prüfen, die im selben Verzeichniss liegen. Da der Prozess allerdings von MS ist könnte ich mir sogar vorstellen, dass er einfach so vom Explorer, etc gestartet wird.

[Balu der Bär]

Wo genau finde ich im ProcessExplorer wodurch der Task gestartet wurde?

Es steht lediglich da: Started 20:03:48 01.05.2007 und bei Parent findet sich svchost.exe(900).

[Zacherl]

Dann wurde der Prozess vom Service Host (svchost) gestartet.

BTW: http://www.file.net/prozess/dwtrig20.exe.html Das sieht interessant aus. Die meinen dort allerdings, dass der Autostart in der Registry liegt (Run Key).

[mkinzler]

Such mal in der Registry nach dem Programm

[Balu der Bär]

Ja das habe ich schon gefunden, die Angaben dort stimmen aber nicht. Diese Registry-Keys existieren bei mir nicht und die Datei ist auch nicht 300 KB sondern rund 450 KB groß, was daran liegen kann, dass die Datei mit Office2007 oder PS CS3 mitkam und die Informationen daher veraltet sind. Kann mal einer von euch nachgucken der Office07 drauf hat wie groß diese Datei ist? Besten Dank.

@kinzler: Nichts was auf Autostart hindeutet, hab ich bereits getan.

[Zacherl]

424KB bei mir ..

[Balu der Bär]

Zitat:

Zitat von Florian Bernd

424KB bei mir ..

Jab bei mir auch. Einen Schädling kann ich also ausschließen, AntiVir findet auch nichts. Bleibt die Frage warum das Ding startet...

[mkinzler]

Zitat:

@kinzler: Nichts was auf Autostart hindeutet, hab ich bereits getan.

Nein ich meinte irgendwo, es scheint ja so, als ob es durch irgendeinen Eintrag mitgestartet wird.

[Zacherl]

Der der owner svchost.exe ist schließe ich mal, dass es sich um eine als Service gestartete Dll handelt, die deinen Prozess mitstartet. Der Service Host wird nur als Host Prozess für Dlls verwendet, die als Service gestartet weren.

[Balu der Bär]

Also in der Registry steht definitiv nichts weiteres, nur zwei Schlüssel die die Windows-Suche angelegt hat da ich nach dem Dateinamen gesucht habe. *g*

@Flo: Bloß wie bekomme ich heraus welcher Dienst der Übeltäter ist? :stupid:

[Zacherl]

Das ist das Problem :D Du weißt ja auf jeden Fall, welche Instanz der svchost.exe es war .. eben meine ich die PID 900 gesehen zu haben, aber die ist ja sowieso immer verschieden.
Jetzt kann man leider anhand des Prozesses nicht so genau sagen, welche Dll in diesem aktiv ist. Mit dem Prozessexplorer kannst du aber die geladenen Module auflisten. Guck da mal bei dem Prozess durch, ob du eine Dll findest, die "Autoruns" auch unter Services auflistet. Fals das nicht geht könntest du nur noch mit z.b. HxD den Speicher des Prozesses nach Dll Namen durchsuchen und hoffen, dass ersichtlich werden kann, welche Dll im Host-Prozess aktiv ist.

[Balu der Bär]

Ohje das krieg ich Laie doch nie hin. :roll:

Ich habe aber eben etwas nettes rausgefunden: Ist der Router mit dem Internet verbunden (also online) taucht das Programm nach dem Systemstart nicht auf. Bin ich nicht mit dem Netz verbunden taucht der Task auf. Das soll mal einer verstehen. :roll:

[alzaimar]

Zitat:

Zitat von Balu der Bär

Ich habe aber eben etwas nettes rausgefunden: Ist der Router mit dem Internet verbunden (also online) taucht das Programm nach dem Systemstart nicht auf. Bin ich nicht mit dem Netz verbunden taucht der Task auf. Das soll mal einer verstehen. :roll:

Na ja, das Ding wird irgendetwas übers Internet laden oder verschicken. Und wenn du nicht online bist, dann wartet es eben...

[Balu der Bär]

Das wird ja immer schlimmer. :roll:

[Blink]

:nerd: Knast du die Datei nicht einfach löschen?

[Balu der Bär]

Dieser Gedanke schoss mir schon seit heute Mittag durch den Kopf, da ich keinen Weg sah hab ichs jetzt gemacht (lediglich umbenannt die datei). Und siehe da, kein Task mehr, ja nichtmal ne poplige Fehlermeldung bekam ich zu Gesicht. Mal gucken wie sich das entwickelt und ob dieses Ding nochmal auftaucht.

Vielleicht isses auch der Bundestrojaner, wenn ja: Jungs, ihr leistet gute Arbeit. :mrgreen: