[Vista] CPU 100% door niet zichbaar proces

[GandalfTheGrey]

Sinds twee weken heeft een kennis van mij last van een erg trage PC. Nu kijk ik bij windows taakbeheer en zie ik dat hier de CPU bijna constant belast wordt, waardoor alles traag is. Alleen is er geen enkel proces wat de CPU gebruikt. Dus er draait op de achtergrond een service of file die niet zo te identificeren is.

Wat ik geprobeerd heb:
- Zoeken op Google
- Zoeken op GoT
- NOD32 full system casn
- Hitman Pro scan

NOD32 en HitmanPro kunnen helaas niks vinden en ik heb gezocht op CPU belasting en spyware op google etc. Hieronder een HiJack log. Heeft iemand enig idee wat dit probleem kan oplossen?

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 18:37:01, on 12-10-2007
Platform: Windows Vista (WinNT 6.00.1904)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\SPAMfighter\SFAgent.exe
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\Taskmgr.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\IEUser.exe
C:\Users\Jan\Desktop\HiJackThis_v2.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SPAMfighter Agent] "C:\Program Files\SPAMfighter\SFAgent.exe" update delay 60
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\Windows\JM\JMInsIDE.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O13 - Gopher Prefix:
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://javadl-esd.sun.com...l-6u2-windows-i586-jc.cab
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macrom...ve/cabs/flash/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows\system32\browseui.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - Unknown owner - C:\Program Files\Spyware Doctor\svcntaux.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\swdsvc.exe

--
End of file - 6694 bytes

[Onbekend]

GandalfTheGrey schreef op vrijdag 12 oktober 2007 @ 18:55:
Nu kijk ik bij windows taakbeheer en zie ik dat hier de CPU bijna constant belast wordt, waardoor alles traag is. Alleen is er geen enkel proces wat de CPU gebruikt. Dus er draait op de achtergrond een service of file die niet zo te identificeren is.

Je wilt dus eigenlijk zeggen dat als je van alle programma's CPU-belasting optelt en daarbij de niet-gebruikte capaciteit, dat dat dan niet op 100% uit komt?

[GandalfTheGrey]

Exact. Heel raar. De CPU is 99%. maar opgeteld maximaal 20 oid.
Ik zie wel nu dat conime.exe runt en op google gevonden dat dit malware is. Maar raar dat dit niet verwijderd word door hitman pro of windows defender oid.

[Arthas]

Hierbij de opmerking van Hijackthis.de waar je je analyse zelf kunt doen:

We didn't detect any active process of a firewall on your system. Reasons maybe:
(1.) You are using the windows firewall or a hardware firewall.
(2.) You are using a firewall of an unknown vendor.
(3.) You are using a firewall, but for unknown reasons it is disabled
(4.) You don't use any firewall at all.
We recommend you to use a firewall. Download and install one or activate windows xp´s own one. In case you got questions or you want us to add the firewall you use to our database, contact us at our forum.

[job]

De taskmanager van vista heeft een knop "show processes from all users". Als je die indrukt zou je alle processen kunnen zien. Werkt dat?

[GandalfTheGrey]

Dat werkt. De load wordt veroorzaakt door TrustedInstaller.exe (Microsoft Updater). Ding blijft draaien en herstarten ookal sluit ik hem af

[GandalfTheGrey]

TrustedInstaller blijft de hele tijd op 50% of meer draaien. Ookal disable ik geheel Windows Update. Is er een manier om deze TrustedInstaller te killen?

[Noxious]

TrustedInstaller klinkt mij niet echt in de oren als een process dat 'van microsoft is'... maar 'tzou goed kunnen zijn natuurlijk.

Probeer eens dit:
- Deïnstalleer Microsoft Update (zodat je alleen Windows Update gebruikt)
- Zet Windows Update uit via rechtermuisknop op 'Computer' > 'Beheren' > Services > Automatische Updates o.i.d. > Stoppen
- Leeg de map 'Download' in C:\Windows\SoftwareDistribution (gewoon alles daarin weg)
- Reboot
- Kijk of het nu wel werkt
- Installeer eventueel Microsoft Update weer

[job]

Noxious schreef op vrijdag 12 oktober 2007 @ 21:43:
TrustedInstaller klinkt mij niet echt in de oren als een process dat 'van microsoft is'... maar 'tzou goed kunnen zijn natuurlijk.

Vrij normaal process .
Hier een "oplossing": http://www.vistabits.nl/trustedinstaller_100%25_CPU.htm

[GandalfTheGrey]

@Job die had ik al geprobeerd. Geen effect. Ga het andere nu even proberen.

[ODF]

Wat nog wel eens wil helpen bij een overspannen Windows proces is het killen van explorer.exe in de Taskmanager en dan via de Taskmanager Windows herstarten.

[GandalfTheGrey]

TrustedInstaller.exe heb ik nu doodgemaakt om het zo maar te zeggen (Windows Module Installer).

Nu zuipt Taskmgr.exe hele tijd 50% cpu en blijft de PC traag.

[EDIT] Denk zelf aan een driver-probleem nu maar ik zou niet weten welke, dus ga de boel formatten gok ik, tenzij iemand iets weet? Video heb ik net nog geupdate iig

[ Voor 34% gewijzigd door GandalfTheGrey op 15-10-2007 12:40 ]

[JeroenNietDoen]

GandalfTheGrey schreef op maandag 15 oktober 2007 @ 12:04:
TrustedInstaller.exe heb ik nu doodgemaakt om het zo maar te zeggen (Windows Module Installer).

Nu zuipt Taskmgr.exe hele tijd 50% cpu en blijft de PC traag.

[EDIT] Denk zelf aan een driver-probleem nu maar ik zou niet weten welke, dus ga de boel formatten gok ik, tenzij iemand iets weet? Video heb ik net nog geupdate iig

Zorg dat je internet explorer gesloten hebt. Check dan je taskmanager nog eens, staat iexplore.exe hier tussen?

Ik had namelijk van de week last van Poison Ivy 2.0. Deze trojan creeert een .exe file gelijk aan de defaultbrowser van je systeem. Ik had dus firefox.exe draaien. Af en toe werd het systeem zo traag dat het leek alsof die vastliep. Vervolgens na 30 seconden was het weer in orde.

Ik zag gistermorgen dus dat er nog een firefox.exe draaide. NOD32 had em niet opgepikt. Panda online scan pikte hem wel op.

Dus als je je browser gesloten hebt en iexplore.exe draait nog steeds met een geheugen use van zon 3 tot 5MB, zou best wel eens Poison Ivy 2.0 kunnen zijn.

[Pimmerd]

Je zou eventueel nog kunnen proberen om te scannen op Rootkit's met Blacklight of The Gmer,
ik weet alleen niet ofdat deze Vista al ondersteunen.