[hi] - Trojaner?
- Ersteller xeed
- Erstellt am
SubNatural
Commander
- Registriert
- Jan. 2009
- Beiträge
- 2.781
Lad die Datei mal bei http://www.virustotal.com/ hoch und guck.
Normal ist SMSS.exe das Session Manager Subsystem
Normal ist SMSS.exe das Session Manager Subsystem
ReignInBlo0d
Commander
- Registriert
- Juni 2008
- Beiträge
- 2.281
@ Aemix:
dass die Datei von selbst den Namen ändert, ist schonmal ungewöhnlich. So manche Malware tut dies auch. Möchte aber keine voreiligen Schlüsse ziehen, würde auch den Upload auf Virustotal empfehlen. Ergebnis bitte hier posten.
dass die Datei von selbst den Namen ändert, ist schonmal ungewöhnlich. So manche Malware tut dies auch. Möchte aber keine voreiligen Schlüsse ziehen, würde auch den Upload auf Virustotal empfehlen. Ergebnis bitte hier posten.
Boogeyman
Vice Admiral
- Registriert
- März 2005
- Beiträge
- 6.816
Besorge dir mal den Prozess Explorer, ev. kannst du damit besser arbeiten. Wenn der Prozess dort auftaucht, einfach doppel klicken und du kannst die Pfade sehen.
https://www.computerbase.de/downloads/systemtools/process-explorer/
Bei Vista/Sieben das Teil mit Rechtsklick "Als Administrator ausführen" starten.
https://www.computerbase.de/downloads/systemtools/process-explorer/
Bei Vista/Sieben das Teil mit Rechtsklick "Als Administrator ausführen" starten.
wird er nicht. auch der smss wird nur 1 mal angezeigt.
so nennt sich das ding um wenn ich drauf zugreifen will
virustotal findet in allen 3 smss.exe nix. darum gehts aber auch garnich, sondern um das teil ganz unten.
los helft mir mal das ding muss runter. der rechner lahmt wie sau.
so nennt sich das ding um wenn ich drauf zugreifen will
virustotal findet in allen 3 smss.exe nix. darum gehts aber auch garnich, sondern um das teil ganz unten.
los helft mir mal das ding muss runter. der rechner lahmt wie sau.
Anhänge
Boogeyman
Vice Admiral
- Registriert
- März 2005
- Beiträge
- 6.816
Wie jetzt? Du solltest schon etwas mehr Informationen geben, was du machst. Die Glaskugeln sind gerade alle beim putzen.Sonst sind dein Informationen recht dürftig:
- Keine Informationen zum Betriebssystem (Patchstand, Service Pack usw.)
- Welche Software zeigt die Infos an
- Seit wann tritt das Problem auf (dubiose Datei aus dem Netz geladen und ausgeführt usw.)
- Was wurde schon unternommen
Zuletzt bearbeitet:
xp sp3 letztes update vor 8 tagen.
die software steht im screenshot - > trojancheck. ist auch die einzige die das teil anzeigt. ansonsten hab ich das gefühl, das jede aktion auf dem rechner aufgezeichnet wird.
dubiose dateien keine soweit ich weiss, ich leg wert auf sicherheit...daher auch noscript, adblock, flashblock, comodo firewall auf paranoid, defense+, sandbox, nur programme die wirklich zugriff brauchen kommen raus. avira free als av...
unternommen wurde eigentlich nix, bis auf die tatsache, das ich schonmal den scheinbaren übeltäter gefunden hab.
nun geht es darum, ihn zu entlarven, damit ich ihn entfernen kann.
bisher schonma danke für eure hilfe
und hier mal was kommt wenn ich ding beenden will
btw ich hab admin rechte.
die software steht im screenshot - > trojancheck. ist auch die einzige die das teil anzeigt. ansonsten hab ich das gefühl, das jede aktion auf dem rechner aufgezeichnet wird.
dubiose dateien keine soweit ich weiss, ich leg wert auf sicherheit...daher auch noscript, adblock, flashblock, comodo firewall auf paranoid, defense+, sandbox, nur programme die wirklich zugriff brauchen kommen raus. avira free als av...
unternommen wurde eigentlich nix, bis auf die tatsache, das ich schonmal den scheinbaren übeltäter gefunden hab.
nun geht es darum, ihn zu entlarven, damit ich ihn entfernen kann.
bisher schonma danke für eure hilfe
Ergänzung ()
und hier mal was kommt wenn ich ding beenden will
btw ich hab admin rechte.
Anhänge
Aemix
Lt. Commander
- Registriert
- Dez. 2008
- Beiträge
- 1.081
naja sowas kann sich ja auch nur bei xp einschleichen.
ich sehe hier nicht wirklich eine möglichkeit diese datei zu löschen.
Ich würde mir den ganzen aufwand sparen und gleich xp nochmal draufspielen, da du genau weisst das du installiert und welche programme du benötigt wäre das natürlich auch eine alternative.
so würde es ewig dauern "ihn zu entlarven", falls du es doch schaffst geb ich einen aus..
ich sehe hier nicht wirklich eine möglichkeit diese datei zu löschen.
Ich würde mir den ganzen aufwand sparen und gleich xp nochmal draufspielen, da du genau weisst das du installiert und welche programme du benötigt wäre das natürlich auch eine alternative.
so würde es ewig dauern "ihn zu entlarven", falls du es doch schaffst geb ich einen aus..
Aemix
Lt. Commander
- Registriert
- Dez. 2008
- Beiträge
- 1.081
ja gerade deswegen. Aber ist natürlich deine entscheidung, für mich wäre das ein zu grosser aufwend nach so einer kleinen unscheinbaren datei zu suchen.
oder du ignorierst sie einfach.
sry dass ich dir nicht viel mehr helfen kann
gruss Aemix
Scheinweltname
Lt. Commander
- Registriert
- Jan. 2008
- Beiträge
- 1.743
PID (Process ID) "4" ist meines Wissens für den Prozess "System" reserviert. Den kann niemand killen; auch nicht mit Admin-Rechten.
Ich würde mal mit HighjackThis und AutoRuns gucken, ob sich da etwas mit einem komischen Zeichensatz im Systemstart eingenistet hat. Und ansonsonsten würde ich mir mit dem ProcessExplorer (als Admin ausgeführt) ein paar mehr Details über den Prozess beschaffen.
Edit: Wie hast du herausgefunden, dass der Prozess mit dem Leistungsadapter zusammenhängt? Guck doch mal in den Abhängigkeiten der Dienste, ob da irgendwas mitgestartet wird.
P.S. Handelt es sich um einen Rechner/ Laptop, der mit den ganzen Hersteller-Programmen zugemüllt ist, oder ists ein selbst aufgesetzter? Falls ersteres, würde ich irgendeins der vorinstallierten Programme verantwortlich machen. Denn die Namen für die Prozesse sehen für mich sehr nach Zeichensatz-Fehlern aus. Vielleicht läuft da irgendein Prozess, den es nur auf chinesich oder so gibt, und mit dem deine Windows-Zeichendarstellung nicht ganz klarkommt.
Ich würde mal mit HighjackThis und AutoRuns gucken, ob sich da etwas mit einem komischen Zeichensatz im Systemstart eingenistet hat. Und ansonsonsten würde ich mir mit dem ProcessExplorer (als Admin ausgeführt) ein paar mehr Details über den Prozess beschaffen.
Edit: Wie hast du herausgefunden, dass der Prozess mit dem Leistungsadapter zusammenhängt? Guck doch mal in den Abhängigkeiten der Dienste, ob da irgendwas mitgestartet wird.
P.S. Handelt es sich um einen Rechner/ Laptop, der mit den ganzen Hersteller-Programmen zugemüllt ist, oder ists ein selbst aufgesetzter? Falls ersteres, würde ich irgendeins der vorinstallierten Programme verantwortlich machen. Denn die Namen für die Prozesse sehen für mich sehr nach Zeichensatz-Fehlern aus. Vielleicht läuft da irgendein Prozess, den es nur auf chinesich oder so gibt, und mit dem deine Windows-Zeichendarstellung nicht ganz klarkommt.
Zuletzt bearbeitet:
hi der ist selbst aufgesetzt und eigentlich auch sauber, wie man an der hijackthis erkennen kann.
herausgefunden hab ich das durch comodo...reset gemacht, und nach und nach zugriffe gegeben. erst nach dem start des WMI kam dieser prozess im trojancheck zum vorschein.
auf nem anderen forum hab ich gelesen, das dies ein auslesefehler des "system" prozesses ist. trotzdem ist mir das sehr schleierhaft...wieso verändert der 2 mal seinen namen.
wie krieg ich denn diesen WMI-spass komplett raus? der prozess läuft, obwohl er deaktiviert ist
herausgefunden hab ich das durch comodo...reset gemacht, und nach und nach zugriffe gegeben. erst nach dem start des WMI kam dieser prozess im trojancheck zum vorschein.
auf nem anderen forum hab ich gelesen, das dies ein auslesefehler des "system" prozesses ist. trotzdem ist mir das sehr schleierhaft...wieso verändert der 2 mal seinen namen.
wie krieg ich denn diesen WMI-spass komplett raus? der prozess läuft, obwohl er deaktiviert ist
Scheinweltname
Lt. Commander
- Registriert
- Jan. 2008
- Beiträge
- 1.743
Welchen Prozess meinst du genau? Manche WMI-Prozesse kriegst du nicht tot und solltest es auch nicht. Bei mir startet z.B. bei Wechseldatenträgern automatisch immer auch "WmiPrvSE.exe"; weiß gar nicht, ob das notwendig ist (bzw. was die macht). Starten bei dir vielleicht Wechselmedien wie USB-Sticks oder -Festplatten mit?xeed schrieb:wie krieg ich denn diesen WMI-spass komplett raus? der prozess läuft, obwohl er deaktiviert ist
Und ich sehe, dass du TuneUpUtilities benutzt: Damit kann man auch viel kaputt machen. Könnte mir gut vorstellen, dass man damit etwas einstellen kann, das dann diese Anzeigeprobleme beim Prozessnamen verursacht.
Wobei: Dieses TrojanCheck 6 ist das einzige Programm, dass diesen verqueren Prozessnamen anzeigt? Vielleicht liegt es einfach an dem Programm
Such mal die "PID" des laufenden Prozesses und guck im ProcessExplorer, ob du die auch da findest ... da müsste dann ja der "richtige" Name stehen.
Zuletzt bearbeitet:
