Mal wieder Probs mit XP (nach neuinstall nicht behoben)

[R300]

Hallo
Seit dem ich meinen neuen PC habe (siehe Sig), habe ich immer wieder 2 Probleme.

1. Zwischendurch reagiert die ganze Windows Oberfläche nicht mehr auf Mausklicks und Tastatureingaben. Alle offenen Programme laufen ohne Probleme weiter.
Das passiert auch wenn ich die Funktionstasten auf der Tastatur drücke z.B. für den Internet Browser. (Hab die Tastatur auch mit Vista getestet um einen Defekt ausszuschließen und unter Vista funktionieren alle Tasten ganz normal.)
Wenn das passiert kann ich nur auf den Power Knopf am PC drücken, dann fährt der ganz normal runter. Den Taskmanager kann ich zwar aufrufen aber nichts anklicken.

2. svchost.exe (Die kleinste, nach Windows start ca. 2,5MB groß) verursacht 50% CPU auslastung solange ich nicht mit dem Internet verbunden bin.
Sobald ich aber verbunden bin, ist die Auslastung wieder auf 0%.

Ich habe bereits Windows neuinstalliert und nachdem ich alle Updates von Microsoft installiert habe sind diese Probleme wieder da.

[CCCP]

google is u friend

google nach "xp svchost.exe 100% cpu usage connected internet"

was ich dazu gelesen hab sollte ausschalten der automatischen windoof updates abhilfe schaffen.

[R300]

Naja ich finde nichts. Außerdem ist deine Suchanfrage auch falsch. Ich habe nur volle Auslastung wenn ich NICHT mit dem Internet verbunden bin.

Sobald ich verbunden bin ist alles in bester Ordnung.
Und der Dienst für automatische Updates ist schon lange aus. ;)

Wenn du was findest kanns du ja auch einen Link hier posten.

[CCCP]

hmm mit offline hab ich auch nichts gefunden, aber wenn es ohne updates ging und danach nicht mehr koennte es auch an einem dienst liegen welches unter svchost laeuft, bzw man hat sich was eingefangen, nachschauen kannst es z.B. mit diesem Tool (http://www.microsoft.com/technet/sysinternals/utilities/ProcessExplorer.mspx). svchost mit rechtsklick properties und dann unter services die jeweiligen dienste durchprobieren. ich nehm an hijack und co hast schon drubergebuegelt.

[Grestorn]

Wenn es Deine erste Aktion ist, alle augenscheinlich überflüssigen Dienste zu deaktivieren, nachdem Du Dein XP installiert hast, dann wundert mich das ehrlich nicht besonders.

Wenn Du keine AutoUpdates willst, dann schalte sie an der vorgesehenen Stelle aus und fummel nicht mit den Diensten rum.

[xenomat]

Normalerweise sollte es nichts ausmachen den Automatic Updates Service auszuschalten. Mach ich auch, sammt Security Center usw...

Allerdings sollte man die Services schon kennen, die man ausschaltet.
Der DNS-Client läuft z.B. alleine über einen svchost. Die anderen sind geteilt.
Gib mal in der Commandozeile folgendes ein:> tasklist /svc
Vielleicht lässt sich damit das Problem finden.

[R300]

http://www.r300.nggt.net/Bilder/windows.PNG

Hat wohl was mit dem dnscache zu tun...

Am DNS-Client Dienst hatte ich nichts verändert, also startet automatisch.

[xenomat]

http://www.r300.nggt.net/Bilder/windows.PNG

Hat wohl was mit dem dnscache zu tun...

Am DNS-Client Dienst hatte ich nichts verändert, also startet automatisch.
Den DNS-Client brauchst du im Grunde nicht, der speichert nur aufgelöste IP-Adressen. Warum der so viel Rechenleistung braucht ist mir nicht ganz klar.
In der Kommandozeile kannst du mit ipconfig /displaydns den Cache anzeigen lassen. Mit ipconfig /flushdns kannst du den Cache löschen, und so erst mal schauen ob das allein vielleicht was bringt.
Oder einfach den DNS-Client Service deaktivieren, dann fragt dein Rechner immer den DNS deines ISP oder des Gateways/Routers ab, was eigentlich genauso geht. Ich hab den DNS-Client bei all meinen Rechnern immer deaktiviert, weil für ein normales Heimnetz ist der meiner Meinung nach überflüssig.

<edit>
Vielleicht ist der auch infiziert? Ist Datum/Uhrzeit von dnsrslvr.dll in system32 und dllcache gleich bzw. auffällig neu? Ich glaub du solltest auch mal Hijackthis drüberschauen lassen. :)
</edit>

[Grestorn]

Oder einfach den DNS-Client Service deaktivieren, dann fragt dein Rechner immer den DNS deines ISP oder des Gateways/Routers ab, was eigentlich genauso geht. Ich hab den DNS-Client bei all meinen Rechnern immer deaktiviert, weil für ein normales Heimnetz ist der meiner Meinung nach überflüssig.


Damit erzeugst Du eine unheimlich große Last auf dem DNS Server, denn beim Laden einer Webseite wird für jedes popelige Bild immer wieder der DNS Server angefragt. Abgesehen davon, dass eben das Laden von komplexen Seiten dadurch deutlich langsamer wird.

[xenomat]

Damit erzeugst Du eine unheimlich große Last auf dem DNS Server, denn beim Laden einer Webseite wird für jedes popelige Bild immer wieder der DNS Server angefragt. Abgesehen davon, dass eben das Laden von komplexen Seiten dadurch deutlich langsamer wird.
Ich kann da keinen großen Unterschied feststellen. Der Browser hat einen Cache für Daten, Grafiken usw., die werden auch nicht jedes mal neu geladen.
Und ob der DNS wirklich für jede Datei neu gefragt wird, auch wenn diese auf der selben Domain liegen, ist mir ehrlich gesagt nicht bekannt.

Wenn ich den DNS-Client benutze, würde ich zumindest die maxTTL per Registry einstellen, sonst hab ich eventuell nicht immer die aktuelle IP/Adresse.

[Grestorn]

Und ob der DNS wirklich für jede Datei neu gefragt wird, auch wenn diese auf der selben Domain liegen, ist mir ehrlich gesagt nicht bekannt.

Genau damit das nicht passiert, gibt es einen DNS-Cache im IP-Stack des Betriebssystems. Der Browser merkt sich die IP-Adresse ganz sicher nicht, warum sollte er. Und ja, jede Anfrage für ein Bild baut eine neue HTTP Verbindung auf.

Wenn ich den DNS-Client benutze, würde ich zumindest die maxTTL per Registry einstellen, sonst hab ich eventuell nicht immer die aktuelle IP/Adresse.

Weil sich die IP-Adressen hinter einem DN ja so oft ändern... Selbst bei Servern hinter einem DynDNS Namen ändert er sich bestenfalls einmal am Tag.

[R300]

So habe erstmal den DNS Cache gelöscht und dann den DNS Client deaktiviert.

Jetzt verursacht kein Prozess mehr 50% Auslastung aber die CPU Auslasstung ganz unten in Taskmanager ist immer noch bei 50%. O.o

AntiVir findet bei mir nichts. (BTW: welcher kostenloser Viren Scanner ist am besten ;) )

hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 16:20:57, on 29.03.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\ObjectDock\ObjectDock.exe
C:\Programme\KSE\nHancer 32bit\nHancer.exe
C:\Programme\KSE\nHancer 32bit\nHancerService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Kevin\LOKALE~1\Temp\Rar$EX14.640\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [ObjectDock] C:\Programme\ObjectDock\ObjectDock.exe
O4 - HKCU\..\Run: [nHancer] "C:\Programme\KSE\nHancer 32bit\nHancer.exe" /tray
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1174503894156
O17 - HKLM\System\CCS\Services\Tcpip\..\{A3D4E45A-D597-4E21-BC34-C561FC814668}: NameServer = 195.50.140.114 195.50.140.252
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: iPod Service - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: nHancer Support (nHancer) - KSE - Korndörfer Software Engineering - C:\Programme\KSE\nHancer 32bit\nHancerService.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe


Ist da was verdächtiges?

[xenomat]

Weil sich die IP-Adressen hinter einem DN ja so oft ändern... Selbst bei Servern hinter einem DynDNS Namen ändert er sich bestenfalls einmal am Tag.
Ich leg keinen Wert darauf, was bestenfalls ist, das kann ja auch Tage oder Wochen sein. Gegen einen maxTTL von z.B. 2 Stunden spricht ja nix.

Zum Testen wird er den Service ja mal abschalten können, davon geht die Welt nicht unter. Ich lass den aus, schliesslich surfe ich nicht 12 Stunden am Tag ununterbrochen 5 Millionen verschiedene Seiten an...

...aber die CPU Auslasstung ganz unten in Taskmanager ist immer noch bei 50%. O.o
Interessant... was sagt denn der Process Explorer dazu?

Also mir fällt nix Besonderes auf, aber ich hab auch nicht alles im Hirn. ;) Du kannst dir auch Erklärungen zu den Punkten anzeigen lassen. Und zur Nicht-Standart Software wie iPod und Adobe usw... wirst du selbst besser wissen, ob die da hin gehören, ich kenn ja deinen Rechner nicht.

[CCCP]

hmm nichts gefunden und http://www.hijackthis.de/ fand auch nichts, sieht wie bei einem rootkit aus das etwas versteckt laeuft, bzw der windoff einen an der klatche hat. format c: were woll die schnellste loesung, aber vieleicht hatte einer forumleser schon so ein problem...

[R300]

format C:\ hats ja schon hinter sich. Nach der Neuinstallation + alle Windoof Updates war das Problem wieder da.

Ich warte noch ein bisschen und dann versuch ichs nochmal.