Hi Community!

In letzter Zeit gibt es immer mehr Malware, die nur noch ein Ziel verfolgt: Dem Opfer nicht zugunsten des Hackes auf die Nerven zu gehen. Dies erreicht Malware zum Beispiel dadurch, dass sie einen Dienst oder Autostart installiert, der zur gesamten Laufzeit des PCs die Leistung ausbremst. Im Forenteil "Alles zu Windows" hatte zB. jemand dieses Problem.

Klar kann man jetzt auch mit HijackThis analysieren lassen, aber ich denke, mit meinem neuen darauf spezialisiertem Tool geht es noch schneller, zumahl das Auslesen des LOG-Files sehr einfach ist.

Das Tool heisst "PerformanceLogger". PL analysiert alle laufenden Prozesse und alle installierten Dienste + Gerätedienste und listet sie im LOG mit einigen Daten zum Leistungsverbrauch auf. Im LOG gibt es extra einen Block in dem auffällige Prozesse stehen, häufig ist dies dann die Malware. PL ist ein sehr kleines, aber feines und doch komfortables Tool.

Das Tool benötigt eine installierte .NET Framework-Laufzeitumgebung. Die Version 3.5 sollte reichen. Ausserdem muss das Tool mit Administratorrechten ausgeführt werden. Nach dem Start des Tools wird ein Sekundenscan durchgeführt, der gleich fertig ist. Das LOG ist dannach: "c:\pl_out.log".

Das Tool tut nur analysieren und ein LOG erstellen, nichts fixen. Deshalb kann man mit dem Tool eigentlich auch nichts falsch machen. Das Tool bietet auch keinerlei Scaneinstellungen.

Wenn ihr Hilfe braucht mit dem Auslesen des LOGs dann meldet euch hier.

ICH WÄRE EINEM VON EUCH KOMPETENZLERN SEHR DANKBAR, WENN IHR EUCH DAS TOOL IN EINER VM ANSCHAUEN WÜRDET UND DANN HIER BESTÄTIGEN WÜRDET, DASS ES SICH UM EIN SERIÖSES TOOL OHNE MALWARE HANDELT!

Der Download für das Tool:
hxxp://www.filehosting.at/file/details/209649/PerformanceLogger.exe (<-- Wieso macht das Forum aus http hxxp???)

Ich hoffe es kann jemand von euch was mit dem Tool anfangen und es trägt im internationalen Kampf gegen Malware bei.

Gruß Sandro

Moin

Der Download für das Tool:
hxxp://www.filehosting.at/file/details/209649/PerformanceLogger.exe (<-- Wieso macht das Forum aus http hxxp???)

damit ein unbedarfter User nicht auf einen aktiven eventuell schädlichen Link klickt

BTW. gibt es keinen Link zum Hersteller/Schreiber?

MFG

Guckst du hier digger. Ich denke mal er hat es selbst gebaut.

Gruß

Acid

Ich will hier noch eine kleine Anleitung zum Lesen dea LOGs anhängen:

Das LOG untergliedert sich in 5 Teile:

1) Haeder
2) Prozesse
3) Dienste
4) Gerätedienste
5) Auffällige Prozesse

und am Schluss steht noch "Scan vollständig beendet".

1) Haeder

Hier sind einige Infos zu PL und ein Verweis auf Trojaner-Board zu finden. Dann steht da noch der Zeitpunkt des Scans, der Windowsbenutzername und der Computername. Dann geht es mit den Scanergebnissen los...

2) Prozesse

Hier sind alle laufenden Prozesse aufgelistet. Jede Zeile ein Prozess. Die Zeilen sind so aufgebaut:

PID | Prozessname | Windows-Prioritätsstufe | Windows-Prioritätsklasse | Speicherbelegung im RAM | Speicherbelegung in der Auslagerung | Benutzerprozessorzeit | Priveligierte Prozessorzeit | Gesamte Prozessorzeit | Startzeitpunkt | CPU-Lastigkeit

Einige Systemprozesse können möglicherweise nicht korrekt aufgelöst werden!

3) Dienste

Zu allen installierten Diensten wird eine Zeile verfasst.

Wenn der Dienst gestartet ist, wird der zugehörige Prozess ermittelt und in oben angegebenem Format ausgegeben.

Wenn der Dienst gestoppt ist, wird folgendes ausgegeben:

Dienstbezeichner | Anzeigename des Dienstes | Zustand des Dienstes (vermutlich gestoppt)

Einige Dienste können möglicherweise nicht korrekt aufgelöst werden!

4) Gerätedienste

Für jeden installierten Gerätedienst wird folgende Zeile verfasst:

Dienstbezeichner | Anzeigename des Dienstes | Zustand des Dienstes | Gerätediensttyp (zB. Kerneltreiber; Dateisystemtreiber)

Von Gerätediensten kann leider keine Prozessorauslastung ermittelt werden, da kein Prozess aufgelöst werden kann!

5) Auffällige Prozesse

Hier wird für jedes auffällige Objekt geschrieben:

PID | Grund für die Auffälligkeit

Es gillt: auffällig heisst nicht unbedingt Malware! In der Regel werden hier auch haufenweise andere Prozesse angezeigt. Ausserdem erkennt PL sich aufgrund von fehlerhafter CPU-Messung leider selbst als auffällig.

@nochdigger
Acid hat recht, ich bin der Hersteller und ich habe derzeit keine Homepage. Gerade weil ich hier nur irgendein halbneuer Nutzer mit 30 Beiträgen bin und mir die meisten hier wohl misstrauen werden, habe ich ja die Bitte, dass jemand von euch die Seriösität meines Tools hier betätigen könnte. Das wäre sehr nett!!!

Sorry für Doppelposting, aber zur Zeit deiner Antwort war mein Post schon in Bearbeitung.

Bei dem Download Link muss ich schonmal ne Email angeben um den Link überhaupt zu bekommen. Sorry, aber nicht mit mir.

Ich denke mal es wäre besser du lernst erstmal bei HJT um was es eigentlich geht bevor du dich an "Tools" versuchst.
DU liest die Dienste aus, was mit den restlichen StartUp Sektionen ?
Dein Tool mit HJT und anderen zu vergleichen ist größenwahn, wenn nicht sogar bescheuert. ( Sorry aber du wolltest eine Meinung )

Und eventuell schon einmal mitbekommen das HJT etwas out ist ?

Wie gesagt, lernen und dann das gelernte umsetzen.

@Email angeben
Ja, ich weiß, das ist doof. Ich bekomme allerdings keinen Spam. Trotzdem mache ich mich auf die Suche nach einem anderen Filehoster. Wenn ich einen gefunden habe, bekommt ihr hier einen Downloadlink, bei dem ihr nicht eure Mail angeben müsst.

@PerformanceLogger vs. HijackThis bzw. andere Anti-Malware-Tools
Ich würde grundsätzlich mal sagen: Erst schaust du dir das Tool an, dann urteilst du. Und nun zum Klarstellen: In 2 Tagen kann ich natürlich niemals ein so komplexes Tool wie HijackThis, OTL, AntiMalware-Bytes, GMER oder sonst was machen. Ich wollte auch gar nie vorhandenen Tools Konkurenz machen! Mein bescheidenes Tool ist zwar klein, aber es macht was ganz anderes als die oben genannten Tools! Ich habe im Internet gesucht, ob es schon ein Tool mit dieser Aufgabe gibt, habe aber nichts gefunden! Mein Tool ist ganz einfach, macht mit keinem anderen Tool Konkurrenz, aber die einzig richtige Wahl wenn es um folgende Aufgabe geht:

Mein PC ist zu 100% ausgelastet obwohl ich gar nichts mache! Ich habe guten Prozessor und viel RAM, daran kann es nicht liegen. Ist Malware drauf? Wie finde ich heraus, welcher Prozess verantwortlich ist?

=>Mit PerformanceLogger. Poste das LOG und ich sage dir welcher Prozess schuld ist. Dann schaust du zB. in dieser Datenbank:

hxxp://www.processlibrary.com/de/directory/a/1/

Und wenn du dann siehst, dass es eine bestimmte Malware ist, verwendest du MalwareBytes (oder andere Tools). Wenn ich tatsächlich nichts finde (sehr unwahrscheinlich), dann kannst du immer noch die Standart-Routine hier machen: OTL, MBAM Logs posten und abwarten.

Mein Fazit: Wenn es darum geht, einen lahmenden Prozess zu finden, geht das mit PL schneller und einfacher als mit OTL. Dafür kann PL nur diese Aufgabe erledigen! OTL kann natürlich noch viel mehr und war 100mal aufwendeiger zu programmieren als mein Tool.

Und Larusso: Wenn du noch irgendwas an meinem Tool vermissen solltest, teile es mir mit, ich arbeite schon an der Version 2.0. Diese Version wird eine grafische Oberfläche haben und eine Möglichkeit bieten, nervige Prozesse zu entfernen (mit vorheriger Sicherung natürlich!)

Larusso: Danke dafür, dass du mir das mit dem blöden Filehoster mitgeteilt hast.

mfg. Sandro

Und hier nochmal ein Download-Link für Larusso:

hxxp://www.fileuploadx.de/779007

Jetzt ist der Nachteil eben: Du musst 1 Minute warten bis der Download zur Verfügung steht. Dafür geht es ganz ohne Email-Adresse. Wenn du einen noch besseren FoleHoster kennst, kannst du mir den gerne mitteilen, dafür wäre ich dankbar.

file-upload.net

Klar kann man jetzt auch mit HijackThis analysieren lassen, aber ich denke, mit meinem neuen darauf spezialisiertem Tool geht es noch schneller, zumahl das Auslesen des LOG-Files sehr einfach ist.

Das sagt mir, dass es schneller als HJT ist. Ist ja auch klar, keine Whitelist. OTL ( als beispiel ) hat über 600 Dateien auf der Whitelist.

Und das Log auslesen als einfach zu bezeichnen ist ebenfalls mumpitz. Hier geht es nur darum, weil du die Logfiles von HJT usw nicht verstehst.

Es werden einfach alle Dienste angezeigt.

Bei den laufenden Prozessen sehe ich zwar welcher Prozess läuft, aber nicht wo sich die Datei befindet.
C:\windows\System32\svchost.exe ist was anderes wie C:\windows\svchost.exe
Das ist um einiges wichtiger wie andere Informationen aus dem Log.

Es zeigt keine Sektionen an, die irgendwie Malware Spezifisch sind oder für uns interesant sind.
Startups
CompanyNamen
Erstellungsdaten neuer Dateien.
Zuletzt veränderte Dateien.

Auffällige Prozesse nur die PID anzeigen und dann soll ich danach suchen zu welchem Prozess die gehört was mir wieder nicht sagt ob es auch wirklich die legitime svchost.exe ist ( Beispiel )

Das Logfile ist viel zu lange für die paar Informationen die angezeigt werden.
Und nur um Prozesse zu finden die das System auslasten gibt es bessere Tools. Man braucht nicht das Rad neu erfinden

Und nun zum Klarstellen: In 2 Tagen kann ich natürlich niemals ein so komplexes Tool wie HijackThis

Wie erwähnt. Lerne Windows, lerne Malware und deren Funktion kennen und dann versuch dich an sowas.
Und dann nimm dir die Zeit für sowas. Keiner schreibt sinnvolle Tools in 2 Tagen.


Fühl dich nicht angegriffen. Du wolltest meine Meinung. Da steht sie.

Ich nimms dir nicht übel, im Gegenteil, ich bin dir dankbar für die Kritik und Anregungen.

@Anregungen
Das meiste von dem, was du genannt hast, kann ich in die Version 2 einbauen. Danke für die Tipps! Eine WhiteList braucht mein aber Tool nicht. Ein Prozess, der 50% CPU-Last hat, ist garantiert kein harmloser Windows-Prozess. Was ich einführen würde:

-Hersteller-Name
-Dateipfad und Dateiname
-Überprüfung nach letzter Änderung

@Rad neu erfinden
Wie ich schrieb, habe ich schon nach Tools dafür gesucht. Ich lege sofort meine Arbeit nieder wenn du mir ein Tool nennst, das auf gleiche Weiße ganz schnell ausspuckt, welcher Prozess für die Systemlast verantwortlich ist. Das ist das Ziel dieses Tools. Aber alles macht natürlich KEINEN Sinn, wenn es so was schon gibt. Es ist gut möglich, dass es schon ein Tool gibt, das mir die Systemlast der Prozesse und einige Infos anzeigen könnte, nur ich kenne es noch nicht, ich wäre aber sehr dankbar, wenn du mir so eins nennen würdest, dann würde ich meine Zeit mit was anderem verbringen, als sinnlos ein Tool zu schreiben, das es schon gibt.

@Programmieren ganz allgemein
Ich bin nun mal begeisterter Programmierer und würde gerne mal ein Tool schreiben, das im Kampf gegen Malware hilft . Ich würde doppelt davon profitieren: Zum einen habe ich Spaß am Proggen und zum anderen hat man am Schluss ein cooles Tool mit Nutzen. Vielleicht hat ja hier jemand ne Aufgabe für mich^^...

Gruß Sandro und nochmal danke Larusso fürs Anschauen des Tools!

Ein Prozess, der 50% CPU-Last hat, ist garantiert kein harmloser Windows-Prozess

So pauschal kannst du das nicht sehen. Bei mir läuft ein Prozess der über 4 Dateien 100% CPU Last erzeugt, und der ist definitiv harmlos.

Gruß

Acid

Es soll User geben, die wundern sich, während sie 3D-Mark 11, Virenscanner, ein Spiel oder sonst was laufen lassen, über ein langsames System, lassen dann PerformanceLogger laufen und meinen dann hurra, sie hätten die Malware gefunden Offernbar war der PhysX-Test von 3D-Mark infiziert oder der Virenscanner oder so

Oder um was für einen Prozess handelt es sich bei dir?

Selbst wenn es sich um einen Windows-Dienst, der routinemäsig läuft, handelt:

PerformanceLogger erstellt nur ein LOG. Die Intelligenz muss immer noch bei dem Menschen liegen, der das LOG analysiert. Sorry wenn ich mich zu pauschal ausgedrückt habe, du hast recht, so pauschal kann man das nicht sagen, aber im LOG lässt sich ja dann alles erkennen.

Wie meinst du das eigentlich mit den 4 Dateien? Oder meintest du 4 Prozessoren?

Gruß Sandro

PS: Zu dem Thema empfehle ich noch die passende Fachlektüre: Kafka - "Der Prozess" ^^

http://technet.microsoft.com/en-us/s...rnals/bb896653