G Data meldet wiederholt Problem mit rpcnetp.exe
 

Hallo zusammen,

ich habe hier einen neuen Lenovo-PC stehen (E73, i5-4460s, 10DR001DGE, W7Prof. 64).
Als Schutzsoftware läuft G DATA Internet Security.

Die Verhaltensüberwachung von G DATA meldet wiederholt einen vermeintlichen Befall der Datei rpcnetp.exe. Hier das Log-File:

Ich habe die Verschiebung der Datei in Quarantäne gewählt, aber das Problem taucht immer wieder auf.
Die betroffene Datei rpcnetp.exe scheint sogar vom System immer wieder neu erzeugt zu werden, zumindest kann ich über die Systemwiederherstellung nachvollziehen, dass es von der Datei immer wieder neue Versionen zu geben scheint. Inzwischen sind mehrere Versionen der Datei in Quarantäne.

Eine der in Quarantäne verschobenen Dateien hat etwas mit dem icls Client zu tun. Dieser ist lt. Web Bestandteil der Intel Management Engine, die auf meinem System installiert ist. Möglicherweise handelt es sich um einen Fehlalarm, aber ich würde gerne auf Nummer sicher gehen, bevor ich Aktivitäten dauerhaft erlaube, die G Data beanstandet.

Natürlich habe ich zuerst den Kontakt zu G Data gesucht. Die haben mir gestern auch bestätigt, dass sie alle erforderlichen Informationen vor einer Woche erhalten haben. Allerdings gibt es bei den Kollegen so viel zu tun, dass man mir nicht sagen kann, bis wann man sich mit meinem Problem beschäftigen wird. Darum bitte ich Euch, mir Eure Unterstützung zu gewähren, damit ich in der Sache weiter komme und ein mögliches Risiko beseitigen kann.

Vielen Dank vorab für Eure Hilfe.
writeoff

hi,

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hi schrauber,

danke, dass Du mir hilfst.

Der Download hat geklappt.

Beim Start von FRST meldete die GData VErhaltensüberwachung ein neues Problem

Ich habe den Programmzugriff dann einmalig erlaubt, damit wir weiterkommen.


Hier die Ergebnisse:

1. Addition.txt


FRST.txt kommt in weiterem Post.


Beste Grüße

writeoff

... und jetzt der erste Teil der FRST.txt:

Beste Grüße
writeoff

...und der Rest der FRST.txt


Beste Grüße
writeoff

Hi schrauber,

mir ist beim Lesen der Addition.txt etwas aufgefallen. Da ich mir nicht sicher bin, ob es für unser Thema relevant ist, teile ich es Dir lieber mit.

Aus dem log im ersten Post kann man sehen, dass G Data auch eine Datei des iclsclient in Quarantäne verschoben hat.
"c:\windows\syswow64\config\systemprofile\appdata\local\intel\icls client\iclsclient.log"
Der iclsclient gehört zur Intel Management Engine.

In der Addition.txt steht unter disabled services unter anderem
"MSCONFIG\Services: LMS => 2" .
Auch dieser Service hat mit der Intel Management Engine zu tun.

Ich hatte eine Reihe von Services und Autostarteinträgen deaktiviert, weil Lenovo den Rechner derart vollgeknallt hat mit allem möglichen unnützen Kram, dass der Rechner ewig lange zum Booten benötigt hat.

Ist es denkbar, dass ich mir dabei selber ins Knie geschossen hab? Das Booten geht jetzt zwar superschnell, aber möglicherweise fehlt einer der services und das führt zur besagten Meldung.

Dann müsste ich mich zwar ganz schön schämen, aber wenn wir dadurch den Fehler hätten und uns weitere Suchen ersparen könnten, dann wäre Schämen für mich ok.

Sofern das alles Quatsch ist --> nichts für Ungut, ich freue mich auf Deine nächsten Anweisungen.

Beste Grüße

writeoff

Öffne mal bitte FRST, in die Search Box folgendes kopieren:

rpcnetp.exe


und auf Search Files klicken.

das Ergebnis

search.txt

Suche bitte wiederholen, diesmal damit:

rpcnetp.*

... das Ergebnis

Tolle Wurst, kein Replacement da.


Bitte Windows Repair laufen lassen:
Windows reparieren - so geht's - Anleitungen

Hallo Schrauber,

danke, bin schon am downloaden von tweaking.com.

Gestern tauchte das Problem übrigens den ganzen Tag trotz mehrfachem Boot nicht auf. Heute wieder das gewohnte Bild: Rechner bootet ok, nach einigen Minuten schlägt die Verhaltensüberwachung dann wieder an und meldet rpcnetp.exe als verdächtig. Was auch immer da tätig wird, es findet nicht jeden Tag statt.

Noch eine Hinweis: das Problem ist zum ersten Mal aufgetaucht an Tag der Installation einer neuen Version (25.1.0.4) von G Data. Mit der 25.1.0.3 gab es keine Meldungen.

Beste Grüße
writeoff

Zur Not fragen wir mal beim GDATA Support an :)

Mein erster Anruf bei G Data war am 22.4.. An diesem Tag hatte ich um 18:32 G Data upgedatet auf die 25.1.0.4 und um 19:28 kam das Problem zum ersten Mal. Habe alle Infos an G Data hochgeladen, wie vom Support gefordert.

Am 1.5. (also nach 9 Tagen) habe ich nachgefragt, wie denn der Stand wäre. Meine Uploads lagen vor und waren beim 2nd Level zur Untersuchung.

Heute habe ich wieder angerufen, aber immer noch keine Antwort vom 2nd Level.

Habt Ihr da einen besseren Draht? Über meine Kanäle komme ich da nicht weiter.

Beste Grüße
writeoff

Noch ein paar Infos

1. Auch bevor das Problem am 22.4. das erste Mal gemeldet wurde, hat mein Rechner immer wieder die rpcnetp.exe modifiziert. Ich habe 7 Wiederherstellungspunkte, vor dem 22.4., bei denen immer eine Dateiversion mit anderem Änderungsdatum gespeichert ist. Vor dem 22.4. hat sich G Data daran aber nicht gestört.

2. Der zeitliche Verlauf der Meldungen ist merkwürdig:
vor 22.4.: Rechner läuft ohne Problem;
22.4.: Problem taucht auf;
23.-24.4.: Rechner läuft ohne Problem;
26.-27.4.: Rechner läuft ohne Problem;
30.4.: Rechner läuft ohne Problem;
1.5.: Problem taucht auf;
2.5.: Problem taucht auf;
3.5.: Problem taucht auf;
4.5.: Rechner läuft ohne Problem;
5.5.: Problem taucht auf;

Beste Grüße
writeoff

Nee, bei GDATA kenn ich leider keinen :)

Da wir anscheinend beide das G Data Update als Ursache in Erwägung ziehen und da G Data noch nicht geantwortet hat, könnte ich doch die Wartezeit auf die Antwort nutzen, um einfach mal via Systemwiederherstellung auf den Status vor dem Update zurückgehen.

Wenn der Fehler verschwunden sein sollte, hätten wir ja das Ziel erreicht. Wenn nicht, ist nichts versaut. Daten sind mehrfach gesichert, das Risiko ist also überschaubar.

Davon unabhängig wäre es natürlich schön zu wissen, welche Task/welcher Prozess immer wieder die rpcnetp.exe ändert und warum das nicht jeden Tag passiert, sondern dem oben beschriebenen merkwürdigen Muster folgt. Da das schon lange vor dem ersten Auftreten der Problemmeldung passierte, ist es möglicherweise völlig ok und harmlos. Die Verhaltensüberwachung hat ja auch FRST angemeckert, ohne dass FRST bösartig wäre (hoffe ich zumindest :D).

Sollen wir das so machen? Ich würde mich sofort wieder melden, wenn einer der folgenden Bedingungen erfüllt wäre:
1. Antwort von GData liegt vor
2. Fehler taucht wieder wieder auf (dann wäre die Idee mit der Wiederherstellung geplatzt)
3. Fehler taucht mindestens eine Woche nicht auf (das wäre ein deutlich längerer fehlerfreier Zeitraum und damit ein Hinweis, dass an der Idee etwas dran sein könnte.)

Beste Grüße
writeoff

Klingt gut :)

OK, dann lege ich los und melde mich unter den oben beschriebenen Bedingungen.

Beste Grüße
writeoff

ok :)

Hallo schrauber,

kurze Wasserstandsmeldung:

Rechner läuft seit Systemwiederherstellung ohne Probleme. Immer noch keine Antwort von G Data auf meine wiederholten Anfragen.

Die Hypothese des Zusammenhangs mit der neuen Version von G Data ist also zumindest nicht widerlegt.

Ich lasse den Test einfach noch etwas weiterlaufen, in der Hoffnung auf eine baldige Antwort von G Data. OK?

Beste Grüße
writeoff

jop :)

Hallo schrauber,

heute ist der Monatserste und das Problem ist wieder da.

Auch am ersten Mai ging das Problem nach einer längeren problemfreien Zeit los.

Was passiert da immer am Monatsersten und an den nachfolgenden Tagen? :confused:

Von G Data natürlich immer noch keine Antwort.

Beste Grüße
writeoff

Öhm, Patchday MS war schon.....Schau mal ins Update-Log von GDATA.

Der Support rührt sich immer noch nit???????

Wenn ich das bei Emsisoft so machen würde wäre ich schon lange ohne Job :)

Hallo schrauber,

habe gestern Abend wieder mal mit dem Support telefoniert. Mein Upload sei beschädigt gewesen; ich solle die Datei nochmal hochladen. :aufsmaul:
Habe ich dann auch gemacht und warte weiter ab.

In der Zwischenzeit habe ich mir einen Downloadlink der 25.1.0.3 bestellt. Während des Wartens auf die Antwort des 2nd Level werde ich die "Systemwiederherstellungsreparatur" komplett deinstallieren und dann die 25.1.0.3 sauber aufspielen. Kommt der Fehler erneut, dann ist die Versionshypothese final erledigt.

Spannend ist für mich immer noch die Frage, ob es ein Zufall ist, dass das Problem zum zweiten Mal nach länger Pause am Monatsersten aufgetreten ist. Immerhin war heute Ruhe, im Gegensatz zum 2.5.

Vielleicht läuft da einfach etwas im HIntergrund, was gar kein Problem ist und zu Unrecht von der Verhaltensüberwachuing angemeckert wird. Es wird ja auch ein Logfile des ICLS Client in die Quarantäne verschoben, und das ist laut Web ein Intel Produkt.

Blöde Sache, wenn man seinem Rechner nicht trauen kann. Na ja, das kann man heute aus anderen Gründen vermutlich sowieso nicht. :lach:

Sollen wir erstmal aud den 2nd Level warten und ich installiere inzwischen die 1.0.3?

Beste Grüße
writeoff

Zu früh frohlockt.

Nachdem der heute den ganzen Tag ohne Probleme lief, habe ich ihn eben runtergefahren. Musste dann nochmal ran und peng! da war der Alarm wieder.

Diesmal ist mehr als sonst in die Quarantäne gegangen.

Beste Grüße
writeoff

Wenn Du die Muße hast, alles raus aus der Quarantäne und nochmal bei Virustotal scannen.

So,

ich hatte die Muße und habe alles bei virustotal gescannt.

Erkennungsrate immer 0.
Immerhin liefert virustotal bei der rpcnetp.exe folgende zusätzlichen Informationen, die sich ebenfalls auf Verhaltensanalysen beziehen.






Beim Installieren der 25.1.0.3 würde die Quarantäne gelöscht. Das wird doch kein Problem sein, oder? Wenn der Fehler weg ist, benötigen wir die alten Quarantäne-Files nicht mehr. Wenn der Fehler wiederkommt, haben wir neue Files in der Quarantäne. Korrekt?

Beste Grüße
writeoff

korrekt :)

Hallo Schrauber,

der Rechner ist aktuell wieder friedlich, vermutlich bis zum 1.7..

Abwechslungsreich ist es an der G Data-Front.

Nachdem die ersten eingesendeten Quarantäne-Daten angeblich nicht lesbar waren, habe ich die Daten auf dem beschriebenen Weg mit dem speziell heruntergeladenen Tool ein weiteres Mal verschickt.

Hat dann wieder gedauert; danach die nächste Mail gleichen Inhalts: Daten unlesbar, bitte erneut einsenden. Habe dann die Hotline angerufen und gefragt, wie oft ich das denn noch machen solle. Der Agent schlug dann vor, alle Quarantäne-Files in ein Archiv zu packen und dieses per Mail zu versenden. Das haben wir dann live und gemeinsam erledigt, so dass am Ende des Telefonats die Daten per Mail versendet waren. Das war am Dienstag.

Heute kam eine Mail, dass ich die Daten des Quarantäne-Ordners erneut einsenden solle.

Jetzt habe ich alle Dateien der Quarantäne nochmal gezippt versendet, danach auch noch ungezippt versendet und zusätzlich dann noch alle Files des letzten Vorfalls unverschlüsselt abgeschickt. Mal sehen, mit welcher Ausrede die Kollegen diesmal ihren Job nicht erledigen.

Das ist doch echt nicht normal, oder?

Beste Grüße
writeoff

der Support ist ja mal nice :)

Und wieder hat sich der Support gemeldet. Ich hätte die rpcnetp.exe gar nicht geschickt. Wieder angerufen, auf meine Mails von letzter Woche hingewiesen, und, oh Wunder: natürlich lag die Datei vor. Höfliche Entschuldigung der Dame am Telefon, und sie werde die Datei gleich an den 2nd Level weiterleiten. :koch:

Ob die sich einen Spaß mit mir machen?????

Beste Grüße
writeoff

Nö, die verdienen aber so viel Kohle mit gewerblichen, dass Normalo-user egal sind. Meine persönliche Meinung :)

Hallo Schrauber,

kaum sind 2 Monate vorbei, schon gibt es eine Antwort von GData. "Die Prüfung der von Ihnen eingeschickten Datei durch unserer Virenlabor hat ergeben, dass die Software "LoJack" zu der die Datei gehört, ein Verhalten an den Tag legt, das echter Malware sehr ähnlich ist. Da zudem die Möglichkeit besteht, dass die Software durch Malware missbraucht werden kann, um Zugriff auf den jeweiligen PC zu erhalten, empfehlen wir Ihnen, diese Software nicht weiter zu verwenden."

Habe etwas recherchiert:LoJack kommt von einer Fa. namens Absolute Software. LoJack ist angeblich eine Sicherheitssoftware, die es erlaubt, gestolene Rechner wieder aufzufinden oder die FP per Fernbefehl zu schrotten. Hier der Link: hxxp://thinkwiki.de/Computrace

Bestimmt ok für ein Notebook, aber eher unnötig für einen Tower-PC. Anscheinend funkt das Teil regelmäßig nach Hause, um abzufragen, ob es die FP sprengen soll.

Immerhin ist es offensichtlich kein Virus, insofern aus dieser Sicht Entwarnung. Trotzdem ist es irgendwie schräg, eine Art Handgranate auf dem Rechner zu haben, bei der man keine Kontrolle darüber hat, ob diese ge- oder entsichert ist. Ich würde LoJack daher lieber loswerden.

Jetzt das Beste: ich finde nirgendwo in der Liste der installierten SW das Programm. Wie werde ich so etwas denn wieder los? Habe im Web einen Hinweis gefunden, dass die SW im BIOS verankert sei, aber auch im BIOS habe ich nichts gefunden, was ich disablen könnte. Bin gerade etwas ratlos und hoffe sehr, dass Du mir helfen kannst.

Beste Grüße
writeoff

Welche Datei genau hast du eingeschickt?

Hallo schrauber,

erst die Antwort auf Deine Frage: eingeschickt habe ich die rpcnetp.exe.


Jetzt die News mit Tendenz zu einer guten Nachricht:

Nach quälenden und letztlich völlig nutzlosen Telefinaten mit Lenovo, die schlicht abstreiten, dass sie diese SW installiert haben, habe ich gerade mit Absolute Software telefoniert und in London jemanden aufgetrieben, der sich scheinbar etwas auskannte.

In der Tat war deren SW auf meiner Maschine installiert und hat sich fröhlich jeden Tag auf deren Servern gemeldet und nachgefragt, ob der Rechner denn als gestolen gemeldet sei und ob er sich selber in die Luft sprengen solle. Der freundliche Mitarbeiter hat jetzt angeblich die SW deaktiviert, so dass mein Rechner bei der nächsten Routine-Meldung den Befehl bekommt, mit diesem Unsinn aufzuhören. Eine physische Löschung auf meinem Rechner sei nicht möglich; ich müsse mich mit der Deaktivierung zufriedengeben.

Damit haben wir meiner Meinung nach jetzt folgende Erkenntnisse:
1. GData hat die gemeldete/beanstandete Datei als Bestandteil von LoJack von Absolute Software identifiziert. Diese Aussage war aber noch nicht verifiziert.
2. Absolute Software hat bestätigt, dass die SW auf meinem REchner aktiv ist und dass mein Rechner sich täglich bei deren Servern meldet. Damit erscheint die Aussage von GData plausibel, dass es sich wirklich um LoJack handelt.
3. Die Software ist zwar kein Virus, verhält sich aber wie Schadsoftware und birgt Risiken für externe Manipulationen. Deshalb sollte sie nach Möglichkeit entfernt werden.
4. Der Support von Absolute hat die SW angeblich deaktiviert. Eine Löschung sei unmöglich, selbst durch ein neues Aufspielen des BS könne man das nicht schaffen.

Das ist aus meiner Sicht der aktuelle Kenntnisstand. Teilst Du meine Bewertung, oder liege ich daneben?
Falls Du meine Bewertung teilen solltest: wollen wir wieder auf den Abwartepfad gehen und sehen, ob noch etwas kommt, oder empfiehlst Du ein anderes Vorgehen wie z.B. den Versuch einer vollständigen Entfernung?

Übrigens ist es scheinbar völlig irrelevant, dass GData die rpcnetp.exe in Quarantäne geschickt hat. Die Software funkt trotzdem fröhlich meinen Standort und was auch immer in die Welt hinaus.

Beste Grüße
writeoff

Die Datei ist eine völlig legitime Windows Datei. Hast Du die mal bei Google eingegeben? :)
Von daher bringt entfernen da nix.
Ich würde mal abwarten ob GDATA weiter meckert.

Hallo schrauber,

ich habe mit diesem Thema so viele Stunden mit Google verbracht, dass ich bestimmt bald ne goldenen Ehrenmedaille von denen bekomme. :crazy:

Bei Thema "Entfernen" hatte ich nicht an die rpcnetp.exe gedacht, sondern daran, dass irgendwo auf dem Rechner ja die inzwischen hoffentlich deaktivierte Software herumliegen muss. Wenn die nur deaktiviert ist, kann sie auch durch was auch immer wieder aktiviert werden. Der Agent von gestern sagte, dass die SW sich irgendwo permanent auf dem Rechner einniste und auch ein neues Aufspielen der SW unbeschadet überstehe. Denen einfach zu glauben, dass der Sender jetzt abgeschaltet sei, fällt mir nicht ganz leicht. Daher meine Frage nach einer dauerhaften Entfernung.

Abwarten macht vermutlich am meisten Sinn, weil der nächste Monatserste ja bald kommt. Bleibt GData still, wäre das ein gutes Indiz dafür, dass die SW (fürs Erste) Ruhe gibt.

Beste Grüße
writeoff

Poste mal frische FRST Logs, wir gehen mal auf die Suche :)

FRST TEil 1

FRST Teil 2

Additi0on.txt

[CODE]Additional
FRST Logfile:
--- --- ---


Beste Grüße
writeoff

Hallo schrauber,
mir ist da etwas aufgefallen::glaskugel:

In der Addition.txt gibt es den Abschnitt
"==================== MSCONFIG/TASK MANAGER disabled items =="


Wenn ich mir die da aufgelisteten Services ansehe, dann stimmen die von Inhalt und Reihenfolge exakt mit den Services, die in MSconfig kein Häkchen mehr haben. Klar, deshalb sind sie ja auch "disabled".

Es gibt aber eine Ausnahme in der Liste:
"MSCONFIG\Services: rpcnet => 2"

Dazu findet sich in MSconfig nichts.

RPCNET und RPCNETP sind die immer wieder im Zusammenhang mit LoJack genannten Exes. Auch der Agent von Absolute Software sprach vor allem von der rpcnet.exe.

Möglicherweise ist das nicht wichtig, aber schaden wird die Info bestimmt auch nicht ;)

Beste Grüße
writeoff

Lade SystemLook von jpshortstuff von einem der folgenden Spiegel herunter und speichere das Tool auf dem Desktop.
SystemLook (64 bit)

• Doppelklicke auf die SystemLook_x64.exe, um das Tool zu starten.
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  
  Code:

  ---

  :regfind
rpcnet
:filefind
*rpcnet*

  ---

• Klicke nun auf den Button Look, um den Scan zu starten.
• Der Suchlauf kann einige Zeit dauern.
• Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, poste diese in deinen Thread.
• Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert.

Hallo schrauber,

das Ergebnis:



Der Treffer unter C:\Users\XXXXXX\Desktop\Quarantäne\ geht auf mich zurück; das sind die Files, die ich aus der Quarantäne extrahiert hatte, um sie an den Support von GData zu senden.

Beste Grüße
writeoff

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument


Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

Hallo schrauber,

das Ergebnis. Zusatzinfo: FRST lief um 14:44 und rebootete dann. Um 14:46, vermutlich während des Reboots, wurde die Datei C:\Windows\System32\rpcnetp.exe wieder neu angelegt. Das Ding hat offensichtlich Krallen.



Hier das Ergebnis von Systemlook:




Beste Grüße
writeoff

Lade Dir bitte mal procmon, dann die Datei löschen und aufzeichnen, so kannste sehen wer die Datei wieder neu erstellt :)

Hallo schrauber,

procmon läuft. Habe quasi zum Üben zuerst mal auf den Bootvorgang verzichtet und nur das Löschen der rpcnetp.exe protokolliert. Die Datei wurde nicht automatisch neu angelegt; anscheinend passiert das nur beim Booten.
Der gesamte Vorgang hat keine Minute gedauert und ca. 500.000 Einträge erzeugt. Habe diese Einträge gefiltert mit "PATH enthält rpcnetp". Da sind dann noch 56 Einträge übrig geblieben.

Jetzt wollte ich die Einträge hier posten, aber finde keinen Weg, einen Text zu erzeugen. Habe fürs Erste mal den Umweg über CSV gewählt. Hilft Dir das, oder soll ich die Daten anders aufbereiten?

Wenn ich mit procmon richtig umgehen kann und das Reporting beherrsche, kann ich ja die rpcnetp.exe löschen und dann den Rechner neu booten. Dabei wird die Datei vermutlich neu angelegt, so dass wir sehen sollten, wer da tätig wird.
Wobei, der Agent von Absolute Software sagte etwas davon, dass die SW im MBR versteckt sei. Wird die dann nicht schon aktiv, bevor Procmon loslegt?

Hier der CSV-Mitschnitt der Einträge mit rpcnetp:

Beste Grüße
writeoff

Mach mal bei Reboot, dann die komplette CSV zippen und anhängen.

Hallo schrauber,

die Datei ist so groß, dass beim Export in CSV gut 400.000 Zeilen verloren gehen. Ich habe jetzt erst mal einen Filter auf Path enthält rpcnet gesetzt. Brauchst Du alle Zeilen, und wenn ja, wie bekommen wir die transportiert?

Hier der Auszug aller Zeilen mit RPCNET im Path:

Beste Grüße
writeoff

Hallo schrauber,

jetzt habe ich den Dreh mit procmon soweit rausbekommen, dass ich das Log in 5 vollständige Blöcke teilen konnte. 4 Dateien mit je 300.000 Einträgen, die letzte mit gut 278.000 Einträgen. Die Blöcke geben den zeitlichen Ablauf wieder, aber das siehst Du ja auch am Zeitstempel.
Hat leider ein wenig gedauert, aber für einen Filter auf die Spalte "Time of Day" muss man in der Filtersicht "Date & Time" eingeben. Da musste ich erstmal drauf kommen. :stirn:

Beste Grüße
writeoff

Ok, das muss ich mir zu Hause anschauen. Schick mir bitte heute Abend nochmal nen Reminder per PM.