Prozess hatte extrem hohen RAM verbauch
 

Guten Tag,
Gestern stellte ich im Taskmanager fest das ein Prozess namens Feed einen Ram nutzung von 90% hatte und es auch nach 5 minuten nicht weg ging.
Habe den Prozess dann geschlossen und heute war wieder alles normal.
Dann ist mir aufgefallen das ich ein Prozess namens Wininit.exe über Processexplorer auf Virustotal hochgeladen habe und ein Virenscanner ihn als positiv angezeigt hat.
Ich hoffe ihr könnt mir helfen vlt. war es auch einfach nur ein Fehler.
FRST
Addition

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.

Bitte beachte unsere Regeln während der Bereinigung!






Schritt 1
Die folgenden Programme sind veraltet, stören die Bereinigung oder es handelt sich um Werbesoftware (Adware) bzw. Potentiell Unerwünschte Programme (PUP) und müssen entfernt werden.

• Deinstalliere über Start > Einstellungen > Apps die folgenden Programme:
  • OpenOffice Updater
• Starte den Rechner im Anschluss neu.
• Gib eine kurze Rückmeldung, ob die Deinstallation erfolgreich war.

Schritt 2
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 3
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.






Bitte poste mit deiner nächsten Antwort:

• eine Rückmeldung bezüglich der Deinstallation
• die Logdatei von MBAM
• die Logdatei von AdwCleaner

Hallo Matthias,
das Deinstallieren hat funktioniert und den Rest habe ich auch gemacht.
Danke für die Hilfe :)

ADWCleaner

MBAM

Vielen Dank für die Logdateien. :daumenhoc

Wir führen nun zur Kontrolle nochmal FRST aus.



Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

FRST

Addition

Danke für die Logdateien.
Wir entfernen verwaiste Einträge und kontrollieren die Windows Systemdateien, dies kann ein paar Minuten dauern, bitte gedulde dich (Schritt 2).




Schritt 1

• Starte MBAM und klicke rechts oben auf Einstellungen (Zahnradsymbol).
• Wähle den Tab Konto aus und klicke auf Lizenz deaktivieren, bestätige die Nachfrage mit Ja.
• Windows Defender wird sich automatisch wieder aktivieren.
• Du kannst MBAM zur regelmäßigen Kontrolle auf dem Computer belassen.

Schritt 2
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3923431662-1159599851-959753574-1001\...\Run: [GalaxyClient] => [X]
CustomCLSID: HKU\S-1-5-21-3923431662-1159599851-959753574-1001_Classes\CLSID\{28A80003-18FD-411D-B0A3-3C81F618E22B}\InprocServer32 -> C:\Users\Manuel\AppData\Local\Kingsoft\WPS Office\11.2.0.10426\office6\kwpsmenushellext64.dll => Keine Datei
C:\Users\Manuel\AppData\Local\Kingsoft
C:\Users\Manuel\Downloads\audacity-win3.0.0.exe

startpowershell:
Set-Service -Name "BITS" -StartupType Manual -Verbose
Set-Service -Name "Dhcp" -StartupType Automatic -Verbose
Set-Service -Name "EventLog" -StartupType Automatic -Verbose
Set-Service -Name "EventSystem" -StartupType Automatic -Verbose
Set-Service -Name "nsi" -StartupType Automatic -Verbose
Set-Service -Name "RasMan" -StartupType Manual -Verbose
Set-Service -Name "SDRSVC" -StartupType Manual -Verbose
Set-Service -Name "SstpSvc" -StartupType Manual -Verbose
Set-Service -Name "TrustedInstaller" -StartupType Manual -Verbose
Set-Service -Name "VSS" -StartupType Manual -Verbose
Set-Service -Name "Winmgmt" -StartupType Automatic -Verbose
Set-Service -Name "wuauserv" -StartupType Manual -Verbose

Set-MpPreference -DisableAutoExclusions $true -Force
set-mppreference -mapsreporting basic -Force
set-mppreference -DisableRealtimeMonitoring $false -Force
set-mppreference -DisablePrivacyMode $true -Force
set-mppreference -DisableIOAVProtection $false -Force
set-mppreference -CheckForSignaturesBeforeRunningScan $true -Force
set-mppreference -PUAProtection enabled -Force
Set-MpPreference -DisableBehaviorMonitoring $false -Force
Set-MpPreference -SignatureScheduleDay Everyday -force
set-mppreference -RealTimeProtectionEnabled $true -force
set-mppreference -OnAccessProtectionEnabled $true -force

# 4-14-2022 M. Naggar
# Funtion Remove-all-windefend-excludes to Remove all exclusions on MS Windefend
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
# Remove all exclusions on MS Windefend
echo "Removing all exclusions on MS Windefend antivirus"
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:

CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: sfc /scannow

Hosts:
RemoveProxy:
C:\WINDOWS\SysWOW64\*.tmp
C:\WINDOWS\System32\*.tmp
C:\Windows\SystemTemp\*.tmp
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 3
Führe RogueKiller Anti-Malware gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.






Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei von RogueKiller

Hallo,
habe die logs :)


Roguekiller
Fixlog

Ich habe mal ein Bild von den Prozess gemacht und zwar ist es dieser Feeds Prozess.
Ich denke das ist absolut nichts schädliches oder sonst was aber trotzdem war ich am Donnerstag sehr verwundert als dieser Prozess 90% des Arbeitsspeicher verbraucht hatte.Habe es dann einfach beendet und bis heute kam nichts mehr.

https://i.ibb.co/2qCqDdB/Prozess-Feeds.png

Dann noch eine frage zu der einen Datei die bei Processexplorer als ich den Prozess bei Virustotal hochgeladen hat angeschlagen hatte. War das ein fehlalarm ?

https://i.ibb.co/0Y1Y5DC/Virustotal.png

Die Logdateien sehen sauber aus, die Windows Systemdateien wurden repariert.

Bei dem von dir genannten Fund bei VT handelt es sich wohl um einen Fehlalarm von SecureAge, ja. :D
Ich habe die gleiche wininit.exe auf meinem System.





Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Schritt 1

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Rechtsklicke auf FRST64 und wähle Umbenennen.
• Benenne FRST64 in Uninstall um.
• Starte Uninstall.
• FRST und die dazugehörigen Dateien/Odner werden entfernt.
• Klicke auf Ok, um den Rechner zum Abschluss neu zu starten.

Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Supper das alles in Ordnung ist.
Dann war wohl alles nur ein Fehlalarm war denn sonst irgendetwas auffälliges zu finden ?
Ich danke dir aufjedenfall für deine kompetente Hilfe :)

Nein, alles gut. :)







Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.