unbekannte win hlpservice.exe / prozeß / lastet cpu voll aus

#1 ahoihoi zusammen,

nach längerer zeit mal wieder hier unterwegs, mit einer frage.

seit einigen wochen, soweit ich das überblicken kann, meldet sich im process explorer immer mal wieder ein prozeß namens hlpsvc.exe (ich mein, er ist so richtig geschrieben), der die cpu voll auslastet, wenn er läuft.
sofern ich das in der unbedarften rückerinnerung beurteilen kann, tritt er vor allem dann auf, wenn vorher eine ganze zeit programme gelaufen sind, die die cpu ebenfalls voll auslasteten, aber regulär (bspw. civilization IV auf 512mb oder nach langem arbeiten mit adobe golive).

ich kenne an sich alle prozesse, die bei mir laufen. der aber trat unbemerkt auf und ich kann ihn nicht zuordnen. zumal er ohne ergebnis läuft, will meinen: endlos.

via google stieß ich auf meiner meinung nach vorschnelle malware-aburteilungen von kiddies, die weniger plan haben als ich. allerdings würde ich mich nicht aus dem fenster lehnen wollen und sagen, es wäre keine. via google gab es auch keine weiteren ergebnisse bis auf eine "firma", die sich darauf spezialisert zu haben scheint, google-suchergebnisse nach *.exe & co auf sich zu ziehen, um schwachsinnige eigenprodukte zu verkaufen, die malware beseitigen soll...

bei euch bin ich diesbezüglich auf nichts gestoßen, was nicht verwundert - via google gibt es auch nur englischsprachige ergebnisse...

so, wer bis hierhin gekommen ist (sorry, scheine heut abend etwas redselig zu sein): wer kennt den prozeß und kann ihn womöglich sogar zuverlässig beurteilen? wenn möglich, mit quelle, da ich bei voreiligen thesen zweifeln werde - google lügt nie

alsdann allen einen guten start in die woche, hh
__________
große grüße, hh
Alles Gescheite ist schon gedacht worden, man muß nur versuchen, es noch einmal zu denken

#2 Hallo Hordi Hord
Wie wärs denn mal mit einem Hijackthis-Log um zu sehen ob da nochwas im Schlepptau bei Dir ist, ggf. läßt sich auch auf eine(n) Datei (Eintrag) schließen, die mit dieser im Zusammenhang steht o.ä.

http://www.trendsecure.com/portal/en-US/threat_analytics/HiJackThis.zip

#3 Hallo HH,

lasse die Datei doch mal bei VirusTotal überprüfen und poste das Ergebnis.
http://www.virustotal.com/

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#4 ahoihoi,
dank für die schnellen antworten.

hijackthis ist im quote. allerdings, wie schon erwähnt, ist der prozeß selten ausgeführt.
bei virustotal.com habe ich mehrere dateien mit help getestet, jeweils 0 von XX ergebnissen.

via process explorer habe ich versucht, den hlpsvc auszuführen, was nichts brachte.

als definition, wenn ich mit der maus über die datei in /system32 fahre, gibt mir windows "hilfeprogramm zur befehlseingabe". nur startet sich nichts, sobald der prozeß ausgeführt wird.

Zitat

Logfile of HijackThis v1.99.1
Scan saved at 09:31:00, on 11.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\uTorrent-1.6\utorrent.exe
C:\DOKUMENTE UND EINSTELLUNGEN\xxx\DESKTOP\PROCEXP.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Security Task Manager\taskman.exe
C:\Dokumente und Einstellungen\xxx\Desktop\HijackThis.exe
C:\Dokumente und Einstellungen\xxx\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://alice.aol.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://alice.aol.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://alice.aol.de
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Programme\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_04\bin\ssv.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Programme\Bonjour\ExplorerPlugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Apache2.2 - Unknown owner - C:\xampp\apache\bin\apache.exe" -k runservice (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FileZilla Server FTP server (FileZilla Server) - FileZilla Project - C:\Programme\FileZilla Server\FileZilla Server.exe
O23 - Service: Firebird Guardian - DefaultInstance (FirebirdGuardianDefaultInstance) - The Firebird Project - C:\Programme\Firebird\Firebird_1_5\bin\fbguard.exe
O23 - Service: Firebird Server - DefaultInstance (FirebirdServerDefaultInstance) - The Firebird Project - C:\Programme\Firebird\Firebird_1_5\bin\fbserver.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - C:\Programme\MAGIX\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: UPnPService - Unknown owner - C:\Programme\Gemeinsame Dateien\MAGIX Shared\UPnPService\UPnPService.exe (file missing)
O23 - Service: WinHelp Server - Unknown owner - C:\DOKUME~1\XXX~1\LOKALE~1\Temp\Rar$EX00.406\pyedoor.exe (file missing)
O23 - Service: XAMPP Service (XAMPP) - Unknown owner - C:\xampp\service.exe

------------------------

EDIT: wie auch immer ich dazu gekommen bin, aber ich habe heute via avast! mein system prüfen lassen - es gab den w32:tenga, der alle .exe umschreibt. ob die oben geschilderte problematik damit zusammenhängen kann? ansonsten weiß ich nicht weiter und kann nur warten, daß der prozeß noch einmal ausgeführt wird...
__________
große grüße, hh
Alles Gescheite ist schon gedacht worden, man muß nur versuchen, es noch einmal zu denken