Hohe CPU-Auslastung, bis ein Taskmanager geöffnet wird

[wirelessy]

Hi zusammen,

ich hab gerade zufällig beobachtet, dass ich auf dem Desktop >30% CPU-Auslastung habe - ich hatte die Nvidia App offen, und da stands bei.
Das schien mir etwas hoch, insb. da zB Steam keine Downloads etc laufen hatte.
Dann hab ich den Process Explorer aufgemacht, um zu schauen, was da los ist. Und siehe da! Die Nutzung fiel auf <5% ab.
Hab den ProcExp zugemacht, und Wunder! Es ging wieder hoch.

Also weiter - HWInfo aufgemacht, und der sagt auch was von >30%.
Huch?
Na gut. Windows Task Manager aufgemacht - und siehe da! Die Auslastung ist weg.
Zugemacht - und wieder >30%.

Ich hab ein kurzes Video aufgezeichnet:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Wie kann ich dem Bösewicht auf die Spur gehen? Was ist da los? Jemand ne Idee, oder eine Erklärung abseits vom Cryptominer? .
Ich freu mich über jede Antwort.

CPU ist ein 5800X3D, auf dem ein Windows 11 läuft.

VG
wirelessy

 

[kartoffelpü]

Eventuell hast du dir einen Schädling eingefangen, welcher sich bei bestimmten Monitoringtools (z.B. der Taskmanager) versteckt bzw. inaktiv wird.
Shame on me, hab nicht zuende gelesen. Hast du ja selber schon vermutet...

E: Im trojaner-board findet man viel Hilfe und Tools zu solchen Themen: https://www.trojaner-board.de/

 

[Wo bin ich hier]

Windows Suchindexierung:

 

[wirelessy]

Windows Suchindexierung:
Anhang anzeigen 1594637

Joar, der macht die Last abseits der 30%. Hab ihn gerade ausgemacht, ändert nichts.

 

[kartoffelpü]

@Wo bin ich hier 10% des Indexers ist aber schon was anderes als die >30% vorher und nachher...

 

[wirelessy]

Hab mal meinen ProcExp still und heimlich umbenannt. Jetzt geht die Last nicht mehr runter, und der böse ist der...
explorer.exe. Hm.

//e:
Na, wenn diese Cmd nicht malwareig aussieht:
C:\WINDOWS\explorer.exe stssqqersp0 6E3sjfZq2rJQaxvLPmXgsEwWTFCy3QOzHJaQOQ3/NEUE+I3bbyzjNI/1t5Yu7Sup8Rog9vQ+Ti3UCDf+NiXvhd3YQ2VEwoL2DsYUUjm29tpOtDCok8LlwxkP6h9eCpmL0+k8DrZqrBNYfISW2IvXi1utDC0t3M9xin2uk3s/dZw7AAMwn8yCx265sVLxL6lSb9AhWduReVVk7b2XhQMKdj31UJzOvlrJ55cz9X70Uq/Qnhdq62TnsonYHADA1JaM4ckfz4EAbJViQn9ZsOL1ZUdZqsEjpQAs4BRRAly7Jg5s264pdSlWlQRRqifrQNI7oaOkQh0JLo/5K9fkg/i1btTa1GKcoI05+E90fv0R240jMhz93FZeeF/hYYaca1xTag3azKv+KDuZ8zqQkKqdQZTRNNlq1vws31ZhYlmHaAI3PL2SwK87JiHSpvlVKBTe3mj788rO6t3sYrGmWJgsGeguiJMiDKbhDEgaxGqhIIQ=
Wieso redest du mit nem VPS bei

?
Ob ich die Quelle dieser Infektion wohl finde...

 

[Der Ben]

Ein völlig normales Verhalten von Windows. Das System registriert das es aktuell nicht benutzt wird und nutzt die Ruhephase für Hintergrundaufgaben wie Defragmentierung/Trimmen, Suchindexierung, Updatechecks u.v.m..

 

[kartoffelpü]

Ist es denn die explorer.exe aus c:\windows oder nur ne andere Datei, die so heißt und wo anders liegt?
Die richtige explorer.exe wird eigentlich auch mit dem typischen Symbol angezeigt.

 

[wirelessy]

@kartoffelpü Durchaus die echte C:\windows\explorer.exe - und die ist auch sauber signiert.
Diese Payload in der CMD ist spannend. Base64 und das andere Argument davor.

 

[Wo bin ich hier]

Na, wenn diese Cmd nicht malwareig aussieht:

Joa.

https://www.google.com/search?q="6E3sjfZq2rJQaxvLPmXgsEwWTFCy3QOzHJaQOQ3"
https://www.reddit.com/r/techsuppor...ows_explorer_explorerexe_taking_up_excessive/
https://www.reddit.com/r/techsupport/comments/10zmrbv/cpu_at_40_until_i_open_task_manager/

Vielleicht hilft dieser Kommentar: https://www.reddit.com/r/techsupport/comments/z9k27p/comment/iyoe01t/

Ob ich die Quelle dieser Infektion wohl finde...

Ich würde gar nicht lange rumsuchen und direkt Windows neu installieren...

 

[azereus]

spannend. aber nichtsdestotrotz - clean install

 

[PC295]

@wirelessy
Überprüfe dein System mit Malwarebytes Antimalware und poste das Ergenbis.

 

[wirelessy]

Danke euch, bins losgeworden. Spannender Launch-Mechanismus, ist mir so noch nicht untergekommen - aber bin auch ne Weile raus aus dem Geschäft.
Es war ein recht harmloser Cryptominer. Hab ihm ein bisschen zugeguckt, was das Ding so treibt.

(Und ich hab 3 Jahre hauptberuflich auf Malwareinfektionen reagiert. Der Thread war primär, weil ich nicht unbedingt an eine Infektion geglaubt hatte - mich hätte sehr interessiert, wenn Windows oder andere Tools sich vor dem Taskmanager verstecken.)

Alles sauber macht der März .