Ständiger Festplattenzugriff - Hijack this

[televon]

Servus
ich hab auf meinem Laptop anscheinend irgendeine Anwendung die ständig auf die Festplatte zugreift.
Die Zugriffsgeräusche würden ja noch gehen, aber es kommt alle 30 Sekunden ein Geräusch als ob sich die Festplatte auschaltet und wieder einschaltet.
Was kann das sein? Anti-Vir findet nichts.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:15:22, on 16.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Broadcom\ASFIPMon\AsfIpMon.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Dell\QuickSet\NICCONFIGSVC.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Spyware Terminator\sp_rsser.exe
C:\Programme\SigmaTel\C-Major Audio\WDM\StacSV.exe
C:\Programme\Intel\Wireless\Bin\WLKeeper.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\DellTPad\Apoint.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\DellTPad\ApMsgFwd.exe
C:\Programme\DellTPad\HidFind.exe
C:\Programme\DellTPad\Apntex.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.de/ig/dell?hl=de&client=dell-row-rel&channel=de&ibd=2080201
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.de/ig/dell?hl=de&client=dell-row-rel&channel=de&ibd=2080201
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://klvtbgweb/intraklvrent
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Page_URL = www.google.de/ig/dell?hl=de&client=dell-row-rel&channel=de&ibd=2080201
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.prosieben.de/kino_dvd/kinoprogramm/
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [Apoint] C:\Programme\DellTPad\Apoint.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: CopyKlis.bat
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = klvrent.local
O17 - HKLM\Software\..\Telephony: DomainName = klvrent.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = klvrent.local
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Broadcom ASF IP and SMBIOS Mailbox Monitor (ASFIPmon) - Broadcom Corporation - C:\Programme\Broadcom\ASFIPMon\AsfIpMon.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: NICCONFIGSVC - Dell Inc. - C:\Programme\Dell\QuickSet\NICCONFIGSVC.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programme\Spyware Terminator\sp_rsser.exe
O23 - Service: SigmaTel Audio Service (STacSV) - SigmaTel, Inc. - C:\Programme\SigmaTel\C-Major Audio\WDM\StacSV.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Programme\Gemeinsame Dateien\SureThing Shared\stllssvr.exe
O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - Intel(R) Corporation - C:\Programme\Intel\Wireless\Bin\WLKeeper.exe

--
End of file - 6098 bytes

ciao
tele

 

[HisN]

Machste Filemon von Sysinternals auf und schaust nach was auf die Platte zugreift. Das sagt Dir das Programm im Klartext.

 

[televon]

Laut Filemon hauptsächlich sched.exe (im system32) und svchost (1196).

Antivir deinstallieren hab ich schon probiert aber das hat nichts gebracht.
Ansonsten wüsst ich nichts was die ganze Zeit zugreifen müsste.

ciao
tele

 

[mambaboa]

läuft der Index Dienst ?
hast du einen Hacken bei Laufwerk für schnelle Dateisuche Indizieren?

 

[televon]

Der Indexdienst ist deaktiviert.
Denke das meintest du auch mit Laufwerk für schnelle Dateisuche Indizieren oder?

ciao
tele

 

[mambaboa]

arbeitsplatz öffnen , laufwerk mit rechter maustaste wählen , im aufklappenden menü eigenschaften

 

[HisN]

Die Tranferleistung ist schwer ich weiß, aber beim svchost siehste doch welche Dateien er in welche Reihenfolge öffnet, man kann sehr genau sehen ob er dabei auch in eine Datenbank (für den Indexdienst) schreibt. Deshalb kann man ruhig mal ein augenblick die Zeilen aus dem Filemon auf sich einwirken lassen, und nicht nur das Programm das schreibt/liest sondern auch die Dateien und Verzeichnisse die davon betroffen werden anschauen, meistens erschließt sich einem nämlich das Verhalten des Rechners daraus.

 

[televon]

Indexdienst war deaktiviert.
Laufwerk für schnelle Suche aktivieren hat leider nichts gebracht.

Filemon zeigt mir hauptsächlich drei Sachen an

Diesen Pfad mit verschiedenen Objekten:

C:\WINDOWS\system32\wbem\Repository\FS

Diesen hier:

C:\WINDOWS\system32\wbem

und diesen (wird wohl zwecks Office bzw. Navision der Fall sein):

C:\WINDOWS\WinSxS\Policies


Ich kann mit den Infos leider nichts anfangen, da ich nicht weiß was in den Ordnern alles liegt.

ciao
tele

 

[HisN]

WBEM ist das System-Logging von Windows. Wenn Dich das nervt kannste es abschalten oder auf eine Ramdisk umbiegen (wäre mein Vorschlag, wenn Du es abschaltest geht z.b. der Schwanzmark06 nicht mehr)

Wie man es abschaltet: "WBEM abschalten" in Google^^. Wenn Du die Tipps siehst würdest Du auch sofort sehen wie man z.b. die WBEM-Verzeichnisse umbiegt.

Das mit dem Office kann ich nicht nachvollziehen, benutze ich nicht^^