freier speicherplatz wird immer weniger

[bluetiger19]

Hallo!
Habe seit ca. 2 Wochen folgendes Problem mit meinem Laptop (C-Partition):
Der freie Speicherplatz wird ohne ersichtlichen Grund laufend weniger, geht von ca. 2,3 GB auf bis zu 200 MB zurück. D. h.: wenn ich im Arbeitsplatz auf C:\ Eigenschaften gehe, zeigt er einen belegten Speicher an, der immer mehr wird (von 9,4 GB bis 11,5 GB), aber wenn ich dann in C:\ direkt alle Dateien (auch versteckte und Systemdateien) markiere, haben diese zusammen eine konstante Größe von 9,36 GB.
Heute habe ich mal mein System komplett gecheckt: AntiVir-Scan, Spybot-Scan, AdAware-Scan, außerdem Online-Scans durch Panda und f-secure. Das einzige, was dabei heraus kam, war der von Panda entdeckte und desinfizierte Virus Bck/Dumador.CU in C:\WINDOWS\system32\drivers\etc\hosts.20050628-164744.backup.
Leider besteht mein Problem noch immer und deswegen wollte ich bitten, dass sich vielleicht mal jemand mein Logfile ansehen könnte:

Logfile of HijackThis v1.99.1
Scan saved at 22:08:19, on 22.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\Programme\Intel\Wireless\Bin\WLKeeper.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Canon\MultiPASS4\MPSERVIC.EXE
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Gemeinsame Dateien\SafeNet Sentinel\Sentinel Protection Server\WinNT\spnsrvnt.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\wamp\apache\Apache.exe
C:\wamp\mysql\bin\mysqld-nt.exe
C:\WINDOWS\System32\nutsrv4.exe
C:\wamp\apache\Apache.exe
C:\Programme\Intel\Wireless\Bin\ZcfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Intel\Wireless\Bin\1XConfig.exe
C:\Programme\Intel\NCS\PROSet\PRONoMgr.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programme\Microsoft IntelliType Pro\type32.exe
C:\Programme\Microsoft IntelliPoint\point32.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\wamp\wampserver.exe
C:\Programme\Canon\MultiPASS4\MPDBMgr.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.fh-vie.ac.at/V1/login.aspx?PID=588&LN=DE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [NuTCSetupEnviron] C:\Programme\Rational\Rational Test\nutcroot\bin\ncoeenv.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] C:\Programme\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [IntelWireless] C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [type32] "C:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: WampServer.lnk = C:\wamp\wampserver.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Dienst-Manager.lnk = C:\Programme\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.de/scan8/oscan8.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/de/win/QuickTimeInstaller.exe
O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/mcfscan/2,1,0,4810/mcfscan.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: IntelWireless - C:\Programme\Intel\Wireless\Bin\LgNotify.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: EvtEng - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: MpService - Canon Inc. - C:\Programme\Canon\MultiPASS4\MPSERVIC.EXE
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Programme\Intel\NCS\Sync\NetSvc.exe
O23 - Service: NuTCRACKERService - DataFocus, Inc. - C:\WINDOWS\System32\nutsrv4.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Sentinel Protection Server (SentinelProtectionServer) - SafeNet, Inc - C:\Programme\Gemeinsame Dateien\SafeNet Sentinel\Sentinel Protection Server\WinNT\spnsrvnt.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: wampapache - Unknown owner - C:\wamp\apache\Apache.exe" --ntservice (file missing)
O23 - Service: wampmysqld - Unknown owner - C:\wamp\mysql\bin\mysqld-nt.exe
O23 - Service: WLANKEEPER - Intel® Corporation - C:\Programme\Intel\Wireless\Bin\WLKeeper.exe

Wäre für Lösungsideen sehr dankbar!

[Speedy]

hi

start -> systemsteuerung -> verwaltung -> dienste -> hier jenen diesnst suchen, bei dem die datei nutsrv4.exe die startdatei ist -> dienststatus -> beenden wählen und -> starttype deaktiviert auswählen

fixe mit HijackThis die nachfolgenden einträge
O4 - HKLM\..\Run: [NuTCSetupEnviron] C:\Programme\Rational\Rational Test\nutcroot\bin\ncoeenv.exe

starte das system neu

[bluetiger19]

Danke für die schnelle Antwort.

Habe deine Anweisungen befolgt, aber leider besteht mein ursprüngliches Problem immer noch.

Hat vielleicht sonst noch wer eine Idee?

[Speedy]

hi, bin gerade am packen, aber versuch es mit der boardsuche, wir hatten schon einmal so einen fall

[bluetiger19]

habe alte threads gefunden, aber als nicht so ganz bewanderter pc-nutzer werde ich daraus nicht so recht schlau ...

habe mein notebook jetzt die letzten stunden beobachtet und schon wieder ungefähr 300 MB speicher verloren. auch ein neustart bringt ihn mir leider nicht wieder zurück.

komisch finde ich auch, dass er nicht nur weniger, sondern manchmal auch wieder ein bisschen mehr wird ... bislang konnte ich aber keinerlei regelmäßigkeit in diesem verhalten erkennen

das problem tritt sowohl auf, wenn ich arbeite, als auch wenn ich gar nichts tue.

ich habe übrigens auch schon eine systemwiederherstellung versucht, aber magels erfolg (problem tritt immer noch auf) die swh-punkte gelöscht, um wieder platz zu bekommen


vielleicht kann mir ja doch jemand hier helfen?

[Karl]

Hallo,

die Systemwiederherstellung ist eine Möglichkeit. Jedesmal wenn die einen neuen Wiederherstellungspunkt anlegt (das gescheiht regelmäßig auch im Hintergrund und nicht nur aufdeine Anforderung) belegt der natürlich weiteren Speicherplatz. Die dafür gespeicherten Dateien liegen in C:\System Volume Information, ein Ordner auf den Du nicht mal als Administrator zugreifen darfst. Dementsprechend geht er in die Berechnung des von allen Dateien belegten Speicherplatzes nicht ein.

Systemsteuerung -> System -> Tab Systemwiederherstellung: Hier kannst Du in Prozent einstellen wieviel Platz die systemwiederherstellung maximal belegen darf. Wenn Du diesen Wert verringerst sind natürlich entsprechend weniger Wiederherstellungspunkte möglich.

Außerdem kannst Du die Systemwiederherstellung aufrufen und auf der Seite mit dem Kalender wo die Punkte eingetragen sind nachschauen ob ein neuer angelegt wurde.

Damit solltest Du bei regelmäßiger Überwachung drauf kommen können ob es an den Wiederherstellungspunkten liegt.

Außerdem fällt auf daß Du ein Webserverpaket auf deinem Rechner hast. Das macht ihn für Angriffe von Crackern empfindlich, vor einiger Zeit hatten wir hier einen Thread da war in der Systemwiederherstellung ein illegaler FTP-Server eingerichtet worden, der durch ein Rootkit getarnt war. Hierfür ist es interessant ob diese Änderungen des freien Speicherplatzes auch vorkommen wenn der Rechner nicht mit dem Netz verbunden ist (eventuelles WLAN dabei nicht vergessen).

Ich seh den letzten Absatz erstmal nur als Erwähnung einer bestehenden Möglichkeit an, solltest Du das jetzt bereits weiter verfolgen wollen: Zwei Scans auf Dateien und Prozesse, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):

• alle anderen Scanner gegen Viren, Spyware, usw deaktiviert sein
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen)
• nichts am Rechner getan werden

Blacklight scannen lassen

• Lade F-Secure Blacklight runter packe dieDatei in einen eigenen Ordner, z.B. C:\programme\blacklight. Sollte der Download nicht klappen, dann probiere es mit diesem Link.
• Starte in diesem Ordner blbeta.exe. Alle anderen Programme schließen.
• Klick "I accept the agreement", "next", "Scan".
• Wenn der Scan fertig ist beende Blacklight mit "Close".
• Im Verzeichnis von Blacklight findest Du das erstellte Log fsbl-XXX.log, anstelle der XXX steht eine längere Folge von Ziffern.

RootkitRevealer scannen lassen

• Lade RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
• Starte in diesem Ordner RootkitReavealer.exe. Alle anderen Programme schließen.
• Starte durch Klick auf "Scan".
• Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

Scanner wieder einschalten, bevor Du ins Netz gehst!

Nun die beiden Logfiles posten.

Gruß, Karl

[bluetiger19]

der speicher für die system-wiederherstellung ist bei mir auf 6% eingestellt. es ist momentan nur ein einziger swh-punkt vorhanden, und der wurde heute vor 4 minuten erstellt ... komischerweise habe ich auf einmal wieder mehr freien speicher (fast die vollen 2,3 GB). er wird allerdings schon wieder weniger.

werde die scans heute abend durchführen und die logfiles dann hier posten.

außerdem werde ich den laptop heute nacht vom lan trennen und mal beobachten, ob sich bis morgen der speicher auch verringert.

[bluetiger19]

blacklight hat nix gefunden, hier das logfile:

07/23/06 18:35:51 [Info]: BlackLight Engine 1.0.42 initialized
07/23/06 18:35:51 [Info]: OS: 5.1 build 2600 (Service Pack 2)
07/23/06 18:35:51 [Note]: 7019 4
07/23/06 18:35:51 [Note]: 7005 0
07/23/06 18:35:55 [Note]: 7006 0
07/23/06 18:35:55 [Note]: 7011 220
07/23/06 18:35:55 [Note]: 7026 0
07/23/06 18:35:55 [Note]: 7026 0
07/23/06 18:36:05 [Note]: FSRAW library version 1.7.1019
07/23/06 20:40:22 [Note]: 7007 0

außerdem das log von rootkit revealer:

HKLM\SOFTWARE\Classes\Installer\Products\32418F9EE1126B64A90E8365B85CFCF6\ProductName	14.03.2006 19:54	58 bytes	Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{E9F81423-211E-46B6-9AE0-38568BC5CF6F}\DisplayName	14.03.2006 19:59	58 bytes	Data mismatch between Windows API and raw hive data.
HKLM\SYSTEM\ControlSet001\Services\a347scsi\Config\jdgg40	08.05.2006 09:53	0 bytes	Hidden from Windows API.

mir ist aber aufgefallen, dass ich während der letzten 2 1/2 stunden, als der rechner offline war, keinen speicherplatz verloren habe!

[Karl]

Die beiden Logs sind negativ (also nichts relevantes gefunden, kann man auch als positiv bezeichnen ;-). Das Wechselspiel zwischen sich änderndem freien Platz und angelegten Wiederherstellungspunkten und ihrerr Anzahl aber weiter beobachten. Wenn die Systemwiederherstellung den ihr erlaubten Speicherplatz durch einen neuen Punkt überschreiten würde werden bei den ältesten beginnend Punkte gelöscht um das zu verhindern. Das kann auch dazu führen daß der freie Platz danach größer wird.

Hast Du die Möglichkeit deinen Traffic zu kontrollieren, bevorzugt außerhalb des Computers, z.B. auf einem Router?

Wenn Du in deine Systemwiederherstellung mal reinschauen willst dann hast Du folgende Möglichkeiten:

Den Rechner mit einer Linux-CD starten wie z.B. Knoppix, damit hast Du kompletten Lesezugriff auf deine Festplatte. Alternativ BartPE (eine Windows Boot CD), die hat allerdings den Nachteil daß man sie nicht als fertiges Image runterladen kann sonder sie erstmal mit einer Software und seiner Windows-CD anfertigen muß.

Oder von Windows selber aus (aber auf eigenes Risiko): Als Administrator anmelden. Im Explorer im Menü Extras -> Ordneroptionen -> Ansicht setze folgende Einstellungen:

• Erweiterungen bei bekannten Dateitypen ausblenden -> Haken weg
• Geschützte Systemdateien ausblenden -> Haken weg
• Inhalte von Systemordnern anzeigen -> Haken setzen
• Versteckte Dateien und Ordner -> Alle Dateien und Ordner anzeigen

Im Explorer zum Ordner "System Volume Information" gehen -> Rechtsklick -> Eigenschaften -> Tab Sicherheit: Oben unter "Gruppen- oder Benutzernamen" steht nur SYSTEM, dadrunter auf "hinzufügen..." klicken. Trage in das Feld "Geben sie die zu verendenden Objektnamen ein": "Administrator" (ohne Anführungsstriche). Rechts daneben auf "Namen überprüfen" klicken. Jetzt sollte sich deine Eingabe verwandelt haben in "xxxx\Administrator" wobei anstelle von xxxx der Hostname deines Rechners steht. Auf Ok klicken. Im Eigenschaftsfenster noch mal auf Ok klicken. Jetzt kannst Du vom Explorer aus in den Ordner "System Volume Information" wechseln.

Inhalt sollten sein zwei Dateien mit den Namen "tracking.log" und "MountPointManagerRemoteDatabase" und ein Ordner mit dem Namen "_restore{yyyy}", anstelle der yyyy steht ein längerer Code von Buchstaben und Ziffern der auf jedem Rechner unterschiedlich ist. In diesem Ordner wiederum gibt es für jeden Wiederherstellungspunkt einen Unterordner, die Namen sind jeweils "RP" gefolgt von einer Zahl. Außerdem einige (bei mir sind es 4) kleinere Dateien.

In jedem dieser RP-Ordner wiederum gibt es Dateien deren Name ein "A" gefolgt von einer (7-stelligen ?) Zahl ist, manche haben noch eine Endung, andere nicht. Dazu einige andere Dateien und schließlich ein Ordner "snapshot" der u.a. ein Backup der Registry enthält.

Soweit jedenfalls ein sehr grober Überblick. Du solltest auf gar keinen Fall irgendetwas darin ändern. Viele der dort vorhandenen Dateien und Strukturen sind nicht dokumentiert, Eingriffe könnten den gesamten Mechanismus aus dem Tritt bringen. Wenn Du genügend gesehen hast, dann verlasse die Systemwiederherstellung, gehe wieder zu dem Tab Sicherheit der Eigenschaften, markiere den vorhin neu hinzugefügten Benutzer Administrator und wähle "Entfernen" darunter um den alten Zustand wiederherzustellen, Ok. Solange Administrator als berechtigt eingetragen ist kann er übrigens im Eigenschaftsdialog im Tab Allgemein der Eigenschaften auch ablesen wieviel Speicherplatz die Systemwiederherstellung belegt ist.