# Idle Keylogger auf meinen System?



## Anonymous (23 November 2005)

Hallo

Mein Betriebssystem ist Windows XP Professional mit Service Pack 1,

ich habe ein Programm auf meinen Rechner das heisst Simon-Tools Xp-Tuner 2004 mit einem Task-Manager Pro

Dieser task Manager Pro zeigt mir als laufenden Prozess einen Ordner an dieser Ordner heisst

Idle und liegt mit seiner CPU Auslastung immer so um 70 % 

und lässt sich als einzigen Prozess nicht beenden.

Über den Microsoft Task Manager sowie Security task Manager ist dieser Prozess nicht zu sehen!

Über die Start/ Suche ist kein Ordner und keine Datei Namens Idle zu finden.


Da ich vor einiger Zeit einen Wurm drauf hatte bin ich vielleicht etwas übersensibilisiert aber hier steht über Idle das es ein Keylogger ist.

http://www.file.net/prozess/idle.dll.html

Über die Forums Suche habe ich nichts gefunden was mir weiterhilft.

Was ist Idle, stimmt der Bericht im Link und wieso finde ich den Prozess nicht, muss ich ihn entfernen? 
Muss das System neu aufgesetzt werden?

Danke für Hilfe!


----------



## stieglitz (23 November 2005)

Geh mal auf diese Seite, lade dir hijackThis runter und führ es aus.
Lese dir vorher die Anleitung dort durch!

http://www.hijackthis.de/


----------



## stieglitz (23 November 2005)

Und schau mal hier:
http://www.reger24.de/prozesse/System Idle Process.php

```
System Idle Process - You cannot end this process from Task Manager. This process is a single thread running on each processor, which has the sole task of accounting for processor time when the system isn"t processing other threads. In Task Manager, expect this process to account for the majority of processor time.
```
Das ist wohl ein normaler Windows Prozeß und kann nicht beendet werden.


----------



## BenTigger (23 November 2005)

WiederAllesGut? schrieb:
			
		

> Was ist Idle,



Definition - idle
Zustand eines Gerätes, in der es betriebsbereit ist aber keine Operationen verarbeitet/ausführt.

hast du laut Artikel mal auf deinem PC nach idle.dll gesucht und dir die Eigenschaften angesehen, wenn vorhanden?


----------



## Anonymous (23 November 2005)

Tja das ist ja das merkwürdige Idle.dll oder anderes Idle.exe oder so wird wird nicht gefunden über die Start/Suchfunktion, jedoch aber vom Task Manager (Simon-Tools) als Ordner angezeigt. (Idle) wie oben beschrieben.


Gefunden wird nur beim Suchen ist msidle.dll

Habe Antivir und Spybot ausgeführt im angesicherten Modus keine Funde.

Hier Mal das Logfile von Hijack im angesicherten Modus


```
Logfile of HijackThis v1.99.1
Scan saved at 15:33:17, on 23.11.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~1\WARN0190.EXE
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O23 - Service: 0190/0900 Warner Überwachungsdienst (0190_0900_Warner_MonitorService) - Mirko Böer - C:\PROGRA~1\0190WA~1\w0svc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe
```

Was nun?


----------



## Anonymous (23 November 2005)

Wieso lässt sich Idle nicht finden aber es wird angezeigt vom Simon Tolls Task Manager?

Ist bei euch Idle Standartmäßig drauf?

Wieso zeigen die anderen Task Manager den Prozess nicht?

Ist der Link also nicht ernst zu nehmen?


----------



## stieglitz (23 November 2005)

Tut mir leid, soweit geht mein Wissen hierzu nicht, vielleicht kann dir jemand anderes noch weiterhelfen, oder probiers hier, dort sitzen die Spezialisten:
http://forum.hijackthis.de/index.php


----------



## Anonymous (23 November 2005)

OK Danke ich werde dort mal nachfragen aber auch hier nochmal schauen ob sich noch was ergibt und euch ggf. informieren sollte sich was herausstellen.


----------



## Anonymous (23 November 2005)

WiederAllesGut? schrieb:
			
		

> Wieso finde ich den Prozess nicht, muss ich ihn entfernen?


Weil eine DLL Datei eine Dynamische Linkbibliothek ist, und keine ausführbare Datei. Vermutlich handelt es sich um den Leerlaufprozess deines PCs. Da dieser Prozess nie ein Programm ausführt, können TaskManager-Tools ihn mit einem quasi beliebigem Namen und Symbol anzeigen. Allerdings hat er immer die Prozessnummer (sog. PID) 0. Nun hoffe ich doch, daß dein Supertool dir die PID anzeigen kann?! Falls nein, schmeiß es weg. Bei Herstellern , die einem einen RAM Optimierer andrehen wollen, wäre ich ohnehin vorsichtig. Diese Placebos verdrängen Daten aus dem Hauptspeicher, die nachher in der Regel wieder von der Festplatte eingelesen werden müssen.


----------



## Anonymous (23 November 2005)

Hallo 

also mein Supertool  zeigt Prozess ID = 0
Typ ( Hersteller?) = unbekannt
Speicher 19 kb
(Benutze das Tool übrigends nicht zum RAM Boosten )

Ich weiss aufgrund des Tools das es einen Prozess gibt den das Tool Idle nennt. Ich weiss nicht ob es Idle.dll Idle.exe oder Idle.XYZ ist 

Hmm Idle.dll soll ja angeblich Böse sein.


----------



## Anonymous (24 November 2005)

WiederAllesGut schrieb:
			
		

> also mein Supertool  zeigt Prozess ID = 0
> Typ ( Hersteller?) = unbekannt Speicher 19 kb


Die PID 0 ist systembedingt immer der Leerlaufprozess von Windows. Den hast du auch im Windows Taskmanager als PID 0. Die 19 KB Speichernutzung passen auch dazu. Daß der Windows Taskmanager dafür einen anderen Namen hat wie dein Tool erscheint zunächst verwirrend. Der Grund ist, daß der Leeraufprozess kein herkömmliches Programm ausführt.


----------



## BenTigger (24 November 2005)

Nutze doch mal den eigenen Taskmanager von Windows und suche die PID 0.
dann siehst du folgendes: (Der PID 0 ist bei allen WinSystemen gleich belegt)


----------

