Makecab eskaliert - warum?

Moin,

auf meinem Rechner hatte ich die letzten Tage ein mir bisher unbekanntes Phänomen, das ich mir nicht erklären kann. Das System ist ein Windows 7 auf aktuellem Stand. Es läuft eigentlich immer Teamviewer, Powershell (Version 5.1.14409.1018), Powershell ISE, Firefox (aktuelle Version) mit diversen geöffneten TABs, Ausguck (2013 auf aktuellem Stand), 2x Total Commander (einmal mit Admin-Rechten), Excel, OneNote, VMware Workstation 10 Pro (mindestens eine virtuelle Maschine mit Linux), mehrere RDP-Verbindungen zu Servern. Naja, was man halt so braucht. Virenscanner ist Avira (jajajaja, ist nicht meine Entscheidung). Das funktioniert auch gut und schnell. Ich hatte aber nach dem Urlaub das Gefühl, dass es ein wenig langsamer wurde. Vor ein paar Tagen meldete mir dann Ausguck, es können die Signatur nicht ändern, weil auf C: kein Platz mehr ist. Also geguckt und tatsächlich, die Partition war vollgelaufen. Der nächste Blick ins TEMP-Verzeichnis ergab ca. 130 Gig Daten im Wesentlichen Dateien, die cab-xxxxx (ohne Endung) hießen. Einige erstaunlich groß. Also weg mit dem Mist.

Gestern ging das wieder los. C: war wieder voll. Wieder waren über 100 Gig solcher Dateien im TEMP-Ordner. Also wieder alle gelöscht und mal im Taskmanager geschaut, was da denn so passiert. Und siehe da, es liefen knapp 200 Prozesse makecab.exe mit SYSTEM als User. Also habe ich die PS angeworfen und die Prozesse alle gekillt. Die Dateien habe ich wieder gelöscht. Kaum war ich damit fertig, fing der Spuk wieder an. Innerhalb weniger Sekunden hatte ich wieder ca. 10 Prozesse und diverse Dateien, sekündlich kamen neue Prozesse hinzu. Also habe ich alles, was lief, beendet. Das änderte nichts. Dann habe ich die Kiste neu gestartet. Sofort fing das wieder an, ohne dass ich irgend ein Programm außer dem TM gestartet hätte. Weil er sowieso ein Update haben wollte, habe ich die Gelegenheit genutzt und die Updates eingespielt. Nach dem Neustart, wurde dann im TM kurz einmal makecab.exe angezeigt. Es wurden fünf Dateien angelegt, vier davon mit 0 byte und eine mit ca. 95 MB. Dann war der Spuk vorbei.

Nun hatte ich das Windows-Update im Verdacht. Aber das ist auf "Nach Updates suchen, aber Zeitpunkt zum Herunterladen und Installieren manuell festlegen" eingestellt. Also sollte er hier keine Dateien anlegen, ohne das ich vorher auf "Mach mal" geklickt habe.

Ich habe auch mal versucht, die Dateien zu öffnen. Aber es gab die Fehlermeldung, dass das Archiv beschädigt wäre. Im Editor war nur kryptischer Binärcode zu sehen. Nichts, was auf das auslösende Programm hinweisen könnte oder darauf, was denn da gepackt wurde.

Kennt jemand das Phänomen, weiß woran es liegt und wie man das vermeidet?

Liebe Grüße

Erik

net stop TrustedInstaller
net stop wuauserv
del C:\Windows\Temp\cab*
del C:\Windows\logs\CBS\*.cab
del C:\Windows\logs\CBS\*.log
net start wuauserv
net start TrustedInstaller
pause