cse
Goto Top

Powershell - zwei hungrige Prozesse im Task Manager

Moin moin Leute!

kurze Frage, wir kommen damit aktuell nicht weiter.
Wir haben hier einen User, bei dem zwingt PowerShell den Laptop regelmäßig in die Knie mit hoher Auslastung (siehe Bild).

Wir haben aber absolut keine Idee woher das kommt und warum die beiden Prozesse immer wieder laufen.

Also bevor wir den einfach neu aufsetzen (dauert ja nicht lang), habt ihr eine Idee wie man der Ursache auf die Spur kommen kann?

VG und einen schönen Tag!
CSE

mtenor

Content-Key: 5304303256

Url: https://administrator.de/contentid/5304303256

Printed on: June 13, 2024 at 01:06 o'clock

Mitglied: 110135
110135 Jan 12, 2023 at 07:21:18 (UTC)
Goto Top
Hi,

schau dir mal bitte Process Monitor an:
https://learn.microsoft.com/en-us/sysinternals/downloads/procmon

Da siehst du etwas mehr, was die Prozesse machen und auch wie die Command-Line dazu aussieht.
Ggf. hat der User sich hier etwas "eingefangen" - oder aber irgendeine Software läuft Amok.
Member: DerMaddin
DerMaddin Jan 12, 2023 at 07:23:22 (UTC)
Goto Top
Dann legen wir mal die Tarot Karten aus und schauen was sie uns hierzu sagen können...

Nein, mal im Ernst, was erwartest du hier für Antworten? Man sieht auf dem Screenshot zwei PS Prozesse, die Ressourcen verbrauchen und nun?

Autostart? Registry? GPO? Logonskript? Task-Scheduler? Schon mal da nachgeschaut?
Mitglied: 5175293307
5175293307 Jan 12, 2023 updated at 07:30:07 (UTC)
Goto Top
Lass dir als erstes mal die Befehlszeile als Spalte im Taskmanager einblenden.
Dann siehst du welches Skript oder was für Befehle da laufen.
Dann mit Autoruns prüfen wo die Ausführung dieser hinterlegt ist. Bei GPOs diese natürlich auch prüfen und rsop.msc /gpresult befragen.

Gruß Wurstel.
Member: cse
cse Jan 12, 2023 at 08:25:14 (UTC)
Goto Top
Hallo zusammen und danke für den Input,
das mit den Tarot Karten hatte ich schon probiert, die sind sehr sperrig ;)

Spaß beiseite, das einblenden der Befehlszeile führt zu einer leeren Spalte, leider.
Autostart extrem unauffällig, nix besonderes, also nix was nicht auch auf anderen Clients läuft.
Ebenso Aufgabenplanung und GPO (alles wie bei anderen Standardnutzern).

Eingefangen scheint erstmal auch nichts, diverse Scans die wir schon gemacht hatten sind "erfolglos".

bleibt noch der Prozessmonitor als Tool, mal sehen ob wir da weiter kommen, filtert man PowerShell erhält man nur 130k Einträge ;) - sind da noch dran, irgendwo muss es ja herkommen.
Mitglied: 5175293307
5175293307 Jan 12, 2023 updated at 08:47:06 (UTC)
Goto Top
Läuft der Taskmanager auch elevated?

Versuch mal die Prozesse sichtbar zu machen
https://github.com/thalpius/Microsoft-Unhide-PowerShell/blob/master/Powe ...

Und filter mal den Taskplaner auf Befehlszeilen.

Checke auch mal den "Parent Process" um evt. zu sehen welcher andere Prozess sie gestartet hat.

Unter welchem Account laufen die Prozesse? Im Kontext des Users oder eines anderen (z.B. SYSTEM)?