Prozess wird abgeschossen. Wie Verursacher erkennen?

[Kurzer]

Hallo,

ich nutze ein Smartphone-Verwaltungsprogramm (eine portable Installation auf einem USB Stick), auf unterschiedlichen Rechnern.

Läuft alles super. Nur auf einem bestimmten Rechner mit Windows XP SP3 32Bit tritt ein spezifisches Problem auf, welches weder der Entwikcler der Software, noch die User des Supportforums nachvollziehen können.

Das Programm wird auf dem besagten Rechner kommentarlos abgeschossen, sobald es (Aussage des Entwicklers) versucht das Handy per TCP/IP zu erreichen.

Selbe Installtion (vom USB Stick), anderer Rechner... kein Problem -> Programm läuft sauber.

Interessanterweise habe ich zwei Rechner mit fast identischer Konfiguration bzgl. Firewall und Virenscanner (Netbook und Desktoprechner). Auf dem Netbook gehts und auf dem Desktop wird der Prozess binnen Millisekunden weggeschossen.

Installiert ist auf beiden:
- AntiVir free mit völlig identischer Konfiguration (zumindest das was im Einstellungsdialog einstellbar ist)
- AVM Protect, ein Tool, welches zur Fritzbox gehört und mit dem man Zugriffe ins Internet blocken kann. Dass das Programm Prozesse abschiessen kann wäre mir neu. Ist außerdem auf beidenen Rechner drauf.
Windows-Firewall und die zugehörigen Dienste sind auf dem Rechner auf dem es nicht funktioniert nicht aktiv.

Kennt Jemand von Euch eine Möglichkeit mit der ich rausfinden kann welches Programm diesen Prozess abschießt? Gern auch schwere Geschütze wie Debugger o.ä. Mir gehen nämlich so langsam die Ideen aus.

[Thorium]

Die erste Frage, die zu klären wäre ist ob das Programm tatsächlich "abgeschossen" wird oder selbst abstürtzt. Das kann auch ohne Fehlermeldung passieren.
Starte das Programm mit OllyDbg und lass es laufen. Entweder es wird terminiert (wenn es abgeschossen wird) oder OllyDbg wird dich darauf hinweisen das eine Exception ausgelöst wurde, in dem Fall würde es selbst gecrasht sein. Wenn der Entwickler mit Exception Handler arbeitet muss eine Exception nicht gleich Crash bedeuten. Lass das Programm nach jeder Exception weiterlaufen, bis es nichts weiter ausführt.

Sollte es wirklich abgeschossen werden von einem anderen Programm, kannst du ein Rootkit bei dir installieren, welches Hooks in jeden Prozess setzt, so kannst du mit nem kleinen PB-Programm aufzeichnen wer TerminateProcess aufruft. Das ganze ist aber nicht ganz unkompliziert.
Ob der zu beendende Prozess eine Info bekommt, von wem er beendet wird, ist mir nicht bekannt.

Alternativ kann die Software auch über eine Close Message beendet werden, die könntest du über einen Windowhook abfangen, ich glaube da kann man auch den Absender ermitteln.

Du könntest auch mit OllyDbg einen Breakpoint auf ExitProcess setzen und so schauen ob das Programm ordentlich beendet wird.