svchost.exe -> Uso de memoria 300.000KB

jmvivanco · Mensaje por **jmvivanco** » 17 Mar 2005, 17:40

Hola amigos

Os comento brevemente:

svchost.exe me consume mucha memoria, lo que hace que el PC me vaya muy lento, sobre todo cuando utilizo IE (versión 6), con Firefox a penas noto el problema.

Mi SO es Windows 2000server. Ya he pasado el Spybot y el Adware, pero el bicho sigue igual.

Aquí os dejo el log:

Logfile of HijackThis v1.98.2

Scan saved at 17:37:44, on 17/03/2005

Platform: Windows 2000 SP2 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\System32\msdtc.exe

C:\WINNT\system32\Dfssvc.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\System32\ismserv.exe

C:\WINNT\System32\llssrv.exe

C:\WINNT\System32\NMSSvc.exe

C:\WINNT\system32\ntfrs.exe

C:\WINNT\System32\pavsrv50.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\System32\AVENGINE.EXE

C:\WINNT\System32\locator.exe

C:\WINNT\System32\SCardSvr.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\System32\tcpsvcs.exe

C:\WINNT\system32\SRVTSK.EXE

C:\WINNT\system32\stisvc.exe

C:\Archivos de programa\ACOTEC\TServer30\TServer30.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\System32\mspmspsv.exe

C:\WINNT\System32\dns.exe

C:\WINNT\System32\inetsrv\inetinfo.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\System32\pavnt.exe

C:\WINNT\Explorer.EXE

C:\WINNT\System32\PROMon.exe

C:\WINNT\System32\hkcmd.exe

C:\WINNT\SOUNDMAN.EXE

C:\Archivos de programa\Archivos comunes\Logitech\QCDriver\LVCOMS.EXE

C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\WINNT\loadqm.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\HP\HP Software Update\HPWuSchd.exe

C:\Program Files\AdTools Service\AdTools.exe

C:\Archivos de programa\Logitech\Video\LogiTray.exe

D:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

D:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\Program Files\AdTools Service\AdToolsKeep.exe

C:\Archivos de programa\Hewlett-Packard\AiO\hp officejet d series\Bin\hpoojd07.exe

C:\ARCHIV~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe

C:\Program Files\ArGo Software Design\Mail Server\mailserver.exe

C:\WINNT\system32\taskmgr.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\ARCHIV~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe

C:\WINNT\System32\hpoipm07.exe

C:\Archivos de programa\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe

C:\Archivos de programa\Hewlett-Packard\AiO\Shared\bin\hpOFXM07.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\Archivos de programa\BBiGG Control Access Monitor\BCAMonitor.exe

D:\Archivos de programa\Mozilla Firefox\firefox.exe

D:\Archivos de programa\Emule\emule.exe

C:\Archivos de programa\Real\RealPlayer\realplay.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\rnathchk.exe

C:\ARCHIV~1\Logitech\Video\FxSvr2.exe

D:\Mis documentos\Consignas\Programacion\utilidades virus\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.pueblaalmoradiel.org/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

R3 - URLSearchHook: (no name) - {C4D5E343-9494-97E4-8635-440B49E25FD5} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {6A6E50DC-BFA8-4B40-AB1B-159E03E829FD} - (no file)

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: (no name) - {D848A3CA-0BFB-4DE0-BA9E-A57F0CCA1C13} - (no file)

O3 - Toolbar: @msdxmLC.dll,-1@3082,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: (no name) - {C4D5E343-9494-97E4-8635-440B49E25FD5} - (no file)

O4 - HKLM\..\Run: [PROMon.exe] PROMon.exe

O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe

O4 - HKLM\..\Run: [IgfxTray] C:\WINNT\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINNT\System32\hkcmd.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [LVCOMS] C:\Archivos de programa\Archivos comunes\Logitech\QCDriver\LVCOMS.EXE

O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe

O4 - HKLM\..\Run: [PAVNT] PAVNT.exe

O4 - HKLM\..\Run: [WinampAgent] "D:\Archivos de programa\Winamp3\winampa.exe"

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "D:\Archivos de programa\Quick Time\qttask.exe" -atboottime

O4 - HKLM\..\Run: [HP Software Update] "C:\Archivos de programa\HP\HP Software Update\HPWuSchd.exe"

O4 - HKLM\..\Run: [AdTools Service] C:\Program Files\AdTools Service\AdTools.exe

O4 - HKLM\..\Run: [gah95on6] C:\WINNT\System32\gah95on6.exe

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - Startup: ArGoSoft Mail Server.lnk = C:\Program Files\ArGo Software Design\Mail Server\mailserver.exe

O4 - Global Startup: Acrobat Assistant.lnk = D:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: HPAiODevice(hp officejet d series) - 1.lnk = C:\Archivos de programa\Hewlett-Packard\AiO\hp officejet d series\Bin\hpoojd07.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll

O16 - DPF: {0638A490-83D3-11D4-9A98-009027713462} (DinaTierraCtl.DinaTierra) - http://w3.mapya.es/dinatierra_v3/Redist/DinaTierraCtl.CAB

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540006} (CInstall Class) - http://www.errorguard.com/installation/Install.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {2C0F2AEA-3A9B-46DB-A7BE-80FF329E415D} -

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by18fd.bay18.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {73F0FD85-BD47-4A95-86D1-DE38860462C1} -

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender-es.com/scan/Msie/bitdefender.cab

O16 - DPF: {812A5592-FBF0-4D40-B0EF-CEA668406C0C} (Herramienta de carga de Yahoo! Fotos Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/installs/ydropper/ydropper1_4es.cab

O16 - DPF: {87BF5318-D5F0-41F4-9D14-47967FA8C12B} -

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O16 - DPF: {C4D5E343-9494-97E4-8635-440B49E25FD5} -

O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab

O16 - DPF: {E8A4D743-13C0-4E03-A2D9-0C92FE038200} (TragsatecRuntimeVB.TTecRuntimeVBCtl) - http://w3.mapya.es/dinatierra_v3/Redist/RuntimeVB.CAB

O16 - DPF: {FE4BBEA8-1EFD-4B8A-BD1B-341CCDBEEAA6} -

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = ctijccm.es

O17 - HKLM\System\CCS\Services\Tcpip\..\{54E714D6-C069-4692-8A98-C868284497E8}: NameServer = 192.168.0.50,80.58.0.33,80.53.32.97

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ctijccm.es

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = ctijccm.es

O18 - Filter: text/html - {E64E4E60-EF13-4C79-A159-119762E18181} - (no file)

Espero vuestras noticias.

Muchas gracias de antemano. :)

Mensaje por **msc hotline sat** » 17 Mar 2005, 17:58

Antes de postear el log de HJT...

https://foros.zonavirus.com/viewtopic.php?t=5148

Mensaje por **msc hotline sat** » 17 Mar 2005, 18:02

El SVCHOST.EXE que Vd tiene en proceso es el correcto de windows 2000, ya que lo carga de winnt\system32

Lo que puede tener es un proceso gusano o troyano lanzado por el SVCHOST de windows, ya que es el lanzador de aplicaciones

Vea con las utilidades antivirus y antispywares lo que detecta al respecto, y lance un antivirus ONLINE, a ver si detecta algo, y nos lo comenta

https://www.virustotal.com/es/

Evidentemente tiene claves BHO (Browse Helper Object) que se cargan cuando se ejecuta el Internet Explorer que convendría analizar, pero siempre antes de tocar el registro, debe verse si lo detectan las utiliaddes correspondientes.

saludos

ms, 17-03-2005

Mensaje por **maura63** » 17 Mar 2005, 18:15

En principio nada malo.

Desconocidas

R3 - URLSearchHook: (no name) - {C4D5E343-9494-97E4-8635-440B49E25FD5} - (no file) -

O2 - BHO: (no name) - {6A6E50DC-BFA8-4B40-AB1B-159E03E829FD} - (no file) -

O2 - BHO: (no name) - {D848A3CA-0BFB-4DE0-BA9E-A57F0CCA1C13} - (no file) -

O3 - Toolbar: (no name) - {C4D5E343-9494-97E4-8635-440B49E25FD5} - (no file) -

Te suena esto de algo

[color=red]O4 - HKLM\..\Run: [gah95on6] C:\WINNT\System32\gah95on6.exe - [/color]

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540006} (CInstall Class) - http://www.errorguard.com/installation/Install.cab -

O16 - DPF: {2C0F2AEA-3A9B-46DB-A7BE-80FF329E415D} - -

O16 - DPF: {73F0FD85-BD47-4A95-86D1-DE38860462C1} - -

O16 - DPF: {87BF5318-D5F0-41F4-9D14-47967FA8C12B} - -

O16 - DPF: {C4D5E343-9494-97E4-8635-440B49E25FD5} - -

O16 - DPF: {FE4BBEA8-1EFD-4B8A-BD1B-341CCDBEEAA6} - -ijccm.es -

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ctijccm.es -

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = ctijccm.es -

O18 - Filter: text/html - {E64E4E60-EF13-4C79-A159-119762E18181} - (no file) -

Tu log da w2000 SP2 , el W2000 Prof. va por el SP4 aunque desconozco la diferencia con el 2000 server que tu tienes.

Comprueba via windows update si te falta alguna actualizacion.

Saludos

maura63

Mensaje por **maura63** » 17 Mar 2005, 18:21

Y por si las moscas baja la nueva version de hijackthis

Nueva versión del Hijack This : 1.99.1

Bajar :

http://www.merijn.org/files/hijackthis.zip

Haz otro log y comprueba con el anterior tu mismo las entradas.

Saludos

maura63

Mensaje por **msc hotline sat** » 18 Mar 2005, 11:57

Como sea que las claves BHO que son las que se cargan cuando abres el navegador, no indicaban fichero, nada hacían, aparte de ensuciar, por lo que su eliminacion, aparte de limpiar el registro, era de preveer que no tuvieran nada que ver.

Por todo lo indicado, cabe un problema en el sistema, ya que al usar dos navegadores independientes, y le pasa con los dos, no es probable que el problema sea de elos

Por eso propongo REPARAR el sistema operativo antes de aplicar parches, para no perder tiempo, pues si actualiza ahota y luego REPARA, habrña de volver a actualizar los parches.

Si quiere probarlo, arranque con el CDROM de instalacion de su windows, como si fuera a instalar, y tras aceptar contrato, cuando detecte la particion instalada, indiquele REPARAR, no reinstalar para no perder las aplicaciones instaladas.

Tras ello finalice actualizando con windowsupdate y reinice, a ver si con ello le ha desaparecido el problema.

Tambien puede actualizar ahora, y si no nota mejora, REPARAR y luego volver a actualizar, es mas tiempo, pero a lo mejor hay suerte y con solo actualizar se resuelve...

En cualquiier caso