El svchost.exe me come el 100% de la CPU (solucionado)

[Atreliz]

-->Antes de nada:

1)No se si esta duda ira en esta seccion(en el fondo es una aplicacion de windows =software),espero que sino es asi,los moderadores la recoloquen.

2)Ya he buscado el tema antes por el foro,pero os podeis imaginar que la palabra svchost ,sale en todos los log del HijackThis.Asi que es casi imposible leerme el foro entero.



-->Bueno altema:

He formateado el Pc como 6 veces y siempre aparece el mismo problema.Al conectarme a internet,el svchost.exe de windows se come el 90 o 100 % de la ram de la CPU.Y claro si lo cierro,me caigo de internet,y si no lo cierro,no funciona ningun programa,xq el PC esta petado.Solo he conseguido que no se coma la ram,usando el ZoneAlarm.Programa que no me gusta.Antes usaba el Kaspersky antihacker y me sentia del todo seguro,pero ahora si lo instalo el svchost salta y se como la ram.

Lo mas raro,es que siempre que formateo (en los dos años que tengo el pc) instalo siempre los mismos progrmas.Asi que es imposible que esten infectados.El pc funciona bien,mientras no me conecte a internet.Por lo tanto,la clave esta ahi!Tengo todos los parches (salvo SP2) y he pasado el panda online y el kasperky personal pro 5,el adware y el spybot.



Bueno si alguien tiene idea de xq se cualga el pc,lo agradeceria,yo y un monton de gente,xq el google esta petado de gente con el mismo problema.GRACIAS por adelantado

[maura63]

Nueva versión del Hijack This : 1.99.1

Bajar :

http://www.merijn.org/files/hijackthis.zip



Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.



Y veremos si tienes algo raro.



Saludos

maura63

[msc hotline sat]

Prueba de lanzar nuestra utilidad ELITRIIP,EXE y tras reiniciar, cuentasnos los resultados, como respuesta de este Tema, gracias:



http://www.zonavirus.com/descargas/elitriip.asp



saludos



ms, 6-04-2005

[Atreliz]

Aqui os dejo el Log del HijackThis.Muchas gracias por adelantado.

-Fijaos que simpre tengo 5 svchost.exe activos todo tiempo,y aqui solo refleja 3?

-Este es el progrma de botones que trae mi tecldo,inofensivo Maestro\WTS_KEY.EXE xsi acaso os comeis el tarro con el :)

-----------------------------------------------------



Logfile of HijackThis v1.99.1

Scan saved at 22:16:45, on 6/4/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\KMaestro\KMaestro.exe

C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe

C:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe

C:\Archivos de programa\ScanSoft\OmniPageSE\opware32.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE

C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Archivos de programa\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe

C:\WINDOWS\System32\taskmgr.exe

C:\KMaestro\WTS_KEY.EXE

C:\WINDOWS\System32\wuauclt.exe

C:\hijackthis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [KeyMaestro] C:\KMaestro\KMaestro.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\ARCHIV~1\ZONELA~1\ZONEAL~1\zlclient.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [KAV50] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0 -chkss

O4 - HKLM\..\Run: [Omnipage] C:\Archivos de programa\ScanSoft\OmniPageSE\opware32.exe

O4 - HKLM\..\Run: [EPSON Stylus C42 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C42 Series" /O6 "USB001" /M "Stylus C42"

O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program Files\webHancer\Programs\whSurvey.exe"

O4 - HKLM\..\Run: [PCTVRemote] C:\Archivos de programa\Pinnacle\PCTV Stereo\Remote\Remoterm.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Pinnacle Scheduler.lnk = ?

O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1112281063775

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe

O23 - Service: Kaspersky Anti-Virus Service (KLBLMain) - Kaspersky Lab - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[serkorg]

[b]Compa, la solución es mucho más fácil de lo que piensas...



Yo tuve el mismo problema con win 2k y xp, svchost es un archivo de windows y se contamina muy fácilmente...



Si te fijas, al instalar windows, el S.O funciona correctamente, pero cuando entras a internet el problema se vuelve muy lamentable...



La mejor solución es que instales un firewall (corta fuegos), Zone alarm es muy bueno, desde que lo instalé windows funciona sin mayores problemas (por lo menos de consumo ahora es excelente...) acá te dejo el link para que lo pruebes y como debes cponfigurarlo en tu pc...



http://download.zonelabs.com/bin/free/es/download/znalm.html



Espero que te sirva mi pequeñísimo aporte...



Salu2...[/b]

[msc hotline sat]

Selecciona y da FIX a la siguiente clave;



O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program Files\webHancer\Programs\whSurvey.exe"



y comentanos el resultado como respuesta de este Tema, gracias



saludos



ms, 7-04-2005

[Atreliz]

Bueno, sin duda estaria bien hacerlo...pero ese programa me lo colo el Zone Alarm (que creo que he comentado ,ya tengo instalado y soluciona el problema,pero como firewall no me gusta) y como no estaba en mi lista de amigos lo intente desinstalar y al no funcionar,me cargue por completo la carpeta "C:\Program Files" que no contenia nada nada importante y asi corria menos riesgos.Lo que no se es como puede salir entonces?



Pase la otra herramienta que me recomendasteis,y me detecto un gusano en mi disco duro de datos(tengo uno xa datos y otro xa programas) pero estaba en un programa que ni siquiera he instalado ni movido del incoming del emule, y me lo baje hace ya mucho tiempo.

Tb he detectado un archivo Svchost.exe en el HD de datos en la carpeta del Norton Ghost,que fue el ultimo programa que me baje antes de formatear por primera vez.Puede que fuese eso?Esta tarde testeare el pc un buen rato y os cuento.



GRACIAS a todos

[msc hotline sat]

Mira de enviarnos este SVCHOST.EXE que no está en el directorio de sistema, y que en consecuencia no es el lanzador de tareas de windows, pues puede ser el gusano en cuestion, y lo pasaríamos a controlar con nueva version del ELITRIIP, que es donde controlamos los intrusos de este tipo.



Envianoslo a zonavirus@satinfo.es anexado a un mail cuyo texto sea un copiar y pegar de este post, y te contestaremnos como respuesta a este Tema



saludos



ms, 7-04-2005

[Atreliz]

EL svchost.exe que encontre en la carpeta del Norton ghost,lo elimine nada mas descubrirlo.Asi que he mirado a ver si tenia una copia del programa.Y la tengo,pero del programa zipeado.Por lo que no esta afectando.En un ratito te lo mando,ok?

Gracias por ayudarme tanto,pese al coñazo que os estoy dando ;)



PD:si alguno usa windows Xp me podria decir cuantos svchost.exe le aparecen en el administrador de tareas,y si son de sytem,local,o usuario?

Tb tengo en mi Pc el archivo "SVCHOST.EXE-3530F672.pf" en la carpeta "C:\windows\Prefetch" pero creo que eso es normal,no?

[msc hotline sat]

Ya hemos hablado muchas veces en este foro sobre el SVCHOST.EXE del sistema operativo, que es el utilizado para lanzar tareas, y los gusanos que con el mismo nombre o parecido se introducen en el ordenador por intrusion virica.



El SVCHOST del directorio de sistema es el de windows, y en dicho directorio se copian otros gusanos con nombre parecido, como SCVHOST, CVSHOST; etc, los cuales forman parte de virus que son detectados y eliminados a medida que son controlados.



Pero otros SVCHOST que se introducen en el ordenador y son gusanos, se copian en otros directorios, como elk de windows, o el de crivers dentro de sistema, por ejemplo.



Estos son gusanos y deben eliminarse, pero no necesariamente lo son los que aparecen en los procesos del administrador de tareas, ya que normalmente son tareas que utilizan el SVCHOST del sistema para ser lanzadas, y el SVCHOST es el correcto de windows, en este caso lanzado desde la carpeta de siste,a.



Lo que puede ser es que alguna tarea lanzada sea virica, pero en este caso el virus estaría en la tarea lanzada, no en el SVCHOST lanzador, a diferencia de algun SVCHOST lanzado desde otra carpeta que no la de sistema, o un nombre parecido pero no el mismo, lcomo SCVHOST, lanzado desde el mismo directorio de sistema.



En tu log solo aparecen tres SVCHOST lanzados desde el directorio de sistema, por lo que en sí no son virus, otra cosa es lo que puedan haber lanzado, y si tiene 5 tareas lanzadas, en el HJT no aparecen, pero piense que el HijackThis solo mira un 1 % del registro, y hay muchas cosas que pueden afectar y que no aparecen.



Por esto le pedia otros SVCHOST.EXE que estuvieran en otras carpetas, aparte que la de sistema, o la DLLCACHE, que es un copia virtual de los ficheros mas usados, sin que sirva los .pf, que son prefetch reducidos para manejo del sistema.



Tenga presente a la hora de buscar otros SVCHOST.EXE el ver todos los ficheros (incluso los ocultos) y que visualice las extensiones, sihuiendo las normas de windows:


[quote]_____________



PARA VER TODOS LOS FICHEROS Y EXTENSIONES EN SISTEMAS WINDOWS:



Mostrar las extensiones verdaderas de los archivos



Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:



1. Ejecute el Explorador de Windows



2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.



3. Seleccione la lengüeta 'Ver'.



4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.



5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.



En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.



En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.



6. Pinche en 'Aplicar' y en 'Aceptar'.
[/quote]

Informenos de los resultados como respuesta de este Tema, gracias



saludos



ms, 7-04-2005

[Atreliz]

Ya os he mandado el svchsot.exe que encontre.Decirte que nada mas descomprimir la carpeta del Norton ghost el antivirus me detecto 21 archivos infectados,por los virus:

codbot----->trojan backdoor

zapchast---->trojan

Bat.Ftpab----->trojan-downloader



Asi que creo que ya sabemos por donde anda el problema...



Te mando los resultados de la busqueda que me pediste:



SVCHOST.EXE-2EA309F8.pf -----> C:\WINDOWS\Prefetch

SVCHOST.EXE-3530F672.pf ----->C:\WINDOWS\Prefetch

svchost.exe -----> C:\WINDOWS\sytem32

svchost.exe.hdmp -----> C:\Documents and Settings\Dash\Configuración local\Temp\WERD.tmp.dir00



svchost.exe.mdmp -----> C:\Documents and Settings\Dash\Configuración local\Temp\WERD.tmp.dir00



SVCHOST.EXE -----> C:\Documents and Settings\Dash\Escritorio\Symantec.Norton.Ghost.9.Spanish-Español.by.Smeagol-KilleR\I386\SYSTEM32

[msc hotline sat]

Recibida muestra de SVCHOST.EXE corresponde al de sistema Windows XP SP1.



No hay nada virico en él. Es simplemente el lanzador de tareas



Puede que la tarea lanzada sea virica, pero tambien puede ser que esté corrupta o tenga un bucle que le esté colapsando la CPU.



Y como que anda dando vueltas a este problema, habiendo visto en otro Tema que Caito pide buscar ficheros .sys de un tamaño de

31.744 bytes, pruebe con Inicio-buscar si tiene algun fichero *.SYS de dicho tamaño, y si lo detecta nos lo envia a zonavirus@satinfo.es como ya sabe, a ver si dicho fichero contiene un bicho que pueda causar este colapso de CPU.



Si sabe como hacerlo desde Inicio-buscar , vea de bajar el LOCATE.COM que se indica en el post de Caito al final del Tema del siguiente link:



:

https://foros.zonavirus.com/viewtopic.php?t=6061&highlight=





y ejecutar el Locate \*.sys /s:31744! >report.txt y el contenido del REPORT.TXT le indicará el fichero de marras, que conviuene nos envie.



A ver si tiene algo que ver---(variante no controlada del MyDoom quizas, fichero hserv.sys?)



saludos



ms, 7-04-2005

[Atreliz]

He buscado un archivo de esa extension y ese tamaño y...bueno no se si tengo alguno?xq el buscador me da el tamño en kb y de 31kb no engo nada,de 32Kb si tengo alguno,pero no se exactamente su tamaño en bytes,como saber si es de 31.744b.



El "hserv.sys" no lo tengo,tb lo he buscado.Y el Locate.com no lo encuentro en esa direccion que me has pasado.



Respecto a mi problema:

Si el svchost que te he pasado,que me venia dentro de un progrma que baje comprimido por P2P,es el lanzador de tareas.Que diablos hacia ahi?no deverias estar en uan carpeta de windos?No se,yo creo que esta claro,que es el me estaba petando el pc,xq ha sido cargarme la carpeta contenedora y adios al problema.Voy a formatear y volver a poner el pc limpito y espero que no vuelban de nuevo los problemas,ya os contare.



Gracias a todos por la ayuda

[Atreliz]

Formateadito y to bonito...me seguia dando el mismo problema :(

He probado con mas firewalls que conocia de otras veces.EL kerio me empezo llendo bien,pero nada el svchost otra vez....ahora tengo el Outpost y la cosa va bien,ya no se cuelga y ademas he pasado el escaner de puertos de upseros con todo perfecto

http://www.upseros.com/portscan.php por si a alguien le interesa.

Pero antes de formatear,detecte que tenia en ambos HDs espacios sin particionar de 7.8MB.En ambos?y el mismo espacio?me resulta raro...ademas el Partition Magic me dice que mis HDs son de un tamaño ,y windows me dice otro,con una diferencia de 2 gb en cada uno.Ambos HDs son de 80 Gb asi que windows deberia reconocerlos bien.He conseguido reutilizaar esos 7.8Mb en el Hd primario,pero no en el logico.

Lo que estoy notando es que el pc tarda un monton en mover archivos de unas carpetas a otras.Tanto de Hd a HD como de CD/DVD a HD.No se a que puede deberse.Ya que simplemente he instalado windows y ya lo he notado.Sin poner nada mas.Podria ser algun problema con la placa?



PD:Bueno igual este tema se puede dar por cerrado y si no soluciono esto ultimo ya posteare el apartado de Hardware.

GRACIAS a todos por la ayuda

[msc hotline sat]

Bien, pues entendemos que era un problema de colision de un cortafuegos por software, quizas lanzado por el SVCHOST, por esto verias esta aplicacion al 100 %



Agradecemos tus explicaciones, y conforme nos indicas damos el Tema por solucionado y lo cerramos



saludos



ms, 11-04-2005