svchost.exe NETWORK SERVICE. Перегружает систему.

[Asid]

Здравствуйте, собственно проблема не нова. Svchost.exe (netsvcs) съедает 70% оперативки и нагружает процессор на 25-50%, лишь при одном запущенном chrome браузере. Сканирование системы "Kaspersky Virus Removal Tool" и "Dr.Web CureIt!", что в обычном режиме, что при "Safe mode", ничего не нашло.

Вложение 623133

[Info_bot]

Уважаемый(ая) Asid, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 DelBHO('{966D6D84-DB59-433D-6BDB-7253ED619568}');
 DelBHO('{963B125B-8B21-49A2-A3A8-E37092276531}');
 QuarantineFile('C:\Users\Asid\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\Asid\AppData\Roaming\Kyut\lybo.exe','');
 QuarantineFile('C:\Users\Asid\AppData\Roaming\Opera\googleupd.exe','');
 QuarantineFile('C:\Users\Asid\AppData\Roaming\taskhost.exe','');
 QuarantineFile('C:\Windows\system32\drivers\ProtectorA.sys','');
 DeleteFile('C:\Users\Asid\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Users\Asid\AppData\Roaming\Kyut\lybo.exe','32');
 DeleteFile('C:\Users\Asid\AppData\Roaming\Opera\googleupd.exe','32');
 DeleteFile('C:\Users\Asid\AppData\Roaming\taskhost.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Funmoods','64');
 DeleteFile('C:\Windows\system32\Tasks\GoogleUpdateTaskUserS-1-5-21-1970835742GUI','64');
 RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Taskhost','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\{BAA44C61-7785-DDB8-2FD2-3C466E5EFF6F}','command');
  BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(1);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

[Asid]

Сделал.

[SQ]

Важно файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы, не прикладывайте как вложение.


Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Asid]

Quarantine.zip отправил по ссылке. В логе удалил все.

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Asid]

Сделал.

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  SearchScopes: HKU\S-1-5-21-1950759337-190907312-2134059616-1000 -> {3E0C9769-C75E-4D54-9BA8-ACE7DDE006DD6B4} URL = hxxp://superru.net/?q={searchTerms}&utm_medium=ise&utm_source=dt&utm_campaign=bp&utm_content=11-08
  Toolbar: HKU\S-1-5-21-1950759337-190907312-2134059616-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
  FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
  FF HKLM-x32\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
  CHR HKLM-x32\...\Chrome\Extension: [nneajnkjbffgblleaoojgaacokifdkhm] - <no Path/update_url>
  Folder: C:\Users\Asid\AppData\Roaming\chc
  Folder: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GOG.com
  2013-03-25 10:22 - 2013-03-25 10:22 - 0077671 _____ () C:\Users\Asid\AppData\Local\funmoods_2.0.1.crxC:\Users\Asid\AppData\Local\Temp\BingBarSetup-Partner.exe
  C:\Users\Asid\AppData\Local\Temp\nvSCPAPI.dll
  C:\Users\Asid\AppData\Local\Temp\nvStInst.exe
  Task: {02D1F9D0-D3E0-407F-B972-B77C4BBE73FD} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
  Task: {D89626DD-AE2F-4EA8-93DD-57266D5CB929} - \GoogleUpdateTaskUserS-1-5-21-1970835742GUI -> No File <==== ATTENTION
  Task: {F4F5B231-3E14-4460-9085-350989FEF7A9} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
  AlternateDataStreams: C:\Program Files\Common Files\Microsoft Shared:XhCrfhuJLgQrxV7b [2218]
  AlternateDataStreams: C:\ProgramData\Microsoft:ajXa937j5HEfC68GBOQjoygZJ [2198]
  AlternateDataStreams: C:\ProgramData\Microsoft:kNgW8ahvX0LiddAKVzoHbu3ckB [2094]
  AlternateDataStreams: C:\ProgramData\Microsoft:yThoyFEkErlNeFPjd [551]
  AlternateDataStreams: C:\Users\Asid\AppData\Local\Temp:DFIIs38bwOOCz6npZvIg4jw [2198]
  AlternateDataStreams: C:\Users\Asid\AppData\Local\Temp:VeJWfhrVZIZhezcUIdxCOLHnE [2200]
  AlternateDataStreams: C:\Users\Asid\AppData\Local\Temp:zqURjjnhkmL4ObO84aGekg8 [2430]
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\{BAA44C61-7785-DDB8-2FD2-3C466E5EFF6F}]
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Taskhost]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Asid]

И это сделал.

[SQ]

Что с проблемой?

[Asid]

Проблема осталась. Наблюдал за ним (svchost NETWORK SERVICE) пол дня. Есть некоторая особенность, при недавно включенном компьютере и открытом хром браузере загрузка CPU и оперативки присутствует. Однако, если включаются в работу ресурсоемкие приложения, такие как Nuke или After effects, svchost отступает, ресурсы не жрет и вообще ведет себя послушно в дальнейшем, даже если вышеописанные приложения закрываются и остается только браузер.

http://clip2net.com/s/3wh84qQ

[SQ]

Приложите новый лог FRST.

[Asid]

Извиняюсь за задержку. Еще одно некоторое обстоятельства, процесс жрет активно ресурсы при только что включенном компьютере и без запущенных браузеров и прочих приложений. Тоесть, включаем компьютер и в течении часа наблюдаем как 25-40% ресурсов используются на ровном месте.

Логи приложил. Сканировал систему в период пиковой активности процесса.

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  ShellIconOverlayIdentifiers-x32: [  MailRuCloudIconOverlay0] -> {64A9418A-B6B1-4112-B75C-E61633C9A31F} => C:\Users\Asid\AppData\Local\Temp\mcse32_00.dll No File
  ShellIconOverlayIdentifiers-x32: [  MailRuCloudIconOverlay1] -> {6A2E142B-EA63-433A-AC05-5223CBD26E65} => C:\Users\Asid\AppData\Local\Temp\mcse32_00.dll No File
  ShellIconOverlayIdentifiers-x32: [  MailRuCloudIconOverlay2] -> {6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} => C:\Users\Asid\AppData\Local\Temp\mcse32_00.dll No File
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, сервер будет перезагружен.

Убедитесь, чтобы указанные Вами проблемы не были из-за utorrent или обновления Windows (Windows Update).

[Asid]

Помогло, после Fix и перезагрузки систему ничего не нагружает. Покрутил браузер, понаблюдал, перезагрузил еще раз, все чисто. Как я могу вас отблагодарить и если не секрет, что именно это было? (Хотелось бы избежать этого паразита в дальнейшем).

Лог приложил.

[SQ]

Как я могу вас отблагодарить и если не секрет, что именно это было? (Хотелось бы избежать этого паразита в дальнейшем).

Помощь оказываем бесплатно, если желаете поддержать проект то пройдите по ссылке:
http://virusinfo.info/content.php?r=...fo.info-donate

Последнее что чистили, были несуществуеющие пути от ПО Mail Cloud.

Уточните вопросов по данной заявке у Вас не осталось?

[Asid]

Вопросов нет. Спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены