Новый процесс svchost.exe время от времени неожиданно начинает потреблять от 1 до 2 Гб, пока я не убью его. Поиск в Google говорит, что он также регистрирует подозрительную активность на моем IP-адресе

3дравствуйте

У меня проблема.

Новый процесс svchost.exe время от времени неожиданно начинает потреблять от 1 до 2 Гб памяти, пока я не убью его.

Возможно, этот процесс может остановить себя через некоторое время. Я часто вижу сообщение о том, что у меня нехватка памяти, и я часто вижу характерные всплески памяти на графике, если оставить компьютер без присмотра.

Google говорит, что он также регистрирует подозрительную активность на моем IP-адресе. Часто. И запрашивает ввод CAPTURE.

В последнее время странные вещи происходят с памятью. Я мог одновременно запускать Skype, браузер и 3ds max. Но теперь даже один запущеннй 3ds max сбоит из-за нехватки памяти в тех же сценах, где он работал нормально раньше.

Я запускал ваш скрипт, когда этот странный svchost.exe не был активным. Это ошибка с моей стороны?

Спасибо за вашу помощь.

Уважаемый(ая) [B]JJA[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

Сами прописывал прокси-сервер?
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyServer] = 54.160.108.87:3128 (disabled)[/CODE]

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
O2-32 - HKLM\..\BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - HKLM\..\Toolbar: avast! WebRep - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - (no file)
O4 - MSConfig\startupreg: AdobeBridge [command] = (HKCU) (2018/07/30) (no file)
O18 - HKLM\Software\Classes\Protocols\Filter\text/xml: [CLSID] = {807553E5-5146-11D5-A672-00B0D022E945} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\livecall: [CLSID] = {828030A1-22C1-4009-854F-8E305202313F} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\ms-help: [CLSID] = {314111C7-A502-11D2-BBCA-00C04F8EC294} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\msdaipp\0x00000001: [CLSID] = {E1D2BF42-A96B-11D1-9C6B-0000F875AC61} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\msdaipp\oledb: [CLSID] = {E1D2BF40-A96B-11D1-9C6B-0000F875AC61} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\msnim: [CLSID] = {828030A1-22C1-4009-854F-8E305202313F} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\mso-offdap11: [CLSID] = {32505114-5902-49B2-880A-1F7738E5A384} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\00avast: (no name) - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)[/CODE]

- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.

Большое спасибо за инструкции и помощь. Есть вероятность что прокси давным-давно прописывал сам, но не вспомнить когда и зачем. Точно могу сказать что не пользуюсь ими в повседневной жизни и эксплорером тоже.

Пофиксил. Лог AdwCleaner прикрепляю.

[url=https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Готово. Отметил все.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Сделано. Защита электронной почты Avira прекратила работу с тех пор, как мы начали эти действия по исправлению. Я не могу включить ee. Это связано или совпадение?

Насколько я вижу предыдущие логи мы не затрагивали комопненты антивируса AVira.

Удалите пожалуйста остатки антивруса [URL="https://www.avast.ru/uninstall-utility"]Avast[/URL]

Зднакома ли Вам следующая настройка в FireFox?
[CODE]
FF NetworkProxy: Mozilla\Firefox\Profiles\37dm9bq2.default-1456420097356 -> autoconfig_url", "data:text/plain, function FindProxyForURL(url, host) {if(isInNet(host, '192.168.0.0', '255.255.0.0')) return 'DIRECT'; \nif(host == 'us1-base.cd-n.net') return 'DIRECT'; \nif(host == 'us2-base.cd-n.net') return 'DIRECT'; \nif(host == 'us3-base.cd-n.net') return 'DIRECT'; \nif(host == 'jp1-base.cd-n.net') return 'DIRECT'; \nif(host == 'de-base.cd-n.net') return 'DIRECT'; \nif(host == 'au1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ir1-base.cd-n.net') return 'DIRECT'; \nif(host == 'sg1-base.cd-n.net') return 'DIRECT'; \nif(host == 'kr1-base.cd-n.net') return 'DIRECT'; \nif(host == 'us0-base.cd-n.net') return 'DIRECT'; \nif(host == '127.0.0.1') return 'DIRECT'; \nif(host == 'localhost') return 'DIRECT'; \nif(host == 'us1-base.cd-n.net') return 'DIRECT'; \nreturn 'HTTPS host-45-32-248-127-jp.trlone.com:443';}"
[/CODE]

Замечен у Вас еще антиврус Norton, сколько у Вас антивирусов в системе? Рекомендуется использовать только один, иначе каждый из антивирусов будет конфликтовать с другим.
[CODE]
S2 Norton Internet Security; "C:\Program Files (x86)\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe" /s "Norton Internet Security" /m "C:\Program Files (x86)\Norton Internet Security\Engine\16.0.0.125\diMaster.dll" /prefetch:1
[/CODE]


[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Program Files (x86)\SMINST\BLService.exe
File: C:\Program Files\Autodesk\3ds Max Design 2014\NVIDIA\Satellite\raysat_3dsmax2014_64server.exe
BHO: avast! Online Security -> {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} -> C:\Program Files\AVAST Software\Avast\aswWebRepIE64.dll => No File
Handler: msdaipp - No CLSID Value
FF Plugin-x32: @wacom.com/wtPlugin,version=2.1.0.3 -> C:\Program Files (x86)\TabletPlugins\npWacomTabletPlugin.dll [No File]
FF Plugin-x32: @wacom.com/wtPlugin,version=2.1.0.7 -> C:\Program Files (x86)\TabletPlugins\npWacomTabletPlugin.dll [No File]
FF Plugin-x32: wacom.com/WacomTabletPlugin -> C:\Program Files (x86)\TabletPlugins\npWacomTabletPlugin.dll [No File]
U0 aswVmm; no ImagePath
U4 eabfiltr; no ImagePath
2016-03-14 01:46 - 2016-03-14 01:46 - 000000016 ____H () C:\Program Files (x86)\Common Files\cld1-astg
2016-03-13 23:07 - 2016-03-13 23:07 - 000000016 ____H () C:\Program Files (x86)\Common Files\dw1-astg
2016-03-14 00:15 - 2016-03-14 00:15 - 000000016 ____H () C:\Program Files (x86)\Common Files\dys1-astg
2016-03-13 23:32 - 2016-03-13 23:32 - 000000016 ____H () C:\Program Files (x86)\Common Files\ins1-astg
2016-03-14 01:47 - 2016-03-14 01:47 - 000000016 ____H () C:\Program Files (x86)\Common Files\mir1-astg
2016-03-13 22:28 - 2016-03-13 22:28 - 000000016 ____H () C:\Program Files (x86)\Common Files\pcs2-astg
2016-03-13 23:40 - 2016-03-13 23:40 - 000000016 ____H () C:\Program Files (x86)\Common Files\vs1-astg
2016-03-14 01:27 - 2016-03-14 01:27 - 000000016 ____H () C:\Program Files (x86)\Common Files\ws1-astg
ContextMenuHandlers3: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
HKLM\...\cmdfile\DefaultIcon: %SystemRoot%\System32\shell32.dll,-153 <==== ATTENTION
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Еще раз большое спасибо за рекомендации.
[QUOTE]Удалите пожалуйста остатки антивруса [URL="https://www.avast.ru/uninstall-utility"]Avast[/URL][/QUOTE]
Сделано.
[QUOTE]Зднакома ли Вам следующая настройка в FireFox?[/QUOTE]
Похоже ее прописывает плагин лисы для прокси Hoxx VPN Proxy. Удаляю эту строку из настроек, но после его активации все возвращается.

По поводу антивирусов. Norton шел предустановленным к ноутбуку и был сразу же удален. Видимо это его остатки. Постоянно активен Avira, а Malwarebytes иногда запускается вручную.

Запрошенный файл во вложении. Я вспомнил еще один момент. Время от времени переключение языков ввода стало отключаться совсем, и до следующей перезагрузки. Не знаю важно ли это.

[QUOTE=JJA;1490651]
По поводу антивирусов. Norton шел предустановленным к ноутбуку и был сразу же удален. Видимо это его остатки. [/QUOTE]

Пробуйте удалить [URL="https://support.norton.com/sp/en/us/home/current/solutions/v60392881_EndUserProfile_en_us"]остатки Norton[/URL].

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].

Нортон почистил, спасибо. К сожалению я превысил лимит для вложений, так что загрузил в облако.

[url]https://cloud.mail.ru/public/KvoP/cH338EsZg[/url]

[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.0.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v400c
OFFSGNSAVE
BREG
zoo %SystemDrive%\PROGRAM FILES\DASSAULT SYSTEMES\DS LICENSE SERVER\WIN_B64\CODE\BIN\DSLICSRV.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
restart[/CODE]

Сделано. Я правильно понял что нужно папку ZOO архивировать и отправить сюда?

Не все ок, отправили в карантин, куда необходимо. Отправил карантин на исследование, но возможно это [URL="https://www.virustotal.com/#/file/84bf30772d1a428face7e2e8c12d27031852ecfc2ef3e717efae1339452461a3/detection"]ложное срабатывание[/URL] у сторонних антивирусов.

Сообщите, что с проблемой?

Хорошо, спасибо большое. За памятью и гуглом понаблюдаю какое-то время чтобы понять исчезла проблема или нет. Не сразу проявляется, особенно тревожные сообщения гугла.

Пришел ответ, файл не предоствляет угрозы. По наблюдайте и сообщите если проблема решилась.

Здравствуйте. Рад что файл чистый.

К сожалению скачки потребления памяти у svchost.exe и предупреждения гугла о подозрительной активности никуда не делись. Возможно ли что пики потребления памяти вызваны службой обновления windows? Я замечаю Trustedinstaller.exe работающий когда начинается жор памяти.

Еще вспомнил одну вещь. При работе торрент-клиента Avira выдает сообщение: The adapter "Беспроводное соединение" is ICMP flooded. В интернете читал не обращать на него внимания, но может это важно.

Скорее всего Windows Update, пробуйте временно отключить обновления и понаблюдать.

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]2[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB[/LIST]