Разбушевавшийся svchost.exe

С недавнего времени начинают постепенно беспокоить тормоза системы, которые в последнее время становятся все выраженнее. Загрузка процессора 97 процентов, процентов 50-70 из которых - это один из svchost.exe... при этом сетевой трафик не наблюдается. Если одновременно включается рутинная проверка Касперского - работать на компе становится невозможно.. Прибить этот ресурсоемкий процесс svchost.exe иногда получается, иногда нет...
На компе стоит Windows XP Home Edition SP2, работа производится из-под аккаунта обычного пользователя. В качестве антивируса стоит KIS 6.0 с максимальными настройками (до недавнего времени это практически не напрягало - то есть комп даже с максимальными настройками не тормозил - теперь пришлось многие настройки КИСа оптимизировать).
Проверка CureIt дала следы вируса Win32.HLLW.Gavir.ini в виде _desktop.ini, самого тела вируса нигде не обнаружено. Касперский ничего не видит
Очень надеюсь на вашу помощь.

Многовато у вас неизвестных.
Выполнить лог в AVZ :

[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Programme\Logitech\SetPoint\lgscroll.dll','');
QuarantineFile('C:\WINDOWS\system32\winspool.drv','');
QuarantineFile('C:\WINDOWS\Installer\{AA11000A-C75E-487C-88FC-37AA1AACFB67}\ICON_Lingvo.exe','');
QuarantineFile('C:\WINDOWS\Installer\{AA11000A-C75E-487C-88FC-37AA1AACFB67}\ARPPRODUCTICON.exe','');
QuarantineFile('C:\LV11SL\ABBYY Lingvo 11 Six Languages.msi/{MS-OLE}/\75','');
QuarantineFile('C:\LV11SL\ABBYY Lingvo 11 Six Languages.msi/{MS-OLE}/\54','');
QuarantineFile('DkService.exe','');
QuarantineFile('ACPI.sys','');
QuarantineFile('\WINDOWS\system32\hal.dll','');
QuarantineFile('schedul2.exe','');
QuarantineFile('SAService.exe','');
QuarantineFile('LSSrvc.exe','');
RebootWindows(true);
end.
[/code]

и прислать полученные файлы по правилам

Ничего особенного в протоколах не заметил. Пусть посмотрят другие.

Видно только SiteAdvisor от McAfee. Не может ли он конфликтовать с KIS.

Еще есть пара странностей - как я уже упоминал, CureIt нашел следы Win32.HLLW.Gavir.ini ([url]http://info.drweb.com/show/2890/ru)в[/url] виде вирусной метки _desktop.ini, самое интересное что только в одной директории (насколько я помню - она просто была скачана с другого компьютера - на том компе уже давно стоит чистая система,я просто бэкапил нужную инфу с него) - почти все _desktop.ini были удалены, кроме двух - их я пытался удалить отложенным удалением через AVZ - они так и остались... :(
Вторая странность - Pinnacle Studio 10 при инсталляции установил так же Microsoft SQL Server, не указывая это явно при инсталляции продукта. Не знаю насколько он нужен Pinnacle, хотел проверить работоспособность программы без него, но убирая ключ "Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - C:\Programme\Pinnacle\Shared Files\Programs\MediaServer\PMSHost.exe" в HijackThis, он появляется странным образом опять...
может есть какая то взаимосвязь с описанной мною проблемой?
карантинные файлы скоро вышлю...

Хм... после минут 10 загрузки вот что получил
Результат загрузки
Unknown error. File not uploaded
Может есть альтернативный вариант загрузки карантинных файлов?.. Архив получился 8 Мб

[url]http://webfile.ru/[/url]

залил на альтернативный адрес:
[url]http://webfile.ru/1285598[/url]
не запароленный файл так же показал virustotal.com:
[HTML]
[ scan result ]
AntiVir 7.3.0.21/20070117 found nothing
Authentium 4.93.8/20070116 found nothing
Avast 4.7.936.0/20070117 found nothing
AVG 386/20070117 found nothing
BitDefender 7.2/20070117 found nothing
CAT-QuickHeal 9.00/20070117 found nothing
ClamAV devel-20060426/20070117 found nothing
DrWeb 4.33/20070117 found nothing
eSafe 7.0.14.0/20070117 found nothing
eTrust-InoculateIT 23.73.115/20070117 found nothing
eTrust-Vet 30.3.3332/20070117 found nothing
Ewido 4.0/20070117 found nothing
F-Prot 3.16f/20070116 found nothing
F-Prot4 4.2.1.29/20070116 found nothing
Fortinet 2.82.0.0/20070117 found [suspicious]
Ikarus T3.1.0.27/20070109 found nothing
Kaspersky 4.0.2.24/20070117 found nothing
McAfee 4941/20070117 found nothing
Microsoft 1.1904/20070117 found nothing
NOD32v2 1985/20070117 found nothing
Norman 5.80.02/20070117 found nothing
Panda 9.0.0.4/20070117 found nothing
Prevx1 V2/20070117 found nothing
Sophos 4.13.0/20070116 found nothing
Sunbelt 2.2.907.0/20070112 found [VIPRE.Suspicious]
TheHacker 6.0.3.148/20070114 found nothing
UNA 1.83/20070116 found nothing
VBA32 3.11.2/20070116 found nothing
VirusBuster 4.3.19:9/20070117 found nothing

[ notes ]
packers: embedded
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.
[/HTML]

выяснил еще две интересные вещи: во первых сам по себе пропал звук, точнее он как бы есть (АсикьюРадио, например можно слушать или RealTek SoundManager - родная прога которая шла к матери - проигрывает сэмпл), зато система в настройках считает, что ничего нет, хотя в диспетчере устройств все девайсы видны и функционируют без ошибок и не идет ничего другого - Скайп, видеофайлы - все считают, что в системе нет звука...и это при том, что системные звуки слышны (например выскакивающее окошко Касперского о сетевой атаке Helkern)
Второй момент -если у иконки текущего соединения с Инетом (АДСЛ) в трее вызвать контекстного меню и попытаться или разорвать соединение или просмотреть его статус - ничего не происходит. Отключаться от Инета приходится выключая АДСЛмодем....
Ну и вышеупомянутая 100 процентная загрузка компа :(

Попробуем еще один заход.
[CODE]O4 - HKLM\..\Run: [UMonit] C:\WINDOWS\System32\umonit.exe[/CODE]
Нужно запустить программу HijackThis,
запустить проверку системы, в открывшемся логе сканирования
поставить галочки напротив указанной выше строки и
нажать кнопку "Fix Checked".
Перезагрузиться
Попробовать в AVZ найти C:\WINDOWS\System32\umonit.exe, поместить в карантин и прислать на проверку.
О результатах доложить.
Странно, почему-то в логах AVZ этой программы не видно.

самое интересное, что я именно эту прогу, методом научного тыка и изучив гугл, вчера из системной загрузки снес... сразу появился звук и все залетало... описанная проблема с ДСЛ соединением тоже исчезла... svchost.exe ни один из них не стал грузить систему.. все начало летать, как и раньше... буквально часов через 20 (я не отключал комп) ситуация начала повторяться :( хотя, справедливости ради, надо сказать, что указанные разбушевашийся svchost.exe теперь систему все равно так не грузит, а тепершние тормоза системы могли быть связаны,на мой взгляд, с перекачкой тяжелых файлов на другой комп по Wi-Fi..
umonit.exe я проверил через viruslist.com - чистый, но все равно пришлю..
а что с предыдущем карантином? там есть что то зловредное?

PS
Файл сохранён как 070119_052246_2007-01-19_45b0aa0676cd6.rar
Размер файла 17085
MD5 374b592ebac8edce00354484a327b298

Спасибо вам за ваше содействие ;)

Первый раз вижу такое - написал мессагу , которая выше, качаю почту Батом и вдруг вылетает сообщение "Серверная часть Касперского выгружена" и значок становится соответственно сереньким.. вот перезапустил... Терзают меня смутные сомнения... :(
Самое обидное - AVZPM не ставится - система при загрузке уходит в стабильный БДОС 0*0..С2 BAD_POOL_CALLER... хотелось бы на скрытые процессы посмотреть...

Вот актуальные логи... Не углядел одну программу (не закрыл перед исследованием) Process Explorer ;) рано радовался - процесс svchost.exe активничает дальше, хотя несколько меньше - теперь в пределах 30-50 процентов

Не вижу... :(

Подытожу итоги наблюдения - снос umonit.exe заметно пребавил активности системе, несколько уменьшив ( с 70 до 50) активность одного из svchost.exe. Из вновь замеченных глюков - описанное выше исчезновение "на ровном месте" звука и, с недавнего времени, проблемы компьютера с принтером, тоже, так сказать, на ровном месте, ибо всегда все работало... причем комп "видит" принтер - его статус - онлайн, оффлайн и т.д., но считает, что связи нет ;(
Следующий момент - система ощутимо тормозит, несмотря на то, что иногда диспетчере задач ни одной ресурсоемкой программы не видно, и загрузка процессора может быть всего 10 процентов... из чего делаю вывод о возможности присутствия чего то ресурсоемкого, но скрытого.... Установка в систему AVZPM к сожалению не удалась..
Наряду с тормозами (это было вообще единственное, что меня тревожило) системы, начали появляться всякие глюки системы (чего собственно никогда не было).
Прошелся еще RootkitReveal, насколько получилось ( ибо оба раза зависало это приложение), лог файл прилагаю... может кто-нибудь его может объяснить/прокомментировать?..

Стала повляться еще одна странность - отключается беспроводная мышь... такого с ней еще никогда не было.... просто странно все это - включаешь компьютер - вроде все нормально, начинаешь работать - исчезает звук, мышь, компьютер перестает видеть мышь... :(

Набрел на "интересный" сайт,в том числе про ботсети - [url]http://cyberlords.net/[/url]
как бы узнать - есть бот в системе или нет? не зря же svchost.exe такой гиперактивный... Снес, кстати, SiteAdvisor - ничего не изменилось.. Причем последний очень сопротивлялся удалению, стандартным своим анинсталлом не захотел удаляться, а папку свою не давал снести...

Правильно ли я понимаю, что основная проблема - необъяснимая активность [b][color=magenta]svchost.exe[/color][/b]? Если да, то предлагаю сосредоточиться на проблеме, отступив от использования стандартного алгоритма (все равно из-за немецкой версии Windows почти все файлы отстутствуют в базе безопасных).

Предлагаю сначала в диспетчере задач запомнить идентификатор того svchost.exe, который нагружает систему. Потом в командной строке выполнить команду [b]tasklist /svc[/b], и найти строку с этим идентификатором процесса. Тогда будет видно, какие сервисы запущены именно этим svchost-ом, и можно будет сосредоточить свое внимание на них.

Еще, хоть это и не относится к основной проблеме, меня смущает [b][color=magenta]Hard Drive Inspector[/color][/b]. Он точно нужен и с ним все в порядке?

[QUOTE=RobinFood;92896]Правильно ли я понимаю, что основная проблема - необъяснимая активность [b][color=magenta]svchost.exe[/color][/b]? [/QUOTE]
Думаю, что да... Основная проблема - тормозит комп, в этот же отрезок времени выявляется большая активность svchost.exe, который отжирает почти 2 Гб памяти.
[QUOTE]Предлагаю сначала в диспетчере задач запомнить идентификатор того svchost.exe, который нагружает систему. Потом в командной строке выполнить команду [b]tasklist /svc[/b], и найти строку с этим идентификатором процесса. Тогда будет видно, какие сервисы запущены именно этим svchost-ом, и можно будет сосредоточить свое внимание на них.[/QUOTE]
Windows Home Edition у меня, не пускается означенная команда... но сервисы видны из под Process Explorer
[IMG]http://www.ruslan.it/zagruz/zagruz3.jpg[/IMG]

[QUOTE]
Еще, хоть это и не относится к основной проблеме, меня смущает [b][color=magenta]Hard Drive Inspector[/color][/b]. Он точно нужен и с ним все в порядке?[/QUOTE]
Насколько он нужен - сложный вопрос.. на мой взгляд - да; контролирует СМАРТ параметры винтов и их температуру, дабы вовремя заметить их намечающуюся гибель... Точно ли с ним все в порядке - сказть не могу, функционирует как и всегда, без проблем, в диспетчере задач - сильно процессор не грузит - периодически что-то около 0,7 процента.. А с чем связан ваш вопрос? ;)
Очень хочется вылечиться ;)

[QUOTE=Hawker;92907]но сервисы видны из под Process Explorer[/quote]
Да уж, час от часу не легче :) Проблематично выбрать подозрительный сервис из почти трех десятков сервисов, тем более если их названия написаны на немецком. Вариант "в лоб" - останавливать перечисленные сервисы по одному и следить за тем, не исчезнет ли проблема.

Вариант "немножко получше" - то же самое, что и в лоб, но в первую очередь остановить сервисы [b][color=magenta]Automatische Updates[/color][/b], [b][color=magenta]Server[/color][/b] и [b][color=magenta]Windows-Zeutgeber[/color][/b] - с большой вероятностью первый может проверять необходимость установки обновлений, второй может быть использован для удаленного подбора локальных паролей, а про третий до меня неоднократно доходили слухи, что его может заглючить, и тогда он непрерывно шлет запросы в интернет, пытаясь получить точное время.

Хотя, по идее, ни то, ни другое, ни третье не должно приводить к увеличению Virtual Size до [b][color=red]1,97 ГБ[/color][/b] - я подозреваю, что оно бы и больше сожрало, но уперлось в двухгиговый лимит. Вот если бы сделать дамп памяти процесса и попытаться поискать в нем часто встречающиеся одинаковые или похожие куски... может быть, это и натолкнуло бы на мысль, но я пока плохо себе представляю, как это сделать.

[QUOTE=Hawker;92907]Точно ли с ним все в порядке - сказть не могу, функционирует как и всегда, без проблем, в диспетчере задач - сильно процессор не грузит - периодически что-то около 0,7 процента.. А с чем связан ваш вопрос? ;)[/QUOTE] Меня смущает вот это[quote]создан: 30.06.2006 04:22:38,
[b][color=purple]изменен: 08.07.2007[/color][/b] 04:07:44[/quote]

[QUOTE=RobinFood;92958]
Меня смущает вот это

создан: 30.06.2006 04:22:38,
изменен: 08.07.2007 04:07:44
[/QUOTE]
И действительно - как то это некрасиво - снесу его пока для проверки... хотя сама программа из подобных ей мне очень нравится.
Кстати, снос SiteAdvisor ничего не изменил....
С остановкой сервисов поэксперементирую,о результатах доложу... Интересно, что мои проблемы появляются не сразу после включения компа... Скажем так - в пределах часа или даже более - все вроде бы нормально - нет загрузки, работается нормально. Через какое то время - активируется сабж и начинается все вышеописанное - пропадает звук, комп перестает видеть принтер, периодически отрубается мышь, интернет АДСЛ соединение в трее не позволяет себя закрыть ну и 100 процентная загрузка процессора...
Насчет дампа памяти - может подойдет который из AVZ - модули пространства ядра - дамп памяти модуля.... знать бы только какой ;)

Спасибо вам за ваше содействие

для начала снес, точнее отключил службу Windows-Zeitgeber - вроде как поначалу опять все залетало, принтер и звук на месте... через определенное время - наверное около 8-10 часов после запуска системы - опять активировался svchost.exe, но уже с примерно 30-50 процентной загрузкой процессора. Таким образом описанное выше отключение umonit.exe и отключение службы времени уже многое что дает... теперь слежу - будет ли исчезать звук и принтер.. попробую все равно поотключать и дальше остальные службы... Справедливости ради, надо сказать что я деинсталлировал Hard Disk Inspektor, Light Scribe Service, Site Advisor - хотя пока мне кажется они не причем...
Нашел пару очень сходных со моей проблемой тем:
[url]http://virusinfo.info/showthread.php?t=7484[/url]
[url]http://virusinfo.info/showthread.php?t=7635[/url]

остановил службу Server - комп глухо зависает после загрузки, просто зависает без БСОД - вернул обратно... Нашел временный способ вернуть возможность печатать, ибо поиск причины похоже затягивается, а работать все таки надо :( помогает на какое-то время - убить процесс spoolsv.exe и перезапустить его... а вообще конечно печально :(

[QUOTE=Hawker;93206]остановил службу Server - комп глухо зависает после загрузки, просто зависает без БСОД - вернул обратно...[/QUOTE]
Это очень странно, по идее, не должно такого быть. Тогда стоит попробовать не останавливать Server, а понаблюдать за его активностью - Computer Management -> Shared Folders -> Sessions.

Или можно пойти более надежным путем - включить аудит входов в систему - Local Security Settings -> Local Policies -> Audit Policy -> Audit Account Logon Events, и потом почитать логи безопасности - Event Viewer -> Security.

Хотя, может быть, просто на рабочем столе лежат ярлыки со ссылками на сетевые ресурсы этого же компьютера? Тогда Explorer может сильно (до нескольких минут) тормозить при попытке отображать эти ярлыки.

Почему вылетают звук и принтер, в принципе, понятно - адресное пространство у них общее, и как только какой-то из сервисов его все "съедает" - у всех остальных сервисов этого процесса начинаются проблемы.

заметил интересную особенность - небезызвестный svchost.exe ест память не сразу на 2 гига- а постепенно - прибавляя по 100 Кб примерно в 20 - 30 минут... вот сейчас 1.339.860 К... дойдет до 1,9 -2,0 - можно смело перегружаться, ибо работать невозможно ;)
[QUOTE]
Хотя, может быть, просто на рабочем столе лежат ярлыки со ссылками на сетевые ресурсы этого же компьютера? Тогда Explorer может сильно (до нескольких минут) тормозить при попытке отображать эти ярлыки.
[/QUOTE]
только один ярлык с ссылкой на сетку (точнее на рабочюю группу, состоящую из 2 компов - моего и еще одного)... тормозов отображения рабочего стола вроде нет
[QUOTE]
Почему вылетают звук и принтер, в принципе, понятно - адресное пространство у них общее, и как только какой-то из сервисов его все "съедает" - у всех остальных сервисов этого процесса начинаются проблемы.
[/QUOTE]

ага... тогда понятно - почему это не сразу все появляется... а только через определенное время...

Попробую ваши рекомендации, а также поочередно поотключать сервисы, принадлежащие упомянутому svchost.exe

[QUOTE]
Тогда стоит попробовать не останавливать Server, а понаблюдать за его активностью - Computer Management -> Shared Folders -> Sessions.
[/QUOTE]
ничего нет... ни одной записи

[QUOTE]
Или можно пойти более надежным путем - включить аудит входов в систему - Local Security Settings -> Local Policies -> Audit Policy -> Audit Account Logon Events, и потом почитать логи безопасности - Event Viewer -> Security.
[/QUOTE]
не получается, к сожалению, наверное, в виду наличия Home Edition варианта Windows. secpol.msc не запускается

Прошу прощения за долгое молчание - у меня пока очень мало опыта в написании [i]таких[/i] скриптов. Если проблема все еще актуальна, предлагаю провести следующий эксперимент.

1) Скачать и установить [url=http://msdl.microsoft.com/download/symbols/debuggers/dbg_x86_6.6.07.5.exe]Debugging Tools for Windows[/url] (15,2 МБ).
2) Создать в блокноте новый документ, скопировать туда текст следующего скрипта:[code].echotime
lm ov
r $t1=0
r $t2=0
r $t3=0
r $t4=0
r $t5=0
bp VirtualAlloc "r $t0=poi(esp);lm 1m a $t0;? $t0;.echo VirtualAlloc;r $t0=poi(esp+8);? $t0;r $t1=$t1+$t0;j ($t1<10000) 'g';'bc *;.echo !VirtualAlloc!;.echotime;qd"
bp VirtualAllocEx "r $t0=poi(esp);lm 1m a $t0;? $t0;.echo VirtualAllocEx;r $t0=poi(esp+0xC);? $t0;r $t2=$t2+$t0;j ($t2<10000) 'g';'bc *;.echo !VirtualAllocEx!;.echotime;qd"
bp HeapAlloc "r $t0=poi(esp);lm 1m a $t0;? $t0;.echo HeapAlloc;r $t0=poi(esp+0xC);? $t0;r $t3=$t3+$t0;j ($t3<10000) 'g';'bc *;.echo !HeapAlloc!;.echotime;qd"
bp GlobalAlloc "r $t0=poi(esp);lm 1m a $t0;? $t0;.echo GlobalAlloc;r $t0=poi(esp+8);? $t0;r $t4=$t4+$t0;j ($t4<10000) 'g';'bc *;.echo !GlobalAlloc!;.echotime;qd"
bp LocalAlloc "r $t0=poi(esp);lm 1m a $t0;? $t0;.echo LocalAlloc;r $t0=poi(esp+8);? $t0;r $t5=$t5+$t0;j ($t5<10000) 'g';'bc *;.echo !LocalAlloc!;.echotime;qd"
g[/code], сохранить этот текст как [color=blue]c:\debug_script.txt[/color].
3) Посмотреть и запомнить идентификатор проблемного процесса svchost.exe (на приложенной картинке он равен 1660).
4) Запустить cmd.exe, и из него выполнить команду
"[color=blue]%ProgramFiles%\Debugging Tools for Windows[/color]\windbg.exe" -logo [color=blue]c:\debug_log.txt[/color] -p [b]PID[/b] -c "$<[color=blue]c:\debug_script.txt[/color]"
при этом заменив выделенное жирным слово [b]PID[/b] на запомненный на шаге 3 идентификатор.
5) После выполнения шага 4 запустится windbg и начнет выполнение скрипта. Когда скрипт закончится успешно - windbg должен будет сам закрыться. Если вдруг закончится неуспешно - выдаст какую-то ошибку, тогда его придется закрыть руками.
6) После завершения шага 5 крайне желательно полностью перезагрузить компьютер, особенно если windbg выдаст ошибку.
7) Приложить в тему заархивированный файл лога [color=blue]c:\debug_log.txt[/color]

Все выделенные синим цветом пути при желании можно заменить на другие:
- файл скрипта и лога можно переместить из корня диска С в какую-то временную папку;
- если при установке Debugging Tools for Windows было выбрано альтернативное размещение, нужно будет соответсвующим образом изменить командную строку, запускающую windbg.

[size=-3]Маленькие комментарии к вышенаписанному. windbg - это отладчик. Написанный мной скрипт заставляет его присоедниться к заданному процессу (в данном случае svchost.exe), отслеживать и писать в лог запросы на выделение памяти до тех пор, пока суммарный объем выделенной одним из способов памяти не превысит 64 килобайта.
У этого скрипта есть масса недостатков:
1) Он требует ручного указания идентификатора процесса.
2) Ведение лога - очень медленная операция (так, при запущенном скрипте отключение VPN-соединения на моем компьютере заняло несколько [i]минут[/i])
3) Скрипт не отслеживает освобождение памяти, поэтому в принципе может давать ошибочные результаты - однако их будет довольно несложно обнаружить.
4) Вывод скрипта малочитабелен.
5) Скрипт отслеживает не все, а только наиболее часто используемые способы выделения памяти.
6) Требуется большое время работы скрипта для получения достаточного для анализа количества логов.
7) После выполнения скрипта понадобится еще некоторое время на анализ лога, и, возможно, потребуется внести изменения в скрипт и повторно его запустить.
[noparse]8)[/noparse] Возможно, еще какие-то недостатки обнаружатся при запуске скрипта на проблемном компьютере - при тестировании на моем компьютере они не были обнаружены.
Однако если бы я решил исправить все эти недостатки - я не закончил бы его написание и за две недели, поэтому я прошу воспользоваться тем, что есть, и сообщить результаты.[/size]

Спасибо большое... обязательно попробую предложенный метод. Проблема остается как никогда актуальной...
- Беспроводную мышь вырубает еще на окне экрана приветствия, после загрузки ОС - каждые полминуты - приходится постояно нажимать Reset на мыши.
Беспроводная клавиатура работает без проблем, хотя справедливости ради надо сказать, что ресиверы у них разные и проблема с мышью, мне кажется, больше хардварная, так как в безопасном режиме - такая же ситуация....

- Уже много раз упомянутый САБЖ сразу после загрузки системы занимает в памяти минимум 140 Кб и как я уже говорил развивает свою активность не сразу, хотя несмотря на это система сильно тормозит, естественно после "отъедания" САБЖ ом 2 Гигабайт памяти - нормальная работа вообще невозможна...

- В папке Документы_и_Установки появился новый профиль Administrator, который не появляется на экране приветствия... Само собой я его не устанавливал, разве что как то его включил? Ибо он совпадает по написанию с Administratorом, который появляется в окне приветствия при загрузке в безопасном режиме... по крайней мере - раньше не было его папки
- впервые увидел сообщения КИС "Сигнатуры угроз повреждены"

- Попробовал поотключать службы:
Windows Media Player Network Sharing Service
Брандмауэр Windows/Общий доступ в Интернет (ICS)
Службу времени перевел в ручной запуск
Службу регистрации ошибок
Справка и поддержка - переведена в ручной режим
Пробовал отключать COM+Erreignissystem - пришлось вернуть, так как система начала глухо виснуть

В целом пока улучшения не заметил, мне кажется даже наоборот, хотя это может быть прогрессия основной проблемы...
на очереди - Фоновая интеллектуальная служба передачи, ну и остальные согласно скриншоту принадлежащие упомянутому САБЖу

Результат скрипта... Единственно, что я должен заметить, в этот момент svchost.exe особо не бушевал, занимая 139 Кб памяти... А сколько он отнимает памяти "в норме"?
если запускать cmd.exe с админ. привилегиями, то процесс после отладки исчезает, загрузка процессора падает почти до 0, ну и как следствие исчезает Инет...
из под обычного пользователя - все остается как было - процесс живет и грузит комп

[QUOTE=Hawker;93607]Проблема остается как никогда актуальной...
- Беспроводную мышь вырубает еще на окне экрана приветствия, после загрузки ОС - каждые полминуты - приходится постояно нажимать Reset на мыши.[/quote]Вряд ли эта проблема связана с предыдущей.
[QUOTE=Hawker;93607]проблема с мышью, мне кажется, больше хардварная[/quote]Мне тоже так кажется. Возможно, ей просто батарейку нужно сменить?
[QUOTE=Hawker;93607] - В папке Документы_и_Установки появился новый профиль Administrator, который не появляется на экране приветствия... Само собой я его не устанавливал, разве что как то его включил? Ибо он совпадает по написанию с Administratorом, который появляется в окне приветствия при загрузке в безопасном режиме... по крайней мере - раньше не было его папки[/quote]После логина, пусть даже в безопасном режиме, профиль должен был создаться.
[QUOTE=Hawker;93607] - впервые увидел сообщения КИС "Сигнатуры угроз повреждены"[/quote]Здесь не знаю, что сказать, [color=red]прошу совета других хелперов[/color]
[QUOTE=Hawker;93607]Единственно, что я должен заметить, в этот момент svchost.exe особо не бушевал, занимая 139 Кб памяти... А сколько он отнимает памяти "в норме"?[/quote] У меня сейчас - около 4 мегабайт, но у меня Win2000, а на XP, как мне кажется, должно быть больше.
[QUOTE=Hawker;93607]если запускать cmd.exe с админ. привилегиями, то процесс после отладки исчезает, загрузка процессора падает почти до 0, ну и как следствие исчезает Инет...[/quote]Я надеялся, что такого не будет, но на Win2000 последняя команда скрипта не работает, поэтому я не мог проверить этот момент. Но я подозревал, что что-то такое может случиться, потому и написал, что после работы скрипта крайне желательна перезагрузка.
------------------------------------------
Что же касается приложенного лога - он получился маловат по размерам (я перестраховался, не хотел, чтобы он был очень большим), и в нем тяжело понять, кто виноват. В связи с этим я попрошу сделать следующее.
1) Остановить сервис DHCP-Client и посмотреть, будет ли повторяться проблема с "поеданием" памяти.
2) Если проблема будет повторяться - отправить по правилам файлы iphlpapi.dll и dhcpcsvc.dll. Скорее всего, они пойдут в базу безопасных, но при этом помогут мне исправить скрипт для дальнейшего анализа.
------------------------------------------
И еще одна мысль. Может быть, я воюю с ветряными мельницами, а проблема решается гораздо проще? С учетом указанных в Вашем профиле данных стоит попробовать провериться антивирусом [url=http://www.free-av.com/]Avira Antivir[/url] - он и сам по себе весьма неплох, да еще и наверняка "заточен" на распространенные только в Германии зловреды.

[QUOTE]
1) Остановить сервис DHCP-Client и посмотреть, будет ли повторяться проблема с "поеданием" памяти. [/QUOTE]
Попробую... Только скорее всего пропадет Инет (АДСЛ модем) и мне кажется svchost.exe как раз после установления коннекта через некоторе время активизируется... О результатах сообщу
Я несколько ошибся в предыдущем посте
[QUOTE]Единственно, что я должен заметить, в этот момент svchost.exe особо не бушевал, занимая 139 Кб памяти... А сколько он отнимает памяти "в норме"?[/QUOTE]
с самого начала небезызвестный процесс занимает 139 Мб памяти

с остановкой DHCP клиента получились какието непонятки - Интернет вроде как даже и работал, но улучшения ситуации не почуствовал.
Зато после удаления службы Konfigurationsfreie drahtlose Verbindung (безконфигурационное беспроводное соединение) все встало на свои места.... память и процессор этот процесс уже не жрет :)
хотя и занимает при запуске сразу 140 Мб памяти, но не нарастает :)
Конечно есть проблемы со связью с другим компом, который был именно беспроводно подсоединен (peer-to-peer), но это мелочи - переведу на кабель...
Всем большое спасибо... :beer:
Для контроля ситуации еще раз кину в скором логи проверки... Маленькая деталь - КИС был сегодня при обычной работе вдруг ни с того, ни с сего выгружен, хотя новых сообщений о повреждении сигнатур вроде не появлялось :upset: