WIN 7: svchost.exe (netsvcs) e cpu 100%

[DarkHam]

scusatemi, ho perfettamente lo stesso problema su un notebook hp, win7 home premium.

posto il log di hijackthis:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:14:55, on 02/09/2010
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\Hewlett-Packard\HP Advisor\HPAdvisor.exe
C:\Program Files (x86)\Hp\HP Software Update\hpwuschd2.exe
c:\Program Files (x86)\Hewlett-Packard\Media\DVD\DVDAgent.exe
c:\Program Files (x86)\Hewlett-Packard\Media\Live TV\TVAgent.exe
c:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\Kernel\CLML\CLMLSvc.exe
C:\Program Files (x86)\Hewlett-Packard\Shared\hpqToaster.exe
C:\Program Files (x86)\Trend Micro\HiJackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TY...vilion&pf=cnnb
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TY...vilion&pf=cnnb
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TY...vilion&pf=cnnb
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TY...vilion&pf=cnnb
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Symantec NCO BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files (x86)\Norton Internet Security\Engine\16.7.0.30\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\Program Files (x86)\Norton Internet Security\Engine\16.7.0.30\IPSBHO.DLL
O2 - BHO: AOL Toolbar BHO - {7C554162-8CB7-45A4-B8F4-8EA1C75885F9} - C:\Program Files (x86)\AOL\AOL Toolbar 5.0\aoltb.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files (x86)\Norton Internet Security\Engine\16.7.0.30\coIEPlg.dll
O3 - Toolbar: AOL Toolbar - {DE9C389F-3316-41A7-809B-AA305ED9D922} - C:\Program Files (x86)\AOL\AOL Toolbar 5.0\aoltb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [UpdatePRCShortCut] "C:\Program Files (x86)\Hewlett-Packard\Recovery\MUITransfer\MUIStartMenu.exe" "C:\Program Files (x86)\Hewlett-Packard\Recovery" UpdateWithCreateOnce "Software\CyberLink\PowerRecover"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files (x86)\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [WirelessAssistant] C:\Program Files (x86)\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKCU\..\Run: [HPADVISOR] C:\Program Files (x86)\Hewlett-Packard\HP Advisor\HPAdvisor.exe view=DOCKVIEW
O4 - HKCU\..\Run: [RESMON] C:\Windows\System32\resmon.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO DI RETE')
O8 - Extra context menu item: &AOL Toolbar Cerca - C:\ProgramData\AOL\ieToolbar\resources\it-IT\local\search.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~2\MICROS~4\Office12\EXCEL.EXE/3000
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~4\Office12\REFIEBAR.DLL
O16 - DPF: {4A85DBE0-BFB2-4119-8401-186A7C6EB653} - http://messenger.zone.msn.com/Messen....cab109791.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{58FF5474-A757-4B48-A447-13E1A9B7DCA4}: NameServer = 85.37.17.46
O17 - HKLM\System\CCS\Services\Tcpip\..\{C03F0973-9288-41B8-A3CF-7DEDF11C2DC7}: NameServer = 85.37.17.46
O18 - Protocol: symres - {AA1061FE-6C41-421F-9344-69640C9732AB} - C:\Program Files (x86)\Norton Internet Security\Engine\16.7.0.30\coIEPlg.dll
O23 - Service: Andrea ST Filters Service (AESTFilters) - Andrea Electronics Corporation - C:\Windows\System32\DriverStore\FileRepository\stwrt64.inf_amd64_neutral_ccf0dd3cb081af84\AESTSr64.exe
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing)
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files (x86)\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: GameConsoleService - WildTangent, Inc. - C:\Program Files (x86)\HP Games\HP Game Console\GameConsoleService.exe
O23 - Service: HP Health Check Service - Hewlett-Packard - C:\Program Files (x86)\Hewlett-Packard\HP Health Check\hphc_service.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files (x86)\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: HP Service (hpsrv) - Unknown owner - C:\Windows\system32\Hpservice.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files (x86)\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files (x86)\Common Files\LightScribe\LSSrvc.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files (x86)\CyberLink\Shared files\RichVideo.exe
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: Audio Service (STacSV) - IDT, Inc. - C:\Windows\System32\DriverStore\FileRepository\stwrt64.inf_amd64_neutral_ccf0dd3cb081af84\STacSV64.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

--
End of file - 10464 bytes


se ho bisogno di cambiare indirizzo ip alla scheda quando svchost è al 60-70% di cpu, se provo da Pannello di controllo\Rete e Internet\Connessioni di rete, tasto destro proprietà, ho un messaggio che ci sono "troppe finestre di quel tipo aperte", se lo faccio quando svchost ha "sbollito" , proprietà della scheda ci mette 2 minuti esatti ad aprirsi.

[Eress]

Dal log non appare nulla di che, prova un paio di scansioni con MalwareByter e Trojan Remover, nel caso non risolvessi ancora nulla ti conviene provare ad analizzare il processo svchost incriminato con Process Explorer, per vedere quali processi contiene esattamente

[Big_Tony]

io continuo ad avere lo stesso problema descritto nel thread, in più ho notato che molte volte appena partito windows, quando clicco su connetti, mi spunta fuori errore 711, devo premere ok e riconettermi perchè possa iniziare a navigare. anche quando sono su internet a volte è come se perdessi la rete e le pagine non mi caricano più, dopo un pò va tutto bene, ma sta diventando a essere fastidioso, se non trovo una soluzione mi sa che che formatto.
provato a fare scansione con antivir, malwarebytes, superantispyware, windows defender ma non mi trova nulla. ho anche prevx attivato.
qualche soluzione?? fare una scansione in modalità provvisoria con qualche software potrebbe trovare qualcosa secondo voi??

[Eress]

Un svchost impazzito non significa al 100% malware sul pc, può anche dipendere da malware, ma dato che in quei processi host girano molti altri processi bisogna analizzarli bene per capire quale potrebbe esesre il processo che fa impazzire svchost. A volte può anche trattarsi di driver o software incompatibile o difettoso, come di altri problemi di configurazione software nel sistema

[Big_Tony]

io ho nottao qualche miglioramento installando i driver più recenti della scheda di rete ma il problema non è debellato del tutto
non c'è un modo per capire quale processo porta ad un così esoso consumo di cpu?? con con processexplorer ho induviduato quale è il svchost.exe che causa i rallentamenti con tutti i suoi sottoprocessi, ma non so come andare avanti per risolvere il problema

[Eress]

Posta uno screen di quel processo con i sotto processi vediamo se salta fuori qualcosa di interessante

[Big_Tony]

ne ho postati due in precedenza, uno nel post #9 e uno nel post #11

[Eress]

Ok si vede che sono quasi tutti servizi implicati nella connessione, adesso come ulteriore passo dovresti provare ad arrestarne uno per volta per trovare chi sia il responsabile, chiaro che arrestandone qualcuno alcuni potresti avere problemi con la connessione comunque è una prova da fare e poi li puoi riavviare quando vuoi

[Big_Tony]

c'è un modo per disabilitarne uno per volta dall'avvio di windows?? così faccio il riscontro ad ogni avvio se cambia qualcosa

[Eress]

Certo, apri i servizi poi cerchi la voce doppio click, menu a tendina metti su disabilita e riavvii

[hacker39]

a me con windows vista e il modem di alice collegato al mio pc con ethernet era successa la stessa cosa ed ho risolto in questo modo:
-sono entrato in windows in modalità provvisoria e ho visto che il consumo della cpu era normale
-sono entrato in windows in modalità provvisoria con supporto di rete(non mi ricordo come si chiama di preciso) e il consumo della cpu era come minimo oltre il 50%. A questo punto sono andato su internet a vedere quali servizi in più venivano caricati in modalità provvisoria e ho provato a disattivarli uno ad uno e ho scoperto che il servizio incriminato era client dhcp. Prova a vedere se è così anche nel tuo caso. Anch'io ero convinto che si trattasse di un malware ma dopo aver la procedura di disinfestazione descritta qui non avevo trovato nulla.
Spero di esserti d'aiuto

[DarkHam]

Nel mio caso l'appesantimento di svchost (netsvcs), lo sto notando solo negli ultimi tempi, con ventola piu' operosa per raffreddare la cpu piu' sfruttata da svchost, e l'audio completamente gracchiante all'avvio.
Con perfmon.exe ho visto Profsvc e iphlpsvc essere in testa all'uso cpu di netsvcs.

[Big_Tony]

Originariamente inviato da Eress

Certo, apri i servizi poi cerchi la voce doppio click, menu a tendina metti su disabilita e riavvii

scusa l'ignoranza, ma tutto questo da process explorer??

edit: mi rispondo da solo, da services.msc, giusto??

[greensheep]

scarica combofix da qui

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

mettilo sul desktop e fallo partire!
Segui tutte le indicazioni, il computer si riavvierà e al momento del caricamento di windows 7 si apre una finestrella. Lascialo lavorare!
Dice che ci mette 10 minuti ma a me ci ha messo 3 quarti d'ora! Poteva pure metterci 1 giornata l'importante è che mi ha rimesso tutto apposto

[Big_Tony]

Originariamente inviato da greensheep

scarica combofix da qui

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

mettilo sul desktop e fallo partire!
Segui tutte le indicazioni, il computer si riavvierà e al momento del caricamento di windows 7 si apre una finestrella. Lascialo lavorare!
Dice che ci mette 10 minuti ma a me ci ha messo 3 quarti d'ora! Poteva pure metterci 1 giornata l'importante è che mi ha rimesso tutto apposto

ok grazie, domani provo

avevi un problema simile al mio??

[Big_Tony]

ho provato ad avviare combifix ma mi dice che è compatibile solo con xp e 2000
non esiste una versione per windows 7??

[greensheep]

Originariamente inviato da Big_Tony

ho provato ad avviare combifix ma mi dice che è compatibile solo con xp e 2000
non esiste una versione per windows 7??

io l'ho usato per windows 7 ed è andato liscio come l'olio

[Big_Tony]

Originariamente inviato da greensheep

io l'ho usato per windows 7 ed è andato liscio come l'olio

ho letto in giro che non funziona con la 64 bit. tu hai 7 32bit??

[Eress]

Non credoe sista per la 64, prova con MalwareBytes che invece è pienamente compatibile

[Big_Tony]

Originariamente inviato da Eress

Non credoe sista per la 64, prova con MalwareBytes che invece è pienamente compatibile

malwarebytes non trovo alcun malware ne niente di infetto...ormai sto pensando di formattare perchè è diventata insostenibile sta lentezza

su un'altra partizione ho xp e con la scheda di rete nessun problema, navigo e ascolto musica liscio

il problema deve essere da qualche parte in windows 7, forse qualche programma che ho installato che mi ha fatto andare tutto in malora. eppure non installo mai niente di nocivo