svchost.exe!!! Gravi problemi, che devo fare?

[DANKO78]

Salve a tutti.
E' da diversi giorni che ho grossi rallentamenti del pc soprattutto nella connessione a internet.
Le provo tutte e scopro che è un file di merda di Win xp "svchost.exe"!
Infatti apro il Task Manager e trovo ben 4 di queste applicazioni.
Il problema è questo: quando vado per disabilitare quelle applicazioni con nome utente Danko va tutto bene, mentre quando provo a togliere quelle system, mi da un avviso di errore e mi comincia il conto alla rovescia per lo spegnimento del pc.
Insomma non riesco a disabillitare sta cazzo di applicazione.
Qualcuno sa come fare per togliere sta schifezza?

Grazie.

[wgator]

Ciao,

non so quale sia il tuo problema, però avere 4 processi svchost.exe, Service Host Process, è normale, su XP ce li abbiamo tutti, anzi, talvolta sono anche 5.

Se hai dei rallentamenti sul PC o sulla connessione Internet devi cercare il difetto altrove :(

Forse potresti avere uno spyware....

[DANKO78]

Originariamente inviato da wgator
Ciao,

non so quale sia il tuo problema, però avere 4 processi svchost.exe, Service Host Process, è normale, su XP ce li abbiamo tutti, anzi, talvolta sono anche 5.

Se hai dei rallentamenti sul PC o sulla connessione Internet devi cercare il difetto altrove :(

Forse potresti avere uno spyware....


No no.
Guarda ho appena fatto la prova.
Ho disabilitato tutte le applicazioni che mi faceva levare, a parte 2, e la conessiona va che sembra un razzo.
Ho riavviato il pc lasciando tutte e 4 le applicazioni svchost.exe (compresa quella di rete) aperte e infatti la connessione non va.

[lucio68]

Resta il fatto che dal ttask manager puoi interrompere tutti i processi utente, ma non puoi interrompere i processi di sistema, perché l'os non può girare senza di essi.
Prova a disabilitare l'aggiornamento automatico (si alloca circa il 20% della banda), potrbbe essere quello a rallentarti la connessione. E anch'esso si appoggia a svchost

[DANKO78]

Originariamente inviato da lucio68
Resta il fatto che dal ttask manager puoi interrompere tutti i processi utente, ma non puoi interrompere i processi di sistema, perché l'os non può girare senza di essi.
Prova a disabilitare l'aggiornamento automatico (si alloca circa il 20% della banda), potrbbe essere quello a rallentarti la connessione. E anch'esso si appoggia a svchost


Forse mi sono spiegato male.

Ora la connessione, dopo aver disabilitato l svchost.exe di rete va benissimo. E' che non riesco a levare quelli di sistema che mi rallentano il pc (esempio quando apro i programmi). Possibile non ci sia una patch per leavere tali applicazioni?

Poi provo il discorso degli aggiornamenti.

[DANKO78]

Up.

[DANKO78]

Ecco il problema:


http://utenti.lycos.it/danko1978/hpbimg/problema%201.JPG

http://utenti.lycos.it/danko1978/hpbimg/Problema%202.JPG

[wgator]

Ciao,

:confused: ah, ce l'hai anche in "applicazioni", non solo in "servizi"...

la faccenda cambia!

Forse ti conviene postare un log di Hijackthis, e magari chiedere a Psiche se è il caso di spostare il thread in Antivirus e sicurezza

[Psiche]

Sembra proprio un problema non di Windows.

Spostato ;)

[DANKO78]

Originariamente inviato da Psiche
Sembra proprio un problema non di Windows.

Spostato ;)


Ti ringrazio e speriamo bene.
Ho anche modificato una cosetta sulle immagini, che forse ti eri accorto!

:D :D

[wgator]

Ciao,

benvenuto (o meglio, trasferito) al reparto infettivi! :D

Quello che mi preoccupa delle immagini che hai postato, non sono le 4 istanze di svchost sotto la voce processi di task manager, ma le 3 che risultano visibili tra le applicazioni attive. Ancora più strana e incomprensibile è l'icona che le identifica: sono 3 voci svchost.exe (eseguibili) con l'icona di winzip (compressi) :confused:

A meno che qualcuno abbia già un'idea di cosa si tratta (mi rivolgo ai soliti noti :D ) ti conviene scaricare hijackthis da questo sito: http://www.spywareinfo.com/~merijn/downloads.html
fargli fare una scansione e postare il log qui.

Cercheremo di capire di quale orrido morbo si tratta :)

[DANKO78]

Originariamente inviato da wgator
Ciao,

benvenuto (o meglio, trasferito) al reparto infettivi! :D

Quello che mi preoccupa delle immagini che hai postato, non sono le 4 istanze di svchost sotto la voce processi di task manager, ma le 3 che risultano visibili tra le applicazioni attive. Ancora più strana e incomprensibile è l'icona che le identifica: sono 3 voci svchost.exe (eseguibili) con l'icona di winzip (compressi) :confused:

A meno che qualcuno abbia già un'idea di cosa si tratta (mi rivolgo ai soliti noti :D ) ti conviene scaricare hijackthis da questo sito: http://www.spywareinfo.com/~merijn/downloads.html
fargli fare una scansione e postare il log qui.

Cercheremo di capire di quale orrido morbo si tratta :)

Scarico e domani faccio sapere.
Intanto mille grazie.

[MrOZ]

potrebbe essere il worm gaobot/agobot, soprattutto se usi fastweb.

[DANKO78]

Dunque ieri sera ho provato alcune cosette.

Prima di tutto ho provato questa scansione con un antivirus aon line:

http://utenti.lycos.it/danko1978/hpbimg/problam3.JPG

e mi ha trovato ben 632 file infetti a parire dalla cartella documenti, da quella system32, fino a quelle più disparate.
Il virus in questione è nominato con "WORME BLAXE A", come potete vedere dalla foto. Gli ho fatto cancellare il tutto, e infatti ora nelle applicazioni di task manager non vedo + i 3 svchost.exe zippati (prima foto da postata.). Però in servizi continuo a vedere l' svchost.exe di rete che è quello che mi rallenta la connessione.


Poi come mi ha detto wgator ho provato hijackthis, e questo è il risultato:

http://utenti.lycos.it/danko1978/hpbimg/problema%204.JPG

Non ho la più pallida idea di cosa ci sia scritto e se abbia fatto correttamente.

Behh ora aspetto qualche anima pia che mi illumini.
:( :(

[wgator]

Ciao,

così il log è incompleto, e in formato jpg non si legge bene.

Fai così: lancia hijackthis, premi scan, poi premi save log. Te lo salva in formato txt dove vuoi, per es. in temp. Copialo e incollalo in formato testo direttamente nel messaggio

[coatl]

sarà anche un'applicazione di Windows (svchost.exe)...ma è normale che mi occupi una ventina di porte quando sono connesso a internet???

...scusate l'intromissione...

CoAtL

[wgator]

Originariamente inviato da coatl
sarà anche un'applicazione di Windows (svchost.exe)...ma è normale che mi occupi una ventina di porte quando sono connesso a internet???

...scusate l'intromissione...

CoAtL

:confused: chi ti dice che occupa 20 porte? Il firewall?
direi che non è molto normale, sono scherzi da welchia-lovesan-msblast...

[DANKO78]

Originariamente inviato da wgator
Ciao,

così il log è incompleto, e in formato jpg non si legge bene.

Fai così: lancia hijackthis, premi scan, poi premi save log. Te lo salva in formato txt dove vuoi, per es. in temp.


Fatto.

Copialo e incollalo in formato testo direttamente nel messaggio

E questo che non capisco. lo devo incollare in quele messaggio scusa?

[MrOZ]

QUI.


Devi fare un copia-incolla nel prossimo post che inserirai qui... altrimenti come facciamo a leggerlo :D ;)

[DANKO78]

Logfile of HijackThis v1.97.7
Scan saved at 23.50.24, on 06/06/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\ZoneLabs\minilog.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\Winamp\Winampa.exe
C:\Programmi\Pinnacle\PCTV Stereo\Remote\Remoterm.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\Programmi\Zone Labs\ZoneAlarm\zonealarm.exe
C:\WINDOWS\System32\svchost.exe
C:\Ludus\Steam\Steam.exe
C:\PROGRA~1\Pinnacle\SHARED~1\Filter\server.exe
C:\Programmi\Mozilla.org\Firebird\MozillaFirebird.exe
C:\Programmi\ICQLite\ICQLite.exe
C:\Documents and Settings\DANKO\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.quipo.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [HGTXPEI] C:\WINDOWS\System32\FirstReboot.exe
O4 - HKLM\..\Run: [SoundFusion] RunDll32 hercplgs.cpl,BootEntryPoint
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] "C:\Programmi\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [PCTVRemote] C:\Programmi\Pinnacle\PCTV Stereo\Remote\Remoterm.exe
O4 - HKLM\..\Run: [ccApp] C:\Programmi\File comuni\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programmi\File comuni\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\RunServices: [Cheating-Death] C:\windows\Cheating-Death.exe
O4 - HKLM\..\RunServices: [BlindWrite] C:\windows\BlindWrite.exe
O4 - HKLM\..\RunServices: [audiograbber] C:\windows\audiograbber.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Cheating-Death] C:\windows\Cheating-Death.exe
O4 - HKCU\..\Run: [BlindWrite] C:\windows\BlindWrite.exe
O4 - HKCU\..\Run: [audiograbber] C:\windows\audiograbber.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programmi\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O4 - Global Startup: ZoneAlarm.lnk = C:\Programmi\Zone Labs\ZoneAlarm\zonealarm.exe
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: ICQ 4.0 (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7F016D08-8B6E-4F3D-9D36-930039EB24D3}: NameServer = 213.92.5.54 194.20.8.1




Ecco fatto.

[coatl]

Originariamente inviato da wgator
:confused: chi ti dice che occupa 20 porte? Il firewall?
direi che non è molto normale, sono scherzi da welchia-lovesan-msblast...

...ActivePorts....ora sn solo(si fa per dire) 11.....

ciao

CoAtL

[DANKO78]

Uppino.
:(

[DANKO78]

Uppette.
:muro: :muro:

Qualcuno mi sa dire come faccio a disabilitare il SERVIZIO DI RETE di svchost.exe?
Se è attivo la connessione non va proprio.

[wgator]

Ciao,

l'altro giorno ho dato un occhiata al tuo log e, pur non avendo notato niente di palesemente "virale" mi sono rimasti dei dubbi su queste cose:

O4 - HKLM\..\RunServices: [Cheating-Death] C:\windows\Cheating-Death.exe

O4 - HKCU\..\Run: [Cheating-Death] C:\windows\Cheating-Death.exe

O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe

Death.exe cos'è? io non lo conosco è un gioco?

ma soprattutto pl.exe, non l'ho mai sentito nominare.

Sai a cosa appartengono quelle voci? Sono legittime?

Non ho risposto prima perchè pensavo che qualcuno + esperto ti sapesse rispondere.

[Wyrdmeister]

Quoto:
O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe
meglio controllare! ;)

O4 - HKCU\..\Run: [Cheating-Death] C:\windows\Cheating-Death.exe
O4 - HKCU\..\Run: [Cheating-Death] C:\windows\Cheating-Death.exe
O4 - HKCU\..\Run: [BlindWrite] C:\windows\BlindWrite.exe
O4 - HKCU\..\Run: [BlindWrite] C:\windows\BlindWrite.exe
Questi due te li aveva trovati come virus la scansione online della trendmicro. Quindi si possono togliere...

Questo nell'immagine che hai postato non era compreso, ma molto probabilmente lo era anche lui...
O4 - HKCU\..\Run: [audiograbber] C:\windows\audiograbber.exe
O4 - HKCU\..\Run: [audiograbber] C:\windows\audiograbber.exe

[MrOZ]

Originariamente inviato da wgator
Ciao,

l'altro giorno ho dato un occhiata al tuo log e, pur non avendo notato niente di palesemente "virale" mi sono rimasti dei dubbi su queste cose:

O4 - HKLM\..\RunServices: [Cheating-Death] C:\windows\Cheating-Death.exe

O4 - HKCU\..\Run: [Cheating-Death] C:\windows\Cheating-Death.exe

O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe

Death.exe cos'è? io non lo conosco è un gioco?

ma soprattutto pl.exe, non l'ho mai sentito nominare.

Sai a cosa appartengono quelle voci? Sono legittime?

Non ho risposto prima perchè pensavo che qualcuno + esperto ti sapesse rispondere.


Cheating death se viene installato dall'utente è un prog legittimo, è un client-server x giocatori online -->

Cheating-Death (C-D) is an anti-cheat system which includes both a server and client. Unlike HLGuard, which is a server-side only anti-cheat, C-D offers more protection by blocking the cheats themselves before the player joins the server.
While in optional mode, players are checked for a running C-D client and will rename the

Devi fissare con HJT questa stringa, che con ogni probabilità è un dialer:

O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe

[RapTxt]

Originariamente inviato da DANKO78
Uppette.
:muro: :muro:

Qualcuno mi sa dire come faccio a disabilitare il SERVIZIO DI RETE di svchost.exe?
Se è attivo la connessione non va proprio.

non esiste proprio che disattivi quei servizi!
sono vitali per windows!!!
svchost.exe xhe trovi nella scheda "Processi" (almeno 4) sono legittimissi e non causano nessunissimo problema.
sono i svchost.exe che trovi nella scheda "Applicazioni" che nn sono per niente legittimi!

prenditi un buon antivirus, aggiornalo per bene e fai fare una bella scansione.
ripeto: i files svchost.exe NON SONO IL PROBLEMA!!