Problema poco comprensibile: svchost.exe in Windows XP sp3

[cristoforoc0l0mb0]

Ciao a tutti,

pur seguendo molto il forum e prendendo sempre spunto dalle varie discussioni, mi sono iscritto solo oggi per proporvi un problemino per il quale non trovo una soluzione

Ho un portatile Apple (Macbook pro) sul quale ho dovuto installare, con bootcamp e parallels, una versione di windows XP per far girare un programma CAD che uso per lavoro, con regolare licenza ma che ora e' diventato obsoleto; per questo motivo non posso semplicemente formattare la partizione di Windows XP, perche' le nuove versioni di questo software CAD non supporterebbero piu' alcuni componenti (vecchi) sui quali si basa il mio lavoro. Cosi', vorrei trovare il modo di risolvere senza formattare

Comunque, il problema che mi si presenta e' il seguente (e spero di essere nella sezione giusta):

quando faccio partire il portatile facendo il boot dalla partizione di Windows XP, dopo circa 1-2 minuti vedo che uno degli n svchost.exe comincia ad impegnare il 50% della CPU, il grafico di occupazione del Task Manager schizza al massimo e dopo un utilizzo piu' o meno lungo (da 10 secondi a 30 minuti) il pc si freeza

facendo un po' di ricerche in rete, ho trovato varie discussioni e diversi metodi che si dicevano funzionanti, ad esempio facendo scansioni con HijackThis, Malwarebytes, Combofix, ed altri vari per rimuovere rootkit, pensando anche di aver beccato un malware

Purtroppo, proprio perche' il pc si freeza, posso eseguire le scansioni soltanto partendo dalla modalita' provvisoria, che per fortuna ancora parte, ma pare che nessuno degli strumenti che ho usato trovi nulla...

Ovviamente, in modalita' provvisoria l'eseguibile svchost.exe non occupa tutta la CPU come nel caso di avvio standard

Inoltre, pur avendo la possibilita' di ripristinare una configurazione fatta in precedenza, questa non viene ripristinata: se volete, vi posso inviare la descrizione esatta che mi compare a giustificare un mancato ripristino. C'e' anche da dire che, mea culpa, non avevo mai creato un punto di ripristino del sistema, che non so nemmeno se sia possibile su XP

Sono riuscito a "tracciare" il processo incriminato (non so se si dica cosi') con "process explorer", ed in effetti ci sono molte cose che si appoggiano allo stesso svchost, che pero' si trova nella cartella giusta (windows\system32). Ho una foto dello schermo che posso postare, anche se non so come si fa ad allegare una immagine...

Un altro suggerimento che ho trovato in rete mi proponeva una soluzione proposta da Microsoft, ma quando ho provato ad eseguire la patch , l'esito e' stato che avendo il service pack 3 la patch e' gia' installata e non c'era bisogno di fare nulla

Posso inoltre inviarvi tutti i log che ho, ma mi pareva inutile farlo come primo post della discussione.

Per finire, la cosa sembra essere nata dopo che, avendo chiuso in maniera impropria la macchina virtuale (ed avendo pero' installato un nuovo programma che ha superato il controllo antivirus ma che potrebbe aver installato qualcosa di malvagio), al riavvio successivo e' stato eseguito un check del disco e un certo numero di link ed indici sono stati riparati.

Ho rigirato chkdsk (sempre partendo dalla modalita' provvisoria) e ora mi dice che il disco e' integro

Al momento non ho con me il cd di installazione di windows XP, ma potro' procurarmelo appena torno in ufficio, nel caso in cui fosse possibile riparare il sistema. A questo proposito, volevo chiedervi sotto quali condizioni posso intervenire sul sistema operativo senza perdere i miei dati (la solita licenza agganciata al seriale del disco, per il resto ho gia' i backup)

Quindi, aspetto ogni vostro suggerimento per provare a risolvere. Nel frattempo, mi scuso per la lunghezza del post e per le imprecisioni eventuali che ho scritto

Grazie a tutti in anticipo e buona domenica!

C

P.S. Mi scuso per aver esordito senza presentarmi prima. Se serve posso farlo tranqullamente ma non so dove...

[Blue_screen_of_death]

Hai detto che con Process Explorer hai trovato il responsabile, che impegna svchost. Bene. Chi è?

[cristoforoc0l0mb0]

Originariamente inviato da Blue_screen_of_death

Hai detto che con Process Explorer hai trovato il responsabile, che impegna svchost. Bene. Chi è?

Ciao e grazie per la risposta,

come dicevo, sono riuscito a fare una foto dello schermo prima che il pc si freezasse. Comunque i servizi che si appoggiano al svchost che schizza al 50% della CPU sono i seguenti:

Agiornamenti automatici (wuauserv)
Audio Windows (AudioSrv)
Connessioni di rete (Netman)
Client DHCP (Dhcp)
CryptSvc (CryptSvc)
Centro Sicurezza PC (wscsvc)
Compatibilita' di cambio rapido utente (FastUserSwitchCOmpatibility...)
Connection manager di accesso remoto (RasMan)
Guida in linea e supporto tecnico (helpsvc)
Gestione dischi logici (dmserver)
HID input service (HidServ)
Manutenzione collegamenti distribuiti client (TskWks)
NLA (Network Location Awareness) (Nla)
Notifica eventi di sistema (SENS)
Ora di windows (W32Time)
Rilevamento hardware shell (ShellHWDetection)
Sistema di eventi COM+ (EventSystem)
Server (lanmanserver)
Strumentazione gestione windows (winmgmt)
Secondary logon (seclogon)
Servizio ripristino configurazione di sistema (srservice)
Servizio di segnalazione errori (ERSvc)
Telefonia (TapiSrv)
Temi (Themes)
Unità di pianificazione (Schedule)
Workstation (lanmanworkstation)
Windows Firewall/Condivisione connessione internet (ICS)(Shared..)
Zero configuration reti senza fili (WZCSVC)

Dimenticavo di dire che appena provo ad uccidere questo processo il pc si blocca, ma anche se provo a spegnerlo in modo usuale (cioe' start+spegni..) mi viene fuori che sysfader non risponde e dopo poco il pc si blocca uguale...

Ciao e grazie!
C

[Blue_screen_of_death]

Vedi se riesci ad ottenere più informazioni con questo

www.file.net/it/freeware/svchostviewer.html

[cristoforoc0l0mb0]

Ciao,

allora in effetti vedo che quando parte windows ci sono 2 processi svchost.exe (con ID 1280 e 1628) per i quali viene segnalato "Accesso Negato. Eseguire il programma come amministratore" e poi viene anche riportato "Non è un file Microsoft". Per questi 2, ci sono 0 processi associati.

Quando poi il sistema passa alla modalita' perversa di occupazione del 50% della CPU, quindi dopo circa 1 minuto dall'accensione, ai 2 processi di prima se ne aggiunge un altro (con l'ID 780, dunque precedente, se viene assegnato progressivamente nel tempo) anche lui con le stesse caratteristiche: "Accesso Negato. Eseguire il programma come amministratore" e poi "Non è un file Microsoft".

Purtroppo la foto che ho preso col cellulare supera la dimensione massima degli allegati per il forum, ma vi posso inviare foto dello schermo (non e' che si vedono benissimo, comunque...) se mi fate sapere come fare in un altro modo

Stamattina ho provato a killare questi processi "non windows" col comando 'taskkill /F /PID xyz' ed e' successo che:

se killo quello che si attiva per ultimo (dopo cioe' un paio di minuti dall'avvio di windows) per un attimo il pc sembra riprendersi, le finestre bloccate si sbloccano ma dopo pochissimo il processo sta di nuovo li' ed il computer si comporta di nuovo in modo strano...

se killo uno dei due che parte all'avvio, mi viene fuori un messaggio che mi dice: il sistema verra' arrestato in quanto NT AUTHORITY e' stato terminato. Salvare i vostri dati bla bla....

Mi verrebbe da pensare quindi che i due processi che si attivano per primi siano comunque funzionali al sistema operativo, mentre e' soltanto l'ultimo quello che fa danni. Che ne pensate? E soprattutto, come lo posso fare fuori definitivamente?

Aspetto istruzioni se devo fare qualche altra prova...

Ciao e grazie comunque delle dritte!!

C

[cristoforoc0l0mb0]

Ciao,

vi ripropongo il mio problemino perche' forse avendo scritto il 15 agosto il mio messaggio e' stato scavalcato da altri piu' recenti

Grazie a tutti quelli che mi risponderanno e mi daranno indicazioni su come proseguire

C

[Max Biaggi]

Ciao, prova a disinstallare l'antivirus e facci sapere

[homoinformatico]

se hai installato il "fantastico" framework 4, il problema potrebbe essere lui, magari (sempre se lo hai installato) in combinazione all'altrettanto "fantastico" Windows search.

se il problema è il framework, l'unica vera cosa da fare è quella di prendersi un caffè prima di fare il login di Windows. Appena fatto il login occorre aspettare prima di utilizzare il sistema che compaia l'icona della connessione di rete

la nuova ricerca di Windows personalmente la trovo un aborto. L'idea di mettere un database fra il s.o. ed il file system è, secondo me, da pazzi scellerati.

Per la ricerca virus la vera cosa che ti consiglio è di farla offline. Per offline intendo proprio smontare il disco, metterlo in un altro pc e fare la ricerca virus da lì.

Comunque il tuo problema non è facilmente individuabile. Per quel poco che ne so svchost è una specie di fattorino informatico, che si occupa di interfacciare i servizi col kernel è chiaro che se qualche servizio lascia spazzatura svchost si "appesantirà", ed essendo appiccicato al kernel col super attak, se si appesantisce svchost si appesantisce tutto il sistema. e l'unica cosa che si può fare quando è di lasciare il pc inattivo sperando che riesca a sbrigare tutte le sue commissioni. Il vero problema è quello di capire CHI lascia spazzatura dentro tale componente.

Il framework 4, stando alla mia esperienza è un buon candidato, ma c'è tanta altra roba che riesce a fare altrettanto. Mi vengono in mente toolbar, virus & Trojan e in generale qualunque cosa sovraccarichi il fragile protocollo di rete di xp. Per quel poco che ne so ha il difetto che, quando si impalla, si impalla tutto il sistema (su vista e successivi il problema è molto minore).

[cristoforoc0l0mb0]

Grazie a tutti per le proposte, le provero' appena possibile.

Purtroppo il portatile e' un Mac, quindi piuttosto che smontare il disco e fare una passata di antivirus su un altro pc faccio prima (e faccio meno danni!) a fare una scansione da mac con Sophos (spero che se c'e' un problema si possa identificare ugualmente) sulla partizione windows

Per quanto riguarda framework 4 potrei averlo installato con gli aggiornamenti automatici, mentre non credo di avere la windows search. Controllero'...

A proposito della frase "Il vero problema è quello di capire CHI lascia spazzatura dentro tale componente." ci sono altri tools che mi possano aiutare a capirlo?

In ogni caso, avendo il CD di windows di quando ho fatto l'installazione, se provo a fare un ripristino del sistema (appena torno dalle vacanze) posso avere speranze? C'e' rischio di perdere dati e soprattutto la famigerata licenza che non mi posso rigenerare ed e' agganciata al seriale del disco (e quindi se pure me la salvo in un backup rischio che sia inutilizzabile se il ripristino tocca il disco)?

Ciao e grazie!

Saluti,

C