SVCHOST.EXE al 99%

[ambassady]

si, un processo della SVCHOST denominato come servizio locale mi ciuccia 99% deela CPU esatamente quando mi connetto in internet.
NO virus, già fatta la scansione. Firewall: panda antivirus che NON MI HA MAI DATO PROBLEMI.

aiuto

[MrOZ]

Fai delle scan con qualche av online.

Scarica hijackthis, fai uno scan, salva il log e copia-incollalo qui.

[ambassady]

ora faccio la scansione.

ecco il log

Logfile of HijackThis v1.97.7
Scan saved at 12.24.51, on 28/06/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\Tablet.exe
C:\Programmi\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
C:\WINDOWS\System32\GSICON.EXE
C:\WINDOWS\System32\dslagent.exe
C:\Programmi\Logitech\iTouch\iTouch.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE
C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\Svchosts.exe
C:\WINDOWS\system32\Wtablet\TabUserW.exe
C:\Programmi\Panda Software\Panda Antivirus Platinum\pavProxy.exe
C:\Programmi\Outlook Express\msimn.exe
C:\PROGRA~1\MOZILLA.ORG\MOZILLA\MOZILLA.EXE
C:\PROGRA~1\DAP\DAP.EXE
C:\Programmi\iDC++\Recived\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programmi\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SCANINICIO] "C:\Programmi\Panda Software\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [APVXDWIN] "C:\Programmi\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Windows Registers] Svchosts.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\RunServices: [Windows Registers] Svchosts.exe
O4 - HKLM\..\RunServices: [MSN Update] dllconfg.exe
O4 - HKCU\..\Run: [Windows Registers] Svchosts.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: TabUserW.exe.lnk = C:\WINDOWS\system32\Wtablet\TabUserW.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Ricerche (HKLM)
O9 - Extra button: ICQ 4.1 (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...163.3146643518
O17 - HKLM\System\CCS\Services\Tcpip\..\{DE479BDE-3575-4E19-8FA9-4332800CE68B}: NameServer = 195.31.14.211 151.99.125.1

[MrOZ]

hai il worm spybot.
Prova con gli scan online, con i tool di rimozione (tipo symantec) da usare in mod provvisoria, oppure con stinger di mcafee.

[ambassady]

provo adesso con lo stinger.
dannoso come virus? che fa?

[Pezzulu]

Originariamente inviato da MrOZ
hai il worm spybot.
Prova con gli scan online, con i tool di rimozione (tipo symantec) da usare in mod provvisoria, oppure con stinger di mcafee.

Scusa ma da dove hai visto che ha lo Spybot.worm????
coe si leggono 'sti file di log?
Magari fammi un pvt
thanx

[MrOZ]

Originariamente inviato da Pezzulu
Scusa ma da dove hai visto che ha lo Spybot.worm????
coe si leggono 'sti file di log?
Magari fammi un pvt
thanx

Svchosts.exe in C:\WINDOWS\System32\ non è un file di windows

e neanche dllconfg.exe

[MrOZ]

Se dopo aver provato stinger sia in mod normale che provvisoria e qualche scan online hai ancora il virus, allora fissa con hijackthis queste stringhe:

O4 - HKLM\..\Run: [Windows Registers] Svchosts.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\RunServices: [Windows Registers] Svchosts.exe
O4 - HKLM\..\RunServices: [MSN Update] dllconfg.exe
O4 - HKCU\..\Run: [Windows Registers] Svchosts.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = ?

Riavvia il pc, termina dal taskmanager il processo Svchosts.exe e poi eliminalo da C:\WINDOWS\System32.

Fai la stessa cosa se trovi dllconfg.exe

[Nicky]

Voglio avere la sicurezza di non avere qualche worm.
Qualcuno mi da un occhiata a sto log?
non ho ancora ben capito come si leggono

Logfile of HijackThis v1.98.0
Scan saved at 19.44.17, on 05/07/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Stardock\Object Desktop\WindowBlinds\wbload.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Programmi\Webcam-Logitech\LogiTray.exe
C:\PROGRA~1\CA\ETRUST~1\ETRUST~1\VetTray.exe
C:\Programmi\Zone Labs\ZoneAlarm\zapro.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\WINDOWS\System32\ScsiAccess.EXE
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\VetMsgNT.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programmi\Webcam-Logitech\FxSvr2.exe
C:\Documents and Settings\Nickyna\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programmi\Webcam-Logitech\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programmi\Webcam-Logitech\LogiTray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [VetTray] C:\PROGRA~1\CA\ETRUST~1\ETRUST~1\VetTray.exe
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Programmi\Webcam-Logitech\ISStart.exe
O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Programmi\Zone Labs\ZoneAlarm\zapro.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab28177.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary...r.cab28177.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab28177.cab
O20 - AppInit_DLLs: wbsys.dll
O21 - SSODL: 0aMCPClient - {F5DF91F9-15E9-416B-A7C3-7519B11ECBFC} - (no file)

[eraser]

hai il worm Nicky, worm pericolosissimo.....killa tutte le risorse di sistema......

[Nicky]

Originariamente inviato da eraser
hai il worm Nicky, worm pericolosissimo.....killa tutte le risorse di sistema......

Ci tengo a tenere il pc "pulito"

[MrOZ]

ops... ho appena fatto uno scan con hijackthis ank'io...

ho trovato l'eseguibile Nickyna.exe

era nella zona notte di Windows ...sarà pericoloso???

se volete vi posto il log

[Nicky]

Originariamente inviato da MrOZ
ops... ho appena fatto uno scan con hijackthis ank'io...

ho trovato l'eseguibile Nickyna.exe

era nella zona notte di Windows ...sarà pericoloso???

se volete vi posto il log

Tutti simpatici stasera eh

Eddai regà ero seria, anche perchè nel task manager ben 5 svchost.exe mi puzzavano un pochino.
La Cpu di solito sta attorno al 5% massimo ,ma ogni tanto la percentuale si impenna clamorosamente.

Quindi fate i seri e rassicuratemi.

[MrOZ]

Nicky prova adaware6 aggiornato ad oggi e vedi cosa ti trova.

Altrimenti se adaware non trova nulla, prova la procedura manuale del mio ultimo post qui http://forum.hwupgrade.it/showthread...4&pagenumber=3

è in inglese ed un po' complicata (usa find'n'fix)... scusami ma ho pokissimo tempo, non ho nemmeno il tempo x tradurla dall'inglese o per vedere se ci sono aggiornamenti alla procedura stessa.

ciao bella...

PS: stasera se non torno tardi vedo se posso esserti di aiuto

[Nicky]

Originariamente inviato da MrOZ
Nicky prova adaware6 aggiornato ad oggi e vedi cosa ti trova.

Altrimenti se adaware non trova nulla, prova la procedura manuale del mio ultimo post qui http://forum.hwupgrade.it/showthread...4&pagenumber=3

è in inglese ed un po' complicata (usa find'n'fix)... scusami ma ho pokissimo tempo, non ho nemmeno il tempo x tradurla dall'inglese o per vedere se ci sono aggiornamenti alla procedura stessa.

ciao bella...

PS: stasera se non torno tardi vedo se posso esserti di aiuto

Adaware lo uso regolamente.
Provo la procedura che trovo lì e vedo che succede.

Buona serata e grazie

[Bilancino]

Originariamente inviato da Nicky
Adaware lo uso regolamente.
Provo la procedura che trovo lì e vedo che succede.

Buona serata e grazie

Che ci fai qui?

Ciao

[Nicky]

Originariamente inviato da Bilancino
Che ci fai qui?

Ciao

Se leggi il topic lo capisci anche tu.
so che sei un po' tonto ma ce la puoi fare

[MrOZ]

OK allora prova a fare uno scan con adaware6 aggiornato ad oggi e vedi cosa ti dice.

Lascia perdere la procedura del mio link se non hai prob di navigazione; è un po' incasinata, non l'ho mai analizzata neppure io .

Da analizzare sono le ultime voci del tuo log.

Se riesco ti so dire qualcosa + tardi.

ciao.

PS: non utilizzare mai i link che ti passa Bilancino ... altrimenti finisci in brutte acque.

[Nicky]

Originariamente inviato da MrOZ
OK allora prova a fare uno scan con adaware6 aggiornato ad oggi e vedi cosa ti dice.

Lascia perdere la procedura del mio link se non hai prob di navigazione; è un po' incasinata, non l'ho mai analizzata neppure io .

Da analizzare sono le ultime voci del tuo log.

Se riesco ti so dire qualcosa + tardi.

ciao.

PS: non utilizzare mai i link che ti passa Bilancino ... altrimenti finisci in brutte acque.

Con internet nessun problema.
Firefox funziona, explorer pure.

Se hai tempo più tardi, mi fai un piacere.
Grazie mille sei un tesoro

[netquik]

@ Nicky
Non vedo nulla di strano

questi dovrebbero appartenere all'installazione di windowblinds

O20 - AppInit_DLLs: wbsys.dll
O21 - SSODL: 0aMCPClient - {F5DF91F9-15E9-416B-A7C3-7519B11ECBFC} - (no file)


quest'ultimo di solito è

O21 - SSODL: 0aMCPClient - {F5DF91F9-15E9-416B-A7C3-7519B11ECBFC} - C:\Program Files\Common Files\Stardock\mcpcore.dll

ma forse dipende dai tuoi settaggi in windowblinds


perchè pensi di avere un worm?

ciao