[решено] svchost -k netsvcs грузить камень на 50%

[vertizo]

Проблема с svchost -k netsvcs, грузит на 50-60% все 2 ядра. Это служба автоматического обновления. Сама служба выключена, но почему то постоянно подгружается. Помогите решить проблему, а то не хочется каждый раз при загрузке винды завершать процесс.
За ранее благодарю.

[Petya V4sechkin]

Это служба автоматического обновления. Сама служба выключена
Одно противоречит другому. Почему вы решили, что это служба автоматического обновления?
Посмотрите в Process Explorer (http://soft.oszone.net/program/89/Process_Explorer/) проблемный Svchost. На нем правой кнопкой мыши -> Properties -> вкладка Threads (какой поток грузит) и вкладка Image -> параметр Command line (откуда запускается).

[vertizo]

ну я вообщем то через Process Explorer и смотрел. C:\Windows\system32\svchost.exe -k netsvcs это Command Line. грузит именно первый поток, а именно Svchost.exe+0x2104.
netsvcs разьве не служба автоматического обновления?

[Petya V4sechkin]

грузит именно первый поток, а именно Svchost.exe+0x2104
Выделите его и нажмите кнопку Stack (список выложите).

netsvcs разьве не служба автоматического обновления?
Службы на вкладке Services.

[vertizo]

ntkrnlpa.exe!KeSetEvent+0x2a1
ntkrnlpa.exe!KeDelayExecutionThread+0x5cc
ntkrnlpa.exe!KeWaitForSingleObject+0x393
ntkrnlpa.exe!KeQueryHighestNodeNumber+0x9fe
ntkrnlpa.exe!ObReferenceObjectByHandle+0x21
ntkrnlpa.exe!NtDeviceIoControlFile+0x2a
ntkrnlpa.exe!ZwYieldExecution+0xb66
ntdll.dll!KiFastSystemCallRet
ws2_32.DLL!recv+0x85
ntdll.dll!KiUserApcDispatcher+0x25

[Petya V4sechkin]

vertizo, на вкладке Services попробуйте останавливать службы по очереди.

[Valeant]

vertizo,
Данный svchost -k netsvcs запускает не одну службу около 10.
Лучше картинку по потокам Threads.

[vertizo]

все службы netsvcs по отключал по очереди, не получилось отключить только планировщик. загрузка цп не изменилась.

[Petya V4sechkin]

vertizo, давайте еще попробуем сохранить и посмотреть user-mode process dump (http://support.microsoft.com/kb/931673) для этого Svchost (выложите получившийся дамп).
Как с вирусами обстоят дела?

[vertizo]

100% не в вирусах дело, проверил все нодом.
Ссылка на дамп (http://narod.ru/disk/24113876000/svchost.DMP.html)

[Petya V4sechkin]

vertizo, в дампе есть ссылка на mdnsNSP.dll (Bonjour).
Он в LSP, а при сбое идет обращение к стандартным библиотекам Winsock.

Попробуйте сбросить
netsh winsock reset (http://support.microsoft.com/kb/811259/ru)

[vertizo]

сначала попробовал сбросить, не помогло.
решил удалить Bojour, эффект тот же.

[Petya V4sechkin]

vertizo, перезагружались после этого?

[vertizo]

да. перезагружался.

[Petya V4sechkin]

vertizo, сделайте полную проверку и логи (http://forum.oszone.net/thread-98169.html).

[vertizo]

вот вроде все логи собрал.

[Vadikan]

Если зловредов нет, верните в форум Windows 7.

[thyrex]

Выполните скрипт в AVZ
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\ser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\updqnc32.exe','');
DeleteFile('C:\Users\ser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\updqnc32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. Компьютер перезагрузится.

Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.c:\quarantine.zip отправьте через данную форму (http://support.kaspersky.ru/virlab/helpdesk.html).
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Пароль: virus".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 1,5 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь.

Сделайте новые логи

[vertizo]

updqnc32.exe - Backdoor.Win32.Bredolab.hkb

В настоящий момент этот файл определяется антивирусом со свежими антивирусными базами.


Очень странно, но загрузка цп пропала...

[Drongo]

vertizo, Сделайте повторые контрольные логи версией AVZ 4.35