[DeBuck]

Petya V4sechkin, Спасибо за наводку!
Руссинович рулит...
Польовался Process Explorer, но фильтров в нем как-то не приметил.

[DeBuck]

Petya V4sechkin, установил фильтр в procmon.
При запуске службы sstp в событиях появляются строки:

Код:

9:10:25,6293165	svchost.exe	1420	QueryOpen	C:\Windows\System32\sstpsvc.dll	FAST IO DISALLOWED	
9:10:25,6306297	svchost.exe	1420	QueryOpen	C:\Windows\System32\sstpsvc.dll	FAST IO DISALLOWED	
9:10:25,6330821	svchost.exe	1420	QueryOpen	C:\Windows\System32\rtutils.dll	FAST IO DISALLOWED	
9:10:25,7482996	svchost.exe	1212	QueryOpen	C:\Windows\System32\wbem\wbemcons.dll	FAST IO DISALLOWED	
9:10:25,7491112	svchost.exe	1212	QueryOpen	C:\Windows\System32\wbem\wbemcons.dll	FAST IO DISALLOWED	
9:10:25,7519015	svchost.exe	1148	QueryOpen	C:\Windows\System32\services.exe	FAST IO DISALLOWED	
9:10:25,7526592	svchost.exe	1148	QueryOpen	C:\Windows\System32\services.exe	FAST IO DISALLOWED

Ясности это мне не прибавило...

[Petya V4sechkin]

DeBuck, видимо, придется расширить фильтр:

Код:

Column		Relation	Value		Action
---------------------------------------------------------
Process Name	is	svchost.exe	Include
Result		is not	SUCCESS		Include
Event Class	is	File System	Include

Тут уже лог будет большой.

[DeBuck]

Petya V4sechkin, сделал.
Пишет так:

Код:

10:06:11,2191910	svchost.exe	1420	QueryOpen	C:\Windows\System32\sstpsvc.dll	FAST IO DISALLOWED	
10:06:11,2198970	svchost.exe	1420	CreateFileMapping	C:\Windows\System32\sstpsvc.dll	FILE LOCKED WITH ONLY READERS	SyncType: SyncTypeCreateSection, PageProtection: PAGE_READONLY
10:06:11,2207385	svchost.exe	1420	QueryOpen	C:\Windows\System32\sstpsvc.dll	FAST IO DISALLOWED	
10:06:11,2213088	svchost.exe	1420	CreateFileMapping	C:\Windows\System32\sstpsvc.dll	FILE LOCKED WITH ONLY READERS	SyncType: SyncTypeCreateSection, PageProtection: PAGE_EXECUTE
10:06:11,2220928	svchost.exe	1420	QueryOpen	C:\Windows\System32\rtutils.dll	FAST IO DISALLOWED	
10:06:11,2227324	svchost.exe	1420	CreateFileMapping	C:\Windows\System32\rtutils.dll	FILE LOCKED WITH ONLY READERS	SyncType: SyncTypeCreateSection, PageProtection: PAGE_EXECUTE
10:06:11,3378064	svchost.exe	1212	QueryOpen	C:\Windows\System32\wbem\wbemcons.dll	FAST IO DISALLOWED	
10:06:11,3385708	svchost.exe	1212	CreateFileMapping	C:\Windows\System32\wbem\wbemcons.dll	FILE LOCKED WITH ONLY READERS	SyncType: SyncTypeCreateSection, PageProtection: PAGE_READONLY
10:06:11,3390514	svchost.exe	1212	QueryOpen	C:\Windows\System32\wbem\wbemcons.dll	FAST IO DISALLOWED	
10:06:11,3395782	svchost.exe	1212	CreateFileMapping	C:\Windows\System32\wbem\wbemcons.dll	FILE LOCKED WITH ONLY READERS	SyncType: SyncTypeCreateSection, PageProtection: PAGE_EXECUTE
10:06:11,3430508	svchost.exe	1148	QueryOpen	C:\Windows\System32\services.exe	FAST IO DISALLOWED	
10:06:11,3436143	svchost.exe	1148	CreateFileMapping	C:\Windows\System32\services.exe	FILE LOCKED WITH ONLY READERS	SyncType: SyncTypeCreateSection, PageProtection: PAGE_READONLY
10:06:11,3440848	svchost.exe	1148	QueryOpen	C:\Windows\System32\services.exe	FAST IO DISALLOWED	
10:06:11,3451329	svchost.exe	1148	CreateFileMapping	C:\Windows\System32\services.exe	FILE LOCKED WITH ONLY READERS	SyncType: SyncTypeCreateSection, PageProtection: PAGE_READONLY

Что это (FILE LOCKED WITH ONLY READERS) значит?

Это DEP?

[Petya V4sechkin]

DeBuck, странно.
Файлы sstpsvc.dll и rtutils.dll есть?

[DeBuck]

да. все на месте.

[Petya V4sechkin]

DeBuck, последняя попытка (убрать из фильтра svchost):

Код:

Column		Relation	Value		Action
---------------------------------------------------------
Result		is not	SUCCESS		Include
Event Class	is	File System	Include

[DeBuck]

Petya V4sechkin, вечером попробую.

[Valeant]

DeBuck,
Давайте начнем с начала.
Служба SstpSvc - зависит от см.ниже и запускает ее NT Authority\LocalService, так что проверяем что они запущенны:

Rasauto - Remote Access Auto Connection Maneger (C:\Windows\System32\rasauto.dll)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasAuto
Start = 3
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasAuto\Parameters
ServiceDll = %SystemRoot%\System32\rasauto.dll

RasMan - Remote Access Connection Maneger (C:\Windows\System32\rasmans.dll)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan
Start = 3
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters
ServiceDll = %SystemRoot%\System32\rasmans.dll

RemoteAccess - Routing and Remote Access (C:\Windows\System32\mprdim.dll)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess
Start = 3
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters
ServiceDLL = %SystemRoot%\System32\mprdim.dll

SharedAccess - Internet Connection Sharing ISC (C:\Windows\System32\ipnathlp.dll)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
Start = 3
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters
ServiceDll = %SystemRoot%\System32\ipnathlp.dll

Запущены ли они у вас?

На FILE LOCKED WITH ONLY READERS не обращайте внимания, так как существуют два метода для чтения файлов это напрямую через FASTIO и через запросы IRP драйвера.
И не сразу все получится, попробуйте фильтр поставить лучше на сам dll файл т.е.
Path - C:\Windows\System32\sstpsvc.dll

[DeBuck]

Служба SstpSvc - зависит от см.ниже и запускает ее NT Authority\LocalService »

Буду проверять... Зависимости служб сейчас прибиты руками.
Сегодня вечером планирую восстановить все зависимости (экспортнул ветку реестра с рабочей системы).
После этого все будет видно по логам.

Судя по другой системе SstpSvc ни от чего не зависит.
А все перечисленные вами службы зависят от нее.