SvcHost übernimmt 100% der CPU. Es scheint entweder DcomLaunch oder TermService-Virus zu sein?

22294
Cory Charlton

Mein SvcHost nimmt also plötzlich 100% meiner CPU ein, und ich möchte herausfinden, welcher Dienst dafür verantwortlich ist. Gibt es eine Möglichkeit, die Last zu differenzieren, die von mehreren Diensten generiert wird, die in einem einzigen SvcHost ausgeführt werden?

Ich habe einen Virenscan ausgeführt und es war sauber, mein Tool ist alt und veraltet, sodass es nichts gefunden hat.

Ich habe versucht, die Dienste schrittweise durchzugehen und sie nacheinander anzuhalten, aber ich konnte den Täter nicht finden (einige Dienste werden auch automatisch neu gestartet und ich wollte sie nicht deaktivieren).

Update: Ich habe gestern Abend den Process Explorer verwendet, aber es gab viele Dienste, von denen einige nicht gestoppt werden konnten, im anstößigen SvcHost. Heute habe ich noch einmal den Vorschlag von heavyyd geprüft und habe Glück gehabt, weil heute nur noch zwei Dienste im beleidigenden SvcHost sind.

DcomLaunch - DCOM Server Process Launcher

TermService - Terminaldienste

Keiner von denen ist aufzuhalten. Ich bin über Windows-Updates auf dem Laufenden. Ich werde einen weiteren Virenscan ausführen , obwohl nichts in der letzten Nacht aufgetaucht ist . Vielleicht ist es Zeit für einen Neustart (diese Installation stammt aus dem Jahr 2004).

Update: Auf jeden Fall ein Virus. Nach dem letzten Neustart sank die CPU-Auslastung, aber beim Start wurden einige "Security Software Installed" -Nachrichten mit merkwürdig benannten Prozessen angezeigt 555573478785.exe, und verdächtige Schlüssel wurden hinzugefügt HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, die gestern Abend nicht vorhanden waren.

In Symantec AntiVirus Corporate 8.1.0.825 wurden einige Warnungen angezeigt, aber es scheint nicht alles aufzufangen :-(

Malwarebytes Anti-Malware- Ergebnisse:

Malwarebytes' Anti-Malware 1.44 Database version: 3763 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702  2/19/2010 12:12:58 PM mbam-log-2010-02-19 (12-12-58).txt  Scan type: Full Scan (C:\|D:\|) Objects scanned: 290960 Time elapsed: 1 hour(s), 23 minute(s), 54 second(s)  Memory Processes Infected: 0 Memory Modules Infected: 1 Registry Keys Infected: 25 Registry Values Infected: 1 Registry Data Items Infected: 1 Folders Infected: 1 Files Infected: 6  Memory Processes Infected: (No malicious items detected)  Memory Modules Infected: C:\WINDOWS\kbabjtm.dll (Trojan.Hiloti) -> Delete on reboot.  Registry Keys Infected: HKEY_CLASSES_ROOT\Interface\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Interface\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Interface\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\CLSID\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Typelib\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\ (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\ (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\ (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\RunDll32Policy\f3ScrCtr.dll (Adware.MyWebSearch) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\WMPlayer\Schemes\f3pss (Adware.MyWebSearch) -> Quarantined and deleted successfully.  Registry Values Infected: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\MenuExt\&Search\(default) (Adware.Hotbar) -> Quarantined and deleted successfully.  Registry Data Items Infected: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: kbabjtm.dll -> Delete on reboot.  Folders Infected: C:\Documents and Settings\All Users\Application Data\55533526 (Rogue.Multiple) -> Quarantined and deleted successfully.  Files Infected: C:\WINDOWS\kbabjtm.dll (Trojan.Vundo.H) -> Delete on reboot. C:\WINDOWS\Temp\~TM17.tmp (Trojan.Downloader) -> Quarantined and deleted successfully. C:\WINDOWS\Temp\~TM466.tmp (Trojan.Hiloti) -> Quarantined and deleted successfully. C:\Documents and Settings\mach\Local Settings\Temporary Internet Files\Content.IE5\2WE7TOVW\load[1].exe (Malware.Packer.Gen) -> Quarantined and deleted successfully. C:\Documents and Settings\mach\Application Data\avdrn.dat (Malware.Trace) -> Quarantined and deleted successfully. C:\Documents and Settings\mach\Start Menu\Programs\Startup\monnid32.exe (Trojan.Bredolab) -> Delete on reboot.

Zweite Scanergebnisse:

Malwarebytes' Anti-Malware 1.44 Database version: 3763 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702  2/19/2010 1:54:07 PM mbam-log-2010-02-19 (13-54-07).txt  Scan type: Full Scan (C:\|D:\|) Objects scanned: 290753 Time elapsed: 1 hour(s), 18 minute(s), 34 second(s)  Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 2  Memory Processes Infected: (No malicious items detected)  Memory Modules Infected: (No malicious items detected)  Registry Keys Infected: (No malicious items detected)  Registry Values Infected: (No malicious items detected)  Registry Data Items Infected: (No malicious items detected)  Folders Infected: (No malicious items detected)  Files Infected: C:\System Volume Information\_restore\RP2138\A0129104.dll (Trojan.Hiloti) -> Quarantined and deleted successfully. C:\System Volume Information\_restore\RP2138\A0129105.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully.

Update: Nach ein paar weiteren Scans sieht es so aus, als hätte mein PC keinen Virus mehr.

Vielen Dank an alle!

5
Verwenden Sie MalwareBytes AntiMalware. Ich hatte das gleiche Problem mit ein paar PCs in einem Netzwerk. Alle zeigten die gleichen Symptome (svchost.exe mit 100% CPU), jedoch mit unterschiedlichen Diensten. Ein schneller Scan zeigte, dass auf beiden Maschinen ein Wurm installiert war. LaughingMan vor 14 Jahren 1
@LaughingMan: Danke, habe es nie probiert. Auch Sysinternals RootKit Revealer ausprobieren. Cory Charlton vor 14 Jahren 0
Hat es Ihr Problem behoben? LaughingMan vor 14 Jahren 0
Einen zweiten Scan ausführen, bisher wurden zwei infizierte Objekte gefunden. Ich werde es einige Zeit weiter ausführen und nach anderen kostenlosen Reinigungsoptionen suchen. Wenn Sie auf eine Kombination von Werkzeugen und mehreren Scans hoffen, wird der Herpes schließlich von meinem PC entfernt :-P Cory Charlton vor 14 Jahren 0

4 Antworten auf die Frage

7
heavyd

Ich würde vorschlagen, Microsoft / SysInternals Process Explorer zu ergreifen . Mit dem Prozess-Explorer können Sie den spezifischen svchost-Prozess öffnen und sehen, welche Dienste von diesem Prozess ausgeführt werden. Sie können dann in den Prozessdetails die Registerkarte "Dienste" verwenden, um einzelne Dienste anzuhalten, um den Täter zu finden.

+1: I went that route last night but there were so many services, some of which couldn't be stopped. Looks like I got lucky today because only two services are in the offending svchost today. I'll update the question. Cory Charlton vor 14 Jahren 0
7
Peter Mortensen

Solange mehrere Services in einer einzigen svchost.exe ausgeführt werden, können Sie die Last nicht unterscheiden. Es gibt jedoch eine einfache und sichere Möglichkeit, sie in separaten svchost.exe's aufzuteilen:

SC Config Servicename Type= own

Tun Sie dies in einem Befehlszeilenfenster oder fügen Sie es in ein BAT / CMD-Skript ein. Voraussetzungen dafür sind:

  • Administratorrechte, wenn die SCBefehle ausgeführt werden.
  • Starten Sie den Computer neu. Es ist nicht vor wirksam.
  • Das Leerzeichen nach "=".

Der ursprüngliche Zustand kann wiederhergestellt werden durch:

SC Config Servicename Type= share

Beispiel: Um Windows Management Instrumentation in einem separaten SVCHOST.EXE ausführen zu lassen:

SC Config winmgmt Type= own

Ich habe die folgende Reihenfolge auf einem Windows XP-System verwendet. Es kann direkt in ein Befehlszeilenfenster eingefügt werden.

rem 1. "Automatic Updates" SC Config wuauserv Type= own  rem 2. "COM+ Event System" SC Config EventSystem Type= own  rem 3. "Computer Browser" SC Config Browser Type= own  rem 4. "Cryptographic Services" SC Config CryptSvc Type= own  rem 5. "Distributed Link Tracking" SC Config TrkWks Type= own  rem 6. "Help and Support" SC Config helpsvc Type= own  rem 7. "Logical Disk Manager" SC Config dmserver Type= own  rem 8. "Network Connections" SC Config Netman Type= own  rem 9. "Network Location Awareness" SC Config NLA Type= own  rem 10. "Remote Access Connection Manager" SC Config RasMan Type= own  rem 11. "Secondary Logon" SC Config seclogon Type= own  rem 12. "Server" SC Config lanmanserver Type= own  rem 13. "Shell Hardware Detection" SC Config ShellHWDetection Type= own  rem 14. "System Event Notification" SC Config SENS Type= own  rem 15. "System Restore Service" SC Config srservice Type= own  rem 16. "Task Scheduler" SC Config Schedule Type= own  rem 17. "Telephony" SC Config TapiSrv Type= own  rem 18. "Terminal Services" SC Config TermService Type= own  rem 19. "Themes" SC Config Themes Type= own  rem 20. "Windows Audio" SC Config AudioSrv Type= own  rem 21. "Windows Firewall/Internet Connection Sharing (ICS)" SC Config SharedAccess Type= own  rem 22. "Windows Management Instrumentation" SC Config winmgmt Type= own  rem 23. "Wireless Configuration" SC Config WZCSVC Type= own  rem 24. "Workstation" SC Config lanmanworkstation Type= own  rem End.
0
SoftwareGeek

Ich schlage vor, AVIRA AntiVirus auszuprobieren. Es hat eine höhere Erkennungsrate als alle großen Virenschutzprogramme. Ich kann es auf jeden Fall empfehlen.

0
Alvin

Die gleiche Bedingung bei mir. Das ist ein Virus auf meiner Seite. Es besteht jedoch kein Zweifel, dass KEIN ANTIVIRUS es heilen kann, weil SvcHost selbst injiziert und infiziert wurde. SvcHost kann dann niemals gelöscht oder beendet werden.

  • Verwenden Sie den Process Explorer von Sysinternal

  • Finden Sie dann heraus, welcher SvcHost-Dienst ausgeführt wird without a parent. Weil jeder von svchost.exegeladen werden muss services.exe. ODER Sie können den ParentProzess eines Prozesses ermitteln: Doppelklicken Sie darauf >> Registerkarte "Bild" >> Beschriftung "Übergeordnet".

Wenn der Virus, den Sie erhalten haben, derselbe ist wie der von mir (infizieren von allen htmlDateien mit VBScript), sollten Sie außerdem die folgenden Schritte ausführen.

  • Löschen Sie alle .htmlDateien (oder entfernen Sie den Code aus jeder .htmlDatei).

  • Nachdem .htmlich die Dateien gesäubert hatte, ersetzte ich in dieser Situation die SVCHOST.EXEvon der Windows XP-Installations-CD enthaltene Festplatte durch Verwendung Recovery Consolevon booten.

Verwandte Probleme