[Creative5]

Arvutis on pikemataega olnud minu kahtlustada viirus sees.
Kandes nime svchost.exe ja troojahobu ka - csrrs.exe!
Minu otsingute ja info järgi on need viirused=mis segavad oluliselt minu, kui arvuti töökiirust!!!
(need on ikka ju viirused?!)
Kuidas ma neist lahti saan? Kus nad täpsemalt asuvad.
Nod32 ja muu ei leia ega kaota neid. Nii Windowsis, ega Safe modes.

Lisan siia ka igaks juhuks...
Logfile of HijackThis v1.99.1
Scan saved at 18:56:27, on 28.07.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:Program FilesAheadInCDInCDsrv.exe
C:Program FilesEsetnod32krn.exe
C:WINDOWSExplorer.EXE
C:WINDOWSSystem32svchost.exe
C:WINDOWShtpatch.exe
C:WINDOWSSystem32RunDll32.exe
C:Program FilesAheadInCDInCD.exe
C:Program FilesCommon FilesRealUpdate_OBrealsched.exe
C:Program FilesEsetnod32kui.exe
C:WINDOWSSystem32LVCOMSX.EXE
C:Program FilesLogitechVideoLogiTray.exe
C:Program FilesWinampwinampa.exe
C:Program FilesSpybot - Search & DestroyTeaTimer.exe
C:Program FilesSAGEMSAGEM F@st 908-948dslmon.exe
C:Program FilesLogitechVideoFxSvr2.exe
C:WINDOWSSystem32wuauclt.exe
C:Program FilesMSN Messengermsnmsgr.exe
C:Program FilesInternet Exploreriexplore.exe
C:WINDOWSSystem32wuauclt.exe
C:HijackThisHijackThis.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://www.neti.ee/
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.neti.ee/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://www.neti.ee/
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.neti.ee/
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Local Page = http://www.neti.ee/
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Local Page = http://www.neti.ee/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 7.0ActiveXAcroIEHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:Program FilesCanonEasy-WebPrintToolband.dll
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:Program FilesMSN Toolbar1.01.2607.0en-usmsntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx
O4 - HKLM..Run: [HTpatch] C:WINDOWShtpatch.exe
O4 - HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM..Run: [InCD] C:Program FilesAheadInCDInCD.exe
O4 - HKLM..Run: [QuickTime Task] "C:Program FilesQuickTimeqttask.exe" -atboottime
O4 - HKLM..Run: [CloneCDTray] "C:Program FilesSlySoftCloneCDCloneCDTray.exe" /s
O4 - HKLM..Run: [TkBellExe] "C:Program FilesCommon FilesRealUpdate_OBrealsched.exe" -osboot
O4 - HKLM..Run: [nod32kui] "C:Program FilesEsetnod32kui.exe" /WAITSERVICE
O4 - HKLM..Run: [LVCOMSX] C:WINDOWSSystem32LVCOMSX.EXE
O4 - HKLM..Run: [LogitechVideoRepair] C:Program FilesLogitechVideoISStart.exe
O4 - HKLM..Run: [LogitechVideoTray] C:Program FilesLogitechVideoLogiTray.exe
O4 - HKLM..Run: [WinampAgent] C:Program FilesWinampwinampa.exe
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSsystem32NeroCheck.exe
O4 - HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot - Search & DestroyTeaTimer.exe
O4 - HKCU..Run: [Registry Cleaner Scheduler] "C:Program FilesCleanMyPCRegistry CleanerRCScheduler.exe" /startup
O4 - HKCU..Run: [LogitechSoftwareUpdate] "C:Program FilesLogitechVideoManifestEngine.exe" boot
O4 - Startup: Adobe Gamma.lnk = C:Program FilesCommon FilesAdobeCalibrationAdobe Gamma Loader.exe
O4 - Startup: Xfire.lnk = C:Program FilesXfireXfire.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:Program FilesAdobeAcrobat 7.0Readerreader_sl.exe
O4 - Global Startup: DSLMON.lnk = C:Program FilesSAGEMSAGEM F@st 908-948dslmon.exe
O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:Program FilesCanonEasy-WebPrintResource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:Program FilesCanonEasy-WebPrintResource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Preview - res://C:Program FilesCanonEasy-WebPrintResource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Print - res://C:Program FilesCanonEasy-WebPrintResource.dll/RC_Print.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengerMSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengerMSMSGS.EXE
O12 - Plugin for .spop: C:Program FilesInternet ExplorerPluginsNPDocBox.dll
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O17 - HKLMSystemCCSServicesTcpip..{F1C57F1D-ACBF-453C-A9D5-B71FFEDE5C73}: NameServer = 194.126.115.18 194.126.101.34
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:PROGRA~1MSNMES~1msgrapp.dll" (file missing)
O21 - SSODL: Dnscache - {D0F80A30-C6D2-5657-77F0-F3B6CA837701} - (no file)
O23 - Service: Adobe LM Service - Adobe Systems - C:Program FilesCommon FilesAdobe Systems SharedServiceAdobelmsvc.exe
O23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:Program FilesAheadInCDInCDsrv.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:Program FilesEsetnod32krn.exe
O23 - Service: Window update (WinUpdate) - Unknown owner - C:WINDOWSSystem32update32.exe (file missing)

Ja see CPU on vahel lambist lausa laes 100% Just svchost.exe töttu
Lisan illustratsiooni




Ja see CPU on vahel lambist lausa laes 100% Just svchost.exe töttu
Osakte midagi soovitada? Mis sellest logist arvate?

[jossi 1]

Ilmselt sul on Indexing service lubatud, keela see ära.start>run>services.msc>Indexing service stop ja startup disabled

hijackis kustuda file missing read

kahtlane on, mis jookseb rundll32 all

tiri process explorer ja vaata, mis selle all jookseb
http://download.sysinternals.com/Files/ProcessExplorerNt.zip

[StuffMaster]

Format c: aitab alati

[Creative5]

[jossi 1]

Process Exploreri pildilt näha, et kaks svchosti (PID 940 ja 984) pole järsku Microsofti omad. Kontrolli seda. Parem klik nende peal ja Properties>Image sakil kirjas kus asub ja mis firma oma on. Kui pole Microsofti omad, siis Kill Process ja kustutatad need ära. Originaal Microsofti svchost all jookseb mitu service-st. Seda saad vaadata services saki alt, mis service-eid mingi svchost jooksutab.

Indexing service on vaikeseadetega windowsi installil lubatud ja on ideeliselt mõeldud failide otsingu kiirendamiseks, kuid võib segama hakata kuna windows hakkab mingil suva hetkel faile indekseerima ja see võib masina kooma kiskuda. Teoreetiliselt peaks see toimuma ainult masina tühikäigul, kuid võib juhtuda, et ka kasutaja juuresolkul ja seepärast parem väljalülitada.

Process Exploreri abil saad ilusti vaadata, milline svchost proset koormab ja seejärel uurid seda svchosti täpsemalt.

Kahtlused csrss.exe osas on ka õigustatud kuna Description tulbas pole kirjas, et see Microsofti oma (Client server runtime process). Samuti wdfmgr.exe peaks õige windowsi korral olema Microsofti oma, kirjeldusega Windows User Mode Driver Manager (\WINDOWS\system32\wdfmgr.exe). Sul millegipärast ilma kirjelduseta.

[laurx]

O4 - HKLM..Run: [HTpatch] C:WINDOWShtpatch.exe <- mis see on?
O4 - HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd see v6ib ka mitte t88tada.
O4 - HKLM..Run: [InCD] C:Program FilesAheadInCDInCD.exe <- ei pea t8t8ama
O4 - HKLM..Run: [QuickTime Task] "C:Program FilesQuickTimeqttask.exe" -atboottime <- see samamoodi
O4 - HKLM..Run: [CloneCDTray] "C:Program FilesSlySoftCloneCDCloneCDTray.exe" /s <- ka see ei opea t88tama
O4 - HKLM..Run: [TkBellExe] "C:Program FilesCommon FilesRealUpdate_OBrealsched.exe" -osboot <- samamoodi
O4 - HKLM..Run: [nod32kui] "C:Program FilesEsetnod32kui.exe" /WAITSERVICE <- nod32
O4 - HKLM..Run: [LVCOMSX] C:WINDOWSSystem32LVCOMSX.EXE kui sa just tahad, et logitech i veebikaamera soft buudil k2ima l2heks..
O4 - HKLM..Run: [LogitechVideoRepair] C:Program FilesLogitechVideoISStart.exe sama
O4 - HKLM..Run: [LogitechVideoTray] C:Program FilesLogitechVideoLogiTray.exe
O4 - HKLM..Run: [WinampAgent] C:Program FilesWinampwinampa.exe winamp agent
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSsystem32NeroCheck.exe nero
O4 - HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot - Search & DestroyTeaTimer.exe
O4 - HKCU..Run: [Registry Cleaner Scheduler] "C:Program FilesCleanMyPCRegistry CleanerRCScheduler.exe" /startup
O4 - HKCU..Run: [LogitechSoftwareUpdate] "C:Program FilesLogitechVideoManifestEngine.exe" boot
O4 - Startup: Adobe Gamma.lnk = C:Program FilesCommon FilesAdobeCalibrationAdobe Gamma Loader.exe
O4 - Startup: Xfire.lnk = C:Program FilesXfireXfire.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:Program FilesAdobeAcrobat 7.0Readerreader_sl.exe
O4 - Global Startup: DSLMON.lnk = C:Program FilesSAGEMSAGEM F@st 908-948dslmon.exe sagem? telefonio soft?

yldiselt on selles masinas igast yles minevat pas.ka piisavalt palju juba siin. kui enamus neist julladest 2ra korjata, peaks masinal selle "viiruse " jaoks natuke rohkem jaksu olema. yldiselt on nod32 nakatatud masinasse lastuna ja konfimata kujul ainult iluasi: on seal aga midagi ei tee. ise ajasin taga protsessi mille nimeks oli eksplorasi.exe http://www.liutilities.com/products/wintaskspro/processlibrary/eksplorasi/ nod ei suutnud seda kahjutuks teha ega badkupist leida. probleemi lahendas ketaste ide kontrolleriga l2paka kylge yhendamine ja passiivselt sk2nnimine kasperskyga


WinTasks Process Library
wdfmgr - wdfmgr.exe - Process Information

Process File: wdfmgr or wdfmgr.exe
Process Name: Windows Driver Foundation Manager

Run a Free System Scan for wdfmgr.exe Related Errors

Description:
wdfmgr.exe is part of Microsoft Windows media player 10 and above. This process decreases compatibility problems whilst the product is in use. This program is non-essential process to the running of the system, but should not be terminated unless suspected to be causing problems.

[jossi 1]

htpatch.exe - patch which offers multi-threading support for GPU's on SiS motherboards
http://www.liutilities.com/products/wintaskspro/processlibrary/htpatch/
seega las olla

ahjaa, rundll32 all on sul cmedia audio system tray (kella juures), võid ära jätta

[Creative5]

[jossi 1]

[Creative5]

Mõndasid ma leidsin otsimisel aga mõndasid mitte...
Need kuupäevad ei ütle mulle küll suurt midagi.
Windows sai viimati peale lastud 28.apr 2003 a (ehk selles probleem?!)
Ja uuendatud pole sellistel kuupäevadel...

Indexing service panin disable peale, ennem oli mingi automatic.
Põhi probleem ongi siis ju selles praegu et see *** svchost.exe(d) lükkadvad CPU 100%-ndini.
Samas on ka explorer.exe sama teinud - need 2 peamist miks ei kannata vahel pea üldse arvutis olla.
See jama jõuludest saadik olnud juba ja ma pole kuskilt abi saanud
Nädal tagasi leidsin infot et tegu võib olla viirustega ja sellest ka see teema.
(siis tegu pole viirustegea selgus...ok )

[jossi 1]

Ma ei palunud sul kuupäevi vaadata, vaid faili properties (atribuudid). Parem klik failil ja alumine valik tavaliselt. Seal kaks tabi (sakki) General ja Version. Version tab annab sulle kasulikku infot. OK, see selleks, isegi kuupäevade järgi võin öelda, et vähemalt need failid on õiged Microsofti omad. Date Modified näitab antud juhul kuna Microsoft on need failid loonud, mitte sinu winni uuendamise päevi. Ja need on õiged (samad mul).

Kui sa oled erinevate antiviirustega masinat kontrollinud ning kõik kriitilised windowsi uuendused tehtud ja pole midagi leidnud, siis ilmselt polegi viirusega tegemist. Samanimileste failidega on küll ka viirused seotud.

Svchost. exe on kettal ainult üks eksemplar, kuid käivitatakse mitmekordselt, grupeerimaks tema abil käivtitatavaid service-eid. Üks nendest service-stest koormab sinu proset mingil põhjusel 100%. See service tuleb väljaselgitada ja võimaluse korral peatada ning startimine arvuti käivitumisel keelata. Peale eespool nimetatud ükshaaval leitud koormava svchost-i service-te peatamise pakun veel ühe nipi. Kui oled Process Exploreris kindlaks teinud proset koormava svchosti, siis parem klik properties ja Threads tab. Vaata Threads tabi all milline rida CPU koormab ja proovi sealt Kill. Enne pööra tähelepanu "Start Address" tulbas olevale tekstile, kirjuta see üles. See thread koormabki su proset ja on vaja selle käivitamine keelata või uurida põhjusi miks koormab.

Võibolla oskan kohe öelda milline service võib koormata.
Ava command prompt: start>run>cmd
seal käsklus
tasklist /svc
kopeeri saadud text siia (parem klik command promptis>select all>valgeks läinud alal veel parem klik ja saad siia kleepida (paste).

[chesm6mmi]

niisis, svchost.exe ei ole viirus, ja 100% prose võtab kuna ta seotud windowsi updatega, ühte uute update ta ei suuda ära tümmatud ja siis jebib nii, mine windowsi update lehele ja tõmba sealt need uusimad asjad ära ja peaks ok olema...

[laurx]

[jossi 1]

laurx
väga segane postitus, kasulik info ainult msconfigu osas
Viimane update (augusti oma ehk selle nädala oma) annab sulle genuine notofication tool ainult siis , kui pole varem seda installinud. Ma ei saanud seda tänase uuendusega.
Mis DNS progele viitad? Vaikeseadetega windowsil jookseb normallselt svchost all DNS Client service:
command line: C:\WINDOWS\System32\svchost.exe -k NetworkService
C:\Windows\System32\dnsrslvr.dll
Täiesti normaalne service, mis ei ole kahjulik.

Windows Update kriitilised uuendused ona alati vajalikud vastupidi sinu väitele.

[laurx]

jossi 1, ma miskil eelneval perioodil googeldasin yhte programmi, mida ma ei tundund, selle kohta kirjutas enamik linke, et tegemist on programmiga, mis j2lgib DNS e.

[jossi 1]

No ja mis siis, et googleldasid? Kas mul jäi midagi märkamata teemalagataja logides. Mis progele viitad Creative5 probleemi korral?

[laurx]

O21 - SSODL: Dnscache - {D0F80A30-C6D2-5657-77F0-F3B6CA837701} - (no file)
http://cr.yp.to/djbdns/dnscache.html

selle tekitajat googeldasin. kuna teema vahepeal varjusurmas, on m2luj2lg habras.

[jossi 1]

[Creative5]

[jossi 1]

1. Jah võid käsitsi otsida registrist. Kõik selle numrijoruga leitud read kustuta.

2. Kas sa safe modes oled eelpool soovitatud viirusetõrjel lasknud otsida?
http://download.drweb.com/drweb+cureit/

3. Mis helikaart sul lõpuks on?
Kas su helikaart vajab mõlemat
O4 - HKLM..Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - Startup: Xfire.lnk = C:Program FilesXfireXfire.exe

Need ju HJT logis näha, et startupil käivituvad, kuigi jah hiljem töötades pole näha, et Xfire.exe töötaks, Võibolla see küll proovib käivituda aga kuna ei klapi sinu helikaardiga?, siis ei käivitu.

HiJackThis proges oled mittevajalikud asjad fixinud? Ma vaatan, et sa ei saa aru kuidas seda proget kasutada. Või oled lõpuks aru saanud?

Milline svchost, see on ju kohe näha kui sul masin sinu väite kohaselt alati aeglaseks läheb niipea kui midagi tegema hakkad.

Võid veel proovida järsku on mõni ülearune LSP (Layered Service Provider) ennast sisse poetanud.
http://cexx.org/lspfix.htm
Ennem kui selle abil midagi eemaldad, otsi need failid kettalt üles ja vaata properties version alt millega tegemist. Mul näiteks arvab, et ka nod32 imon.dll tuleks eemaldada, kuigi on see vajalik ning alles jätta.

[Creative5]

[jossi 1]