|
svchost.exe (netsvcs) verursacht hohe CPU-Auslastung (windows 7) Hallo. Ich habe seit einigen Tagen das Problem, dass jedesmal wenn ich den Rechner starte, die ersten paar Minuten kaum damit zu arbeiten ist, da meine CPU nahezu komplett ausgelastet ist. Beim Blick auf den Ressourcenmonitor sehe ich, dass der Prozess "svchost.exe (netsvcs)" die Ursache dafür ist. Die Diagnose mit Kaspersky Internet security und Malwarebytes Anti-Malware haben nichts ergeben. Ich habe zwar schon einen identischen Eintrag hier gefunden, aber evtl. muss ich ja anders vorgehen als mein Leidensgenosse. System : Windows 7 Home Premium SP1 (64 bit), 4 gb Ram , Athlon 64 X2 5000+ Danke |
hi, Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:  FRST 32-Bit | FRST 64-Bit(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)
|
Hallo, ich hoffe, das war so richtig. Denn das mit dem #-Symbol habe ich nicht kapiert :/ |
Hi, Logs bitte immer in den Thread posten. Zur Not aufteilen und mehrere Posts nutzen. Ich kann auf Arbeit keine Anhänge öffnen, danke.  So funktioniert es:Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
|
Code: Untersuchungsergebnis von Farbar Recovery Scan Tool (FRST) (x64) Version:23-08-2015Code: Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version:23-08-2015 |
ProcessExplorer als Ersatz für den Windows Taskmanager installieren Lade Dir den Process Explorer als Ersatz für den Taskmanager herunter und installiere ihn, hier findest Du eine Anleitung. Das ist ein wesentlich leistungsfähigerer Ersatz für den Windows-Taskmanager. Im Menü unter "Options" kannst Du den ProcessExplorer dauerhaft als Ersatz für den Taskmanager einrichten (Replace Taskmanager). Das ist sehr empfehlenswert, weil der ProcessExplorer erheblich mehr Funktionen als der Taskmanager hat. Wenn Du diese Einstellung gemacht hast, öffnet sich mit der Tastenkombination STRG + ALT + Entf. nicht mehr der Taskmanager, sondern der ProcessExplorer. Das kann jederzeit durch Abhaken dieser Einstellung wieder rückgängig gemacht werden. Was wir jetzt konkret brauchen: In jeder Zeile steht ein Prozess, ein paar der Zeilen sind keine richtigen Prozesse, sondern nur Pseudoprozesse für die Tätigkeit des Windos-Kernels. Im Menü View => Select Columns wird ein Dialog geöffnet, in dem Du auswählen kannst, welche Spalten mit Informationen zu den Prozessen angezeigt werden sollen. In dem gehe in das Register "Process Performance" und stelle sicher, dass dort "CPU Usage" angehakt ist, "CPU History" wäre ebenfalls sinnvoll. Unter "CPU Usage" wird der aktuelle Wert der Prozessorauslastung für jeden Prozess angezeigt (im Tabellentitel steht nur kurz "CPU"), "CPU History" blendet für jeden Prozess ein Diagramm ein, das eine Kurve mit der Prozessorauslastung für die letzte Zeit anzeigt. Damit sollte es Dir möglich sein, zu identifizieren, welcher Prozess Deine CPU in Trab hält. Mache einen Doppelklick auf den Prozess. Du kannst von dem ganzen auch einen Screenshot machen und ihn als Anhang mit Deiner Antwort hochladen (auf "Erweitert" unter dem Textfeld klicken und über "Anhänge verwalten" auf Deinem Rechner suchen lassen und über "Hochladen" anhängen). |
Liste der Anhänge anzeigen (Anzahl: 1) Danke für die Antwort, aber der Process explorer hat nur nochmal bestätigt, was der normale Taskmanager bzw. Resourcenmonitor schon gesagt hat: "svchost.exe (netsvcs)" ist Schuld ! (siehe Anhang) Mfg, Robert |
Vor durchführen folgender Aktion nochmal mit Process Explorer schauen, welche svchost mit welcher PID die Auslastung hat. Diese PID hier benennen, dann direkt: Kopiere folgenden Text in Deinen Editor und speicher ihn auf dem Desktop als "list.bat". Wähle dazu unter Speichern als "Alle Dateitypen". Code: @echo off |
Es ist immernoch die "svchost.exe -k netsvcs". Die PID lautet 488. Ich habe die Anweisungen genau befolgt. Wenn ich auf die list.bat klicke öffnet sich kurz ein command-Fenster, in dem steht nur "Zugriff verweigert". Dazu öffnet sich noch eine Fehlermeldung: "Die Datei c:\list.txt kann nicht gefunden werden. Möchten sie eine neue Datei erstellen ?" Ja / Nein / Abbrechen Hätte ich irgendwas ändern müssen ? Ich habe: 1. den Editor geöffnet und den Text 1zu1 in das Feld kopiert: @echo off tasklist /SVC /FI "IMAGENAME eq svchost.exe" > c:\list.txt notepad c:\list.txt exit 2. Die Datei unter dem Namen "list.bat" mit der Auswahl "alle Dateitypen" auf dem Desktop gespeichert. (es erschien eine Datei mit dem Zahnrad-Symbol) 3. Die Datei doppelkeklickt Mfg, Robert |
Bist Du Admin? Rechtsklick als Admin starten :) |
Ahja Jetzt gings: Abbildname PID Dienste ========================= ======== ============================================ svchost.exe 796 DcomLaunch, PlugPlay, Power svchost.exe 880 RpcEptMapper, RpcSs svchost.exe 1012 AudioSrv, Dhcp, eventlog, lmhosts, wscsvc svchost.exe 368 AudioEndpointBuilder, hidserv, Netman, PcaSvc, TrkWks, UxSms, WdiSystemHost svchost.exe 356 EventSystem, FontCache, netprofm, nsi, WdiServiceHost, WinHttpAutoProxySvc svchost.exe 416 AeLookupSvc, Appinfo, IKEEXT, iphlpsvc, LanmanServer, MMCSS, ProfSvc, Schedule, seclogon, SENS, ShellHWDetection, Themes, Winmgmt, wuauserv svchost.exe 960 gpsvc svchost.exe 1096 CryptSvc, Dnscache, LanmanWorkstation, NlaSvc svchost.exe 1308 BFE, DPS, MpsSvc svchost.exe 1912 DiagTrack svchost.exe 1520 stisvc svchost.exe 1724 PolicyAgent svchost.exe 3388 WinDefend svchost.exe 3512 SSDPSRV, upnphost svchost.exe 1836 SDRSVC Haben denn die Logs irgendwelche Erkenntnisse gebracht ? |
und da ist das Problem. Bitte nochmal die Batch laufen lassen, vorher nochmal mit Process Explorer schauen, die PID hat sich geändert. Ich brauch die genaue PID zum Fehlerzeitpunkt und 10 sec später das Log der Batch, dann wissen wir welcher Dienst es ist. |
Hmmmm... Komischerweise taucht das Problem seit 1-2 Tagen nicht mehr auf:pfeiff: Ich habe keine Ahnung, warum. Wenns wieder passiert, werde ich es direkt posten |
hehe, ok :). wichtig ist, PID checken, dann die batch. |
Jetzt isses wieder so weit. PID ist 484 Abbildname PID Dienste ========================= ======== ============================================ svchost.exe 800 DcomLaunch, PlugPlay, Power svchost.exe 880 RpcEptMapper, RpcSs svchost.exe 1016 AudioSrv, Dhcp, eventlog, lmhosts, wscsvc svchost.exe 372 AudioEndpointBuilder, hidserv, Netman, PcaSvc, TrkWks, UxSms, WdiSystemHost, WPDBusEnum, wudfsvc svchost.exe 400 EventSystem, FontCache, netprofm, nsi, WdiServiceHost, WinHttpAutoProxySvc svchost.exe 484 AeLookupSvc, Appinfo, BITS, IKEEXT, iphlpsvc, LanmanServer, MMCSS, ProfSvc, Schedule, seclogon, SENS, ShellHWDetection, Themes, Winmgmt, wuauserv svchost.exe 356 gpsvc svchost.exe 1108 CryptSvc, Dnscache, LanmanWorkstation, NlaSvc svchost.exe 1316 BFE, DPS, MpsSvc svchost.exe 1932 DiagTrack svchost.exe 1728 stisvc svchost.exe 3092 PolicyAgent svchost.exe 3976 SSDPSRV, upnphost svchost.exe 1712 WinDefend svchost.exe 2200 SDRSVC |
Dienst Anwendungserfahrung beenden, ebenso automatischen Start deaktivieren. Reboot und Rechner beobachten. Jetzt müssen wir einen Dienst nach dem andern austesten. |
Ich habe gestern den Dienst "Anwendungserfahrung" beendet, er war aber nicht im Systemstart. (oder was meintest du mit "automatischen Start deaktivieren" ?) Er ist jetzt auch nicht wieder aktiv. Trotzdem ist es gerade wieder aufgetreten. Diesmal ist die PID 488. Abbildname PID Dienste ========================= ======== ============================================ svchost.exe 800 DcomLaunch, PlugPlay, Power svchost.exe 884 RpcEptMapper, RpcSs svchost.exe 1016 AudioSrv, Dhcp, eventlog, lmhosts, wscsvc svchost.exe 372 AudioEndpointBuilder, hidserv, Netman, PcaSvc, TrkWks, UxSms, WdiSystemHost svchost.exe 412 EventSystem, FontCache, netprofm, nsi, WdiServiceHost, WinHttpAutoProxySvc svchost.exe 488 Appinfo, IKEEXT, iphlpsvc, LanmanServer, MMCSS, ProfSvc, Schedule, seclogon, SENS, ShellHWDetection, Themes, Winmgmt, wuauserv svchost.exe 484 gpsvc svchost.exe 1100 CryptSvc, Dnscache, LanmanWorkstation, NlaSvc svchost.exe 1288 BFE, DPS, MpsSvc svchost.exe 1908 DiagTrack svchost.exe 1476 stisvc svchost.exe 2596 PolicyAgent svchost.exe 1620 WinDefend svchost.exe 2956 SSDPSRV, upnphost svchost.exe 3952 SDRSVC Jetzt ist es zur Abwechslung mal die PID 480, aber es scheinen immer die selben Dienste dahinter zu stehen: Abbildname PID Dienste ========================= ======== ============================================ svchost.exe 792 DcomLaunch, PlugPlay, Power svchost.exe 880 RpcEptMapper, RpcSs svchost.exe 1012 AudioSrv, Dhcp, eventlog, lmhosts, wscsvc svchost.exe 368 AudioEndpointBuilder, hidserv, Netman, PcaSvc, TrkWks, UxSms, WdiSystemHost svchost.exe 396 EventSystem, FontCache, netprofm, nsi, WdiServiceHost, WinHttpAutoProxySvc svchost.exe 480 Appinfo, IKEEXT, iphlpsvc, LanmanServer, MMCSS, ProfSvc, Schedule, seclogon, SENS, ShellHWDetection, Themes, Winmgmt, wuauserv svchost.exe 412 gpsvc svchost.exe 1104 CryptSvc, Dnscache, LanmanWorkstation, NlaSvc svchost.exe 1304 BFE, DPS, MpsSvc svchost.exe 1920 DiagTrack svchost.exe 1556 stisvc svchost.exe 2408 PolicyAgent svchost.exe 1216 WinDefend svchost.exe 2148 SSDPSRV, upnphost svchost.exe 3404 SDRSVC Was muss ich jetzt tun ? |
Den nächsten Dienst in der Auflistung unter der PID nehmen, deaktivieren, schauen ob es weg ist :) |
Jedesmal, wenn das Problem wieder auftritt, ist die PID anders (jetzt 412), aber die Dienste scheinen immer die selben zu sein. Sollte ich denn die Dienste, die offensichtlich nicht zur Lösung des Problems führen, anschließend wieder aktivieren ? Also z.B. "Anwendungserfahrung". Kann man denn alle Dienste einfach gefahrlos beenden, ohne einen Systemcrash oder dergleichen zu riskieren ? Nochmal: Haben die Logfiles irgendwelche Erkenntnisse gebracht ? |
Die PID ändert sich immer, normal. Zitat:
|
Frag mich was leichteres... Ich habe den Rechner mit vorinstalliertem Windows gebraucht gekauft. Sollte angeblich Original sein |
Ist es aber nicht. Zitat:
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 10:35 Uhr. |
Copyright ©2000-2025, Trojaner-Board