[XP SP2] svchost / ntdll.dllRtAllocateHeap+0x18c 100% cpu

[sPENKMAN]

Beste gotters,

Sinds enige tijd heb ik veel last van zeer trage momenten op mijn pc na een reboot of start, na onderzoek blijk dit voort te komen uit 100% cpu usage van svchost.exe.

Aangezien dit vaak aan een virus of trojan te wijten valt heb ik uiteraard de nodige scans uitgevoerd over mijn gehele systeem met NOD32 en Housecall. Dit bracht helaas geen interessante informatie naar boven. Ook een HiJackThis scan bracht geen bijzondere entries naar boven.

Gezien het feit dat svchost.exe veel verschillende taken uitvoerd heb ik met de Proces Explorer gekeken waar de cpu usage precies vandaan komt, dit blijk dus het onderdeel "ntdll.dllRtAllocateHeap+0x18c" te zijn welke, naar ik begreep, te maken heeft met geheugen management.

Hier is helaas erg weinig op te vinden op google, slechts 1 hit welke ook nog eens in het zweeds is, hier wordt overigens naar Windows Update gerefereerd. klik


Mijn systeem is overigens up-to-date met alle Windows en Office updates, heeft 1,5 maand terug een reinstall gehad en heeft altijd met de nodige bescherming gedraait (NOD32).

Plaatje van de data die verzet wordt wanneer ik mijn pc opstart:


HiJackThis log:

code:

Logfile of HijackThis v1.99.1
Scan saved at 10:42:08, on 21-10-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Apps\NOD32\nod32krn.exe
C:\WINDOWS\Explorer.EXE
D:\Apps\NOD32\nod32kui.exe
C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe
D:\Apps\TortoiseSVN\bin\TSVNCache.exe
D:\Apps\nu2menu\nu2menu.exe
D:\Apps\Winamp\Winamp.exe
D:\Apps\Thunderbird\thunderbird.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\Apps\Firefox\firefox.exe
D:\Apps\WinRAR\WinRAR.exe
C:\DOCUME~1\Henk\LOCALS~1\Temp\Rar$EX00.656\procexp.exe
D:\Apps\Miranda IM\miranda32.exe
D:\Apps\WinRAR\WinRAR.exe
C:\DOCUME~1\Henk\LOCALS~1\Temp\Rar$EX00.343\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
<knip>
Aantal entries in mijn hostfile welke ik daar zelf in heb gezet
</knip>
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [nod32kui] "D:\Apps\NOD32\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - Startup: Nu2menu.lnk = D:\Apps\nu2menu\nu2menu.exe
O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutoCAD Startup Accelerator.lnk = C:\Program Files\Common Files\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://D:\Apps\Office\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Apps\Office\OFFICE11\REFIEBAR.DLL
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?LinkID=39204
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.5) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1158674957500
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1158676503640
O17 - HKLM\System\CCS\Services\Tcpip\..\{036F6FF6-8144-4BD8-92C6-3805BE5F5479}: NameServer = 10.0.0.4
O17 - HKLM\System\CS1\Services\Tcpip\..\{036F6FF6-8144-4BD8-92C6-3805BE5F5479}: NameServer = 10.0.0.4
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - D:\Apps\NOD32\nod32krn.exe

Voordat ik enige tijd aan de MS support lijn ga hangen wou ik graag weten of hier nog bepaalde ideeen zijn voor een mogelijke oplossing

[Edgarz]

Kon alleen dit voor je vinden als mogelijke oorzaak uit je logs (bovenste regels): http://www.google.com/sea...d=opera&ie=utf-8&oe=utf-8

Anders denk ik aan een driver die niet helemaal top is (CDROM, HDD? ivm hoge i/o reads)

[djexplo]

sPENKMAN schreef op zaterdag 21 oktober 2006 @ 11:29:

Hier is helaas erg weinig op te vinden op google, slechts 1 hit welke ook nog eens in het zweeds is, hier wordt overigens naar Windows Update gerefereerd. klik

Ik weet niet hoe jij zoekt maar op Got zijn hier 100+ topics over, zie b.v.: [XP] svchost.exe op 100% tijdens windows update

Als het niet windows update is, probeer dan eens:
- Wat gebeurd er als je svchost killed in de taskmanager?, wat werkt er dan niet meer?
- Schakel eens in msconfig alle services en programma's uit die niet van microsoft zijn, en start opnieuw op, heb je dan nog het zelfde probleem?

[ Voor 30% gewijzigd door djexplo op 21-10-2006 23:33 ]

[sPENKMAN]

Ondanks dat ik niets heb veranderd heb ik er de laatste tijd geen last meer van gehad. Apart geval, maar het is in ieder geval gefixed.

Het was overigens geen Windows Update, deze heeft een apart subproces in svchost.exe. De andere tips heb ik niet kunnen uitproberen maar in ieder geval bedankt voor de tips

[fluppie007]

svchost.exe is van windows ?
en je hebt een sCVhost.exe dat een virus is ?

Mijn oma heeft die laatste gehad die ervoor zorgde dat ze
continu met 100% CPU belasting zat.

Ik hoop je hiermee te helpen...

[Verwijderd]

Heey ik heb het precies het zelfde probleem nu
svchost pakt sinds kort steeds 50% van men CPU
via ProcesExplorer blijkt ook dat het onderdeel "ntdll.dllRtAllocateHeap+0x18c" 50% pakt...

Overrigens als ik het proces uitschakel in taakbereer heb ik geen geluid meer en kan ik geen videos meer kijken echt vaag probleem

hoe heb jij dit nu precies opgelost ????

[sPENKMAN]

gelukkig een lotgenoot

Ik heb het probleem helaas nog niet weten op te lossen, enkele dagen geleden begon het inene weer. Soms heb ik het vermoeden dat het te maken heeft met welke applicaties ik opstart direct na het booten. Standaard start ik Thunderbird, Firefox en een mp3 stream van di.fm, wellicht dat jij een dergelijk gelijk patroon hebt?

Op dit moment gebruik ik proces explorer van sysinternals.com om de betreffende thread te killen, dan blijft je audio en video iig werken. Ik heb het bestand per e-mail aan je doorgestuurd (programma starten, properties van de svchost.exe openen en in het tabblad threads de thread killen).

Misschien dat ik toch maar eens contact op ga nemen met Microsoft Nederland.

Sinds wanneer doen deze problemen zich voor bij jou?

[Verwijderd]

sPENKMAN schreef op woensdag 01 november 2006 @ 23:38:
gelukkig een lotgenoot

Ik heb het probleem helaas nog niet weten op te lossen, enkele dagen geleden begon het inene weer. Soms heb ik het vermoeden dat het te maken heeft met welke applicaties ik opstart direct na het booten. Standaard start ik Thunderbird, Firefox en een mp3 stream van di.fm, wellicht dat jij een dergelijk gelijk patroon hebt?

Op dit moment gebruik ik proces explorer van sysinternals.com om de betreffende thread te killen, dan blijft je audio en video iig werken. Ik heb het bestand per e-mail aan je doorgestuurd (programma starten, properties van de svchost.exe openen en in het tabblad threads de thread killen).

Misschien dat ik toch maar eens contact op ga nemen met Microsoft Nederland.

Sinds wanneer doen deze problemen zich voor bij jou?

ik heb ook een dergelijk patroon idd start altijd gelijk firefox op en winamp

maar sinds kort heb ik het niet meer!!

in mijn geval heb ik litestep even verwijderd (dacht dat het miss daaraan lag..),
en toen kwam automatische updates met een stuk of 10 updates en nu heb ik het probleem niet meer.
btw het viel me op dat toen ik windows verwijderde in men firefox ongeveer de helft van men bladwijzers die ik op men bladwijzerbalk had weg waren ( had die hele balk vol met icoontjes van sites die ik regelmatig bezoek ) miss was dat ook niet goed ofzo..maar kan me eigelijk niet voorstellen dat dat het probleem was

nahja hopelijk heb je hier wat aan ik zou ff zoeken naar windows updates iniedergeval

[sPENKMAN]

Verwijderd schreef op donderdag 02 november 2006 @ 18:34:
nahja hopelijk heb je hier wat aan ik zou ff zoeken naar windows updates iniedergeval

Ik ben dus naar de MS website geweest om te updaten maar hij blijft maar zoeken naar updates... na een uur nog geen resultaat.

Wellicht dat dit komt door de gekilde thread die in topicnaam staat, morgen nog eens proberen

[mbrunek]

Ik heb ook hetzelfde: bij het opstarten is ie heel traag en er staan dan ook meerdere svchosts open.

Ik heb XP Home SP2 met Firefox en ook NOD32.

Heeft Dirkvanb ook NOD32?

[sPENKMAN]

Ik in ieder geval wel, van de week helaas geen tijd gehad om contact op te nemen met MS NL

[nemo55]

Zelfde probleem bij m'n zus.

Nadat de pc was opgestart probeerde ik internet explorer te openen. Toen deze niet reageerde keek ik naar het processenlijstje van windows zelf waarin 1 van de 5!? svchost processen de cpu volledig belaste. Na nog even gewacht te hebben reageerde de complete pc nergens meer op en stond de cpu belasting op 50%

[sPENKMAN]

Ik heb contact gehad met een technisch medewerker van Microsoft Nederland en het probleem is volgens mij opgelost.

Hieronder een stappen plan:
1) Schakel de service "Automatische updates" uit (Deze computer -> beheer -> services)
2) Start -> uitvoeren en typ "temp" in en verwijder alle bestanden zover mogelijk
3) Start -> uitvoeren en typ "%temp%" in en verwijder alle bestanden zover mogelijk
4) Ga naar C:\Windows en zoek de map "SoftwareDistribution" op en verwijder deze in zijn geheel.
5) Start de service "Automatische updates" (zie stap 1)
6) Ga naar Windows update en controleer op nieuwe updates

note: Bij stap 4 verwijder je ook je installatie geschiedenis waardoor je deze niet meer kan opvragen bij Windows update.

Bij mij is het controleren op updates veel sneller en gebruikt niet meer alle cpu kracht. Mijn ticket staat nog open tot dinsdag mocht het toch nog niet opgelost zijn maar het ziet er prima uit.