Nadmierne wykorzystanie procesora - WMI Provider Host

[Galax]

Witam, tak jak w temacie mam problem z nadmiernym zużyciem procesora przez tę usługę. Nadmienię, że problem pojawił się dzisiaj. Nigdy wcześniej tak nie było.

 

 

Pozdrawiam

 

FRST.txt

Addition.txt

Shortcut.txt

[Miszel03]

Raporty nie wykazują oznak infekcji, widoczna są tylko śladowe ilości adware w przeglądarce Google Chrome.

W skrypcie uwzględniam kasacje martwych wpisów i resztek po wcześniej odinstalowanym oprogramowaniu (m.in po przeglądarce Mozilla FireFox). Resetuję również całą gałąź Dziennika zdarzeń, by mieć jak najnowsze dane dot. zdarzeń.

 

Jeśli chodzi zaś o problem tytułowy to problem może być trudno znaleźć. Zaczniemy ogólnikowo od resetu repozytorium WMI. 

 

1. Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik tekstowy. Wklej do pliku następującą treść:

 

CloseProcesses:
Task: {C72FA3BE-EE6A-4607-B44E-20001B1C9807} - \Microsoft\Windows\UNP\RunCampaignManager -> Brak pliku <==== UWAGA
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL =
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL =
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\##ID_STRING16##\##ID_STRING17##.lnk
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\RXVS\AppData\Local\Mozilla
C:\Users\RXVSAppData\Roaming\Mozilla
C:\Users\RXVS\AppData\Roaming\Profiles
Powershell: wevtutil el | Foreach-Object {wevtutil cl "$_"}
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Pozbądź się z listy dostawców wyszukiwarek w przeglądarce Google Chrome stron adware:

• Zresetuj synchronizację (o ile włączona): KLIK.
• Ustawienia > karta Ustawienia > Pokaż ustawienia zaawansowane > zjedź na sam spód i uruchom opcję Resetowanie ustawień. Zakładki i hasła nie zostaną naruszone.
• Ustawienia > karta Ustawienia > sekcja Szukaj > klik w Zarządzanie wyszukiwarkami > skasuj z listy wszystko z wyjątkiem Google.

3. Zresetuj radykalnie Repozytorium WMI.

• Klawisz  + R > services.msc > na liście odnajdź Instrumentacja zarządzania Windows i z prawokliku kliknij Wstrzymaj.
• Przejdź do folderu C:\WINDOWS\system32\wbem\Repository, a następnie opróżnij go.
• Uruchom ponownie system i sprawdź czy nadal występuję problem z nadmiernym wykorzystaniem procesora przez tą usługę. 

4. Zrób nowy log FRST z opcji Skanuj (Scan) wraz z Addition, ale już bez Shortcut. Dołącz też plik fixlog.txt.

[Galax]

Witam, zrobiłem co miałem. Wykorzystanie procesora nie uległo zmianie.

 

 

Pozdrawiam

 

Addition.txt

Fixlog.txt

FRST.txt

[Miszel03]

Niestety w przeglądarce Google Chrome nadal widoczna śmieciowa wyszukiwarka mystartsearch, teraz tylko przerzuciła się na inny profil. Wcześniej profilem domyślnym był Profile 2, a teraz jest Profile 3.  
Obawiam się, że zmiany dotyczą preferencji. Mogę je wyczyścić ręcznie, ale to pracochłonny zabieg. Lepsze efekty da kompleksowa reinstalacja przeglądarki:

• Upewnij się, że nie masz włączonej synchronizacji, która załaduje złe ustawienia z serwera po reinstalacji przeglądarki: KLIK.
• Jeśli potrzebne, wyeksportuj zakładki: CTRL+SHIFT+O > Organizuj > Eksportuj zakładki do pliku HTML.
• Odinstaluj Google Chrome. Przy deinstalacji zaznacz Usuń także dane przeglądarki.
• Zainstaluj najnowszą stabilną wersję Google Chrome: KLIK.

Cytat

Wykorzystanie procesora nie uległo zmianie.

 
Muszę pomyśleć co teraz będziemy robić, edytuje ten post z następnymi instrukcjami.

 

Skonsultowałem się z picasso, która odpowiedziała poniżej.

[picasso]

W dniu 22.01.2018 o 04:14, Galax napisał:

Witam, tak jak w temacie mam problem z nadmiernym zużyciem procesora przez tę usługę. Nadmienię, że problem pojawił się dzisiaj. Nigdy wcześniej tak nie było.

 

Przypuszczalnie inny proces wpływa na obciążenie i nie jest tu wykluczony Bitdefender. Sprawdź następujące dane:

 

1. Prawy klik na przycisk Start > Podgląd zdarzeń > Dzienniki aplikacji i usług > Microsoft > Windows > WMI-Activity > Operational > sprawdź czy widnieją tam błędy. W przypadku błędów pobierz ich szczegóły. W szczegółach błędu powinien widnieć Identyfikator procesu klienta z numerem. Ten numer to PID obciążającej usługi.

 

2. Otwórz Menedżer procesów, wejdź do karty Usługi i wyszukaj numer pobrany w punkcie 1. Podaj dane jaka usługa jest z nim powiązana.

[Galax]

Nie mogę w ogóle znaleźć tej konkretnej usługi po numerze PID, w opisie błędu numer widnieje ale nie ma jej na liście Usług. Próbowałem odświeżać, restartować system lecz dalej nie widać tego procesu.

Mogę dodatkowo załączyć (jeśli będzie to wymagane) plik Dziennika zdarzeń z rozszerzeniem (.evtx). Mogę spróbować odinstalować Bitdefendera i zainstalować go ponownie ale nie wiem czy to coś da.

 

Załączam screen'a jak to u mnie wygląda:

 

Pozdrawiam

 

Edit:

Udało mi się zlokalizować ten proces ale w zakładce "Procesy", pod numerem 10960 ukrywa się (VideoCardMonitorII.exe 10960 Uruchomiony SYSTEM 00  7 300 K VideoCardMonitor).

Po przejściu do lokalizacji pliku widzę powiązania ze sterownikiem do karty dźwiękowej. Gdy próbuje przejść do usługi tego procesu nic się nie pokazuje.

 

[picasso]

Cytat

Udało mi się zlokalizować ten proces ale w zakładce "Procesy", pod numerem 10960 ukrywa się (VideoCardMonitorII.exe 10960 Uruchomiony SYSTEM 00  7 300 K VideoCardMonitor).

Po przejściu do lokalizacji pliku widzę powiązania ze sterownikiem do karty dźwiękowej. Gdy próbuje przejść do usługi tego procesu nic się nie pokazuje.

 

Usługa która odpala ten proces jako składową to MSI_ActiveX_Service:

 

==================== Procesy (filtrowane) ================= 

(Micro-Star INT'L CO., LTD.) C:\Program Files (x86)\MSI\MSI OC Kit\ActiveX_Service\MSI_ActiveX_Service.exe
(Micro-Star INT'L CO., LTD.) C:\Program Files (x86)\MSI\MSI OC Kit\ActiveX_Service\VideoCardMonitorII.exe
(Micro-Star INT'L CO., LTD.) C:\Program Files (x86)\MSI\MSI OC Kit\ActiveX_Service\EyeRest.exe
(Micro-Star INT'L CO., LTD.) C:\Program Files (x86)\MSI\MSI OC Kit\ActiveX_Service\TriggerModeMonitor.exe
(Micro-Star INT'L CO., LTD.) C:\Program Files (x86)\MSI\MSI OC Kit\ActiveX_Service\NahimicMonitor.exe 

==================== Usługi (filtrowane) ==================== 

R2 MSI_ActiveX_Service; C:\Program Files (x86)\MSI\MSI OC Kit\ActiveX_Service\MSI_ActiveX_Service.exe [83616 2017-09-11] (Micro-Star INT'L CO., LTD.)

 

Problem z obciążeniem WMI zgłoszony także na forum wsparcia MSI tutaj. Czyli możliwości są tu ograniczone do: zatrzymanie w/w procesów + wyłączenie tej konkretnej usługi via services.msc, wyszukanie aktualizacji oprogramowania MSI lub całkowite usunięcie tego oprogramowania.

[Galax]

Udało mi się pozbyć problemu spowodowanego przez usługę WMI po odinstalowaniu programów od MSI. Tylko teraz pojawił się jakiś drugi proces, dokładnie taki: 

 

 

Teraz się zastanawiam czy nie lepiej będzie jak zainstaluje system od nowa, chociaż może jest jeszcze na to lekarstwo?

 

Pozdrawiam

[picasso]

Na temat tego procesu tutaj. Tymczasowe wysokie obciążenie może być normalne. Pozostaw go dopóki nie ukończą się operacje powiązane z aktualizacjami. Ten proces samoczynnie powinien zniknąć po wykonaniu zadania.

[Galax]

Zostawiłem komputer włączony na kilka godzin żeby rzeczywiście zainstalowały się te aktualizacje, potem ten proces znikł lecz wykorzystanie procesora nie spadało. Postanowiłem zresetować ustawienia komputera do stanu początkowego ale to również nic nie dało, po tym zabiegu wykorzystanie było stałe 100%. Uznałem, że prostsze już będzie sformatowanie dysku i zainstalowanie systemu od zera co też uczyniłem. Problem z wykorzystaniem oczywiście znikł. Nie pozostaje mi nic innego jak podziękować wam za poświęcony na mnie czas

 

Pozdrawiam