Client DNS/Svchost : utilisation du CPU en idle

[Bunnny]

Bonjour à tous et toutes,

Comme l'indique le titre du thread, le CPU est utilisé de 6 à 10% par le client DNS en idle, de manière aléatoire pendant 10 à 15 minutes.
J'ai bien cherché sur les forums mais je n'ai rien trouvé concernant le Svchost/client DNS.

Avant que je remarque cette utilisation du CPU, il y a 1 à 2 semaines, le CPU était toujours à 0-1% en idle.
Je n'avais jamais vu le client DNS au premier plan d'utilisation dans le gestionnaire des tâches.
Je n'ai pas installé de programme supplémentaire qui pourrait tourner en tâche de fond.


Dans le même temps, à chaque boot de Windows, sécurité windows est dans les notifications pour indiquer qu'une analyse des menaces est effectuée.
Est-ce qu'il y aurait un défaut en rapport avec l'antivirus ? (J'utilise Avira Free Security)

Lors d'une analyse complète via sécurité Windows, Defender avait détecté Trojan:Win32/Zpevdo.B.
Je l'ai donc fait supprimer et depuis, chaque scan de Defender, Malwarebyte, Spybot ou AdwCleaner ne présente aucun malware/adware.

J'ai effectué des flush DNS et en utilisant LiveTcpUdpWatch, je ne vois pas de "process name" qui serait suspect.

Est-ce qu'un virus pourrait être à l'origine de cette utilisation CPU et des notifications d'analyse de menaces ?
Est-ce qu'un bug de client DNS est possible ?


Configuration:
Processeur AMD Ryzen 7 5700G with Radeon Graphics 3.80 GH
RAM 32,0 Go
OS Windows 10 Famille 22H2



J'ai vraiment essayé d'être le plus succinct.
Par avance, merci beaucoup pour votre aide !

[angelique]

Salut

Quels sont tes dns utilisés dans tes protocoles tcp/ip ipv4 ? exécuter ➮ ncpa.cpl

https://www.malekal.com/les-meilleurs-d ... -complete/

[Bunnny]

Merci beaucoup pour ta réponse rapide Angélique !

Comme je n'ai pas touché aux protocoles tcp/ip ipv4, les valeurs sont par défaut (cf pièce jointe).
Du coup, je dois changer les valeurs des DNS par un de ceux proposés par le lien ?

Pourquoi subitement, il y aurait besoin de changé ces DNS qui ne présentaient pas de problème jusque-là ?

Autre info, avec DNSLookUpView, on peut voir beaucoup d'erreurs liées à Avira endpoint protection SDK, est-ce que ce serait ces erreurs qui provoqueraient l'utilisation du CPU ?

Merci encore pour ton aide !

[Malekal_morte]

Bonjour,

Typiquement les symptômes lorsque le le fichier HOSTS de Windows est trop volumineux.

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Attendre la fin du scan, un message indique que l'analyse est terminée.
Télécharge et lance le scan FRST,

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut
* Additionnal.txt



Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

[Parisien_entraide]

Bonjour

Angélique répondra à tes questions, mais .. Tu fais quoi avec ce SDK d'AVIRA ? Tu es développeur ?

Il arrive fréquemment ce que prog parte en vrille si il y a eu infection
Par ex il est courant de voir après désinfection des anomalies comme des dizaines de Go stockées en quarantaine sans raison
Dossier à vérifier par ex (pour la taille)
(C:\ProgramData\Avira\Endpoint Protection SDK\common\sentry_quarantine

En plus tout ce qui est affiché dans ta capture sont des sites foireux, dangereux
Ca sent la redirection de requetes et l'AV s'affole



La procédure de Malekal (ca permettra de voir par ex le contenu du fichier.hosts entre autres)
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut. ----> Ne pas oublier de cocher la case qui figure sur l'écran d'accueil
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

---------

Edit : ZUUTTTT Encore le problème de cache dont suit la procédure de Malekal - L'analyse est la meme et la cause identique

[Bunnny]

Voici les liens des rapports:

!	Lien rapports supp. by Angelique

Malekal_morte:
J'ai regardé le fichier Hosts mais je ne vois rien de particulier.

Parisien_entraide:
Non je ne suis pas développeur, je ne sais pas pourquoi il y a Avira SDK qui se lance.
Et je n'ai pas constaté un supplément de données sur mon disque dur C:

Vraiment, merci à vous pour votre aide.

[Parisien_entraide]

Malekal ou Angélique te répondront plus en détail mais ton fichier HOSTS a 2 tonnes d'adresses (ce qui devrait fortement ralentir le PC sauf si le service client DNS n'est pas actif)

Le truc c'est qu'avec Avira il y a une protection (sauf si cela a changé) avec le fichiers Hosts qu'il faut désactiver avant de le purger ou d'y toucher
Donc attends les instructions

[angelique]

Bonjour/Bonsoir


C'est spybot que tu as du utiliser qui a mis la grouille


Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix
Un redémarrage peut être nécessaire (pas obligatoire).
Un fichier texte apparaît peut être nommé fixlog.txt au même endroit que frst64.exe et que fixlist.txt, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

[Bunnny]

FRST64 avec fixlist fait.
Pas de CPU à 10% au démarrage, le problème semble réglé.
Il y a quand même Defender en notification qui réalise une analyse périodique des menaces.

Si Spybot a généré le problème lors d'une vaccination, comment faire pour que ça ne se reproduise pas ?

Parisien_entraide a dit que "Avira Endpoint Protection SDK" était pour les développeurs.
Faut-il que je réinstalle Avira pour assurer une installation clean ?


Et juste en passant, j'ai "accès refusé / erreur 403" sur le forum, c'est ok si je redémarre mon PC.


Voici le fixlog :

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 12-05-2023 01
Exécuté par Bunny (15-05-2023 14:15:15) Run:1
Exécuté depuis C:\Users\Bunny\Desktop
Profils chargés: Bunny
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
2023-05-15 09:57 - 2023-05-15 09:57 - 000665088 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\0357ca13-7bb2-4279-8edc-4b806c9b9c61.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000118272 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\5064fff4-9b9b-44ba-bd77-201199eddf09.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000665088 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\6293e1fd-f88c-4a66-ac06-97c57db34e51.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000148480 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\ad1c3e95-4f9e-4a03-994b-a1fcc26ea4a9.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000137728 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\b80b42e7-59c1-457d-80b4-3bc87c74138b.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000104960 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\c6a2a677-afcb-4cc9-bb75-9a54883c2e27.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000123392 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\cab839c1-bf34-4b87-a3a8-07e17d6756d5.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000109056 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\f0045444-22c2-42d5-abf6-d3d3780de76f.tmp.node
2023-05-15 09:57 - 2023-05-15 09:57 - 000287744 _____ () [Fichier non signé] \\?\C:\Users\Bunny\AppData\Local\Temp\fba303a8-c7d8-44a2-bda9-72b3cb35e103.tmp.node
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Restriction <==== ATTENTION
BootExecute: autocheck autochk * sdnclean64.exe
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy-Firefox: Restriction <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
Task: {9DD308C1-36E7-437B-ADB2-02A018E3F30B} - System32\Tasks\Microsoft\Windows\rempl\shell => C:\Program Files\rempl\sedlauncher.exe (Pas de fichier)
S3 Origin Client Service; "P:\Systems\Origin\OriginClientService.exe" [X]
S2 Origin Web Helper Service; "P:\Systems\Origin\OriginWebHelperService.exe" [X]
2023-05-09 20:57 - 2023-04-28 18:03 - 000454710 ____R C:\Windows\system32\Drivers\etc\hosts.20230509-205751.backup
2023-04-30 12:09 - 2023-04-30 10:37 - 000003000 _____ () C:\Users\Bunny\AppData\Local\recently-used.xbel
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "C:\Windows\SysWOW64\lodctr.exe" /R
CMD: "C:\Windows\SYSTEM32\lodctr.exe" /R
Hosts:
EmptyTemp:


*****************

Le Point de restauration a été créé avec succès.
C:\Users\Bunny\AppData\Local\Temp\0357ca13-7bb2-4279-8edc-4b806c9b9c61.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\5064fff4-9b9b-44ba-bd77-201199eddf09.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\6293e1fd-f88c-4a66-ac06-97c57db34e51.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\ad1c3e95-4f9e-4a03-994b-a1fcc26ea4a9.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\b80b42e7-59c1-457d-80b4-3bc87c74138b.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\c6a2a677-afcb-4cc9-bb75-9a54883c2e27.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\cab839c1-bf34-4b87-a3a8-07e17d6756d5.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\f0045444-22c2-42d5-abf6-d3d3780de76f.tmp.node => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\Temp\fba303a8-c7d8-44a2-bda9-72b3cb35e103.tmp.node => déplacé(es) avec succès
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate => supprimé(es) avec succès
HKLM\System\CurrentControlSet\Control\Session Manager\\"BootExecute"="autocheck autochk *" => valeur restauré(es) avec succès
C:\Windows\system32\GroupPolicy\Machine => déplacé(es) avec succès
C:\Windows\system32\GroupPolicy\GPT.ini => déplacé(es) avec succès
C:\Program Files\Mozilla Firefox\distribution\policies.json => déplacé(es) avec succès
C:\ProgramData\NTUSER.pol => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{9DD308C1-36E7-437B-ADB2-02A018E3F30B}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{9DD308C1-36E7-437B-ADB2-02A018E3F30B}" => supprimé(es) avec succès
C:\Windows\System32\Tasks\Microsoft\Windows\rempl\shell => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\rempl\shell" => supprimé(es) avec succès
HKLM\System\CurrentControlSet\Services\Origin Client Service => supprimé(es) avec succès
Origin Client Service => service supprimé(es) avec succès
HKLM\System\CurrentControlSet\Services\Origin Web Helper Service => supprimé(es) avec succès
Origin Web Helper Service => service supprimé(es) avec succès
C:\Windows\system32\Drivers\etc\hosts.20230509-205751.backup => déplacé(es) avec succès
C:\Users\Bunny\AppData\Local\recently-used.xbel => déplacé(es) avec succès

========= "%WINDIR%\SYSTEM32\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme
========= Fin de CMD: =========


========= "%WINDIR%\SysWOW64\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme
========= Fin de CMD: =========


========= "C:\Windows\SysWOW64\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme
========= Fin de CMD: =========


========= "C:\Windows\SYSTEM32\lodctr.exe" /R =========


Infosÿ: Reconstruction du paramŠtre de compteur de performance r‚ussie … partir du magasin de stockage systŠme
========= Fin de CMD: =========

C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 1310720 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 22261731 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 315157847 B
Windows/system/drivers => 711416973 B
Edge => 53445 B
Chrome => 143360 B
Firefox => 1169262245 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 35512 B
NetworkService => 36684 B
Bunny => 596206608 B

RecycleBin => 81885 B
EmptyTemp: => 2.6 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 14:15:45 ====

[angelique]

Ne pas utiliser Spybot, ça sert à rien

Désinstaller Avira pour laisser Windows defender faire le job qu'il fait très bien.


Suppression de FRST

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renommez FRST/FRST64.exe en uninstall.exe et exécutez-le. La procédure nécessite un redémarrage

[Bunnny]

Merci infiniment Angélique !

Je vais désinstaller Avira et laisser Windows Defender par défaut.

Est-il possible de supprimer ces 3 rapports, s'il vous plaît ?

!	Liens rapports supp. by Angelique

Pour vous remercier de votre aide, à qui puis-je faire un don ?
Au site Malekal ou directement à toi, Angélique ?

[angelique]

Est-il possible de supprimer ces 3 rapports, s'il vous plaît ?

Seul Malekal a le pouvoir sur pjjoint de le faire, cependant il n'y rien d'exploitable sur ces rapports par une personne malveillante.

Je peux si tu le souhaites les faire disparaître du forum, de ton sujet.

Pour vous remercier de votre aide, à qui puis-je faire un don ?
Au site Malekal ou directement à toi, Angélique ?

Sache que les dons ne sont pas obligatoires mais encourage nos interventions de qualité.

A moi , ou Malekal en fonction de ton appréciation .

[Bunnny]

Oui, je préfère les faire disparaître du forum, s'il te plaît.
Je vais faire un don à Malekal, j'ai déjà visité le site bien des fois pour des récupérations PC ou autre.

En effet, interventions de qualité, c'est le mot !

Merci encore et bonne continuation à toute l'équipe de Malekal !

[angelique]

C'est fait

[Bunnny]

Incroyablement efficace !
Je pense que le sujet peut passer en résolu.
Merci encore !