Вирус SVCHOST.EXE и не вирус SVCHOST.EXE. Как определить и что делать?

Сегодня я хочу раз и навсегда закрыть вопрос с тем, что же такое представляет из себя этот самый злобный вирус svchost, как с ним бороться и надо ли это делать вообще (и вирус ли это вообще)
Поехали.
Что такое svchost.exe. Вирус? Куда бежать?!
Начнем с того, что Generic Host Process for Win32 Services (а именно и есть тот самый svchost) представляет из себя системный процесс, вселенски важный в существовании Windows, а именно тех служб, программ и сервисов системы, которые используют, так называемые, DLL-библиотеки.
Этих самых svchost.exe и впрямь может быть в системе решительно много, ведь службам и программам довольно затруднительно дружно использовать и возюкаться с одним процессом (их то, служб, много, а бедный беззащитный svchost совсем один), а посему обычно системой запускаются несколько экземпляров сего счастья, но с разными номерами (идентификаторами процесса, если быть точным). Соответственно, каждыйsvchost.exe обслуживает свой набор служб и программ, а посему, в зависимости от количества их в Windows, число этих самых процессов svchostможет варьироваться от штуки до нескольких десятков. Еще раз для тех кто не понял: это процессы системы и трогать их не надо.
Но действительно, бывают ситуации, когда под этот процесс маскируются вирусы (еще раз хочу заострить внимание: именно маскируются, именно вирусы, а не сам процесс является вредоносным). Давайте разбираться как их вычислить и что с ними делать.
Как распознать вирус svchost, а точнее гадости под него маскирующиеся
Начнем с того, что системный svchost.exe обитает исключительно в папке:
- C:WINDOWSsystem32
- C:WINDOWSServicePackFilesi386
- C:WINDOWSPrefetch
- С:WINDOWSwinsxs*
Где C: — диск куда установлена система, а * — длинное название папки вроде amd64_microsoft-windows-s..s-svchost.resources_31bf3856ad364e35_6.1.7600.16385_ru-ru_f65efa35122fa5be
Если он находится в любом другом месте, а особенно каким-то чудом поселился в самой папке WINDOWS, то наиболее вероятно (почти 95,5%), что это вирус (за редким исключением).
Привожу несколько самых путей маскировки вирусами под этот процесс:
- C:WINDOWSsvchost.exe
- C:WINDOWSsystemsvchost.exe
- C:WINDOWSconfigsvchost.exe
- C:WINDOWSinet20000svchost.exe
- C:WINDOWSinetsponsorsvchost.exe
- C:WINDOWSsistemsvchost.exe
- C:WINDOWSwindowssvchost.exe
- C:WINDOWSdriverssvchost.exe
И несколько самых часто используемых названий файлов, вирусами маскирующимися под svchost.exe:
- svсhost.exe (вместо английской «c» используется русская «с»)
- svch0st.exe (вместо «o» используется ноль)
- svchos1.exe (вместо «t» используется единица)
- svcchost.exe (2 «c»)
- svhost.exe (пропущено «c»)
- svchosl.exe (вместо «t» используется «l»)
- svchost32.exe (в конец добавлено «32»)
- svchosts32.exe (в конец добавлено «s32″)
- svchosts.exe (в конец добавлено «s»)
- svchoste.exe (в конец добавлено «e»)
- svchostt.exe (2 «t» на конце)
- svchosthlp.exe (в конец добавлено «hlp»)
- svehost.exe (вместо «c» используется «e»)
- svrhost.exe (вместо «c» используется «r»)
- svdhost32.exe (вместо «c» используется «d» + в конец добавлено «32»)
- svshost.exe (вместо «c» используется «s»)
- svhostes.exe (пропущено «c» + в конец добавлено «es»)
- svschost.exe (после «v» добавлено лишнее «s»)
- svcshost.exe (после «c» добавлено лишнее «s»)
- svxhost.exe (вместо «c» используется «x»)
- syshost.exe (вместо «vc» используется «ys»)
- svchest.exe (вместо «o» используется «e»)
- svchoes.exe (вместо «st» используется «es»)
- svho0st98.exe
- ssvvcchhoosst.exe
Остальные, в общем-то, тоже бывают, но эти одни из самых популярных, так что имейте ввиду и будьте бдительны.
Посмотреть название файла можно в диспетчере задач, хотя я рекомендую сразу использовать Process Explorer, благо, используя его, можно сразу посмотреть пути и прочую информацию просто сделав двойной клик по процессу в списке.
Как удалить вирус svchost.exe
В удалении этой гадости (если она все таки ею является) нам поможет старый-добрый AVZ.
Что делаем:
1. Скачиваем avz, распаковываем архив, запускаем avz.exe
2. В окне программы выбираем “Файл” – “Выполнить скрипт“.
3. Вставляем в появившееся окно скрипт:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('сюда вставлять путь к файлу (главное не перепутать кавычки)','');
DeleteFile('сюда вставлять путь к файлу (главное не перепутать кавычки)');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
Где, как Вы понимаете, под словами «сюда вставлять путь к файлу (главное не перепутать кавычки)» нужно, собственно, вставить этот путь, т.е, например: C:WINDOWSsystemsyshost.exe прямо между », т.е получиться строки должны так:
QuarantineFile('C:WINDOWSsystemsyshost.exe','');
DeleteFile('C:WINDOWSsystemsyshost.exe');
4. Жмем «Запустить«, предварительно закрыв все программы.
Ждем перезагрузки системы
Проверяем наличие файла
Проводим полноценную проверку на вирусы и spyware.
Ну и.. Улыбаемся и машем.. В смысле радуемся жизни и очищенному компьютеру :)
Послесловие.
Как всегда, если будут какие-то вопросы, дополнения и прочие разности, то пишите в комментариях.
Буду рад почитать, послушать, поддержать и помочь
скачать подробную инструкцию
![]() |
Добавить комментарий |