Вопросы и Ответы / Windows XP /  ?

  Вопрос от посетителя:  

Неизвестный процесс SVCHSOT.EXE (именно SVCHSOT.EXE, а не SVCHOST.EXE) все время сидит в памяти и процессорное время использует. Точно вирус... По названию видно. Правда, Касперский со свежими базами ничего не находит. Выгружать бесполезно... Нашел в реестре запись загрузки - удалил. Все зря - восстановилась! Еще хочет к Интернету подключится! Чем лечить (и где достать лекарство)?

  Ответы:  

  TU-154:
Либо перед проверкой снимите этот процесс через Диспетчер задач, либо загрузитесь в Безопасном режиме и проведите повторную проверку антивирусом и антишпионом со свежими базами. В этом же режиме посмотрите Автозагрузку (Пуск - Выполнить - msconfig, вкладка Автозагрузка) и отключите загрузку этой программы. И удалите файл с диска.

  Alexey:
Был такой, совсем недавно умельцы обнаружили. Делается так: в DOS, с дискетки (так как он загружается и в безопасном режиме) сам файл подменяется на екзешник блокнота и после запуска (наблюдается многочисленное открытие блокнотов) чистится автозапуск и т.п. Только будьте точно уверены, что это не оригинальный svchost, иначе будет много проблем. Лучше, конечно, заранее с дистрибутива Windows взять оригинальный и сравнить... Хотя он может немного не совпадать, например, из-за наложения сервис-паков.

  Хайлов Константин Юрьевич:
Попробуй другим антивирусом просканировать. Попробуй найти этот файл (скорее всего, в папке с операционной системой) и удалить его. Посмотри на symantec.com специализированные утилиты для отлова какого-либо одного вируса (описание там есть).

  Dr. Zoldberg:
Был аналогичный случай год назад. NAV и Dr.Web вошли в клинч, удаляя постоянно генерируемые неизвестно кем вирусы. Помог Trojan Remover. В отличие от большинства стандартных антивирусов, он выполняет комплексную проверку (все возможные места автозагрузки, службы и сервисы, подключенные dll и т.п.). Однако сам по себе Trojan Remover не панацея. Были случаи, когда и он ничего не видел. Я предпочитаю такое решение. На машине файервол плюс три-четыре антивируса, один из которых - сторож, остальные запускаю в ручном режиме по мере надобности. Ну и само собой, своевременное обновление баз.

  Flu:
Этот svchost все время капера хотел "выпнуть" из памяти. Ну ниче лучшего, как переустановка винды с форматированием системной области диска я не придумал.

  Alpet:
Я стараюсь выгрузить вредоносную программу из памяти, потом нахожу ее на жестком диске, удаляю (в крайнем случае переименовываю в файл с не .exe разрешением), и создаю папку с именем этого ее исполняемого файла (Ex:SVCHSOT.EXE). После этого вирус не может повторно заразить компьютер, а при попытке заражения, после перезагрузки показывается эта папка. Далее можно чистить реестр.

  Andrey:
Сошел с ума народ, SVCHSOT.EXE это сетевая служба винды, а не вирус, у всех он есть, кто не верит ищите в инете, там всё про него найти можно.

  trubadur:
Ну что ж господа. В начале мы простим Andrey его неопытность, который перепутал svchsot.exe с сsvchost.exe - немудрено - две буквы местами поменяли - на то и был расчет того. Кто писал этот вирус, хотя есть вирус, который прописывается и под именем svchost.exe, но это другая история. А теперь внимание всем, рассказываю, как я победил у себя зверя по кличке backdoor.win32.agent.go под Windows XP sp2. Краткое описание этой тварюги. 1.в system32 появляются следующие файлы: svchsot.exe, mscolsrv.exe, server.dll. Первые два это и есть backdoor.win32.agent.go в чистом виде, последний же – это trojan-dropper, который скорее всего и закидывает эту гадость, хотя точно мне это не известно. Могу лишь сказать, что если всю эту малину удалить, она появится снова в полном комплекте. 2. В автозапуске появляется запись system.wbs, которую тоже бесполезно удалять. 3. В процессах висит svchsot.exe и занимает 99 процентов процессора, скажу даже более того, все это время он активно копирует себя, создавая скрытые экзешники с именами, которые он найдет на диске. Занимает места на диске Троян около 70 kb, (плюс, минус 10). 4. Если его удалить из процессов, то он появится, как только вы попытаетесь запустить любое приложение. А вот само приложение так и не запустится. 5. Само собой в реестре появляются записи со ссылками на svchsot.exe и mscolsrv.exe, но вот только увидеть вы их тоже не сможете, так как редактор реестра вам также не запустить. 6. Возможно вы сделаете попытку войти в систему в безопасном режиме. Надеюсь, что у вас это получится лучше, чем у меня, так как мне это так и не удалось сделать. Ну не грузился он в безопасном и все тут. А теперь первая хорошая новость – можно запустить Мой компьютер с рабочего стола. Более того, если вы нажмете на какое-либо приложение правой кнопкой мышки и запустите его от имени встроенной учетной записи Администратор (надеюсь, что она у вас есть), то у вас это получится. Теперь смекаете, что надо делать. 1.Удаляете из процессов злополучный svchsot.exe 2. Запускаете дистрибутив Касперского, так как скорее всего он у вас не стоит, и устанавливаете его. 3. Потом не плохо было бы его обновить. По счастью у меня на диске были свежие базы, как вам это удастся сделать я не знаю. 4. Просканить комп. Лично у меня Каспер отловил около 7800 тел этого Трояна. 5. Переустановить Windows, так как он один хрен теперь нормально не работает. 6. На новый Windows поставить хороший антивирус и фаервол и впредь не повторять таких ошибок.

  Casp_er:
Добавлю, если по какой либо причине нет пользователя Администратор, можно в управлении компьютером создать нового пользователя с правами Администратора, из под него тоже будет работать.

Смотреть другие вопросы раздела FAQ Windows XP >>

***