Svchost.exe (generic host process for win32 services)

Дуже часто у користувачів виникає питання - що це за додаток "svchost.exe", Що спостерігається ними в списку процесів, і чому воно завантажено в декількох примірниках?

SVCHOST.EXE - це головний системний процес для тих служб, які запускаються з динамічно завантажуваних бібліотек (DLL-файлів).

І дійсно кілька примірників процесу svchost.exe можуть бути запущені одночасно (але з різними PID *). Так як кожен з таких екземплярів є певною переважно системну службу або ж групу служб. Ці групи визначені в наступному розділі реєстру:

HKLM SOFTWARE Microsoft WindowsNT CurrentVersion SvcHost

Кожен параметр цього розділу є окремою Svchost-групу і відображається при перегляді активних процесів, як окремий екземпляр svchost.exe.
Також, щоб переглянути список служб, що виконуються в будь-якому процесі svchost.exe, можна зробити наступне:

Start gt; Run (Пуск gt; виконати)
вписуємо: CMD
Натискаємо ОК або клавішу ENTER.
У який з`явився додатку вводимо команду: tasklist / SVC
І натискаємо на клавішу ENTER.

Список служб Windows XP, що запускаються за допомогою svchost.exe:

(Тобто ці служби не є вірусами!)

Список "лівих" служб, що посилаються на svchost.exe:

(Тобто ці служби були створені вірусами!)

Обов`язково потрібно мати на увазі, що системний файл svchost.exe повинен знаходитися в папці:

C: WINDOWS system32 (Стосується тільки Windows XP / NT / 2000)

Якщо він знаходиться в папці WINDOWS і / або файлів з такою назвою у вашій системі декілька, то, швидше за все, у вас живе вірус. Я сказала саме "швидше за все", так як кілька копій файлу svchost.exe - це все-таки ще не гарантія зараження.

Наприклад, вас ні в якому разі не повинні лякати копії файлу svchost.exe в таких папках, як:

C: WINDOWS ServicePackFiles i386
C: WINDOWS Prefetch

а також деяких інших. Або, наприклад, файл з назвою svchost.exe створюється при установці антивіруса BullGuard:

C: Program Files BullGuard Software svchost.exe

Відео: Generic Host Process For Win32 Services [Fixed] 100% Working

який також до вірусів ніякого відношення не має. Тому ще раз зауважу, що в першу чергу, звертати увагу потрібно саме на папку WINDOWS, тому вона найбільш часто використовується в цілях маскування під справжнє файл svchost.exe.

Найбільш поширені місця розташування вірусів, що маскуються під svchost.exe:

(Тобто ці файли на 99% були створені вірусами)

C: WINDOWS svchost.exe
C: WINDOWS system Svchost.exe (стосується тільки Windows XP / NT / 2000)
C: WINDOWS config svchost.exe
C: WINDOWS inet20000 svchost.exe
C: WINDOWS inetsponsor svchost.exe

Крім цього дуже багато вірусів намагаються себе замаскувати, використовуючи імена і назви, які дуже схожі на назву "svchost"(В цьому випадку місце розташування файлів вже може бути абсолютно будь-який, в тому числі досить часто використовується і папка WINDOWS system32)

Найбільш поширені назви файлів, що маскуються під svchost.exe:

(Тобто ці файли на 99% були створені вірусами)

svзhost.exe (замість англійської "c" використовується російська "з")
svcchost.exe (2 "c")
svhost.exe (пропущено "c")
svch0st.exe (замість "o" використовується нуль)
svchos1.exe (замість "t" використовується одиниця)
svchosl.exe (замість "t" використовується "l")
svchosts.exe (до кінця додано "s")
svchoste.exe (до кінця додано "e")
svchostt.exe (2 "t" на кінці)
svchost32.exe (до кінця додано "32")
svchosts32.exe (до кінця додано "s32")
svchosthlp.exe (до кінця додано "hlp")
svdhost32.exe (замість "c" використовується "d" + в кінець додано "32")
svshost.exe (замість "c" використовується "s")
svehost.exe (замість "c" використовується "e")
svrhost.exe (замість "c" використовується "r")
svchest.exe (замість "o" використовується "e")
svschost.exe (після "v" додано зайве "s")
svcshost.exe (після "c" додано зайве "s")
svxhost.exe (замість "c" використовується "x")
syshost.exe (замість "vc" використовується "ys")
svchoes.exe (замість "st" використовується "es")
svhostes.exe (пропущено "c" + в кінець додано "es")
svho0st98.exe
ssvvcchhoosst.exe

Також обов`язково повинно насторожити, якщо svchost.exe (або що-небудь схоже) будь-яким чином намагається записати себе в звичайну автозагрузку (тобто крім запуску в якості системної служби, використовує Windows StartUp або ini-файли). Реальні приклади подібних вірусів з логів HijackThis:

F2 - REG: system.ini: UserInit = C: WINDOWS System32 userinit.exe, C: WINDOWS config svchost.exe
F2 - REG: system.ini: Shell = Explorer.exe C: WINDOWS config svchost.exe
F2 - REG: system.ini: Shell = Explorer.exe scvhost.exe
F3 - REG: win.ini: run = C: WINDOWS scvhost.exe
O4 - HKLM .. Run: [Win32 Update] svchosts.exe
O4 - HKLM .. RunOnce: [Win32 Update] svchosts.exe
O4 - HKLM .. RunServices: [Win32 Update] svchosts.exe
O4 - HKCU .. Run: [Win32 Update] svchosts.exe
O4 - HKCU .. RunOnce: [Win32 Update] svchosts.exe
O4 - HKLM .. Run: [GNP Generic Host Process] C: WINDOWS system svchost.exe
O4 - HKLM .. Run: [WinService32] C: Program Files System32 svchost.exe
O4 - HKLM .. Run: [svc] C: WINDOWS svchost.exe
O4 - HKLM .. Run: [Microsoft ® Windows Configuration Backup Service] C: WINDOWS config svchost.exe O4 - HKLM .. Run: [Microsoft ® Windows Configuration Manager] C: WINDOWS system svchost.exe
O4 - Startup: svchost.exe
O4 - Global Startup: svchost.exe

Відео: Resolvendo o erro Generic Host Process for Win32 services