Taakbeheer - svchost.exe - virus?

[Anoniem: 271809]

Via Taakbeheer kan je draaiende processen vinden.
Hierin is onder meer svchost.exe te vinden. Ik weet dat dit een algemeen Windows-proces is.

Vraag: Is het mogelijk dat een programma (virus) zonder toestemming een bestand in \windows\system32 (waar svchost.exe zich normaal gesproken bevindt) kan plaatsen met de naam svchost.exe en dit onder de draaiende processen krijgt, waardoor hinder ondervonden kan worden?

Ik heb al gezocht op websites over draaiende processen en specifiek over svchost.exe, maar vind dan alleen algemene informatie.

[alt-92]

Ja, dat kan (dll injection).

Maar zonder een concrete aanwijzing van jouw kant denk ik dat je wellicht meer in B&V kan bereiken.
Ik verplaats je topic dan ook daarnaartoe.

[Anoniem: 271809]

Wellicht dat het in B&V beter past.

Zijn er aanwijzingen wanneer er sprake is van dll injection (of een andere methode) bij svchost.exe als Windows-proces?

(ik blijf svchost.exe als voorbeeld gebruiken, omdat het mogelijk is dat er meerdere instanties hiervan tegelijkertijd actief kunnen zijn en daarom verdacht zou kunnen lijken)

[Haan]

Het gebeurt volgens mij vaker dat je opeens bijv. iets als scvhost.exe krijgt, dan dat de echte svchost wordt aangepast.

[the_stickie]

Ik heb toch ook al wat onheil tegengekomen vermomd als svchost.exe. Maar een goeie dosis antivirus in safemode heeft wonderen gedaan in dat geval
Ik herinneer me wel de naam van het beestje niet meer

[SuBBaSS]

Was het niet toevallig zo'n vundo-trojan?

Ik kan me herinneren er ook eens eentje bij de kop gehad heb.
In ieder geval kun je als je windows defender hebt, via software explorers in het configuratiescherm de processen bekijken. Daar staan ook details bij de processen en als ik me niet vergis kon ik hem er zo uitpikken (hij was nogal nasty).

[Anoniem: 271809]

SuBBaSS schreef op dinsdag 16 september 2008 @ 23:39:
als je windows defender hebt, via software explorers in het configuratiescherm de processen bekijken. Daar staan ook details bij de processen

Aan welke details kon je zien dat het geen toegestane svchost.exe was?
Of: hoe heb je ontdekt dat jouw svchost.exe niet was zoals Microsoft het bedoeld heeft?

[alx]

Via de virusscanner.
Of je zou een diff moeten runnen met een versie die zeker goed is, bv uitgepakt van de (geslipstreamde) installatie files. Voor de zekerheid booten in een niet-geinfecteerde Windows of ander OS.

[ Voor 8% gewijzigd door alx op 17-09-2008 00:41 ]

[Keesk]

Heet het bestand in geval van een virus niet scvhost ipv svchost ?

[Hann1BaL]

download Process Explorer en zie wat er draait onder die svchost.exe. Vaak worden er een dlls aangeroepen, of wordt er een exe bestand geopend. Met Process Explorer (sysinternals.com) kun je zien waar svchost.exe "voor gebruikt wordt" en heb je al meer inzicht in het feit of er virussen of andere malware tussen zit.

[Anoniem: 205176]

Hallo ik heb een vraagje.
heb tasklist /svc in mijn cmd uitgevoerd aangezien mn PC al ruim een uur 50% processor gebruikt voor svchost.exe
De computer maakt nu overdreven veel gebruik van mn HDD
Is dit normaal? of hebben we hier hoogstwaarschijnlijk te maken met een kwaadaardig process

hieronder de lijst die tasklist /svc me toonde. Waarbij ik alleen svchost.exe heb laten staan

Imagenaam Proces-i Services
========================= ======== ============================================
svchost.exe 720 DcomLaunch, PlugPlay, Power
svchost.exe 792 RpcEptMapper, RpcSs
svchost.exe 956 Audiosrv, Dhcp, eventlog, lmhosts, wscsvc
svchost.exe 1016 AudioEndpointBuilder, Netman, PcaSvc,
SysMain, TrkWks, UxSms, WdiSystemHost,
WPDBusEnum, wudfsvc
svchost.exe 1056 Appinfo, BITS, Browser, gpsvc, iphlpsvc,
LanmanServer, MMCSS, ProfSvc, Schedule,
SENS, ShellHWDetection, Themes, Winmgmt,
wuauserv
svchost.exe 1220 EventSystem, netprofm, nsi, WdiServiceHost
svchost.exe 1384 CryptSvc, Dnscache, LanmanWorkstation,
NlaSvc
spoolsv.exe 1484 Spooler
svchost.exe 1512 BFE, DPS, MpsSvc
svchost.exe 1708 StiSvc
svchost.exe 1340 SSDPSRV, upnphost
svchost.exe 3160 RapiMgr, WcesComm


Hoop dat er iemand mij hier mee kan helpen
Met vriendelijke groeten,
mistervrb

[PtrO]

Yep SVCHOST is een leuk kameeltje voor allerlei trojans.
Ik denk dat je kamelen behoorlijk verzand zijn .

Normaal draaien alleen de volgende (sub)services onder de verschillende taken van svchost:

• Alerter, WebClient, LmHosts, RemoteRegistry, upnphost, SSDPSRV
• DnsCache
• 6to4, AppMgmt, AudioSrv, Browser, CryptSvc, DMServer, DHCP,
• ERSvc, EventSystem, FastUserSwitchingCompatibility, HidServ, Ias,
• Iprip, Irmon, LanmanServer, LanmanWorkstation, Messenger, Netman,
• Nla, Ntmssvc, NWCWorkstation, Nwsapagent, Rasauto, Rasman, Remoteaccess,
• Schedule, Seclogon, SENS, Sharedaccess, SRService, Tapisrv, Themes, TrkWks,
• W32Time, WZCSVC, Wmi, WmdmPmSp, winmgmt, TermService, wuauserv,
• BITS, ShellHWDetection, helpsvc, xmlprov, wscsvc, WmdmPmSN
• RpcSs
• StiSvc
• TermService
• HTTPFilter
• DcomLaunch, TermService

Ik zie behoorlijk wat afwijkingen. Niet goed !!!

Laat 's weten wat jij hebt staan in: registry key:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost

Veel trojans veranderen één letter of voegen een schijnbaar logische naam toe zodat je niet snel ziet wat er afwijkend is. Tenzij je al weet wat er wel hoort in niet in hoort.
Bovengenoemde subtaken verwijzen naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

Zie ook http://www.bleepingcomputer.com/tutorials/tutorial129.html

Meer hulp nodig, laat maar FF weten.

[Starke]

Voor zo ver ik kan zien zijn de afwijkingen die je in deze lijst hebt vrij normaal voor bepaalde software die services installeren die zich in SVCHOST nestelen.

@boven: SVCHOST ziet er alleen zo uit als je bijvoorbeeld niet IIS installeerd en dat soort dingen. Alleen al als je bijvoorbeeld Windows Indexing, IIS of dergelijke extra Windows onderdelen installeert komt SVCHOST al wat voller te staan met processen die niet in jouw lijst staan.

Het enigste wat ik apart vind in de lijst is:
svchost.exe 3160 RapiMgr, WcesComm
Heb je rapid manager echt nodig zo niet verwijder het dan.
Is Microsoft ActiveSync don't mind me

Als er een virus spyware/malware in SVCHOST zit moet dit worden gezien door menig virusscanner en/of bijvoorbeeld Spybot Search & Destory en/of Malwarebytes' Anti-Malware heb je hiermee gescanned.

Mijn gok is dat je PC vastloopt op de Windows Update (zoeken oid).

Dit is op te lossen op de volgende manier (update cash leeg maken):

Start Windhoos in veilige modus:

Zorg dat je verborgen bestanden en mappen kan zien (inclusief verborgen systeembestanden).
Ga naar %WinDir%\SoftwareDistribution\
Verwijder alle bestanden en mappen die je hier ziet staan.
Start de PC opnieuw op.

Let op bij dit doen worden wel alle verborgen updates weer weergegeven in Windows Update en moet je weer opnieuw verbergen.

[ Voor 14% gewijzigd door Starke op 14-04-2010 13:41 ]

[Anoniem: 357024]

mensen,

Ik heb een probleem met mijn windows 7 pc op het werk.
SVCHOST.exe draait 11 keer en trekt 95 tot 100% van mijn cpu weg.
Hierdoor is mijn pc erg langzaam geworden.

2 van de elf SVCHOST.exe doen het hem. de andere staan op 0% cpu gebruik!
Windows 7 is net enkele weken geinstalleerd en er wordt niet op gedownload end.

Ook meerdere virusscanners vinden niets. ik zal vanavond eens scannen in veiligmodus.

Heeft iemand enig idee wat er niet goed kan zijn?
Ik kan eventueel enkele screens laten zien. als dat makkelijker is?

Iemand een oplossing? ik wordt er gek van.

Mvg.