Svchost.exe é o nome de um processo host genérico para serviços que rodam de bibliotecas de vínculo dinâmico (DLLs). O arquivo legítimo — localizado na pasta C:\Windows\System — verifica a parte de serviços do registro do Windows para verificar e listar os serviços que devem carregar na inicialização do sistema. Múltiplas sessões do arquivo normalmente rodam enquanto o sistema está operacional, cada sessão contendo um grupo separado de serviços. Uma variedade de programas de malware do tipo worm espalham um arquivo com nome semelhante — Scvhost.exe — via Yahoo! Messenger que bloqueia o Gerenciador de Tarefas e Editor de Registro, bem como o uso do prompt de comando.
Se o sistema operacional do computador infectado for Windows Me ou Windows XP, desative a Restauração do Sistema enquanto esta correção é implementada. Para desativar a Restauração do Sistema no Windows Me, clique Iniciar > Configurações > Painel de Controle. Clique duas vezes em "Sistema". Selecione "Sistema de Arquivos" na guia Desempenho. Clique à esquerda na guia "Solução de Problemas" e marque a caixa "Desativar Restauração do Sistema". Clique em "OK". Para desativar a Restauração do Sistema no Windows XP, entre como Administrador e clique em "Iniciar". Clique com o botão direito em "Meu Computador" e selecione "Propriedades" no menu de atalho. Marque a opção "Desativar Restauração do Sistema" para cada unidade na guia Restauração do Sistema. Clique à esquerda em "Aplicar" e "Sim" para confirmar quando solicitado. Clique em "OK".
Reinicie seu computador no Modo de Segurança e entre como Administrador. Pressione "F8" após o primeiro beep durante a inicialização, antes da exibição do logotipo do Microsoft Windows. Selecione a primeira opção, para rodar o Windows em Modo de Segurança no menu de seleção.
Acesse o prompt de comando. Clique Iniciar > Executar. Digite "cmd". Clique OK > CD (mudar diretório) no prompt de comando, pressione a barra de espaço. Digite o nome do caminho completo do diretório da pasta contendo seus arquivos de sistema do Windows. Será "C:\Windows\System" ou "C:\Windows\System32".
No prompt de comando, digite o seguinte para desproteger os arquivos para remoção: "attrib -h -r -s scvhost.exe" e pressione "Enter;" "attrib -h -r -s blastclnnn.exe" e pressione "Enter;" "attrib -h -r -s autorun.inf" e pressione "Enter."
Exclua os arquivos digitando o seguinte no prompt de comando: "del scvhost.exe" e pressione "Enter;" "del blastclnnn.exe" e pressione "Enter;" "del autorun.ini" e pressione "Enter."
Digite "cd" para retornar ao diretório principal do Windows. Desproteja e exclua o arquivo Autorun.inf digitando o seguinte no prompt de comando do diretório Windows: "attrib -h -r -s autorun.inf" e pressione "Enter;" "del autorun.inf" e pressione "Enter;" Digite "regedit" e pressione "Enter" para abrir o Editor de Registro.
Localize a seguinte entrada: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run. Exclua a entrada incorretamente escrita do Yahoo! Messenger com o valor "c:\windows\system32\scvhost.exe".
Localize a seguinte chave: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon. Dentro da chave, há uma entrada "shell" com o valor "explorer.exe, scvhost.exe". Edite a entrada para remover a referência ao Scvhost.exe, deixando Explorer.exe como o valor restante na entrada do registro.
Localize a seguinte chave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ Exclua os seguintes subchaves do painel esquerdo: RpcPatch RpcTftpd Saia do prompt de comando e retorne ao sistema operacional. Digite "Exit", e pressione "Enter."
Reinicie o PC. Se Scvhost.exe ainda residir no computador, repita estes passos ou tente usar um programa de remoção automática da McAfee ou Symantec (veja links em Referências).
A remoção manual do Scvhost.exe pode ser difícil pois o processo de remoção requer conhecimento do prompt de comando e Editor de Registro do Sistema Operacional. Além disso, diferentes versões deste malware renomeiam e realocam vários componentes de arquivo. Se não for feito corretamente, seu sistema computacional pode sofrer danos permanentes. Consequentemente, a remoção manual pode ser melhor para usuários experientes. Usuários menos experientes podem querer considerar usar um aplicativo de remoção de spyware automático, como o oferecido pela Trend Micro.
Este worm se duplica em diferentes locais de pastas compartilhadas. O programa duplicado usa um ícone de pasta que tem extensão de arquivo .exe. NÃO clique duas vezes em nenhuma dessas pastas.
Tecnologia Eletrônica © [www.351231.com]
