Svchost hijacked? Prosim pomoc.

[geed]

Ahoj, mam notbooka s windows Vista, nedavno jsem chitil vira a od te doby mam problem s podezrelou aktivitou Penveho disku, Pokazde kdyz zapnu kompa tak po nabehnuti windows kontrolka aktyvity HD sviti nepretrzite asi 2-5 minut. ponekud to zpomaluje vykon. Proto jsem proskenoval pocitac antivirem i antiSpyware. Promazal jsem vira co jsem tam nasel ale nepomohlo to po startu stale ona podezrela HD aktivita, proto jsem naformatoval systemovi disk a preinstaloval Windows Vista, nepomohlo to.

Ta aktivita se zda ze pochazi od Svchost ktery jak se zda prohledava muj HD pokazdem spusteni, jako by neco hledal... mozna soubory viru ktere jsem vymazal? od te doby jsem vyskousel par jinych programu antivir ale zadnou infekci jsem nenasel... nivim co stim.

Je mozne ze soubor Svchost byl hackovan virem a i kdyz vir byl odstranen stale se chova divne?

Je nejaky zpusob jak zjistit co presne Svchost dela v danou chvily? pripadne Zrusit nebo vypnout ? Nejaky control panel pro Svchost? Pripadne programky na to?

Diky za pomoc.

[BUBINO]

Svchost je systemovy subor a jeho vypnutie by viedlo k nestabilite a padu systemu.Ale pokial sa nenachadza v system32, ale inde, ide urcite o vira. Urob log z HJT : http://www.trendsecure.com/portal/en-US ... hijackthis

Stiahni si ho na plochu, nainstaluj a spusti. V hlavnom okne menu vyber moznost "DO A SYSTEM SCAN AND SAVE A LOGFILE" . Naskoci log v poznamkovom bloku a ten skopiruj sem.

[shadow]

Co dělá svchost lze zjistit poměrně jednoduše (nicméně většinou je to hostování opravdu hodně služeb).

Viz http://www.mydigitallife.info/2007/11/1 ... -services/

Možná ještě lepší řešení by bylo přes ProcesMonitor, též od Sysinternals, nebo pomocí "Sledování prostředků" pod Správcem ůloh a kliknout na položku "Disk". Podle toho by jsi mohl zjistit právě, co způsobuje to vytížení disku po startu.

BTW ten svchost.exe je umístěn kde? Správně má být myslím pod System32. Pokud by byl jinde, signalizovalo by to zřejmě vir (se stejným názvem jako řádný proces svchost.exe), nicméně pořád vir..

//edit: áá sorry. přehlédl jsem, že BUBINO to už napsal taky..

[geed]

Tady je muj Log, udelal jsem ho po spusteni prave ve chvili kdy probyhala podezrela HD aktivita..


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 7:11:00 PM, on 2/3/2008
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16575)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\Dwm.exe
C:\Program Files\Java\jre1.6.0\bin\jusched.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Multimedia Card Reader\readericon10.exe
C:\Program Files\Power Manager\PM.exe
C:\Windows\System32\rundll32.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\AVC Finger-sensing Pad Driver\FsCp.exe
C:\Program Files\ESET\nod32kui.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0\bin\jusched.exe"
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [readericon10] C:\Program Files\Multimedia Card Reader\readericon10.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [fscp] "C:\Program Files\AVC Finger-sensing Pad Driver\fscp.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O13 - Gopher Prefix:
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: FspadSvc - Unknown owner - C:\Program Files\AVC Finger-sensing Pad Driver\FspadSvr.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 4463 bytes

[BUBINO]

Toto fix:
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

Len zbytocnosti.

Skus pocitac precistit pomocou ccleanera:
http://www.viry.cz/forum/viewtopic.php?t=7478