Как найти шпионское ПО dll, запущенное с помощью svchost.exe

Question

В эти выходные я обнаружил, что мой компьютер, возможно, заражен каким-либо вирусом или шпионским ПО. В моем диспетчере задач есть одна "svchost.exe -k netsvcs", и она работает под моим именем пользователя, а не под учетными записями SYSTEM. В учетной записи SYSTEM уже есть другой процесс с такими же параметрами командной строки.

Эта учетная запись svchost.exe постоянно потребляет 50% ЦП (1 из 2 ядер моего ЦП). В Process Explorer я вижу, что он запускается с помощью explorer.exe, а не services.exe. Тем не менее, я не смог найти его реальное место службы DLL в реестре или на диске. Кто-нибудь знает, как найти эту вредоносную программу?

Answer 1

Просто используйте ProcessExplorer . Вот статья.

Answer 2

ProcessMonitor, также сделанный SysInternals, будет лучшим выбором, просто создайте фильтр для svchost.

Answer 3

Сделайте загрузочный AV-диск, затем загрузитесь с диска и отсканируйте жесткий диск, удалите все найденные инфекции, мне сам диск Касперского нравится.

http://www.techmixer.com/free-bootable-antivirus-rescue-cds-download-list/

Затем: установите бесплатный MBAM, запустите программу и перейдите на вкладку «Обновление» и обновите ее, затем перейдите на вкладку «Сканер» и выполните быстрое сканирование, выберите и удалите все, что найдете.

http://download.cnet.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.html

Когда MBAM закончится, установите бесплатную версию SAS, запустите быстрое сканирование, удалите то, что оно автоматически выбирает. http://www.superantispyware.com/download.html

MBAM и SAS не являются AV-программами, такими как Norton, они являются сканерами по требованию, которые сканируют только на наличие вредоносных программ при запуске программы и не мешают работе AV-программ, таких как Norton, их можно запускать раз в неделю, чтобы убедиться, что вы не заражены. Обязательно обновляйте их перед каждым еженедельным сканированием.

,