Однако создатели вирусов не могли упустить столь удобную возможность, и вот появился вирус, имеющий то же название, в связи с чем неопытному пользователю сложно идентифицировать его в Диспетчере задач и вообще обнаружить его присутствие в системе. Тревожным симптомом присутствия этого вируса в системе может стать лишь сообщение об ошибке, связанное с svchost.exe и сообщающее пользователю о том, что «память не может быть read». В этом случае следует немедленно предпринять шаги, позволяющие удалить svchost:
1. Откройте редактор реестра (введите команду regedit в окне «Выполнить» или командной строке), найдите ключ [HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices] "PowerManager"="%WinDir%svchost.exe" и удалите его.
2. Откройте модуль управления службами Windows (Пуск — Панель управления — Администрирование — Службы), найдите службу PowerManager и остановите ее (щелкните по названию службы правой кнопкой мыши и выберите «Остановить» в контекстном меню, или установите курсор на название службы и нажмите ссылку «Остановить» в левой части окна).
3. Откройте Диспетчер задач и завершите процесс троянской программы.
4. Удалите файлы:
- %System%svchostc.exe
- %System%svchosts.exe
- %WinDir%svchost.exe
- %WINDIR%svchost.com
- %Windir%SYSHOST.DLL
- %WinDir%msrt32.dll
- %WinDir%sysini.ini
- %WinDir%msin32.dll
- %WinDir%nostar.ini
- %Temp%c1.txt
- %Temp%c2.txt
- %Temp%c3.txt
- %WINDIR%svchost.com
- %Windir%SYSHOST.DLL
- %WinDir%msrt32.dll
- Будьте внимательны: «настоящий» svchost находится в папке %WINDIR%system32. Его удалять не нужно.
5. Чтобы окончательно удалить svchost, необходимо убрать автоматический запуск троянской программы из реестра. Запустите редактор реестра, найдите ключ [HKLMSoftwareMicrosoftWindowsCurrentVersionRun] "svchost" = "%WinDir%svchost.exe" и удалите его.
6. Найдите ключ [HKCRexefileshellopencommand]. Измените его значение с %WINDIR%svchost.com "%1" %* на "%1" %*
7. Найдите ключ [HKLMSoftwareMicrosoftWindows NTCurrentVersionWinLogon] и измените его значение с "Userinit"="%System%userinit.exe,,%Windir%svchost.exe%" на "Userinit"="%System%userinit.exe,"
8. Найдите ключ [HKLMSoftwareMicrosoftWindowsCurrentVersionRun] и удалите параметры "Systems" = "%WinDir%svchost.exe" и "Online Service"="%WinDir%svchost.exe"
