SCVHOST.EXE/SVCHOSTS.EXE = virus?

[GustavoS]

Hola a todos!
Tengo un suplemento informático en mis manos que dice que si presionamos Ctrl-Alt-Del y en los procesos encontramos SCVHOST.EXE y SCVHOSTS.EXE el primero es un proceso producto del virus W32/Agobot-S y el segundo por el Sdbot-N.
Presioné las teclas correspondientes en mi PC y me encontré con dichos procesos.
Realmente son producidos por virus?
Si es así, qué debo hacer?
Gracias a todos.

[Gpastor]

Hola, NO debes confundirte en cuanto a los procesos. Los procesos que haz mencionado es muy probable que se traten de infecciones ya que no pertenecen al sisterma.

El archivo correcto en este caso es svchost.exe como podrás darte cuenta los nombres que mencionas son muy similares al nombre correcto del archivo, pero NO iguales, cosa muy común en las infecciones. Si el archivo svchost.exe se encuentra fuera de la carpeta system32 es muy probable que se trate de una infección.

Verifica si tienes el archivo en su ubicación correcta para que salgas de dudas o en todo caso escanea el sistema con un par de Antivirus Online para descartar presencia de infecciones.

Saludos

[GustavoS]

Seguí tu consejo: pasé el Panda OnLine y me tiró esto:

Herramienta potencialmente no deseada:application/funweb No desinfectado HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}

Además de cookies por no haber borrado los temporales de Intenet, pero esto no me preocupa. Con respecto al anterior mensaje, qué debo hacer?

Tengo instalado el AVG Free Edition y no detecta ningún virus, solamente me dice que: ntoskrnl.exe - Change - Path: C:windows\system32\ntoskrnl.exe

Qué significa?

Y por último, también tengo instalado el NOD32, que cuando escaneo dice (aunque hace todo el escaneo normalmente):

C:\pagefile.sys - Error abriendo archivo (El archivo está bloqueado) [4]

Luego en el registro de amenazas aparece:

13/03/2007 00:09:33 AMON
Archivo C:\Documents and Settings\Usuario\Configuración local\Archivos temporales de Internet\Content.IE5\494D6BC9\CursorManiaFWBInitia lSetup1.0.0.15-3[1].exe Win32/AdInstaller aplicación
Puesto en cuarentena - Eliminado - Ha ocurrido un error mientras se estaba desinfectando - no es posible ejecutar la acción para este tipo de objeto/
Suceso ocurrido cuando se produjo un intento de crear un archivo por la aplicación C:\Archivos de programa\Internet Explorer\iexplore.exe. El archivo ha sido movido a la carpeta Cuarentena.
En qué quedamos, lo puso en cuarentena o lo eliminó?

Son muchas cosas. Lo sé. Pero estoy seguro que entre todos me pueden ayudar.
GRACIAS!!!!

[Gpastor]

Seguí tu consejo: pasé el Panda OnLine y me tiró esto:

Herramienta potencialmente no deseada:application/funweb No desinfectado HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}

Descarga el programa Regseeker y utiliza su buscador para buscar y eliminar todo lo referente a esta clave de registro:

{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}

Es preferible que realices este paso en Modo Seguro.

Tengo instalado el AVG Free Edition y no detecta ningún virus, solamente me dice que: ntoskrnl.exe - Change - Path: C:windows\system32\ntoskrnl.exe

Para solucionar este problema haz lo siguiente:

- Abre el AVG Test Center y presiona la tecla F3 y acepta los cambios.

- Si el problema persiste entonces busca y elimina el archivo C:\AVG7QT.DAT y AVG lo repondrá la próxima vez que arranque.

Y por último, también tengo instalado el NOD32, que cuando escaneo dice (aunque hace todo el escaneo normalmente):

C:\pagefile.sys - Error abriendo archivo (El archivo está bloqueado) [4]

Estos son archivos del sistema que por estar protegidos por el mismo, son bloqueados´, eso es lo que muestra el reporte de NOD32.

Luego en el registro de amenazas aparece:

13/03/2007 00:09:33 AMON
Archivo C:\Documents and Settings\Usuario\Configuración local\Archivos temporales de Internet\Content.IE5\494D6BC9\CursorManiaFWBInitia lSetup1.0.0.15-3[1].exe Win32/AdInstaller aplicación

Son solo archivos temporales, seguramente estás escaneando en Modo Normal y estos temporales están siendo usados en el momento del escaneo. Lo mas recomendable es realizar el escaneo en Modo Seguro y para limpiar totalmente estos temporales ve a Inicio-->Ejecutar, escribe %temp% y presiona la tecla Enter, se abrirá una ventana con el contenido de la carpeta Temp, debes eliminar todo el contenido de esta carpeta.

Saludos

[GustavoS]

Sos un genio gpastor!!!!
Todo lo que me dijiste hasta ahora me dio resultado!!!. Solamente me queda por hacer el último paso.
Qué fue lo que hice cuando apreté F3?
Y la última pregunta por ahora: al final por lo que acabás de ver, no tengo nada en la PC?
Gracias por todo!!!!

[Remzis]

Quisiera hacerles una pregunta ¿que significa esto?
la instruccion en 0x745f2780 hace referencia a la memoria en 0x00000000 la memoria no puede ser read
Haga clic en aceptar para finalizar el programa
haga clic en cancelar para depurar el programa
es un error de aplicacion de svchost.exe

[GustavoS]

Desgraciadamente no sé. gpastor es el que sabe.

[Gpastor]

Hola, ante todo disculpa la demora, AVG genera un archivo llamado AVG7QT.dat, este es una especie de "memoria" que utiliza AVG para verificar si hay alguna variación en los archivos del sistema, si hubiese alguna variación, entonces te manda un mensaje, como los que te aparecían. Al presionar F3 en AVG, estarías actualizando este archivo y aceptando los nuevos cambios. Por eso, si esta acción no surte efecto es que debe eliminarse el archivo AVG7QT.dat ya que AVG creará uno nuevo al reinicio del sistema, con los nuevos cambios en el sistema

Remzis, ante todo no deberías escribir tu consulta dentro del tema de otro usuario ya que tu tema quedaría escondido y no seguimos un orden en los temas.

Para solucionar ese problema sigue los pasos de este mensaje.

Saludos

[Remzis]

Perdon por causarles molestias pero de todas formas muchas gracias y adios

[alemartin2012]

Hola,

Os dejo un post bastante interesante y actualizado en el que explican como ver [URL="http://guardofcastle.blogspot.com/2012/01/que-svchostexe-virus-proceso.html"]que hay detrás del svchost.exe[/URL].

Espero que os sea de gran ayuda.

[The_Code]

svchost.exe

Clic derecho > Abrir ubicación de archivo, y si no está dentro de la carpeta Windows, borras toda la carpeta donde se ubique ese archivo, si no puedes, intenta con un programa especial para borrar archivos sin dejar rastros.