Afinal, o que faz o processo “svchost.exe”?

O svchost.exe é um serviço capaz de hospedar outros serviços. Basicamente ele roda vários  processos (um ‘grupo’), porém só um nome aparecerá listado. Ele pode, por outro lado, carregar  vários grupos, o que resultará em vários svchost.exe na lista de processos, o que é um caso extremamente comum.

Nos serviços (services.msc) se você encontrar algum serviço que se inicia através do arquivo svchost.exe, você pode verificar o ‘Nome do serviço’ (que é diferente do ‘Nome para exibição’). Para verificar o verdadeiro arquivo carregado pelo svchost, você precisa ir até a seguinte chave dentro do Registro do Windows:

  • [HKLM\SYSTEM\CurrentControlSet\Services\{nome_do_serviço}\Parameters]
    “ServiceDll”

Onde {nome_do_serviço}é o nome que você viu no Services.msc.

Print

Na Imagem acima, vemos a verificação do arquivo carregado pelo svchost.exe quando o serviço do Windows “Chama de Procedimento Remoto” for iniciado. Note que este serviço é crucial para o Windows e você não deve tentar removê-lo. Trojans podem utilizar o svchost.exe da mesma forma (e alguns dos piores fazem isso), porém é necessário esta verificação manual na chave para sabermos qual o verdadeiro culpado, já que o svchost.exe é um arquivo de sistema e não pode ser apagado. Se você encontrar um serviço ruim, utilize a opção “Delete NT Service” do HijackThis e coloque o “Nome do Serviço” para apagá-lo.

Outras formas para obter o nome do serviço

No Windows XP é possível descobrir todos os serviços que o svchost.exe roda através do comando tasklist /svc.

Print2

Na imagem acima, podemos ver o tasklist em execução. Ao lado do svchost.exevemos todos os serviços que ele está rodando. Para saber quais os arquivos que se referem a cada um dos serviços é necessário utilizar o método via registro descrito acima.

Note que existem cópias falsas do svchost.exe. A verdadeira que será usada pelo Windows fica na pasta System32.

Mas você pode ter outras cópias legítimas do svchost.exe no sistema. Quando você instala um Service Pack, por exemplo, o Windows faz backup do svchost.exe. Dessa forma, você teria um svchost.exenas seguintes pastas:

  • C:\WINDOWS\system32\svchost.exe
    Cópia do svchost.exe real utilizada pelo sistema
  • C:\WINDOWS\$NtServicePackUninstall$\svchost.exe
    Backup do Service Pack
  • C:\WINDOWS\ServicePackFiles\i386\svchost.exe
    Cópia temporária da instalação do Service Pack
  • C:\WINNT\system32\dllcache\svchost.exe
    Cópia de segurança do svchost caso algo acontença com o verdadeiro

Todos estes svchost.exe são legítimos. Os falsos são geralmente encontrados na pasta Windows ou na pasta System (e não System32). Na dúvida, utilize seu antivírus para scanear o arquivo e veja as propriedades do arquivo ou procure ajuda, mas não apague o arquivo sem ter certeza de que ele é malicioso

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair /  Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair /  Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair /  Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair /  Alterar )

Conectando a %s