Hvad er SVCHOST

Du har fået besøg af blaster ormen eller en variant

1. Klik start og klik kør
2. Skriv i feltet : shutdown -a

så genstarter den ikke mere

luk først Dcom http://grc.com/dcom/
Kør det, tryk på fanebladet "DCOMbobulate me" tryk på "Disable DCOM" og genstart
læs mere om dcom her : http://www.spywarefri.dk/tipsogtricks.htm#DCom


Windows har nogle huller, som blaster og andre virusser angriber igennem,
de kan lukkes ved at hente samtlige opdateringer på windows update


Hent alle opdateringerne på windowsupdate :
http://v4.windowsupdate.microsoft.com/da/default.asp


Så er der lukket af for yderligere angreb af blasterormen,


Prøv først at slette blasterormen med stinger http://vil.nai.com/vil/stinger/ det sker meget ofte at stinger ikke finder den, så må vi ty til hijackthis.

For at løse problemet skal du hente 2 programmer.

Først spybot : http://www.spywarefri.dk/vaerktoj.htm#spybot
direkte link : http://download.com.com/3000-2144-10122137.html?part=104443&subj=dlpage&tag=button

Installer og kør Spybot, opdater online, scan, alle filer den har fundet, der er røde skal markeres, tryk så på afhjælp valgte problemer, derefter genstarter du

Derefter hijackthis : http://www.spywarefri.dk/vaerktoj.htm#hijackthis
direkte link :         http://www.webattack.com/get/hijackthis.html
den udpakker du og kører Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.


DU MÅ IKKE FIXE NOGET SELV. NÅR VI HAR TJEKKET LOGGEN IGENNEM FORTÆLLER VI DIG HVAD DER SKAL SLETTES...


Manual for installering af hijackthis:
http://www.spywarefri.dk/hijackthis.man.htm

Når SVCHOST har lavet en eller genereret en fejl i windows2000 er det næsten altid blaster..

Så følg vejledningen, så slipper du af med den

http://support.microsoft.com/default.aspx?scid=http://support.microsoft.com:80/support/kb/articles/Q250/3/20.ASP&NoWebContent=1
Hmmm svchost eller scvhost. Jeg synes eller at jeg har fået at vide at det kun er når det hedder scvhost at der er virus i farvandet...

Jeg kører lige nu et virustjek, både Mcafee dat 4307 og stinger, så ser vi, tak for hjælpen indtil nu

andersenph-> ja, når det er xp, er det scvhost.exe man skal kigge efter. Det kan også være svchost.exe , hvis den ligger i roden på windows.
I w2000 er det svchost.exe, der er blaster, når den brokker sig på den måde.

Andersenph->
i XP er det sådan..
c:\windows\system32\scvhost.exe  er blaster
c:\windows\svchost.exe            er blaster
c:\windows\system32\svchost.exe  er ikke blaster

samsung-> Husk at lukke dcom og opdater dit windows, ellers kommer den igen..

andersenph

så vidt jeg ved... er der slet ikke noget der  hedder scvhost... tror du har hørt forkert...

:o)

Ok arlet takker ;0)

--anuseren>> tjoo det er der altså

andersenph

prøv at give mig et link til microsoft, hvor de omtaler scvhost... :o)

har lige selv søgt på microsoft... 0 hits

Jamen minisoft laver da ikke scvhost. det er jo en virusfil forklædt som svchost. Så vidt jeg ved, vil pågældende, der har fremstillet scvhost ikke rigtig lægge navn til det ;0)

arlet >> det du skriver her 09/12-2003 10:48:16, hvor kan man få mere info?

http://www.eksperten.dk/spm/262092

her ligger et par gode links i dette topic.

burgerking ->Ved ikke hvor du kan få mere info, for det er mine erfaringer, efter at have kigget i en del logs. Tror ikke det står nogen steder, sådan er det bare*S*

Det er faktisk beskrevet at Blaster opfører sig på den måde i Win2K, i stedet for som i XP at lukke med "nedtællingsvinduet".

fromsej >> Blaster og mig vi kender godt hinanden :-)

Burgerking ->Har du også budt den på gevalia*G*

arlet >> ja selvfølgeligt, kaffe og kage.
den fik også HJT og div. programmer, det var den ikke så glad for, så gik den s.u igen.

Nu har jeg scannet pc og der er ingen blaster, Pc'en var iøvrigt updated med blaster MS patchen

ok, så hent hijackthis: : http://www.spywarefri.dk/vaerktoj.htm#hijackthis
direkte link : http://www.webattack.com/get/hijackthis.html

den udpakker du og kører Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.

DU MÅ IKKE FIXE NOGET SELV. NÅR VI HAR TJEKKET LOGGEN IGENNEM FORTÆLLER VI DIG HVAD DER SKAL SLETTES...

Manual for installering af hijackthis:
http://www.spywarefri.dk/hijackthis.man.htm

Jeg svarede jo på hvad svchost.exe er for en størrelse, så jeg lægger et lille svar ;)
Så klarer arlet resten. Alstå ikke resten resten, men resten. Fik i den ;0)

ups

C:\Programmer\Network Associates\VirusScan\avsynmgr.exe
C:\WINNT\system32\crypserv.exe
C:\WINNT\System32\hpb2ksrv.exe
C:\WINNT\System32\hpbhksrv.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\snmp.exe
C:\WINNT\system32\stisvc.exe
C:\Programmer\Network Associates\VirusScan\VsStat.exe
C:\Programmer\Network Associates\VirusScan\Vshwin32.exe
C:\Programmer\Fælles filer\Network Associates\McShield\mcshield.exe
C:\Programmer\Network Associates\VirusScan\Avconsol.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\hpnra.exe
C:\Programmer\JavaSoft\JRE\1.3.1\bin\javaw.exe
C:\WINNT\system32\hpstatus.exe
C:\WINNT\System32\ctfmon.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\WINNT\system32\HPBSPSVR.EXE
C:\WINNT\system32\HPBJDSNT.EXE
C:\Programmer\Internet Explorer\iexplore.exe
C:\Programmer\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\jacob\Skrivebord\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dandial.dk/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http://SBSSERV:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [hpppt] 
O4 - HKLM\..\Run: [HP Network Registry Agent] C:\WINNT\System32\hpnra.exe
O4 - HKLM\..\Run: [HP Proxy Server] C:\Programmer\Hewlett-Packard\ProxyService\ProxyService.lnk
O4 - HKLM\..\Run: [HP Status] C:\WINNT\system32\hpstatus.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &CommiX Dial - file://C:\Programmer\NovaBridge\CommiX\Integration\makecall.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O12 - Plugin for .mid: C:\Programmer\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .tif: C:\Programmer\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .wav: C:\Programmer\Internet Explorer\PLUGINS\npqtplugin.dll
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.viewpoint.com/cgi-bin/vet_install_popup.pl?1&04.00.07.02&http://www.samsung.com/Products/Monitor/LCDMonitor/ProductPresentation/ViewPoint/Monitor_LCDMonitor_172W_ViewPoint.htm
O16 - DPF: {6CB5E471-C305-11D3-99A8-000086395495} - http://toolbar.google.com/data/da/big/1.1.62-big/GoogleNav.cab
O16 - DPF: {72C23FEC-3AF9-48FC-9597-241A8EBDFE0A} (InstallShield International Setup Player) - http://ftp.hp.com/pub/automatic/player/isetupML.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37662.9588541667
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Løber den lige igennem

Der var en del snavs:
Du skal nu til at i gang med at fixe. Men først skal du lige have noget instruktion. Allerførst skal du slå systemgendannelse fra. Hvis du ikke ved hvordan du gør det så kig her: http://www.spywarefri.dk/virus.htm#alle derefter skal du åbne hijackthis. Du får herunder nogle filer som du skal fixe, det du skal gøre er at sætte en vinge ud for alle disse filer. IKKE FIXE endnu. Når du har gjort det så lukker du alle andre vinduer ned, det er meget vigtigt at det eneste vindue som er åbent er HijackThis vinduet. Husk også at lukke dette vindue når du har markeret filerne. Nu må du fixe. Klik på Fix chekede. Efter fix skal du genstarte din computer.
Her er de filer, du skal fixe :


R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R3 - URLSearchHook: (no name) - _{A045DC85-FC44-45be-8A50-E4F9C62C9A84} - (no file)
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {0bd2fb56-bec8-4c01-8b93-7fbf0c8b1634} - C:\DOCUME~1\bjaklei\APPLIC~1\yumeatkst.dll
O3 - Toolbar: edrvvapxkxk - {e3015c99-edfd-4a15-9daf-a393d89450d3} - C:\DOCUME~1\bjaklei\APPLIC~1\yumeatkst.dll
O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} (ddm_download.ddm_control) - http://216.65.38.226/crack.CAB
----------------------------------------------------------
Kender du denne, ellers skal den fixes:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http://UVNT19:80


Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.
Først når din log er endelig godkendt, må du aktiver din systemgendannelse igen.

UPS, se bort fra mit indlæg, det var til en anden tråd*S*

Der var en del snavs:
Du skal nu til at i gang med at fixe. Men først skal du lige have noget instruktion. Du skal åbne hijackthis. Du får herunder nogle filer som du skal fixe, det du skal gøre er at sætte en vinge ud for alle disse filer. IKKE FIXE endnu. Når du har gjort det så lukker du alle andre vinduer ned, det er meget vigtigt at det eneste vindue som er åbent er HijackThis vinduet. Husk også at lukke dette vindue når du har markeret filerne. Nu må du fixe. Klik på Fix chekede. Efter fix skal du genstarte din computer.
Her er de filer, du skal fixe :

O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.viewpoint.com/cgi-bin/vet_install_popup.pl?1&04.00.07.02&http://www.samsung.com/Products/Monitor/LCDMonitor/ProductPresentation/ViewPoint/Monitor_LCDMonitor_172W_ViewPoint.htm

----------------------------------------------------
kender du disse, ellers skal de fixes:
O4 - HKLM\..\Run: [hpppt] 
O4 - HKLM\..\Run: [HP Status] C:\WINNT\system32\hpstatus.exe
O8 - Extra context menu item: &CommiX Dial - file://C:\Programmer\NovaBridge\CommiX\Integration\makecall.html



Derefter Genstarter du i fejlsikret tilstand(Fejlsikret tilstand kommer du i ved at trykke på <F8> når maskinen starter op, lige inden den begynder at indlæse Windows.) Find følgende fil i Stifinder og slet den:

------------------------------------------------
kender du denne, ellers skal den slettes
C:\WINNT\system32\hpstatus.exe


Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.

Logfile of HijackThis v1.97.7
Scan saved at 14:06:49, on 09/12/2003
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\Programmer\Network Associates\VirusScan\avsynmgr.exe
C:\WINNT\system32\crypserv.exe
C:\WINNT\System32\hpb2ksrv.exe
C:\WINNT\System32\hpbhksrv.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\snmp.exe
C:\WINNT\system32\stisvc.exe
C:\Programmer\Network Associates\VirusScan\VsStat.exe
C:\Programmer\Network Associates\VirusScan\Vshwin32.exe
C:\Programmer\Fælles filer\Network Associates\McShield\mcshield.exe
C:\Programmer\Network Associates\VirusScan\Avconsol.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\hpnra.exe
C:\Programmer\JavaSoft\JRE\1.3.1\bin\javaw.exe
C:\WINNT\system32\hpstatus.exe
C:\WINNT\System32\ctfmon.exe
C:\Programmer\WinZip\WZQKPICK.EXE
C:\Programmer\Internet Explorer\iexplore.exe
C:\WINNT\system32\HPBSPSVR.EXE
C:\WINNT\system32\HPBJDSNT.EXE
C:\WINNT\system32\mmc.exe
C:\Documents and Settings\jacob\Skrivebord\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dandial.dk/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http://SBSSERV:80
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = <local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [hpppt] 
O4 - HKLM\..\Run: [HP Network Registry Agent] C:\WINNT\System32\hpnra.exe
O4 - HKLM\..\Run: [HP Proxy Server] C:\Programmer\Hewlett-Packard\ProxyService\ProxyService.lnk
O4 - HKLM\..\Run: [HP Status] C:\WINNT\system32\hpstatus.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmer\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &CommiX Dial - file://C:\Programmer\NovaBridge\CommiX\Integration\makecall.html
O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O12 - Plugin for .mid: C:\Programmer\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .tif: C:\Programmer\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .wav: C:\Programmer\Internet Explorer\PLUGINS\npqtplugin.dll
O16 - DPF: {72C23FEC-3AF9-48FC-9597-241A8EBDFE0A} (InstallShield International Setup Player) - http://ftp.hp.com/pub/automatic/player/isetupML.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37662.9588541667
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Hvad bruger du denne til:
O4 - HKLM\..\Run: [hpppt]

Vores HP laserprinter

Ok, kunne bare ikke finde noget på nettet om den.

Din log er ren.

For at sikre din fremtidige færden på nettet vil jeg foreslå at du henter følgende freeware programmer :
Spywareblaster & Spywareguard & IE-SPYAD & Empty Temp Folders

Alle programmerne finder du her http://www.spywarefri.dk/vaerktoj.htm

Hvor der også er en beskrivelse af programmerne, samt en installations vejledning..

Alt sammen skal løbende opdateres, Du kan følge med hvornår programmet sidst er opdateret nederst på www.spywarefri.dk.

Det er meget vigtigt at du også holder dit windows og IE opdateret.

du skal lige sørge for at få lukket Dcom. Her kan du se hvordan du skal gøre det : http://www.spywarefri.dk/tipsogtricks.htm#DCom

Derefter kan du trygt surfe på nettet, uden at få alt det snavs på computeren.

Kan næsten sikker på at den ikke laver den fejl med svchost.exe mere*S*

Jeg kan stadig ikke bruge mine programmer - det drejer sig om samtlige office programmer. Endvidere kan jeg kun kopiere filer men ikke sætte dem ind - (Er gået igang med at forberede at redningsaktion på det jeg kan.)og jeg kan ikke aktivere RPC i tjenester.

Hej Arlet
Vi har valgt at formatere pc og geninstallere alt

Der var ingen ændring i pc'ens opførsel derefter , vi er næsten sikker på at
det er pga servicen RPC ikke starter..
Men du får pointsene for din ihærdighed, Og mange tak for din tid, det er
meget værdsat.
God Jul og Godt nytår til alle jer der har brugt tid på dette.

ok. Inden du går på nettet efter geninstallationen, så luk dcom og hent servicepack´ne som det aller første...