Come rimuovere il virus SVCHOST.exe

Svchost.exe è il nome di un processo host generico per servizi eseguiti da librerie a collegamento dinamico (DLL). Il file legittimo — in C:\Windows\System — controlla la sezione servizi del registro di Windows per verificare ed elencare i servizi che devono caricarsi all'avvio. Più sessioni del file girano tipicamente mentre il sistema è operativo, ognuna contenente un gruppo separato di servizi. Vari programmi malware worm diffondono un file con nome simile — Scvhost.exe — via Yahoo! Messenger che blocca Task Manager, Editor del Registro e prompt dei comandi.

Istruzioni

Passo 1

Se il sistema operativo del computer infetto è Windows Me o Windows XP, disattiva Ripristino configurazione di sistema durante questa correzione. Per disattivarlo in Windows Me: Start > Impostazioni > Pannello di controllo. Doppio clic "Sistema". Seleziona "File system" dalla scheda Prestazioni. Clicca scheda "Risoluzione problemi" e spunta "Disattiva Ripristino configurazione". Clicca "OK". Per Windows XP: accedi come Amministratore, clicca "Start". Tasto destro "Risorse del computer", seleziona "Proprietà". Spunta "Disattiva Ripristino configurazione" per ogni unità nella scheda Ripristino configurazione. Clicca "Applica" e "Sì" per confermare. Clicca "OK".

Passo 2

Riavvia in Modalità provvisoria e accedi come Amministratore. Premi "F8" dopo il primo beep all'avvio, prima del logo Windows. Seleziona la prima opzione per avviare Windows in Modalità provvisoria.

Passo 3

Accedi al prompt dei comandi. Start > Esegui. Digita "cmd". Clicca OK > CD (cambia directory) dal prompt, premi spazio. Digita il percorso completo della cartella contenente i file di sistema Windows: "C:\Windows\System" o "C:\Windows\System32".

Passo 4

Dal prompt, digita per rimuovere la protezione dai file: "attrib -h -r -s scvhost.exe" e premi Invio; "attrib -h -r -s blastclnnn.exe" e premi Invio; "attrib -h -r -s autorun.inf" e premi Invio.

Passo 5

Elimina i file digitando: "del scvhost.exe" e Invio; "del blastclnnn.exe" e Invio; "del autorun.ini" e Invio.

Passo 6

Digita "cd" per tornare alla directory Windows principale. Rimuovi protezione ed elimina Autorun.inf: "attrib -h -r -s autorun.inf" e Invio; "del autorun.inf" e Invio. Digita "regedit" e Invio per aprire l'Editor del Registro.

Passo 7

Individua: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run. Elimina la voce Yahoo! Messenger scritta male con valore "c:\windows\system32\scvhost.exe".

Passo 8

Individua: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon. Nella chiave, c'è una voce "shell" con valore "explorer.exe, scvhost.exe". Modifica per rimuovere il riferimento a Scvhost.exe, lasciando Explorer.exe come unico valore.

Passo 9

Individua: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\. Elimina i seguenti sottochiavi dal pannello sinistro: RpcPatch, RpcTftpd. Esci dal prompt e torna al sistema. Digita "Exit" e Invio.

Passo 10

Riavvia il PC. Se Scvhost.exe risiede ancora sul computer, ripeti questi passi o prova un programma di rimozione automatica di McAfee o Symantec.

Avvertenza

La rimozione manuale di Scvhost.exe può essere difficile perché richiede conoscenza del prompt dei comandi e dell'Editor del Registro. Versioni diverse di questo malware rinominano e spostano vari componenti. Se non eseguita correttamente, il sistema potrebbe subire danni permanenti. La rimozione manuale è meglio per utenti esperti. Utenti meno esperti dovrebbero considerare un'applicazione automatica anti-spyware, come quella di Trend Micro.

Questo worm si duplica in posizioni diverse di cartelle condivise. Il programma duplicato usa un'icona di cartella con estensione .exe. NON fare doppio clic su queste cartelle.