Application Error

SVHOST.EXE ist vermutlich ein Virus, scanne im abgesicherten Modus mit deinem VIrenscanner den Rechner durch.

SVHOST.EXE ist ein Lokaler Dienst von WIndows XP, wo beim Start mehrere Programme zusammen gefasst werden!!

Mfg Silveran

Virusinformation

W32/Rbot-PI
   
W32/Rbot-PI ist ein IRC-Backdoortrojaner und ein Netzwerkwurm.

W32/Rbot-PI kann sich auf remote Netzwerkfreigaben und auf Computer verbreiten, die für häufige Schwachstellen anfällig sind. Der Wurm öffnet auch eine Backdoor, die unbefugten Fernzugriff auf den infizierten Computer über das IRC-Netzwerk ermöglicht, während er als Dienstprozess im Hintergrund läuft.

W32/Rbot-PI kopiert sich in den Windows-Systemordner und erstellt die folgenden Registrierungseinträge, so dass er automatisch beim Start aktiviert wird:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
Microsoft Update = "svhost.exe"

HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices\
Microsoft Update = "svhost.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
Microsoft Update = "svhost.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
Microsoft Update = "svhost.exe"

W32/Rbot-PI versucht außerdem, die folgenden Registrierungseinträge zu erstellen:

HKLM\SOFTWARE\Microsoft\Ole\
EnableDCOM = "N"

HKLM\SYSTEM\ControlSet001\Control\Lsa\
restrictanonymous = 1

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
restrictanonymous = 1

HKCU\Software\Microsoft\OLE\
Microsoft Update = "svhost.exe"

HKLM\SYSTEM\ControlSet001\Control\Lsa\
Microsoft Update = "svhost.exe"

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
Microsoft Update = "svhost.exe"

HKLM\SOFTWARE\Microsoft\Ole\
Microsoft Update = "svhost.exe"

W32/Rbot-PI kann Befehle von einem remoten Angreifer erhalten, um Netzwerkfreigaben zu löschen, Tastenfolgen zu speichern, an DDoS-Attacken teilzunehmen, andere Computer nach Schwachstellen zu durchsuchen, Kennwörter zu stehlen, Registrierungsschlüssel für Computerspiele zu stehlen, Antiviren- und Firewall-Prozesse zu beenden, Zugriff auf Antiviren-Websites zu blockieren, lokale Administratorkonten zu erstellen und Video-Aufnahmen von Webcams zu erstellen, die an den Computer angeschlossen sind.




W32/Forbot-AO

W32/Forbot-AO ist ein IRC-Backdoortrojaner und ein Netzwerkwurm.

W32/Forbot-AO kann sich auf andere Computer über Netzwerkfreigaben und verschiedene Schwachstellen verbreiten, darunter die LSASS-Schwachstelle (siehe Microsoft Security Bulletin MS04-011).

Wenn er erstmals gestartet wird, verschiebt sich W32/Forbot-AO als svhost.exe in den Windows-Systemordner und erstellt die folgenden Registrierungseinträge, damit svhost.exe beim Start ausgeführt wird:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\

HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\

CurrentVersion\\\\Run = svhost.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\

HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\

CurrentVersion\\\\Run = svhost.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\

HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\

CurrentVersion\\\\Run = svhost.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\

HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\

CurrentVersion\\\\Run = svhost.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\

HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\

CurrentVersion\\\\Run = svhost.exe

Auf NT-basierten Windows-Versionen erstellt der Wurm einen neuen Dienst namens "MSPatch" mit dem Anzeigename "HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\

Windows\\\\CurrentVersion\\\\Run", wobei er Registrierungseinträge erstellt unter:

HKLM\System\CurrentControlSet\Services\MSPatch

Jedes Mal, wenn W32/Forbot-AO gestartet wird, versucht er, sich mit einem remoten IRC-Server und einem bestimmten Kanal zu verbinden. Der Trojaner läuft dann kontinuierlich im Hintergrund und ermöglicht einem remoten Eindringling den Zugriff auf und die Steuerung über den Computer mittels IRC-Kanälen.


Der Windows-Dienst heißt svchost.exe nicht svhost.exe.