急啊，电脑插U盘之后中毒了！！木马名字：SVCHOST.EXE ！！！！

Question

刚开始的电脑CDEF盘内的几乎所有文件都被隐藏了，我现在把他们找出来了。但是电脑还是很卡，任务管理器里面有4个SVCHOST.EXE，有三个可以删掉，有一个删掉的时候就会提示自动关机！！！怎么彻底清除这个病毒啊！！下面是在cmd中输入tasklist /svc后提示的内容。

望高手指点！！不要复制互联网上的东西，你能找到的 ，我大多数都看过了，试过了哈!!

Answer 1

svchost.exe是一个属于微软Windows操作系统的系统程序，微软官方对它的解释是：Svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。这个程序对系统的正常运行是非常重要,而且是不能被结束的。

同时因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户。但windows系统存在多个svchost进程是很正常的。

可使用如“windows优化大师”进程管理器，查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。因为正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。一般木马病毒存在于“c:\windows\system32\wins”目录中，因此使用windows系统自带的任务管理器不能够查看进程的路径的。

现在首先查找SYS***（***表示随机的字母和数字组合），有几个删几个，然后打开注册表展开HKEY_CURRENT_USER\Software\Microsoft\Windows\Current\Version\Policies\Explorer\Run，然后删除有关SYS***SVCHOST类似的项，最后重启后再且且有没有变化。（一般是解决完毕后没有变化就对了）

再一个，如果对SVCHOST过多感到不方便的话，你可以把下面这段代码复制到一个空的记事本中，然后另存为“.bat”格式的批处理文件，再运行这个批处理。就可以关闭无用的系统服务了，你会发现少了很多SVCHOST.EXE。
@echo off
REM 关闭“为 Internet 连接共享和 Windows 防火墙提供第三方协议插件的支持”
sc config alg start= disabled
REM 关闭“Windows自动更新功能”
sc config wuauserv start= disabled
REM 关闭“剪贴簿查看器”
sc config clipsrv start= disabled
REM 关闭“Messenger”
sc config Messenger start= disabled
REM 关闭“通过NetMeeting远程访问此计算机”
sc config mnmsrvc start= disabled
REM 关闭“打印后台处理程序”
sc config Spooler start= disabled
REM 关闭“远程修改注册表”
sc config RemoteRegistry start= disabled
REM 关闭“监视系统安全设置和配置”
sc config wscsvc start= disabled
REM 关闭“系统还原”
sc config srservice start= disabled
REM 关闭“计划任务”
sc config Schedule start= disabled
REM 关闭“TCP/IP NetBIOS Helper”
sc config lmhosts start= disabled
REM 关闭“Telnet服务”
sc config tlntsvr start= disabled
REM 关闭“防火墙服务”
sc config sharedaccess start= disabled
REM 关闭“Computer Browser”
sc config Browser start= disabled
REM 关闭“错误报警”
sc config Alerter start= disabled
REM 关闭“错误报告”
sc config ERSvc start= disabled
REM 关闭“本地和远程计算机上文件的索引内容和属性”
sc config cisvc start= disabled
REM 关闭“管理卷影复制服务拍摄的软件卷影复制”
sc config SwPrv start= disabled
REM 关闭“支持网络上计算机 pass-through 帐户登录身份验证事件”
sc config NetLogon start= disabled
REM 关闭“为使用传输协议而不是命名管道的远程过程调用(RPC)程序提供安全机制”
sc config NtLmSsp start= disabled
REM 关闭“收集本地或远程计算机基于预先配置的日程参数的性能数据，然后将此数据写入日志或触发警报”
sc config SysmonLog start= disabled
REM 关闭“通过联机计算机重新获取任何音乐播放序号”
sc config WmdmPmSN start= disabled
REM 关闭“管理连接到计算机的不间断电源(UPS)”
sc config UPS start= disabled

（码字很辛苦。希望他人不要复制我的辛苦码出来的文字）

Answer 2

这是文件夹类型的U盘病毒，推荐下载金山u盘病毒专杀

第一步：下载“永久免费”的金山毒霸2011【百度搜索 金山毒霸】 选择官方下载

第二步 到金山毒霸的安装目录（一般是C:\Program Files\Kingsoft\Kingsoft Antivirus\）

第三步 运行金山网盾主程序kavusbkill.exe

1 双击打开主程序，根据你的情况选择勾选【全盘扫描】，接着点击【开始扫描】

2 扫描完成以后，点击【启动高级选项】

（1）创建u盘快捷方式，会在你的桌面创建一个安全打开U盘的快捷方式，防止下次u盘病毒继续入侵系统

（2）禁止u盘写入功能，自己的电脑上禁止写文件到u盘。

Answer 3

svchost.exe这个文件是系统本身也需要的系统文件，只是说有的病毒会感染这个文件而已，你怎么确定是svchost.exe文件就是木马呢，svchost系统进程如果关闭了是会自动关机的（这个是正常的）。
如果你确定你是重了u盘病毒，建议你去网上找u盘病毒专杀工具和u盘病毒免疫工具。建议你安装360的安全卫士里面有木马防火墙（里面的u盘防火墙是专门针对u盘病毒的）

Answer 4

您好！
电脑中毒可以安装杀毒软件对u盘进行升级杀毒操作；
如果存在劫持类病毒导致杀毒软件不能正常打开或安装，可下载一些去掉劫持的工具或软件，如“瑞星安全助手”等进行处理后在升级杀毒；
如果依然不能解决问题，建议联系瑞星工程师寻求帮助，电话：4006608866。

Answer 5

可用方法：开机时一直按F8直到有这些字的屏幕出现
windows advanced option menu
please select an option:
safe mode
safe mode with networking
safe mode with command prompt

enable boot logging
enable vga mode
last know good configuration(your most recent settings that worked)
directory services restore mode(windows domain controllers only)
debugging mode
disable automatic restart on system failure

start windows normally
reboot

use the up and down arrow keys to move the highlight to your choice
然后选择safe mode，过后试试将那个病毒删掉。