大家帮我看看，这是什么情况？

显示全部楼层 · 发表于 2016-11-22 19:22:05

每天都要弹出这个，我都是点忽略，因为删除不了啊，是系统文件。

显示全部楼层 · 发表于 2016-11-22 19:31:47

ESET修复能力不高（最近两天样本区是打了鸡血，修复（已清除）高得离谱）

但是…… ESET不会删除系统文件的。

svchost.exe 是系统主文件，放在system32目录里的是x86（32位）程序；syswow64目录里的是x64（64位）程序；

你这个情况…………………………确实麻烦啊……要么重装系统（无可奈何的选择，估计也不是你的首选），要么用PE系统（要干净）启动系统，然后进行删除……然后复制一个没感染进去……

只能想到这些…………希望能帮上你

显示全部楼层 · 发表于 2016-11-22 19:53:26

fireherman 发表于 2016-11-22 19:31
ESET修复能力不高（最近两天样本区是打了鸡血，修复（已清除）高得离谱）

但是…… ESET不会 ...

你说反了吧？syswow64里面的应该是32位程序才对吧？就象注册表syswow64分支里的也都是32位

显示全部楼层 · 发表于 2016-11-22 19:56:36

qftest 发表于 2016-11-22 19:53
你说反了吧？syswow64里面的应该是32位程序才对吧？就象注册表syswow64分支里的也都是32位

原来我一直都理解错了啊？

显示全部楼层 · 发表于 2016-11-22 20:00:24

fireherman 发表于 2016-11-22 19:56
原来我一直都理解错了啊？

你一直都是。。。那么理解的？
最简单的验证方法就是打开进程管理器，勾选命令行列，对比进程名和所在路径就知道了

显示全部楼层 · 发表于 2016-11-22 20:06:44

qftest 发表于 2016-11-22 20:00
你一直都是。。。那么理解的？
最简单的验证方法就是打开进程管理器，勾选命令行列，对比进程名和 ...

我知道，但我没有想过 System32 里面放的是64位程序（我还没从WinXP走出来）

显示全部楼层 · 发表于 2016-11-22 20:19:21

qftest 发表于 2016-11-22 20:00
你一直都是。。。那么理解的？
最简单的验证方法就是打开进程管理器，勾选命令行列，对比进程名和 ...

大兄弟，你给个解决方案吧？难道要重装系统啊？

显示全部楼层 · 发表于 2016-11-22 20:26:04

红色水银发表于 2016-11-22 20:19
大兄弟，你给个解决方案吧？难道要重装系统啊？

不用重装系统吧？
首先把这个文件复制后打包传到样本区，同时贴上ESET的相关日志
这个窗是什么时侯才会弹出来？

显示全部楼层 · 发表于 2016-11-22 20:27:43

本帖最后由 nazisoft 于 2016-11-22 20:42 编辑

将目标文件上传至www.virscan.org，在线扫描，如果有报毒情况，应该是病毒无疑

WIN7X64 SP1系统下C:\windows\syswow64\svchost.exe文件大小为20.5KB，CRC32为4B0EAF31

国产的杀软，包括360急救箱、金山急救箱对系统文件被篡改的情况有很强的修复力
也可以手动启动PE系统，找一个相同版本的系统文件去替换被篡改的文件

显示全部楼层 · 发表于 2016-11-22 23:29:54

1、下载个Autoruns（https://download.sysinternals.com/files/Autoruns.zip）
2、双击Autoruns.exe或者Autoruns64.exe
3、扫描之后将扫描文件保存成txt格式文件，传上来看看是不是有木马利用了svchost
4、再有就是有可能像9楼说的

[求助] 大家帮我看看，这是什么情况？

本帖子中包含更多资源