jaq_huang WORLD

木馬的行為介紹－Svchost
1. Svchost這支木馬跟系統中預設的程式Svchost.exe名稱一模一樣，目前在網路
上查不到任何的資訊，也就是在一些安全軟體的木馬資料中並沒有它的特徵
值，所以無法偵測到它的存在。也因它的名稱是用系統中原本就有的檔案名
稱，一般使用者很難去查覺。
2. 它會將本身程式（Svchost.exe）放在c:\winnt中，正常的Svchost是存放在
c:\winnt\system32中。
3. 它會主動用80Port連線至下列的IP：
61.220.57.10
61.221.104.67
如何清除Svchost
1. 查看Registry中是否有下列任一機碼，如果有的話請將它刪除：
[HKET_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
“Svchost.exe”=”c:\Winnt\Svchost.exe”
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
“Svchost.exe”=”c:\Winnt\Svchost.exe”
[HEKY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
“Svchost.exe”=”c:\Winnt\Svchost.exe”
2. 將機碼刪除重新開機後，將Services.exe這個檔案刪除。
註：一定要先刪機碼並重新開機後，才可刪除該檔案。