s24evmon.exe_lpk.dll_unsecapp.exe(2)

TPHDEXLG.exe 3788 TPHDEXLGSVC

TpKmpSvc.exe 3804 TpKmpSVC

tvtsched.exe 3836 TVT Scheduler

wdfmgr.exe 3920 UMWdf

vmware-authd.exe 3956 VMAuthdService

vmount2.exe 3576 vmount2

vmnat.exe 4112 VMware NAT Service

vmnetdhcp.exe 4360 VMnetDHCP

AcSvc.exe 4388 AcSvc

ibserver.exe 4684 InterBaseServer

explorer.exe 5416 暂缺

alg.exe 5704 ALG

SynTPEnh.exe 3776 暂缺

SvcGuiHlpr.exe 4912 暂缺

TPHKMGR.exe 5088 暂缺

UNavTray.exe 5120 暂缺

TpShocks.exe 5136 暂缺

TPONSCR.exe 4532 暂缺

avp.exe 4648 暂缺

TpScrex.exe 4412 暂缺

CRavgas.exe 5196 暂缺

ctfmon.exe 5284 暂缺

VStart.exe 6020 暂缺

QQ.exe 6124 暂缺

TXPlatform.exe 5584 暂缺

dllhost.exe 4164 COMSysApp

davcdata.exe 1232 暂缺

Maxthon.exe 2212 暂缺

EmEditor.exe 2004 暂缺

cmd.exe 6360 暂缺

conime.exe 2928 暂缺

wmiprvse.exe 5552 暂缺

tasklist.exe 1900 暂缺

******************************************************************************

假如看到哪个Svchost.exe进程后面提示的服务信息是“暂缺”，而不是个具体的服务名，那么他就是病毒进程了，记下这个病毒进程对应的PID数值(进程标识符)，即可在任务管理器的进程列表中找到他，结束进程后，在C盘搜索Svchost.exe文档，也能够用第三方进程工具直接查看该进程的路径，正常的Svchost.exe文档是位于%systemroot%System32目录中的，而假冒的Svchost.exe病毒或木马文档则会在其他目录，例如“w32.welchina.worm”病毒假冒的Svchost.exe就隐藏在WindowsSystem32Wins目录中，将其删除，并完全清除病毒的其他数据即可。

二、SVCHOST.EXE病毒高级骗术

一些高级病毒则采用类似系统服务启动的方式，通过真正的Svchost.exe进程加载病毒程式，而Svchost.exe是通过注册表数据来决定要装载的服务列表的，所以病毒通常会在注册表中采用以下方法进行加载： 添加一个新的服务组，在组里添加病毒服务名在现有的服务组里直接添加病毒服务名 修改现有服务组里的现有服务属性，修改其“ServiceDll”键值指向病毒程式判断方法:病毒程式要通过真正的Svchost.exe进程加载，就必须要修改相关的注册表数据，能够打开[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsNT CurrentVersionSvchost]，观察有没有增加新的服务组，同时要留意服务组中的服务列表，观察有没有可疑的服务名称。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-22443-2.html