Cómo eliminar el virus SVCHOST.exe (Scvhost.exe worm) manualmente

Svchost.exe es el nombre de un proceso host genérico para servicios que se ejecutan desde bibliotecas de enlace dinámico (DLLs). El archivo legítimo —en C:\Windows\System— verifica la parte de servicios del registro de Windows para listar servicios que deben cargar al inicio. Múltiples sesiones suelen ejecutarse, cada una con un grupo separado de servicios. Variados gusanos malware propagan un archivo similar —Scvhost.exe— vía Yahoo! Messenger que bloquea Administrador de tareas, Editor de registro y símbolo del sistema.

Instrucciones de eliminación manual

Paso 1: Desactiva Restaurar Sistema

Si el SO es Windows Me o XP, desactiva Restaurar sistema mientras se aplica la solución. En Me: Inicio > Configuración > Panel de Control > Sistema > pestaña Rendimiento > Sistema de archivos > pestaña Solución de problemas > marca "Desactivar Restaurar sistema" > Aceptar. En XP: Inicia como Admin > Inicio > clic derecho "Mi PC" > Propiedades > pestaña Restaurar sistema > marca "Desactivar Restaurar sistema" en cada unidad > Aplicar > Sí > Aceptar.

Paso 2: Modo seguro

Reinicia en Modo Seguro e inicia como Admin. Pulsa F8 tras primer pitido al arrancar, antes del logo Windows. Selecciona primera opción: Modo Seguro.

Paso 3: Símbolo del sistema

Accede al símbolo del sistema. Inicio > Ejecutar > escribe "cmd" > Aceptar. Desde símbolo: cd C:\Windows\System o cd C:\Windows\System32.

Paso 4: Desprotege archivos

Desde símbolo del sistema escribe:

attrib -h -r -s scvhost.exe [Enter]
attrib -h -r -s blastclnnn.exe [Enter]
attrib -h -r -s autorun.inf [Enter]

Paso 5: Elimina archivos

del scvhost.exe [Enter]
del blastclnnn.exe [Enter]
del autorun.ini [Enter]

Paso 6: Limpia raíz y registro

cd para volver a directorio Windows. Desprotege y elimina Autorun.inf:

attrib -h -r -s autorun.inf [Enter]
del autorun.inf [Enter]
regedit [Enter]

Paso 7: Edita registro usuario

Localiza: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run. Elimina entrada mal escrita de Yahoo! Messenger con valor c:\windows\system32\scvhost.exe.

Paso 8: Edita registro máquina

Localiza: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon. En la clave, entrada "shell" con valor explorer.exe, scvhost.exe. Edita para quitar referencia a Scvhost.exe, dejando solo Explorer.exe.

Paso 9: Elimina subclaves de servicios

Localiza: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\. Elimina subclaves del panel izquierdo: RpcPatch y RpcTftpd. Sal del símbolo del sistema: Exit [Enter].

Paso 10: Reinicia y verifica

Reinicia el PC. Si Scvhost.exe persiste, repite pasos o usa eliminador automático de McAfee o Symantec (ver Referencias).