Was kann ein Dienst unter Windows tun?

Wenn Sie den Task-Manager oder den Prozess-Explorer in Ihrem System öffnen, werden viele Dienste angezeigt. Wie stark kann sich ein Dienst auf Ihr System auswirken, insbesondere wenn er durch Malware "beschädigt" wurde? Der heutige Q & A-Beitrag von SuperUser enthält Antworten auf die Fragen eines neugierigen Lesers.

Die heutige Question & Answer-Sitzung wird dank SuperUser zur Verfügung gestellt - einer Unterteilung von Stack Exchange, einer Community-basierten Gruppierung von Q & A-Websites.

Die Frage

SuperUser-Leser Forivin möchte wissen, welche Auswirkungen ein Dienst auf ein Windows-System haben kann, insbesondere wenn er durch Malware "beschädigt" wurde:

Welche Art von Malware / Spyware könnte jemand in einen Dienst integrieren, der keinen eigenen Prozess unter Windows hat? Ich meine Dienste, die zum Beispiel svchost.exe verwenden:

Könnte ein Service meine Tastatureingaben spionieren? Screenshots machen? Daten über das Internet senden und / oder empfangen? Andere Prozesse oder Dateien infizieren? Dateien löschen? Tötungsprozess?

Welchen Einfluss könnte ein Dienst auf eine Windows-Installation haben? Gibt es irgendwelche Grenzen dafür, was ein beschädigter Malware-Dienst tun kann??

Die Antwort

SuperUser-Mitwirkender Keltari hat die Antwort für uns:

Was ist ein Dienst??

Ein Dienst ist eine Anwendung, nicht mehr und nicht weniger. Der Vorteil ist, dass ein Dienst ohne Benutzersitzung ausgeführt werden kann. Dadurch können Datenbanken, Sicherungen, Anmeldemöglichkeiten usw. ausgeführt werden, wenn dies erforderlich ist und kein Benutzer angemeldet ist.

Was ist Svchost??

• Laut Microsoft: "svchost.exe ist ein generischer Hostprozessname für Dienste, die von Dynamic-Link-Bibliotheken ausgeführt werden". Könnten wir das bitte auf Englisch haben??
• Vor einiger Zeit begann Microsoft, die gesamte Funktionalität von internen Windows-Diensten in DLL-Dateien anstelle von EXE-Dateien zu verschieben. Aus Programmiersicht ist dies für die Wiederverwendbarkeit sinnvoller… aber das Problem ist, dass Sie eine .dll-Datei nicht direkt von Windows aus starten können. Sie muss aus einer laufenden ausführbaren Datei (exe) geladen werden. Damit war der Prozess svchost.exe geboren.

Ein Dienst, der svchost verwendet, ruft also einfach eine .dll auf und kann ziemlich viel etwas mit den richtigen Berechtigungen und / oder Berechtigungen.

Wenn ich mich recht erinnere, gibt es Viren und andere Malware, die sich hinter dem svchost-Prozess verstecken oder die ausführbare Datei svchost.exe nennen, um eine Erkennung zu vermeiden.

Haben Sie der Erklärung etwas hinzuzufügen? Sound off in den Kommentaren. Möchten Sie mehr Antworten von anderen technisch versierten Stack Exchange-Benutzern lesen? Hier geht es zum vollständigen Diskussionsthread.