O que um serviço pode fazer no Windows?

Se você abrir o Gerenciador de Tarefas ou o Process Explorer em seu sistema, verá muitos serviços em execução. Mas quanto impacto um serviço pode ter no seu sistema, especialmente se ele estiver 'corrompido' por malware? O post de perguntas e respostas do SuperUser de hoje tem as respostas para as perguntas de um curioso leitor.

A sessão de perguntas e respostas de hoje nos é oferecida por cortesia do SuperUser - uma subdivisão do Stack Exchange, um agrupamento de sites de perguntas e respostas conduzido pela comunidade..

A questão

Leitor SuperUser A Forivin quer saber quanto impacto um serviço pode ter em um sistema Windows, especialmente se ele estiver 'corrompido' por malware:

Que tipo de malware / spyware alguém pode colocar em um serviço que não possui seu próprio processo no Windows? Quero dizer serviços que usam svchost.exe por exemplo, como este:

Um serviço poderia espionar minha entrada de teclado? Tirar screenshots? Enviar e / ou receber dados pela internet? Infectar outros processos ou arquivos? Deletar arquivos? Matar processos?

Quanto impacto um serviço pode ter em uma instalação do Windows? Existe algum limite para o que um serviço 'corrompido' de malware poderia fazer??

A resposta

O colaborador do SuperUser Keltari tem a resposta para nós:

O que é um serviço?

Um serviço é um aplicativo, nem mais nem menos. A vantagem é que um serviço pode ser executado sem uma sessão do usuário. Isso permite que itens como bancos de dados, backups, capacidade de login, etc. sejam executados quando necessário e sem que um usuário esteja conectado.

O que é o svchost??

• Segundo a Microsoft: “svchost.exe é um nome de processo de host genérico para serviços executados a partir de bibliotecas de vínculo dinâmico”. Poderíamos ter isso em inglês por favor?
• Algum tempo atrás, a Microsoft começou a mover toda a funcionalidade dos serviços internos do Windows para arquivos .dll em vez de arquivos .exe. De uma perspectiva de programação, isso faz mais sentido para reutilização ... mas o problema é que você não pode iniciar um arquivo .dll diretamente do Windows, ele tem que ser carregado a partir de um executável (exe) em execução. Assim, o processo svchost.exe nasceu.

Então, essencialmente, um serviço que usa svchost é apenas chamar um .dll e pode fazer praticamente qualquer coisa com as credenciais e / ou permissões corretas.

Se bem me lembro, há vírus e outros malwares que se escondem atrás do processo svchost, ou nomeiam o executável svchost.exe para evitar a detecção..

Tem algo a acrescentar à explicação? Som desligado nos comentários. Quer ler mais respostas de outros usuários do Stack Exchange com experiência em tecnologia? Confira o tópico de discussão completo aqui.