Giudica il file, non il nome
Il malware adora indossare nomi di sistema, ma non può indossare posizioni di sistema: un vero svchost.exe vive in C:\Windows\System32, mentre uno finto nascosto in C:\Users\...\AppData\Roaming si sta annunciando da solo. Quindi il metodo onesto è sempre lo stesso, tre verifiche — dove sta il file, chi l'ha firmato e cosa sta facendo adesso. Gestione attività fa tutto senza software extra: clic destro sul processo e «Apri percorso file», poi scheda Dettagli e attiva le colonne Autore e Riga di comando. Due minuti con quelle colonne chiudono nove domande su dieci del tipo «è un virus?».
Un processo che schizza brevemente al logon e poi si assesta è normale; uno che tiene un core intero per ore senza nulla da mostrare merita la verifica del percorso. L'opzione «Cerca online» nello stesso menu è genuinamente utile: un vero processo di sistema restituisce tra i risultati documentazione Microsoft e pagine dei vendor, e i forum scareware che promuovono PC booster sono da soli il loro verdetto.
- Apri percorso file: i processi di sistema autentici stanno in C:\Windows\System32
- Colonna Autore: Microsoft per il sistema, un vendor che riconosci per tutto il resto
- Riga di comando: un vero svchost.exe parte sempre con il parametro -k
- Cerca online: documentazione Microsoft e pagine dei vendor buon segno, i forum dei booster no
- Comportamento: un picco al logon è normale, ore di CPU inspiegabile no
Il nucleo onesto: cosa fanno quei dieci processi
System non è un programma ma un contenitore di thread del kernel, e System Idle Process è ancora meno — un contatore che mostra quanta CPU sta oziando, ecco perché su una macchina sana segna 99%. csrss.exe, winlogon.exe e lsass.exe formano la spina dorsale della sessione: logon, sicurezza e autorità di sicurezza locale, e lsass in particolare è il preferito degli impostori proprio perché terminarlo forza un riavvio, quindi verifica il suo percorso prima di toccarlo. services.exe è il service control manager a cui ogni servizio in background fa rapporto.
La metà visibile della shell è explorer.exe, che possiede barra delle applicazioni, menu Start, desktop e ogni finestra di file — un solo processo, ed è per questo che un'estensione shell difettosa può congelare tutti e quattro insieme. Le copie di svchost.exe ospitano servizi Windows in gruppi isolati, quindi decine di istanze sono il progetto che funziona, non un'infezione. RuntimeBroker.exe negozia i permessi tra app UWP e sistema, e dllhost.exe esegue oggetti COM come l'estrazione delle anteprime fuori da Explorer, così un codec rotto non può trascinare giù la shell con sé.
Dove vive il bloat vero
Nessuno dei dieci processi sopra è bloat, e «ottimizzarli» va dall'inutile al disastroso. I veri parassiti portano nomi di vendor: agenti di aggiornamento, helper di telemetria, icone nella tray e launcher di sincronizzazione cloud che ogni produttore parcheggia nel tuo avvio perché si carichino prima che tu ne abbia bisogno. Una macchina OEM tipica parte con una mezza dozzina di questi ospiti, e ognuno riscuote il suo pedaggio in tempo di logon, memoria e una fetta della tua attenzione.
La cura è la lista App di avvio in Gestione attività, non uccidere processi nel panico ogni volta che la macchina sembra lenta: un helper disattivato resta disattivato, mentre un task terminato resuscita al prossimo logon. Prima di disattivare qualcosa, fagli un colloquio di lavoro onesto — l'helper di un software che usi ogni giorno può restare, l'updater di un trial disinstallato l'anno scorso no. E se un nome sembra un processo di sistema ma la sua riga di comando punta a una cartella temporanea, quello è l'unico caso in cui il sospetto è la risposta corretta.
Domande e risposte
Perché in Gestione attività ci sono così tanti processi svchost.exe?
Ogni istanza ospita un gruppo di servizi Windows, così un servizio che crasha non trascina giù gli altri — decine di copie su una macchina normale sono il progetto che funziona, non un'infezione.
Come distinguo un vero processo di Windows da malware che usa lo stesso nome?
Controlla percorso e firma: i processi di sistema autentici girano da C:\Windows\System32 e sono firmati Microsoft, mentre un file con lo stesso identico nome in AppData o in una cartella temp merita una scansione completa.
Scopri cosa include la licenza prima dell'acquisto.
La prova singola di 30 minuti include gli strumenti essenziali. Le funzioni PRO restano bloccate finché non attivi una licenza a pagamento.
Da leggere dopo
Scrivici: [email protected]