10 procesów Windows wyjaśnionych: bezpieczny, podejrzany czy balast

Oceń plik, nie nazwę

Złośliwe oprogramowanie uwielbia podszywać się pod systemowe nazwy, ale nie może podszyć się pod systemowe lokalizacje: prawdziwy svchost.exe mieszka w C:\Windows\System32, a fałszywy kryjący się w C:\Users\...\AppData\Roaming sam się zdradza. Uczciwa metoda to więc zawsze te same trzy sprawy — gdzie plik leży, kto go podpisał i co robi właśnie teraz. Menedżer zadań ogarnia wszystko bez dodatkowego softu: kliknij proces prawym przyciskiem i wybierz „Otwórz lokalizację pliku”, a potem przejdź do karty Szczegóły i włącz kolumny Wydawca i Wiersz polecenia. Dwie minuty z tymi kolumnami załatwiają dziewięć na dziesięć pytań „czy to wirus”.

Proces, który na moment skoczy po zalogowaniu, a potem się uspokaja, jest normalny; proces trzymający pełny rdzeń przez godziny bez żadnego efektu zasługuje na kontrolę lokalizacji. Opcja „Wyszukaj w Internecie” w tym samym menu jest naprawdę użyteczna: przy prawdziwym procesie systemowym w wynikach wracają dokumentacja Microsoftu i strony producentów, a fory straszące programami przyspieszającymi PC same wydają sobie wyrok.

• Otwórz lokalizację pliku: oryginalne procesy systemowe leżą w C:\Windows\System32
• Kolumna Wydawca: Microsoft dla systemu, rozpoznawalny producent dla całej reszty
• Wiersz polecenia: prawdziwy svchost.exe zawsze startuje z parametrem -k
• Wyszukaj w Internecie: dokumentacja Microsoftu i strony producenta to dobry znak, fora od „boosterów” nie
• Zachowanie: skok przy logowaniu to norma, godziny niewyjaśnionego CPU nie

Uczciwe jądro: co robi tych dziesięć procesów

System to nie program, tylko kontener na wątki jądra, a System Idle Process jest jeszcze mniej — licznik pokazujący, ile procesora się nudzi, dlatego na zdrowej maszynie pokazuje 99%. csrss.exe, winlogon.exe i lsass.exe tworzą kręgosłup sesji: logowanie, zabezpieczenia i lokalny urząd zabezpieczeń, a lsass szczególnie podoba się oszustom właśnie dlatego, że jego ubicie wymusza restart — sprawdź jego ścieżkę, zanim go dotkniesz. services.exe to menedżer kontroli usług, do którego raportuje każda usługa w tle.

Widoczną połową powłoki jest explorer.exe, właściciel paska zadań, menu Start, pulpitu i każdego okna plików — jeden proces, dlatego zła wtyczka do powłoki potrafi zamrozić wszystkie cztery naraz. Kopie svchost.exe hostują usługi Windows w odizolowanych grupach, więc kilkadziesiąt instancji to działający projekt, nie infekcja. RuntimeBroker.exe negocjuje uprawnienia między aplikacjami UWP a systemem, a dllhost.exe uruchamia obiekty COM, takie jak generowanie miniatur, poza Explorerem, żeby zepsuty kodek nie zaciągnął powłoki ze sobą w dół.

Gdzie mieszka prawdziwy balast

Żaden z powyższych dziesięciu procesów nie jest balastem, a ich „optymalizacja” waha się od bezcelowej do katastrofalnej. Prawdziwi pasożyci noszą nazwy producentów: agenty aktualizacji, pomocniki telemetrii, ikony w zasobniku i launchery synchronizacji chmury, które każdy producent parkuje w twoim autostarcie, żeby załadowały się, zanim ich potrzebujesz. Typowa maszyna OEM startuje z pół tuzina takich gości i każdy pobiera opłatę w czasie logowania, pamięci i kawałku twojej uwagi.

Rozwiązaniem jest lista Startowe w Menedżerze zadań, a nie paniczne ubijanie zadań za każdym razem, gdy komputer wydaje się wolny: wyłączony pomocnik zostaje wyłączony, a zakończone zadanie wstaje z martwych przy następnym logowaniu. Zanim coś wyłączysz, zrób uczciwą ocenę roli — pomocnik programu, którego używasz codziennie, może zostać; updater wersji próbnej odinstalowanej w zeszłym roku nie. A jeśli nazwa wygląda na systemową, ale wiersz polecenia prowadzi do folderu tymczasowego, to jest ten jeden przypadek, w którym podejrzliwość jest właściwą reakcją.

Pytania i odpowiedzi

Przeczytaj także