10 Windows süreci: hangisi güvenli, hangisi şüpheli, hangisi balast

İsmi değil, dosyayı yargılayın

Zararlı yazılım sistem adları giymeye bayılır ama sistem konumlarını giyemez: gerçek svchost.exe C:\Windows\System32’de yaşar; C:\Users\...\AppData\Roaming’de saklanan sahtesi kendini ilan ediyor demektir. Dolayısıyla dürüst yöntem hep aynı üç kontroldür — dosya nerede duruyor, kim imzalamış ve şu an ne yapıyor. Görev Yöneticisi bunların hepsini ekstra yazılımsız halleder: sürece sağ tıklayıp “Dosya konumunu aç” deyin, sonra Ayrıntılar sekmesine geçip Yayıncı ve Komut satırı sütunlarını etkinleştirin. O sütunlarla geçen iki dakika, on “bu virüs mü” sorusundan dokuzunu kapatır.

Oturum açmada kısa bir süre fırlayıp sonra sakinleşen süreç normaldir; saatlerce bir çekirdeği elinde tutup gösterecek hiçbir şeyi olmayan süreç ise konum kontrolünü hak eder. Aynı menüdeki “Çevrimiçi ara” seçeneği gerçekten işe yarar: gerçek bir sistem süreci sonuçların arasında Microsoft belgelerini ve üretici sayfalarını getirir; PC hızlandırıcı pazarlayan korku forumlarıysa kendi kendilerine hükmü verir.

• Dosya konumunu aç: gerçek sistem süreçleri C:\Windows\System32’de durur
• Yayıncı sütunu: sistem için Microsoft, gerisi için tanıdığınız bir üretici
• Komut satırı: gerçek svchost.exe daima -k parametresiyle başlar
• Çevrimiçi ara: Microsoft belgeleri ve üretici sayfaları iyi işaret, booster forumları değil
• Davranış: oturum açılışında sıçrama normal, saatlerce açıklanamayan CPU değil

Dürüst çekirdek: o on süreç ne yapıyor

System bir program değil, çekirdek iş parçacıkları için bir kaptır ve System Idle Process daha da azdır — CPU’nun ne kadarının boş beklediğini gösteren bir sayaç; sağlıklı makinede %99 göstermesinin sebebi budur. csrss.exe, winlogon.exe ve lsass.exe oturumun omurgasını oluşturur: oturum açma, güvenlik ve yerel güvenlik yetkilisi — lsass özellikle sahtekârların gözdesidir çünkü onu öldürmek yeniden başlatmayı zorunlu kılar; ona dokunmadan önce yolunu doğrulayın. services.exe, arka plandaki her hizmetin rapor verdiği hizmet denetim yöneticisidir.

Kabuğun görünür yarısı explorer.exe’dir: görev çubuğu, Başlat menüsü, masaüstü ve her dosya penceresi onundur — tek süreç; kötü bir kabuk uzantısının dördünü birden dondurabilmesinin sebebi budur. svchost.exe kopyaları Windows hizmetlerini yalıtılmış gruplarda barındırır; dolayısıyla onlarca örneğin olması tasarımın işlemesi, enfeksiyon değil. RuntimeBroker.exe UWP uygulamalarıyla sistem arasındaki izinleri müzakere eder; dllhost.exe ise küçük resim çıkarma gibi COM nesnelerini Explorer’ın dışında çalıştırır ki bozuk bir kodek kabuğu da yanına alıp aşağı çekemesin.

Gerçek balast nerede yaşar

Yukarıdaki on süreçten hiçbiri balast değildir ve onları “optimize etmek” yararsızdan felakete uzanan bir yelpazededir. Gerçek asalaklar üretici adları taşır: güncelleme ajanları, telemetri yardımcıları, tepsi simgeleri ve her üreticinin sizin onlara ihtiyaç duymadan önce yüklensin diye başlangıcınıza park ettiği bulut eşitleme launcher’ları. Tipik bir OEM makine bu konukların yarım düzinesiyle başlar ve her biri ücretini oturum açma süresinden, bellekten ve dikkatinizden bir dilimden alır.

Çare, makine yavaş hissettirdiğinde panikle görev öldürmek değil, Görev Yöneticisi’ndeki Başlangıç listesidir: devre dışı bırakılan yardımcı devre dışı kalır; sonlandırılan görevse bir sonraki oturumda dirilir. Bir şeyi devre dışı bırakmadan önce dürüst bir performans görüşmesi yapın — her gün kullandığınız yazılımın yardımcısı kalabilir, geçen yıl kaldırılan deneme sürümünün güncelleyicisi kalamaz. Ve bir ad sistem süreci gibi görünürken komut satırı geçici bir klasöre uzanıyorsa, işte şüphenin doğru tepki olduğu tek durum odur.

Sorular ve yanıtlar

Bunları da okuyun