Процессы в диспетчере задач.
Для того чтобы обнаружить в операционной системе Windows активный вирус, вы должны быть осведомлены о стандартных процессах, запускаемых системой по умолчанию при каждой загрузке. Это позволит отличить вредоносный процесс от системного процесса или от процесса, запускаемого сторонними программами. Последующее удаление процесса из диспетчера задач позволит без труда удалить его запускаемый файл. Также обращайте особо пристальное внимание на процессы-двойники, прячущиеся за именами системных процессов (обычно они запущены не от имени SYSTEM, а от имени конкретного пользователя) и на процессы, загружающие процессор на 100%. Ниже привожу стандартный набор процессов по умолчанию на большинстве компьютеров под управлением Windows XP.
1. System. Является частью ядра системы. Обратите внимание, что процесс без расширения .exe. Если же у вас запущен процесс System.exe – можно начинать паниковать.
2. Smss.exe. Session Manager Subsystem – субсистема менеджера сеансов. Отвечает за запуск сеансов различных пользователей. Благодаря ей возможен моментальный переход от сеанса одного пользователя к другому или же фоновая работа программ в различных сеансах. Если в данный момент на компьютере запущен один сеанс пользователя, а процессов Smss.exe больше одного – повод призадуматься...
3. Csrss.exe. Client/Server Runtime Server Subsystem – подсистема клиент/сервер. Несмотря на название, процесс в основном отвечает за создание окон. Но даже если окон открыто несколько – процесс Csrss.exe должен быть только один.
4. Winlogon.exe. Windows Logon Process – можно сказать, процесс авторизации в Windows. Отвечает за корректный вход в систему конкретного пользователя. Также должен быть запущен лишь единожды.
5. Services.exe. Services Control Manager. Процесс, отвечающий за работу служб, необходим системе как воздух. Должен быть запущен лишь 1 раз и под пользователем SYSTEM.
6. Lsass.exe. Local Security Authority Service. Процесс отвечает за локальную политику и прочую безопасность системы. Запущен 1 раз, копии не допускаются.
7. Svchost.exe. Service Host Process. Запускает службы, не имеющие собственного запускаемого файла, так называемые, dll-службы. Процессов должно быть запущено не больше 6 штук и все под пользователями SYSTEM, LOCAL SERVICE, NETWORK SERVICE.
8. Ctfmon.exe. Процесс, отвечающий за смену языка клавиатуры (раскладку). Также несет ответственность за значок RU/EN рядом с треем. Запущен 1 раз, копии не допускаются.
9. Explorer.exe. Отвечает за проводник и рабочий стол, т.е. тот графический интерфейс, к которому мы с вами так привыкли. При его отключении, перед вами останется лишь обоина и диспетчер задач. Также должен быть запущен лишь один раз.
10. Spoolsv.exe. Microsoft Printer Spooler Service – служба, ответственная за печать, конкретнее, за постановку документов в очередь печати.
11. Wdfmgr.exe. Windows Driver Foundation Manager. Необходим для поддержки корректной работы Windows Media Player. Процесс не критический, поэтому его отключение к зависанию системы не приведет.
12. Taskmgr.exe. Task Manager – диспетчер задач. Запущен лишь потому, что в этот момент мы в нем и находимся.
13. Бездействие системы – не пугайтесь, если этот процесс занимает 100% ресурсов процессора. Как раз наоборот – этот процесс отображает, сколько ресурсов свободно.
Процесс, не находящийся в этом списке, не должен сразу попадать под подозрение. Во-первых, в зависимости от комплекта вашей ОС, служебных процессов может быть и больше. Во-вторых, у каждого производителя оборудования в комплекте драйверов устанавливаются собственные процессы, необходимые для удобной и корректной работы данного оборудования. Внимательно изучите название процесса и сопоставьте с установленным на вашем компьютере ПО или же с драйверами. К примеру, процесс igfxsrvc.exe отвечает за работу видеокарты Intel Graphics, процесс SynTPEnh.exe – за работу сенсорной панели фирмы Synaptics, процессы ati2evxx.exe и CLI.exe – за работу видеокарт семейства ATI Radeon и т.д. и т.п.
Автоматический запуск всех процессов (не системных) можно отключить в «Настройке системы» («Пуск» -> «Выполнить...» -> msconfig), во вкладке «Автозагрузка».
