Si a menudo trabaja con Windows Task Manager, no pudieron prestar atención que el objeto CSRSS.EXE siempre está presente en la lista de procesos. Averigüemos qué es este artículo, lo importante que es para el sistema y no tiene el peligro para la computadora.
Información sobre CSRSS.EXE
CSRSS.exe es ejecutado por un archivo del sistema con el nombre del mismo nombre. Está presente en todas las alineaciones de OS WinDOVS, comenzando con la versión de Windows 2000. Puede verlo ejecutando el Administrador de tareas (Combinación Ctrl + Shift + ESC) en la pestaña Procesos. Es más fácil encontrarlo, entretener los datos en la columna "Nombre de la imagen" en orden alfabético.
Para cada sesión hay un proceso de CSRSS separado. Por lo tanto, en PC convencionales, se lanzan simultáneamente dos procesos de este tipo, y puede haber decenas en la PC del servidor. Sin embargo, a pesar del hecho de que se encontró que los procesos podrían ser dos, y en algunos casos aún más, solo corresponde a solo el único archivo CSRSS.exe.
Para ver todos los objetos CSRSS.exe activados en el sistema a través del Administrador de tareas, haga clic en "Mostrar todos los procesos de usuario".
Después de eso, si trabaja en la instancia de Windows habitual, no del servidor, entonces aparecen dos elementos CSRSS.exe en la lista de administrador de tareas.
Funciones
En primer lugar, descubrimos por qué este artículo es requerido por el sistema.El nombre "CSRSS.EXE" es una abreviatura del "Subsistema de tiempo de ejecución del cliente-servidor", que se traduce en traducción de inglés "Subsistema de tiempo de ejecución del cliente-servidor". Es decir, el proceso sirve como un tipo de un cliente de enlace de enlace y regiones de servidor del sistema Windows.
Este proceso es necesario para mostrar el componente gráfico, es decir, lo que vemos en la pantalla. Se involucra principalmente cuando el sistema está apagado, así como al eliminar o instalar el tema. Sin CSRS.exe también será imposible de lanzar consolas (Cmd et al.). El proceso es necesario para la operación de los servicios terminales y para conectarse remotamente al escritorio. El archivo que estudiamos también procesa una variedad de flujos de sistema operativo en el subsistema Win32.
Además, si se completa CSRSS.exe (no importa cómo: Emergencia o usuario forzantemente), entonces el sistema está esperando el colapso, lo que conducirá a la aparición de BSOD. Por lo tanto, se puede decir que la operación de Windows sin un proceso activo CSRSS.exe es imposible. Por lo tanto, para detenerlo se ve obligado únicamente si está seguro de que ha sido reemplazado por un objeto viral.
Ubicación del archivo
Ahora averigüe dónde se coloca el CSRSS.exe físicamente en el disco duro. Puede obtener información sobre esto con el mismo administrador de tareas.
- Después de que el Administrador de tareas establece el modo de visualización de todos los procesos de usuario, haga el botón derecho del mouse en cualquiera de los objetos con el nombre "CSRSS.EXE". En la lista de contexto, seleccione "Abrir almacenamiento de archivos".
- El conductor abrirá el directorio de ubicación del archivo deseado. Su dirección se puede encontrar seleccionando la barra de direcciones de la ventana. Muestra la ruta a la carpeta de ubicación del objeto. La dirección cree:
C: \ Windows \ System32
Ahora, conocer la dirección, puede ir al directorio de la ubicación del objeto sin el uso del despachador de tareas.
- Abra el Explorer, ingrese o inserte de antemano la dirección mencionada anteriormente en su barra de direcciones. Haga clic en Intro o haga clic en el icono como una flecha a la derecha de la cadena de dirección.
- El conductor abrirá el directorio de ubicación CSRSS.EXE.
Identificación de archivos
Al mismo tiempo, la situación no es infrecuente cuando varias aplicaciones virales (rootkits) están enmascaradas bajo CSRSS.exe. En este caso, es importante identificar qué archivo muestra un CSRSSSEs.exe específico en el Administrador de tareas. Entonces, descubrimos en qué condiciones el proceso designado debería atraer su atención.
- En primer lugar, las preguntas deben aparecer si en el Administrador de tareas en el modo de visualización de los procesos de todos los usuarios en el sistema habitual, no del servidor, verá más de dos objetos CSRSS. Uno de ellos es más probable que sea un virus. Comparando objetos, preste atención al consumo de eficiencia. En condiciones normales para las CSRSS, se instala un límite de 3000 kb. Preste atención al administrador de tareas al indicador correspondiente en la columna "Memoria". Superar el límite anterior significa que algo está mal con el archivo.
Además, se debe tener en cuenta que generalmente este proceso no envía por el procesador central (CPU). A veces se le permite aumentar el consumo de recursos de CPU a un par de por ciento. Pero, cuando la carga se calcula con decenas del porcentaje, esto sugiere que el archivo en sí mismo es viral o el sistema en su totalidad, algo no está en orden.
- En el Administrador de tareas en la columna Usuario ("Nombre de usuario"), en frente del objeto que se está estudiando, debe ser el valor "Sistema" ("Sistema"). Si se muestra otra inscripción allí, incluido el nombre del perfil de usuario actual, luego, con una gran cantidad de confianza, podemos decir que estamos tratando con un virus.
- Además, puede verificar la autenticidad del archivo al tratar de forzarlo para dejar de trabajarlo. Para hacer esto, un objeto sospechoso, seleccione el nombre "CSRSS.EXE" y haga clic en el "Proceso completo" en el Administrador de tareas.
Después de eso, el cuadro de diálogo debe abrirse, lo que establece que detener el proceso especificado resultará en la finalización del sistema. Naturalmente, no es necesario detenerlo, así que haga clic en el botón "Cancelar". Pero la apariencia de dicho mensaje ya es una confirmación indirecta del hecho de que el archivo es genuino. Si el mensaje estará ausente, esto significa con precisión el hecho de que el archivo es falso.
- Además, algunos datos de autenticación de archivos se pueden aprender de sus propiedades. Haga clic en el nombre de un objeto sospechoso en el administrador de tareas, haga clic con el botón derecho. En la lista de contexto, seleccione "Propiedades".
Se abre la ventana de propiedades. Mover a la pestaña General. Preste atención al parámetro "Ubicación". El camino del directorio de ubicación del archivo debe cumplir con la dirección que ya hemos hablado anteriormente:
C: \ Windows \ System32
Si se especifica alguna otra dirección, esto significa que el proceso es falso.
En la misma pestaña cerca del parámetro "Tamaño del archivo", el valor de 6 KB debe soportar. Si se indica otro tamaño, entonces el objeto es falso.
Mover a la pestaña "Detalles". Cerca del parámetro "Copyright" debe ser el valor "Microsoft" Corporation ("Microsoft Corporation").
Pero, lamentablemente, incluso con todos los requisitos anteriores, el archivo CSRSS.EXE puede ser viral. El hecho es que el virus no solo puede enmascararse bajo el objeto, sino que también infectan un archivo real.
Además, el problema del consumo innecesario de recursos del sistema CSRSS.EXE puede causarse no solo por el virus, sino también dañar el perfil de usuario. En este caso, puede intentar "retroceder" un sistema operativo a un punto de recuperación anterior o formar un nuevo perfil de usuario y trabajar ya en él.
Eliminación de la amenaza.
¿Qué sucede si descubre que CSRSS.exe no se llama un archivo OS original y el virus? Continuaremos del hecho de que su antivirus regular no pudo identificar el código malicioso (de lo contrario, ni siquiera notará el problema). Por lo tanto, para eliminar el proceso, tomaremos otros pasos.
Método 1: Escaneo antivirus
En primer lugar, escanee el sistema con un escáner antivirus confiable, como el Dr.Web CUREEIT.
Vale la pena señalar que se recomienda el escaneo del sistema para virus para realizar a través del modo seguro de Windows, cuando se opera en la que solo los procesos que proporcionan el funcionamiento básico de la computadora funcionarán, es decir, el virus "dormirá" , y encontrarlo de esta manera será mucho más fácil.
Leer más: Ingresamos "Modo seguro" a través de BIOS
Método 2: eliminación manual
Si el escaneo no proporciona resultados, pero usted ve claramente que el archivo CSRSS.EXE no está en los directorios en los que se supone que debe ser, en este caso, debe aplicar el procedimiento de eliminación manual.
- En el Administrador de tareas, seleccione el nombre correspondiente al objeto FAKE y haga clic en el botón "Proceso completo".
- Después de eso, utilizando el conductor, vaya al directorio de ubicación del objeto. Puede ser cualquier directorio que no sea la carpeta "System32". Haga clic en el objeto derecho del ratón y seleccione "Eliminar".
Si no puede detener el proceso en el Administrador de tareas o eliminar un archivo, apague la computadora y vaya al sistema en modo seguro (tecla F8 o una combinación de turno + F8 al cargar, dependiendo de la versión del sistema operativo). Luego, haga el procedimiento para eliminar un objeto del directorio de su ubicación.
Método 3: Restauración del sistema
Y, finalmente, si ni los primeros ni los segundos métodos causaron un resultado apropiado, y no podría deshacerse del proceso viral disfrazado con CSRSS.exe, puede ayudar a la función de restauración del sistema prevista en Windows.
La esencia de esta característica es que elija uno de los puntos de reversión existentes, lo que le permitirá devolver el sistema al período de tiempo seleccionado: si el virus ha faltado en la computadora, esta herramienta lo eliminará.
Esta característica también tiene un reverso de la medalla: si después de crear un punto en particular, se instalaron programas, se ingresó configuraciones en ellos, y las similares se tocarán de la misma manera. La recuperación del sistema no afecta solo los archivos de usuario en qué documentos, fotos, videos y música.
Leer más: Cómo restaurar el sistema operativo Windows
Como puede ver, en la mayoría de los casos, CSRSS.EXE es uno de los procesos más importantes para la operación del sistema operativo. Pero a veces puede ser iniciado por un virus. En este caso, es necesario llevar a cabo el procedimiento para su eliminación de acuerdo con las recomendaciones proporcionadas en este artículo.