אויב איר אָפט אַרבעטן מיט די ווינדאָוז טאַסק מאַנאַגער, איר קען נישט העלפֿן אָבער טאָן אַז דער CSRSS.EXE כייפעץ איז שטענדיק אין דער פּראָצעס רשימה. לאָמיר געפינען וואָס דאָס איז דער יסוד, ווי וויכטיק עס איז פֿאַר די סיסטעם, און צי עס איז געפערלעך פֿאַר די קאָמפּיוטער.
CSRSS.EXE אינפֿאָרמאַציע
CSRSS.EXE איז עקסאַקיוטאַד דורך די סיסטעם טעקע מיט די זעלבע נאָמען. עס איז פאָרשטעלן אין אַלע די אַס פון Windows, סטאַרטינג מיט די ווערסיע פון Windows 2000. איר קענען זען עס דורך פליסנדיק טאַסק מאַנאַגער (קאָמבינאַציע קטרל + שיפט + עסק) קוויטל "פּראָסעססעס". עס איז יזיאַסט צו געפֿינען עס דורך בנין די דאַטן אין דער זייַל "Image Name" אין אַלפאַבעטיקאַל סדר.
פֿאַר יעדער סעסיע, עס איז אַ באַזונדער קסרסס פּראָצעס. דעריבער, אויף פּראָסט פּיסי, צוויי אַזאַ פּראַסעסאַז זענען סיימאַלטייניאַסלי לאָנטשט, און אויף סערווירער פּקס, זייער נומער קענען דערגרייכן דאַזאַנז. דאך, טראָץ דעם פאַקט אַז עס איז געפונען אַז עס קענען זיין צוויי פּראַסעסאַז, און אין עטלעכע קאַסעס אַפֿילו מער, נאָר אַ איין טעקע CSRSS.EXE קאָראַספּאַנדז צו אַלע פון זיי.
אין סדר צו זען אַלע די CSRSS.EXE אַבדזשעקץ אַקטיווייטיד אין די סיסטעם דורך די טאַסק מאַנאַגער, גיט אויף די קעפּל "ווייַז אַלע באַניצער פּראַסעסאַז".
נאָך דעם, אויב איר זענען ארבעטן אין אַ רעגולער און ניט אַ סערווירער בייַשפּיל פון ווינדאָוז, דעמאָלט צוויי זאכן קסרס.עקסע וועט דערשייַנען אין די טאַסק מאַנאַגער רשימה.
פונקטיאָנס
ערשטער פון אַלע, געפינען אויס וואָס דעם עלעמענט איז פארלאנגט דורך די סיסטעם.
דער נאָמען "קסרסס.עקסע" איז אַ אַבריווייישאַן פון "קליענט-סערווירער רונטימע סובסיסטעם", וואָס איבערגעזעצט פון ענגליש מיטל "קליענט-סערווער רונטימע סאַבסטיישאַן". אַז איז, דער פּראָצעס באדינט ווי אַ סאָרט פון לינק צווישן דעם קליענט און סערווער געביטן פון די ווינדאָוז סיסטעם.
דעם פּראָצעס איז נייטיק צו אַרויסווייַזן די גראַפיק קאָמפּאָנענט, וואָס איז וואָס מיר זען אויף דעם עקראַן. עס איז בפֿרט ינוואַלווד אין די שאַטדאַון פון די סיסטעם, ווי געזונט ווי ווען רימוווינג אָדער ינסטאַלירן אַ טעמע. אָן CSRSS.EXE, עס וועט אויך זיין אוממעגלעך צו לאָנטש קאַנסאָולז (קמד, אאז"ו ו). דער פּראָצעס איז נויטיק פֿאַר די אָפּעראַציע פון וואָקזאַל באַדינונגען און פֿאַר ווייַט קשר צו די דעסקטאַפּ. דער טעקע מיר זענען געלערנט אויך כאַנדאַלז אַ פאַרשיידנקייַט פון אַס פֿעדעם אין די ווינ 32 סאַבסטיישאַן.
דערצו, אויב די CSRSS.EXE איז גאַנץ (קיין ענין ווי: נויטפאַל אָדער געצווונגען דורך די באַניצער), דער סיסטעם וועט דורכפאַלן, וואָס וועט רעזולטאַט אין אַ בסאָד. אזוי מיר קענען זאָגן אַז די פאַנגקשאַנינג פון ווינדאָוז אָן דעם אַקטיוו פּראָצעס פון קסרסס.עקסע איז אוממעגלעך. דעריבער, עס זאָל זיין געצווונגען צו האַלטן עס נאָר אויב איר זענט זיכער אַז עס איז געווען ריפּלייסט דורך אַ ווירוס כייפעץ.
טעקע אָרט
איצט מיר געפֿינען זיך ווו CSRSS.EXE איז פיזיקלי לאָוקייטאַד אויף די שווער פאָר. איר קענען באַקומען אינפֿאָרמאַציע וועגן עס ניצן די זעלבע טאַסק מאַנאַגער.
- נאָך די אַרבעט מאָדע איז באַשטימט צו אַרויסווייַזן די פּראַסעסאַז פון אַלע וסערס, רעכט גיט אויף קיין פון די אַבדזשעקס אונטער די נאָמען "CSRSS.EXE". אין די קאָנטעקסט רשימה, אויסקלייַבן "עפענען טעקע סטאָרידזש אָרט".
- אין Explorer דער וועגווייַזער פֿאַר דעם אָרט פון דער געוואלט טעקע וועט זיין געעפנט. איר קענען געפינען אויס דיין אַדרעס דורך כיילייטינג די אַדרעס באַר פון די פֿענצטער. עס דיספּלייז דער דרך צו די אָרט אָרט פון די כייפעץ. די אַדרעס איז ווי גייט:
C: Windows System32
איצט, ווייל די אַדרעס, איר קענען גיין צו די אָרט אָרט וועגווייַזער אָן ניצן די טאַסק מאַנאַגער.
- Open up Explorer, אַרייַן אָדער פּאַפּ אין זייַן אַדרעס באַר אַ פריערדיקן קאַפּיד אַדרעס אנגעוויזן אויבן. דריקט אַרייַן אָדער גיט אויף די פייַל ייקאַן צו די רעכט פון די אַדרעס באַר.
- Explorer וועט עפענען דעם אָרט פון קסרסס.עקסע.
טעקע לעגיטימאַציע
אין דער זעלביקער צייַט, עס זענען אָפט סיטואַטיאָנס ווען פאַרשידן ווירוס פּראָגראַמען (ראָאָטקיץ) זענען דיסגייזד ווי קסרסס.עקסע. אין דעם פאַל, עס איז וויכטיק צו ידענטיפיצירן וואָס טעקע ספּאַסיפיקלי דיספּלייז די ספּעציפיש קסרסס.עקסע אין די טאַסק מאַנאַגער. אַזוי, לאָזן מיר געפֿינען אונטער וואָס באדינגונגען די אנגעוויזן פּראָצעס זאָל צוציען דיין ופמערקזאַמקייַט.
- ערשטער פון אַלע, פֿראגן זאָל ווייַזן ווען אין די טאַסק מאַנאַגער אין די מאָדע פון ווייַזנדיק די פּראַסעסאַז פון אַלע וסערס אין אַ רעגולער, אלא ווי אַ סערווער סיסטעם, איר זען מער ווי צוויי CSRSS אַבדזשעקץ. איינער פון זיי איז רובֿ מסתּמא אַ ווירוס. קאַמפּערינג אַבדזשעקס, באַצאָלן ופמערקזאַמקייַט צו די קאַנסאַמשאַן פון באַראַן. אונטער נאָרמאַל באדינגונגען, אַ שיעור פון 3000 קב איז באַשטימט פֿאַר קסרסס. באַצאָלן ופמערקזאַמקייַט אין די טאַסק מאַנאַגער צו די קאָראַספּאַנדינג גראדן אין דעם זייַל "זכּרון"עקססעאַסינג די אויבן לימאַץ מיטל אַז עפּעס איז פאַלש מיט די טעקע.
דערצו, עס זאָל זיין אנגעוויזן אַז יוזשאַוואַלי דעם פּראָצעס כּמעט טוט נישט מאַסע די הויפט פּראַסעסינג אַפּאַראַט (קפּו) בייַ אַלע. מאל עס איז ערלויבט צו פאַרגרעסערן די קאַנסאַמשאַן פון קפּו רעסורסן אַרויף צו אַ ביסל פּראָצענט. אָבער, ווען די מאַסע איז קאַלקיאַלייטיד אין טענס פון פּראָצענט, עס מיטל אַז די טעקע זיך איז וויראַל, אָדער עס איז עפּעס פאַלש מיט די סיסטעם ווי אַ גאַנץ.
- אין די טאַסק מאַנאַגער אין דעם זייַל "User" ("User Name") דארף זיין אַ ווערט אַנטקעגנשטעלנ דעם כייפעץ וואָס איז געלערנט. "סיסטעם" ("סיסטעם"אויב אן אנדערן ינסקריבוטיאָן דאָרט ווייַזן, אַרייַנגערעכנט די נאָמען פון דעם קראַנט באַניצער פּראָפיל, דעמאָלט מיט אַ גרויס גראַד פון בטחון מיר קענען זאָגן אַז מיר האַנדלען מיט אַ ווירוס.
- דערצו, איר קענען באַשטעטיקן די אָטאַנטיסיטי פון די טעקע דורך טריינג צו פאָרסאַבלי האַלטן זייַן אָפּעראַציע. צו טאָן דאָס, אויסקלייַבן די נאָמען פון די סאַספּישאַס כייפעץ. "CSRSS.EXE" און גיט אויף די קעפּל "פאַרענדיקן דעם פּראָצעס" אין די טאַסק מאַנאַגער.
נאָך דעם, אַ דיאַלאָג קעסטל זאָל עפענען, וואָס זאגט אַז סטאָפּפּינג די ספּעסאַפייד פּראָצעס וועט פירן צו די שאַטדאַון פון די סיסטעם. געוויינטלעך, איר טאָן ניט דאַרפֿן צו האַלטן עס, אַזוי גיט אויף די קנעפּל "באָטל מאַכן". אבער דער אויסזען פון אַזאַ אַ אָנזאָג איז שוין אַ ומדירעקט באַשטעטיקונג אַז די טעקע איז עכט. אויב דער אָנזאָג איז ניט פאַראַנען, עס באשטימט מיטל אַז דער טעקע איז שווינדל.
- אויך, עטלעכע דאַטן אויף די אָטאַנטיסיטי פון די טעקע קענען זיין גלעאַנעד פון זייַן פּראָפּערטיעס. דריקט אויף די נאָמען פון די סאַספּישאַס כייפעץ אין די טאַסק מאַנאַגער מיט די רעכט מויז קנעפּל. אין די קאָנטעקסט רשימה, אויסקלייַבן "פּראָפּערטיעס".
די פֿענצטער פּראָפּערטיעס עפענען. מאַך צו די קוויטל "אַלגעמיינע". באַצאָלן ופמערקזאַמקייַט צו די פּאַראַמעטער "אָרט". די וועג צו דער טעקע אָרט וועגווייַזער זאָל שטימען צו די אַדרעס מיר שוין אויבן געזאגט:
C: Windows System32אויב קיין אנדער אַדרעס איז ליסטעד דאָרט, עס מיטל אַז דער פּראָצעס איז שווינדל.
אין דער זעלביקער קוויטל בייַ די פּאַראַמעטער "טעקע גרייס" זאָל זיין אַ ווערט פון 6 קב. אויב עס איז אַ אַנדערש גרייס, די כייפעץ איז שווינדל.
מאַך צו די קוויטל "דעטאַילס". וועגן פּאַראַמעטער "Copyright" זאָל זיין די ווערט "Microsoft Corporation" ("Microsoft Corporation").
אָבער, ליידער, אַפֿילו אויב אַלע די אויבן באדערפענישן זענען באגעגנט, די קסרסס.עקסע טעקע קענען זייַן וויראַלד. דער פאַקט איז אַז אַ ווירוס קענען ניט בלויז פאַרשטעלונג זיך ווי אַ כייפעץ, אָבער אויך אָנשטעקן אַ פאַקטיש טעקע.
דערצו, די פּראָבלעם פון איבער-קאַנסאַמשאַן פון סיסטעם רעסורסן CSRSS.EXE קענען זיין געפֿירט ניט בלויז דורך אַ ווירוס, אָבער אויך דורך שעדיקן צו די באַניצער פּראָפיל. אין דעם פאַל, איר קענען פּרובירן צו "צוריקציען" די אַס צו אַן פריער אָפּזוך פונט, אָדער שאַפֿן אַ נייַ באַניצער פּראָפיל און אַרבעט שוין אין עס.
טראָדזשאַן באַזייַטיקונג
וואָס צו טאָן אויב איר געפונען אַז CSRSS.EXE איז געפֿירט דורך דער אָריגינעל אַס טעקע, אָבער דורך אַ ווירוס? מיר וועלן באַטראַכטן אַז דיין שטעקן אַנטיווירוס קען נישט ידענטיפיצירן די מאַלישאַס קאָד (אַנדערש איר וואָלט נישט אפילו באַמערקן די פּראָבלעם). דעריבער, מיר וועלן נעמען אנדערע טריט צו עלימינירן דעם פּראָצעס.
מעטאָד 1: אַנטיווירוס סקאַן
ערשטער פון אַלע, יבערקוקן די סיסטעם מיט אַ פאַרלאָזלעך אַנטי-ווירוס סקאַנער, פֿאַר בייַשפּיל דר.וועב קורעיט.
עס איז כדאי צו באמערקן אַז עס איז רעקאַמענדיד צו יבערקוקן די סיסטעם פֿאַר ווירוסעס דורך Windows זיכער מאָדע, ווען ארבעטן אין וואָס נאָר די פּראַסעסאַז אַז צושטעלן די גרונט פאַנגקשאַנינג פון די קאָמפּיוטער וועט אַרבעטן, אַז איז, די ווירוס וועט "שלאָפן" און עס וועט זיין פיל גרינגער צו געפֿינען עס דעם וועג.
לייענען מער: Entering "Safe Mode" via BIOS
מעטאָד 2: מאַנואַל באַזייַטיקונג
אויב דער יבערקוקן האט נישט פּראָדוצירן רעזולטאטן, אָבער איר דאָך זען אַז די קסרס.עקסע טעקע איז נישט אין דעם וועגווייַזער וואָס עס איז געמיינט צו זיין, דעמאָלט אין דעם פאַל איר וועט האָבן צו צולייגן אַ מאַנואַל באַזייַטיקונג פּראָצעדור.
- אין דער טאַסק מאַנאַגער, אויסקלייַבן די נאָמען קאָראַספּאַנדינג צו די שווינדל כייפעץ און גיט די קנעפּל "פאַרענדיקן דעם פּראָצעס".
- נאָך וואָס ניצן קאָנדוקטאָר גיין צו די אָרט פון די כייפעץ. דעם קענען זיין קיין וועגווייַזער אנדערע ווי דער טעקע. "System32". דריקט אויף די כייפעץ מיט די רעכט מויז קנעפּל און סעלעקטירן "ויסמעקן".
אויב איר קען נישט פאַרענדיקן דעם פּראָצעס אין די טאַסק מאַנאַגער אָדער ויסמעקן די טעקע, דאַן אָפּשטעלן די קאָמפּיוטער און קלאָץ אין צו זיכער מאָדע ( F8 אָדער קאָמבינאַציע שיפט + פ 8 ווען בוטינג, דיפּענדינג אויף די אַס ווערסיע). דעמאָלט דורכפירן די פּראָצעדור פֿאַר דיליטינג אַ כייפעץ פון זייַן אָרט וועגווייַזער.
מעטאָד 3: סיסטעם ריסטאָר
און, לעסאָף, אויב ניט דער ערשטער אדער די צווייטע מעטהאָדס האט אַ רעכט רעזולטאַט, און איר קען נישט באַקומען באַפרייַען פון די ווירוס פּראַסעסאַז ווי קסרסס.עקסע, די סיסטעם אָפּזוך שטריך צוגעשטעלט אין די ווינדאָוז אַס קענען העלפן איר.
די עסאַנס פון דעם פֿונקציע ליגט אין די פאַקט אַז איר קלייַבן איינער פון די יגזיסטינג ראָולבאַקק ווייזט וואָס וועט לאָזן די סיסטעם צוריקקומען גאָר צו די אויסגעקליבן צייַט צייַט: אויב דורך דעם אויסגעקליבן מאָמענט עס איז קיין ווירוס אויף די קאָמפּיוטער, דעם געצייַג וועט לאָזן עס צו עלימינירן.
די פאַנגקשאַנז אויך האָבן אַ פאַרקערט זייַט פון די מעדאַל: אויב נאָך שאפן איינער אָדער אנדערן פונט, מגילה זענען אינסטאַלירן, סעטטינגס זענען אריין אין זיי, און אַזוי אויף - דאָס וועט ווירקן עס אין די זעלבע וועג. סיסטעם ומקערן טוט ניט ווירקן בלויז באַניצער טעקעס, וואָס אַרייַננעמען דאָקומענטן, פאָטאָס, ווידיאס און מוזיק.
לייענען מער: ווי צו צוריקקריגן Windows
ווי איר קענען זען, אין רובֿ פאלן, CSRSS.EXE איז איינער פון די מערסט וויכטיק פֿאַר די פאַנגקשאַנינג פון די אַפּערייטינג סיסטעם פּראָצעס. אבער מאל עס קענען זיין טריגערד דורך אַ ווירוס. אין דעם פאַל, עס איז נייטיק צו פירן די פּראָצעדור פֿאַר זייַן באַזייַטיקונג אין לויט מיט די רעקאַמאַנדיישאַנז צוגעשטעלט אין דעם אַרטיקל.
