Привет друзья, в этой заметке рассмотрим процесс lsass.exe, который один из наиболее популярных среди тех, под кого любят маскироваться вирусы. Так как не сразу поймешь — вирус это или нет из-за названия, а оно такое, ну немного запутанное как по мне
Так вот, процесс lsass.exe сам по себе очень важный, так как принимает участие в авторизации пользователя в сети при входе в систему, он запускается еще до оболочки Windows (за которую отвечает explorer.exe), другими словами в безопасности он играет важную роль. Также процесс отвечает за авторизацию приложений, это нужно для получения прав.
Процесс lsass.exe всегда запущен от имени Система, его завершать ни в коем случае нельзя, иначе система сама выключится через минуту. Что будет, если завершить процесс lsass.exe? В общем вот какая у вас будет ошибка, и ее никак не убрать:
При этом можно только закрыть ошибку, но потом, я попробовал запустить диспетчер и увидел еще одну ошибку:
Ну что, вроде бы более-менее с процессом lsass.exe разобрались, теперь перейдем к тому, как понять вирус это или нет. Открываем диспетчер задач, переходим на вкладу Подробности и сразу нажимаем на колонку Имя, чтобы отсортировать процессы, так будет легче заметить два lsass.exe, если они конечно будут (должен быть только один):
Теперь посмотрим где этот процесс живет, для этого нажимаем правой кнопкой по процессу и выберем расположение:
Откроется папка C:\Windows\System32, этот файл может быть только в этой системной папке, если его несколько и один из них хотя бы не в этой папке расположен, то скорее всего у вас вирус. Вот эта папка, которая должна открыться (посмотрите на характеристики, это файл lsass.exe в Windows 10, билд правда 1511):
Ну что, вроде бы все показал что нужно было. Ничего не забыл. То что его нельзя завершать, это я надеюсь вы уже поняли, теперь мне осталось только написать, что делать если lsass.exe оказался вирусом ну или вам так кажется.
Значит смотрите, если вам кажется, что у вас вместо оригинального файла — вирус, например lsass.exe запущен от вашего имени, а не от Система, то нужно бегом проверять комп на вирусы! Как это сделать? Очень просто, вот вам две утилиты, которые максимально прочесывают все файлы в компе на наличие вируса, это и . Эти утилиты направлены именно на всевозможные вирусы, трояны, черви, если у вас есть время и возможность, то проверяйте комп в режиме полной проверки.
На этом все, осталось только пожелать вам удачи!
21.04.2016Ситуаций с появлением повышенной нагрузки на системные ресурсы компьютера можно встретить достаточно много. Одной из служб, которая была замечена в таких ситуациях чаще всего, является LSASS.exe. Что это за процесс, знают далеко не все. Некоторые пытаются его сразу же завершить, другие предполагают, что это вирус, и сканируют систему. Но что же это на самом деле? Давайте разбираться.
LSASS.exe: что это за процесс?
Да, действительно, появление в системе одноименного вируса не исключается. Но сначала поговорим об оригинальном компоненте LSASS.exe. Что это за процесс?
Считается, что этот системный инструмент является неким интеллектуальным средством, которое постоянно отслеживает все действия пользователя Windows и самостоятельно принимает решение о включении или деактивации каких-то защитных средств. Естественно, функционирование этой службы подразумевает нагрузку на ресурсы, но она в стандартном варианте должна быть кратковременной (задействование этого модуля происходит в течение максимум десяти минут), а пиковая нагрузка не должна превышать 40-70%. Никак не сто.
Если же использование системных ресурсов выше указанных значений, а в списке процессов присутствует несколько одинаковых, можно быть точно уверенным в том, что это именно вирус, причем вирус довольно опасный, относящийся к классу шпионов и руткитов. Однако избавиться от него можно достаточно просто (на этом внимание будет заострено отдельно).
Почему в Windows 7 LSASS.exe грузит процессор?
Но даже оригинальный системный компонент способен выдавать чрезмерные нагрузки. Почему так происходит? Да только потому, что указанные выше значения применяются, так сказать, для идеальных случаев простоя системы.
Если же в Windows запущено множество пользовательских программ, да еще и работают фоновые компоненты из автозагрузки, стартующие вместе с операционной системой, пользователь и получает ситуацию, когда использование процессора или оперативной памяти зашкаливает, да еще и появляется огромное количество процессов svchost.exe, которые с данной службой связаны только косвенно.
Но расстраиваться не стоит, поскольку можно применить достаточно простое и универсальное решение, которое состоит в том, чтобы произвести деактивацию данного системного процесса и службы, за него отвечающей. Сделать это можно довольно просто, и на стабильности операционной системы это, по большому счету, особо и не отразится.
Как отключить стандартную службу?
Итак, предполагаем, что стандартный процесс LSASS.exe грузит процессор уж слишком сильно. Исправить ситуацию можно самым простым отключением данного компонента, хотя именно системные службы деактивировать и не рекомендуется. Тем не менее, при слабом процессоре такой вариант станет единственным средством снижения нагрузки:
- Сначала необходимо использовать консоль «Выполнить» и прописать в ней строку services.msc для входа в раздел служб.
- Справа в списке нужно найти службу «Диспетчера учетных данных» (служба LSASS.exe грузит процессор как раз в случае, если он находится в активном состоянии и запускается автоматически).
- Двойным кликом вызываем меню редактирования параметров, нажимаем кнопку остановки процесса (это обязательно), устанавливаем в типе запуска значение «Отключена», сохраняем изменения и перезагружаем систему. Перезагрузка в данном случае является обязательным условием для применения новых пользовательских настроек.
Примечание: в некоторых случаях может потребоваться сначала завершить процесс lsass.exe в «Диспетчере задач» или произвести повторную остановку после отключения службы в вышеуказанном разделе.
Что делать, если это вирус?
Но иногда нагрузка может быть и не связана именно с системным компонентом LSASS.exe. Что это за процесс в данном случае? Как вы уже, наверное, догадались, это самый настоящий вирус, маскирующийся под системный процесс.
Убедиться в том, что это именно вирус, можно по наличию нескольких одинаковых процессов в «Диспетчере задач». Также можно через меню ПКМ перейти к месторасположению файла (оригинальный объект находится в директории System32 и нигде более).
При выявлении угрозы, делаем следующее:
- Сначала рекомендуется в пользовательской папке найти каталог AppData. Он может иметь атрибут скрытого, поэтому предварительно придется включить отображение таких объектов в меню вида «Проводника».
- В указанной папке через директорию Local нужно добраться до каталога Temp и полностью очистить его содержимое.
- После этого рекомендуется проверить систему какой-нибудь анти-рекламной утилитой вроде AdwCleaner, а также использовать специальный апплет UnHackMe (программу для выявления шпионов и руткитов) для повторного сканирования системы.
- По завершении удаления угроз систему желательно почистить, для чего можно воспользоваться хотя бы универсальным приложением CCleaner.
Краткий итог
В принципе, отключать вышеописанную службу, как и любой другой системный компонент этого плана, не рекомендуется. Но если нагрузка возрастает до такой степени, что работать за компьютером становится невозможно, то, увы, придется работать без нее, полагаясь на другие средства защиты, включая и системные службы, и сторонние программы (хотя бы тот же штатный антивирус).
Иногда ошибки lsass.exe и другие системные ошибки EXE могут быть связаны с проблемами в реестре Windows. Несколько программ может использовать файл lsass.exe, но когда эти программы удалены или изменены, иногда остаются "осиротевшие" (ошибочные) записи реестра EXE.
В принципе, это означает, что в то время как фактическая путь к файлу мог быть изменен, его неправильное бывшее расположение до сих пор записано в реестре Windows. Когда Windows пытается найти файл по этой некорректной ссылке (на расположение файлов на вашем компьютере), может возникнуть ошибка lsass.exe. Кроме того, заражение вредоносным ПО могло повредить записи реестра, связанные с MSDN Disc 1796. Таким образом, эти поврежденные записи реестра EXE необходимо исправить, чтобы устранить проблему в корне.
Редактирование реестра Windows вручную с целью удаления содержащих ошибки ключей lsass.exe не рекомендуется, если вы не являетесь специалистом по обслуживанию ПК. Ошибки, допущенные при редактировании реестра, могут привести к неработоспособности вашего ПК и нанести непоправимый ущерб вашей операционной системе. На самом деле, даже одна запятая, поставленная не в том месте, может воспрепятствовать загрузке компьютера!
В связи с подобным риском мы настоятельно рекомендуем использовать надежные инструменты очистки реестра, такие как %%product%% (разработанный Microsoft Gold Certified Partner), чтобы просканировать и исправить любые проблемы, связанные с lsass.exe. Используя очистку реестра , вы сможете автоматизировать процесс поиска поврежденных записей реестра, ссылок на отсутствующие файлы (например, вызывающих ошибку lsass.exe) и нерабочих ссылок внутри реестра. Перед каждым сканированием автоматически создается резервная копия, позволяющая отменить любые изменения одним кликом и защищающая вас от возможного повреждения компьютера. Самое приятное, что устранение ошибок реестра может резко повысить скорость и производительность системы.
Предупреждение: Если вы не являетесь опытным пользователем ПК, мы НЕ рекомендуем редактирование реестра Windows вручную. Некорректное использование Редактора реестра может привести к серьезным проблемам и потребовать переустановки Windows. Мы не гарантируем, что неполадки, являющиеся результатом неправильного использования Редактора реестра, могут быть устранены. Вы пользуетесь Редактором реестра на свой страх и риск.
Перед тем, как вручную восстанавливать реестр Windows, необходимо создать резервную копию, экспортировав часть реестра, связанную с lsass.exe (например, MSDN Disc 1796):
- Нажмите на кнопку Начать .
- Введите "command " в строке поиска... ПОКА НЕ НАЖИМАЙТЕ ENTER !
- Удерживая клавиши CTRL-Shift на клавиатуре, нажмите ENTER .
- Будет выведено диалоговое окно для доступа.
- Нажмите Да .
- Черный ящик открывается мигающим курсором.
- Введите "regedit " и нажмите ENTER .
- В Редакторе реестра выберите ключ, связанный с lsass.exe (например, MSDN Disc 1796), для которого требуется создать резервную копию.
- В меню Файл выберите Экспорт .
- В списке Сохранить в выберите папку, в которую вы хотите сохранить резервную копию ключа MSDN Disc 1796.
- В поле Имя файла введите название файла резервной копии, например "MSDN Disc 1796 резервная копия".
- Убедитесь, что в поле Диапазон экспорта выбрано значение Выбранная ветвь .
- Нажмите Сохранить .
- Файл будет сохранен с расширением.reg .
- Теперь у вас есть резервная копия записи реестра, связанной с lsass.exe.
Следующие шаги при ручном редактировании реестра не будут описаны в данной статье, так как с большой вероятностью могут привести к повреждению вашей системы. Если вы хотите получить больше информации о редактировании реестра вручную, пожалуйста, ознакомьтесь со ссылками ниже.
Всем привет, в этом посте я решил продолжить рубрику «что за процесс». В прошлой статье мы рассматривали и определили что это не вирус и за что он отвечает. Сегодня хотелось бы разобрать, что же это за процесс lsass.exe и зачем он собственно нужен. Сразу же хотелось бы отметить, что это не вирус, так что многие прочитав это могут уже вздохнуть спокойно, ну а тем кому интересней узнать, что в себе скрывает данный процесс читаем дальше. Да, еще хотелось бы отметить, что для удобства работы на ноутбуке, клавиатура часто стирается, в этом случае вы можете купить клавиатуру lenovo , она улучшит процесс работы, в этом вы сможете убедиться сами.
Процесс lsass.exe был специально создан корпорацией Microsoft, который отвечает за локальную безопасность пользователя и он появляется в диспетчере задач сразу же после того как вы установили Windows к себе на компьютер, о том я уже писал, а если же у вас стоит уже любая ОС из серии Windows то у вас несомненно должен быть запущен данный процесс.
Немного по подробнее о процессе lsass.exe
Как уже говорилось ранее данный процесс был специально создан корпорацией Microsoft как локальный сервер аутентификации безопасности пользователя. Данный процесс выполняет свою работу благодаря таким пакетам, как например msgina.dll. При успешной аутентификации процесс lsass.exe создает маркер доступа пользователя, который используется для запуска начальной оболочки системы. Все другие процессы запущенные пользователям просто наследуют этот маркер, а не создают новый.
Если рассмотреть этот процесс более детально, то оказывается что он отвечает за 3 основных службы аутентификации в ОС windows:
- Службы IPSEC . Обеспечивают шифрование файла дампа памяти, используемый для хранения зашифрованных файлов на NTFS файловой системе. Если эта служба остановлена или отключена, приложение не сможет получить доступ к зашифрованным файлам.
- Защищённое хранилище . Данная служба хранит и использует долгоживущие ключи в неком безопасном процессе в соответствии с общими требованиями и всеми критериями.
- Диспетчер учётных записей безопасности . Думаю в объяснении данная служба не нуждается, лишь хотелось бы заметить что данная служба должна быть постоянно включена.
Предостережения:
Хоть мною и утверждалось, что процесс lsass.exe не является вирусом, однако не стоит забывать, об том что некоторые хитрые вирусы скрываются под системными процессами лишь изменив 1 или 2 буквы. Что бы убедиться и знать точно, что данный процесс не является вирусом достаточно просмотреть его путь запуска если это %windir%\system32, то все нормально, если же какой то другой да и название схоже на нечто подобное, как isass.exe, то будьте уверены что это вирус и начинайте борьбу со злым «оккупантом», тем более зная что isass.exe — это не просто вирус, а злостный троянский червь Sasser, который сидит в вашем компьютере с целью сбора данных, что само по себе чревато ужасными последствиями. К счастью сама же операционная система windows применяет огромные усилия, для того что бы подобного рода вирусы не проникали в ваши системы, постоянно лотая свои дыры и закрывая максимальное количество уязвимых мест. Вот почему необходимо хотябы изредка обновлять свою операционную систему, если у вас стоит ОС Windows 7 то вы с легкостью сможете обновить вашу ОС, а потом если желаете можете отключить обновления что бы вам больше не докучали в дальнейшем, о том я уже писал.
Все на этом я думаю ознакомления с данным процессом можно закончить.
Для большинства процессов Windows постоянная высокая нагрузка на процессор нетипична, особенно для системных компонентов вроде lsass.exe. Обычное его завершение в данной ситуации не помогает, поэтому у пользователей возникает вопрос – как решить эту проблему?
Для начала несколько слов о самом процессе: компонент lsass.exe появился в Windows Vista и представляет собой часть системы безопасности, а именно службу проверки авторизации пользователя, что роднит его с WINLOGON.exe.
Для данной службы характерна нагрузка на CPU порядка 50% на протяжении первых 5-10 минут загрузки системы. Постоянная нагрузка свыше 60% говорит о наличии сбоя, устранить который можно несколькими способами.
Способ 1: Установка обновлений Windows
В большинстве случаев проблему вызывает устаревшая версия системы: при отсутствии обновлений система безопасности Windows может работать со сбоями. Процесс апдейта ОС не представляет собой ничего сложного для рядового пользователя.
Способ 2: Переустановка браузера
Порой lsass.exe нагружает процессор не постоянно, а только когда запущен веб-обозреватель — это означает, что безопасность того или иного компонента программы нарушена. Самым надёжным решением проблемы будет полная переустановка браузера, которую следует делать так:
Как правило, данная манипуляция исправляет сбой с lsass.exe, но если проблема всё ещё наблюдается, читайте далее.
Способ 3: Очистка от вирусов
В некоторых случаях причиной проблемы может быть вирусное заражение исполняемого файла или подмена системного процесса сторонним. Определить подлинность lsass.exe можно следующим образом:
Если вместо указанного каталога открывается любой другой, вы столкнулись с вирусной атакой. У нас на сайте есть подробное руководство действий на такой случай, потому рекомендуем с ним ознакомиться.
Заключение
Подводя итоги, отметим, что наиболее часто проблемы с lsass.exe наблюдаются на Windows 7. Обращаем ваше внимание на то, что официальная поддержка данной версии прекращена ОС, потому рекомендуем при возможности перейти на актуальные Windows 8 или 10.