Диспетчер задач: подозрительные процессы. как найти и удалить вирус?

Проблемы с диспетчером задач

Как бы странно это не звучало, но программа, помогающая нам справляться с проблемами система, сама зачастую может «сбоить». И, как и всё в Windows, чинится подручными способами. Разберём наиболее частые проблемы.

Не запускается

Эта проблема возникает из-за действия вирусов на вашем компьютере. Поэтому, перед тем, как приступать к «ремонту» диспетчера советуем проверить компьютер антивирусными программами. Иначе получится замкнутый круг — вы чините, диспетчер снова ломается.

Какие ошибки могут возникать?

Сообщение «Диспетчер задач отключен администратором»

Чинить будем через реестр. Итак, меню «Пуск», пункт «Выполнить». В поле ввода вбиваем regedit и жмём ОК. Открывается редактор реестров. Идём в ветку HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies. Здесь проверяем, чтобы напротив DisableTaskMgr («Невидимость диспетчера задач», кто не дружит с английским) было выставлено не 1 (значение «Включено»), а 0 («Выключено»). Сохраняем. Перезапускае.

Как разблокировать

Что подразумевается под блокировкой? Ситуация, когда на экран выводится предыдущее предупреждение, но при этом редактор реестра также не запускается. В этом случае проблему решать мы будем через групповые политики системы. Итак, включаем окно «Выполнить» и вводим gpedit.msc, подтверждаем. Видим перед собой следующее окно:

После выполнения команды gpedit появляется такое окно

Дальше идём по пути как на картинке.

Идём по пути, обведённому красным

Двойной клик мышью по пункту «Удалить диспетчер задач». Теперь проверяем, чтобы был активен переключатель «Отключено».

Активен должен быть пункт «Отключено»

Нажимаем «Ок», выходим, запускаем диспетчер. Готово.

Не показывает процессы (не отображает меню, нет вкладок)

То есть, перед вами вместо привычного вида вот такая картинка:

Нет возможности переключения между вкладками, даже кнопка «Закрыть» не отображается

Это может быть результатов случайно зажатия каких-либо клавиш, чересчур активного «клацания» кнопками мыши.

Без паники! Просто наведите курсор мыши на серую рамку и дважды нажмите левую кнопку мыши. Диспетчер задач придёт в прежний вид.

Process Explorer

Еще в 2012 году мы позвонили Process Explorer самая мощная замена диспетчера задач

— и это остается верным даже по сей день. Process Explorer — приложение, предназначенное для Sysinternals и предназначенное только для портативных компьютеров, выпускаемое как в 32-разрядной, так и в 64-разрядной версиях.

После запуска вы увидите обзор всех запущенных процессов в вашей системе, организованных в виде иерархии. Также есть нижняя панель (по умолчанию отключена), которая показывает, какие библиотеки DLL или дескрипторы используются процессами. Обе эти функции в совокупности упрощают поиск и устранение неисправностей системы.

Известные особенности включают в себя:

Цветовой список процессов для упрощения навигации.
Посмотрите, какие открытые файлы заблокированы какими процессами.
Задайте действия Affinity и Priority для процессов.
Перезапустить, приостановить, убить процесс и убить дерево процессов.
Диагностические данные и графики CPU, GPU, RAM и I / O в реальном времени.

Перечень возможных ошибок при работе taskmgr.exe

При ошибках работы Диспетчера пользователь системы может получить следующие сообщения:

«Ошибка приложения Taskmgr.exe»;
«Taskmgr.exe не является приложением Win32»;
«Возникла ошибка в приложении Taskmgr.exe. Приложение будет закрыто. Приносим извинения за неудобства»;
«Файл taskmgr.exe не найден»;
«Taskmgr.exe не найден»;
«Ошибка запуска программы: taskmgr.exe»;
«Файл Taskmgr.exe не запущен»;
«Отказ Taskmgr.exe»;
«Неверный путь к приложению: taskmgr.exe»;

Появление любого из этих сообщений — не обязательно признак заражения. Они могут возникнуть при сбоях при установке Windows, при установке программы, при работе программы, которая сама использует файл taskmgr.exe (обычно это приложения, использующие функции из библиотек разработчика программного обеспечения Windows — SDK)

Для надёжного устранения ошибки очень важно точно определить момент её возникновения и окружение, в котором ошибка произошла. Перед тем как производить проверку антивирусом, всегда полезно сначала проверить реестр на наличие повреждений

Серия уроков по пакету утилит SysInternals

3. Использование Process Explorer для устранения неполадок и диагностики

Понимание того, как работают диалоговые окна и параметры Process Explorer, — это прекрасно, но как насчёт их использования для реального устранения неполадок или диагностики проблемы? Сегодняшний урок попытается помочь вам узнать, как это сделать.

Не так давно мы начали исследовать всевозможные вредоносные и нежелательные программы, которые могут установиться случайно, если вы не обращаете внимания на галочки при установке программного обеспечения. Многие бесплатные программы во время своей установке могут дополнительно установить стороннее ПО, которое может добавлять панели инструментов в ваши веб браузеры, показывают рекламу или делают другие неприятные вещи. И от этих программ не так просто избавиться.

Мы видели много компьютеров от известных нам людей, на которых установлено так много шпионского и рекламного ПО, что компьютер еле работает. В частности, попытка загрузить веб-браузер практически невозможна, поскольку все рекламное ПО и программное обеспечение для слежения за пользователем конкурируют за ресурсы, чтобы украсть вашу личную информацию и продать её тому, кто предложит самую высокую цену.

Поэтому, естественно, мы хотели провести небольшое расследование того, как некоторые из них работают. Данная статья написана на примере одной из них.

Мы начнём с этого, а затем покажем вам, как использовать Process Explorer для устранения ошибок, связанных с заблокированными файлами и папками, которые используются.

А затем мы завершим это ещё одним взглядом на то, как некоторые рекламные программы в наши дни прячутся за процессами Microsoft, чтобы они выглядели легитимными в Process Explorer или диспетчере задач, хотя на самом деле таковыми не являются.

Process Killer – прирождённый киллер

Бывает, что стандартный диспетчер задач ну никак не может прибить какой-то процесс, особенно если он системный, а очень надо! Например, у меня на днях был случай, когда антивирус стал ругаться на кряк к программе и стал требовать перезагрузки компьютера! А у меня было очень много открыто всего, и я точно знал что вируса там небыло. А он, зараза, поставил мне ультиматум, что через 30 минут перезагрузит комп, и делай что хочешь. Позакрывал все программы какие смог, а последний, его процесс, не даёт завершить, хоть ты тресни!

Для таких случаев и нужна программа Process Killer. В настройках можно включить автоматический запуск программы. А вызвать Process Killer можно простой комбинацией клавиш «Ctrl + Sift + ~». Также программа умеет замораживать работу и менять приоритет.

Task Manager Deluxe: альтернативный диспетчер задач для Windows 10/8/7

Когда я выполняю некоторые манипуляции с реестром на моем Windows , в первую очередь я перезагружаю Explorer , чтобы наблюдать за изменениями. Конечно, перезапуск Explorer является промежуточным звеном Диспетчер задач (нажатие комбинации Ctrl + Shift + Esc вызывает его). Таким образом, существует много подобных сценариев, где Task Manager является основным направлением. Сегодня в этой статье мы познакомим вас с Диспетчером задач MiteC Deluxe .

Альтернативный диспетчер задач для Windows

Диспетчер задач Deluxe – это просто переносимый Диспетчер задач с некоторыми дополнительными функциями по сравнению с возможностями, предоставляемыми собственным Диспетчером задач в Windows >. Это простой инструмент для получения подробной информации о системных процессах.

Как вы можете видеть на изображении выше, эта бесплатная программа содержит несколько вкладок со всеми подробными представлениями для каждой задачи. У вас есть идентификаторы процессов, перечисленные здесь с их типом и именем файла. Нажав на Подробности процесса , вы получите дополнительную информацию о выбранной задаче. В собственном Диспетчере задач вы должны нажать на задачу, а затем нажать Завершить задачу , чтобы завершить ее, но здесь вы можете завершить несколько задач в одном экземпляре. Параметр Автообновление позволяет автоматически обновлять текущий экран через определенный интервал.

Далее, вкладка Автозапуск отвечает за процессы, которые вы хотите при запуске Windows . Таким образом, вы можете легко отменить выбор тех процессов, которые раздражают вас при запуске, завершив их.

Диспетчер задач Deluxe предоставляет вам специальное графическое представление Cathode Ray Oscilloscope для производительности процессора. Графическое представление История процессора и История использования памяти доступно отдельно с некоторой разновидностью Информация о системе . Этот диспетчер задач охватывает просмотр и администрирование следующих доменов:

Процесс

Windows

Сервисы

сессии

Autoruns

Среда

Системная информация и производительность

Единственное, что не выгодно с этой утилитой, это доступ к ней с помощью сочетания клавиш. Кроме того, вы можете получить доступ к собственному диспетчеру задач , используя комбинацию Ctrl + Shift + Esc ; вам нужно отдельно нажать на значок этого бесплатного программного обеспечения, чтобы получить его. Но это гораздо выгоднее и необходимо, если вы ищете подробный анализ задач для вашей системы.

Вы можете получить эту классную и умную, но легкую утилиту со страницы загрузки. Загрузите Task Manager Deluxe с здесь.

Есть другое альтернативное программное обеспечение Task Manager для Windows 10/8/7, которое вы можете попробовать.

Что означают цвета в Process Explorer

В типичном списке Process Explorer определённо много цветов, что может немного сбивать с толку начинающего компьютерщика

Очень важно узнать, что означают все эти цвета, потому что они предназначены не только для красоты — каждый из них имеет своё значение.. Если вы не можете вспомнить, что означает один из цветов, вы можете перейти в меню Options → Configure Colors, чтобы открыть диалоговое окно «Color Selection»

По сути, это краткая шпаргалка что какой цвет означает. Продолжайте читать, так как мы собираемся объяснить здесь значение всех цветов Process Explorer.

Если вы не можете вспомнить, что означает один из цветов, вы можете перейти в меню Options → Configure Colors, чтобы открыть диалоговое окно «Color Selection». По сути, это краткая шпаргалка что какой цвет означает. Продолжайте читать, так как мы собираемся объяснить здесь значение всех цветов Process Explorer.

Основываясь на цветах на картинке выше, вот что означает каждый из выбранных элементов (остальные на самом деле не важны).

New Objects — Новые объекты (ярко-зеленый) — когда новый процесс появляется в Process Explorer, он начинается с ярко-зеленого цвета.
Deleted Objects — Удалённые объекты (красный) — когда процесс завершается или закрывается, он обычно мигает красным прямо перед удалением.
Own Processes — Собственные процессы (светло-голубой) — процессы, выполняемые под той же учётной записью, что и Process Explorer.
Services — Службы (светло-розовый) — процессы служб Windows, хотя стоит отметить, что у них могут быть дочерние процессы, которые запускаются от имени другого пользователя, и они могут быть другого цвета.
Suspended Processes — Приостановленные процессы (тёмно-серый) — когда процесс приостановлен, он ничего не может сделать. Вы можете легко использовать Process Explorer, чтобы приостановить приложение. Иногда сбойные приложения на короткое время отображаются серым цветом, пока Windows обрабатывает сбой.
Immersive Process — Иммерсивный процесс (ярко-синий) — это просто причудливый способ сказать, что процесс представляет собой приложение Windows 8, использующее новые API. На скриншоте ранее вы могли заметить WSHost.exe, который представляет собой процесс «Windows Store Host», который запускает приложения Metro. По какой-то причине Explorer.exe и диспетчер задач также будут отображаться как иммерсивные.
Packed Images — Упакованные образы (фиолетовый) — эти процессы могут содержать скрытый сжатый код, или, по крайней мере, Process Explorer считает, что они содержат, используя эвристику. Если вы видите пурпурный процесс, обязательно выполните сканирование на наличие вредоносных программ!

Поскольку, очевидно, что один и тот же процесс может иметь свойства более чем одной описанной группы, цвета будут применяться в порядке приоритета. Если процесс является сервисом и приостановлен, он будет отображаться тёмно-серым цветом, поскольку этот цвет более важен.

Порядок приоритета процессов, который нам удалось составить во время исследования программы: Suspended → Packed → Immersive → Services → Own Processes (то есть Приостановлено → Упаковано → Иммерсивное → Службы → Собственные процессы).

Процессы Windows теория по работе с ними

Теперь немного поговорим о том, как можно пользоваться столь подробной информацией в целях диагностики, точнее говоря, скажем, защиты от вирусов.

Дело в том, что любой процесс, как правило, подписан его разработчиком, ибо последний заинтересован в том, чтобы его знали, почитали и к нему возвращались.

Не подписывает обычно процессы только тот, кто:

Собрал процесс «на коленке», т.е. это какая-нибудь маленькая утилитка, вполне вероятно полезная, но написанная влет и не с расчетом на широкие массы\популярность;
Решил Вам навредить, т.е. является вирусописателем и вообще вредной врединой;
Забыл подписаться или попросту в этом не было необходимости (такое бывает, но редко).

Как Вы понимаете, в данный момент (в целях диагностики и выявлении зловредов) нас интересуют именно вторые люди, а точнее говоря их процессы.

Тонкости работы с TaskManager

Для идентификации того или иного процесса Windows (как пользовательских, так и системных) стоит воспользоваться поиском в интернете. Существуют целые базы данных в сети, посвящённые данному вопросу, например, ProcessLibrary.

Информация о процессе «conhost.exe» на сайте ProcessLibrary

Воспользовавшись поиском, на ProcessLibrary можно получить всю информацию об интересующем вас процессе: подробное описание, является ли он вредным для системы, насколько ресурсоёмким оказывается его выполнение, и, главное, можно ли его отключить.

Видео: диспетчер задач Windows: отключаем лишние службы и процессы

https://youtube.com/watch?v=U0pa-vC_laM

Первоначальное количество процессов на только что установленной Windows 7 может составлять несколько десятков (в среднем, около тридцати). Это то количество служебных программ, которое требуется самой системе для успешного функционирования. В дальнейшем, после установки пользователем дополнительного ПО, которое прописывает себя в автозагрузку системы (Dropbox, Punto Switcher, uTorrent) или создаёт новые службы (Adobe Flash Player Update Service), количество процессов в диспетчере задач может увеличиться в несколько раз.

Количество процессов после загрузки только что установленной Windows 7 составляет порядка тридцати

Разумеется, слишком большое количество одновременно запущенных процессов, может сказываться на производительности ПК и комфорте работы с ним. Далеко не все приложения и службы востребованы пользователем постоянно, иногда они лишь потребляют ресурсы, которых не хватает другим программам. Тогда их следует завершить, воспользовавшись соответствующей кнопкой на вкладке диспетчера задач «Процессы».

Если процесс является службой или программой, которая грузится автоматически вместе с Windows, его можно отключить, воспользовавшись системной утилитой «msconfig.exe». Для этого:

Откройте окно «Выполнить» (Win+R).
Введите «msconfig.exe» и нажмите кнопку «ОК».
Во вкладках «Службы» и «Автозагрузка» снимите галки с тех программ и сервисов, которые вам не нужны.
Закройте окно «Конфигурация системы» и перезагрузите компьютер.

Снимите пометки с тех программ, которые не должны грузиться автоматически вместе с запуском Windows

Одно приложение может запускать несколько процессов. Так браузер Google Chrome под каждую открытую пользователем вкладку создаёт новый процесс.

Работающих процессов с названием «svchost.exe» может быть больше десяти. Это нормально, ведь каждый процесс подгружает одну или более служб из динамических библиотек (DLL). Очень часто вирусы пытаются маскироваться именем, похожим на svchost. Как отличить настоящую утилиту от подставной подробно описано на сайте Microsoft Community.

Количество запущенных процессов svchost.exe может достигать нескольких десятков, в зависимости от количества работающих служб Windows

Если в списке процессов присутствуют программы, которых вы не устанавливали, но они активно потребляют системные ресурсы, стоит заподозрить, что ваш ПК стал жертвой вирусной атаки. Проверьте ваш компьютер антивирусными программами, антивирусными сканерами типа «CureIt» от Dr.Web или «Kaspersky Virus Removal Tool» от KasperskyLab.

Как исправить ошибки taskmgr.exe всего за несколько шагов?

Помните, прежде чем предпринимать какие-либо действия, связанные с системными файлами, сделайте резервную копию ваших данных!

Ошибки файла taskmgr.exe могут быть вызваны различными причинами, поэтому полезно попытаться исправить их различными способами.

Шаг 1.. Сканирование компьютера на наличие вредоносных программ.

Файлы Windows обычно подвергаются атаке со стороны вредоносного программного обеспечения, которое не позволяет им работать должным образом. Первым шагом в решении проблем с файлом taskmgr.exe или любыми другими системными файлами Windows должно быть сканирование системы на наличие вредоносных программ с использованием антивирусного инструмента.

Если по какой-либо причине в вашей системе еще не установлено антивирусное программное обеспечение, вы должны сделать это немедленно

Незащищенная система не только является источником ошибок в файлах, но, что более важно, делает вашу систему уязвимой для многих опасностей. Если вы не знаете, какой антивирусный инструмент выбрать, обратитесь к этой статье Википедии — сравнение антивирусного программного обеспечения

Шаг 2.. Обновите систему и драйверы.

Установка соответствующих исправлений и обновлений Microsoft Windows может решить ваши проблемы, связанные с файлом taskmgr.exe. Используйте специальный инструмент Windows для выполнения обновления.

Откройте меню «Пуск» в Windows.
Введите «Центр обновления Windows» в поле поиска.
Выберите подходящую программу (название может отличаться в зависимости от версии вашей системы)
Проверьте, обновлена ли ваша система. Если в списке есть непримененные обновления, немедленно установите их.
После завершения обновления перезагрузите компьютер, чтобы завершить процесс.

Помимо обновления системы рекомендуется установить последние версии драйверов устройств, так как драйверы могут влиять на правильную работу taskmgr.exe или других системных файлов. Для этого перейдите на веб-сайт производителя вашего компьютера или устройства, где вы найдете информацию о последних обновлениях драйверов.

Шаг 3.. Используйте средство проверки системных файлов (SFC).

Проверка системных файлов — это инструмент Microsoft Windows. Как следует из названия, инструмент используется для идентификации и адресации ошибок, связанных с системным файлом, в том числе связанных с файлом taskmgr.exe. После обнаружения ошибки, связанной с файлом %fileextension%, программа пытается автоматически заменить файл taskmgr.exe на исправно работающую версию. Чтобы использовать инструмент:

Откройте меню «Пуск» в Windows.
Введите «cmd» в поле поиска
Найдите результат «Командная строка» — пока не запускайте его:
Нажмите правую кнопку мыши и выберите «Запуск от имени администратора»
Введите «sfc / scannow» в командной строке, чтобы запустить программу, и следуйте инструкциям.

Шаг 4. Восстановление системы Windows.

Другой подход заключается в восстановлении системы до предыдущего состояния до того, как произошла ошибка файла taskmgr.exe. Чтобы восстановить вашу систему, следуйте инструкциям ниже

Откройте меню «Пуск» в Windows.
Введите «Восстановление системы» в поле поиска.
Запустите средство восстановления системы — его имя может отличаться в зависимости от версии системы.
Приложение проведет вас через весь процесс — внимательно прочитайте сообщения
После завершения процесса перезагрузите компьютер.

Если все вышеупомянутые методы завершились неудачно и проблема с файлом taskmgr.exe не была решена, перейдите к следующему шагу. Помните, что следующие шаги предназначены только для опытных пользователей

Изучение процессов, которые выглядят безопасными, но такими не являются

В ходе нашего исследования вредоносного ПО мы обнаружили ещё одну проблему, которая становится все более распространённой, поэтому разумно следить за ней в будущем. Что это за проблема? Вредоносное ПО скрывается за легитимными процессами Windows и хорошо справляется с этой задачей.

Проблема заключается в утилите Windows rundll32.exe, которую можно использовать для произвольного запуска функций из файлов DLL. Поскольку эта утилита подписана Microsoft, она отображается в списке как полностью законный процесс, но на самом деле они просто перемещают весь свой вредоносный/рекламный код в файл .DLL вместо файла .EXE, а затем вместо этого загружается вредоносное ПО с помощью rundll32.exe. Фактически, если вы видите, что rundll32.exe запущен как «собственный процесс» и обозначен голубым цветом, показанным ниже, это почти всегда что-то, что не должно выполняться.

В приведённом ниже примере вы можете видеть, что, хотя мы использовали функцию Verified Signer для проверки этого элемента, когда мы наводим на него курсор и смотрим на полный путь, на самом деле загружается DLL, которая оказывается частью adware (рекламного ПО).

Примечание: прежде чем вы начнёте кричать о запуске антивирусной проверки, отметим, что мы это сделали, и она ни чего не нашла. Большая часть этого нежелательного, рекламного и шпионского ПО игнорируется антивирусными утилитами.

Двойной щелчок, чтобы открыть подробную информацию, продолжает раскрывать информацию о данной проблемы, и мы также можем увидеть каталог из которого запущено вредоносное ПО, эту информацию мы будем использовать для дальнейшего исследования.

Внутри этого каталога мы обнаружили ряд файлов, которые постоянно обновлялись в фоновом режиме.

Остальная часть расследования привела к некоторым другим инструментам, которые не входят в набор SysInternals, и которые мы, вероятно, рассмотрим позже, но достаточно сказать, что это просто вредоносная программа, которая работала вместе с другим нежелательным ПО.

Важным моментом здесь является то, что вредоносное ПО способно прятаться за законными исполняемыми файлами Windows, поэтому обязательно следите за чем-либо подобным.

Решение проблемы

Первый этап решения проблемы – установить другой антивирус, потому что основная программа, защищающая компьютер от сетевых угроз, вирус пропустила. Для постоянной защиты стоит выбрать платную программу. Если такой возможности нет – одну из хороших бесплатных или условно-бесплатных типа Malwarebytes или AVZ. Или даже разовую, предназначенную для однократной проверки ПК, такую как Dr.Web CureIt. Запуск антивируса в большинстве случаев решает проблему.

Второй этап, который можно выполнить и до использования антивирусного приложения – восстановление файла explorer.exe. сделать это можно, скачав его из сети из надёжных источников или восстановив систему Windows с помощью заранее созданных точек восстановления (правда, для этого сначала нужно было включить такую функцию в настройках).

Ещё один способ предполагает использование встроенной утилиты SFC. Для этого сначала вызывается командная строка (нажатие «Win» + «R» и ввод команды «cmd») и в ней вводится «sfc /scannow». Поиск неполадок требует достаточно много времени. Но, если ни антивирус, ни системная утилита проблему не обнаружили, для решения вопроса может понадобиться обращение к специалисту – или, в качестве крайней мере, переустановка системы.

СИМПТОМЫ

Сразу после включения оперативная память загружается до 100% в течение буквально десяти минут. Процесс кажется бесконечным и объём установленной памяти значения не имеет: её всё равно не хватит.
Диспетчер задач Windows сигнализирует растущую загруженность оперативной памяти системы и виновник определяется на глаз: процесс explorer.exe
Наиболее часто этой болезни подвержены 64-х битные версии системы

Основная проблема этой ошибки заключается в том, что нагружает вашу RAM отнюдь не проводник Windows, а сторонние и часто скрытые от глаз пользователя процессы, которые с проводником оказались завязаны. А значит и версия вашей Windows не принципиальна.

Самые частые проблемы ошибки. Их немало, но кроме них я редко с чем ещё сталкивался:

проводник “зацикливается” на исполнении или открытии любого из файлов. Открыть его он обычно не в состоянии (причина нередко просто не известна, точнее, их просто тьма), однако он снова и снова возвращается к выполнению этой задачи
установленные в системе расширения, повреждение которых вызывает лавинообразное размножение самого процесса, так и работающего с ним проводника Explorer. При этом сам Explorer грузит оперативную память, вычерпывая её без остатка
вредоносное программное обеспечение. Обычно заражает либо сам процесс explorer.exe, либо нападает на svchost.exe

Сразу прошу прощения у читателя: рассматривать вопрос буду на основании опыта без конкретного примера. Вопрос важный, но наглядный материал потерян. Однако симптомы были налицо: двух планок оперативной памяти DDR2 4 Гб каждая для Windows 7 не хватало.

Ещё одно. Есть смысл проверять работоспособность системы перезагрузкой “злополучного” процесса. Это можно сделать, например, из консоли cmd от имени админа двумя последовательными командами (после первой пропадёт Рабочий стол):

taskkill /f /im explorer.exe start explorer.exe