Во многих инструкциях, касающихся удаления Adware, Malware и другого нежелательного ПО с компьютера присутствует пункт о необходимости проверить запущенные процессы Windows на наличие среди них подозрительных уже после использования автоматических средств удаления вредоносных программ. Однако, сделать это пользователю без серьезного опыта работы с операционной системой не так уж и просто — список выполняемых программ в диспетчере задач мало о чем может ему рассказать.
Помочь в проверке и анализе запущенных процессов (программ) Windows 10, 8 и Windows 7 и XP может бесплатная утилита CrowdStrike CrowdInspect, предназначенная именно для этой цели, о которой и пойдет речь в данном обзоре. См. также: Как избавиться от рекламы (AdWare) в браузере.
Использование CrowdInspect для анализа запущенных процессов Windows
CrowdInspect не требует установки на компьютер и представляет собой архив .zip с единственным исполняемым файлом crowdinspect.exe, который при запуске может создать еще один файл для 64-разрядных систем Windows. Для работы программы потребуется подключенный Интернет.
При первом запуске вам потребуется принять условия лицензионного соглашения кнопкой Accept, а в следующем окне при необходимости выполнить настройки интеграции с онлайн-сервисом проверки на вирусы VirusTotal (и при необходимости отключить загрузку заранее неизвестных файлов на этот сервис, отметка «Upload unknown files»).
После нажатия «Ок» на короткий промежуток времени откроется рекламное окно платного средства защиты CrowdStrike Falcon, а затем — главное окно программы CrowdInspect со списком запущенных в Windows процессах и полезной информацией о них.
Для начала информация по важным столбцам в CrowdInspect
- Process Name — имя процесса. Также можно отобразить полные пути к исполняемым файлам, нажав кнопку «Full Path» в главном меню программы.
- Inject — проверка на инъекции кода процессом (в некоторых случаях может показать положительный результат для антивирусов). При подозрении на наличие угрозы выдается двойной восклицательный знак и красный значок.
- VT или HA — результат проверки файла процесса в VirusTotal (процент соответствует проценту антивирусов, которые считают файл опасным). В последней версии отображается колонка HA, а анализ выполняется с помощью онлайн-сервиса Hybrid Analysis (возможно, более эффективного, чем VirusTotal).
- MHR — результат проверки в Team Cymru Malware Hash Repository (база контрольных сумм известных вредоносных программ). Отображает красную иконку и двойной восклицательный знак при наличии хэша процесса в базе.
- WOT — при выполнении процессом соединений с сайтами и серверами в Интернете, результат проверки этих серверов в репутационном сервисе Web Of Trust
Оставшиеся столбцы содержат информацию об установленных процессом Интернет-соединениях: тип соединения, состояние, номера портов, локальный IP-адрес, удаленный IP-адрес и представление этого адреса в DNS.
Примечание: вы можете заметить, что одна вкладка браузера отображается как набор из десятка и более процессов в CrowdInspect. Причина этого в том, что отображается отдельная строка для каждого установленного единственным процессом соединения (а обычный сайт, открытый в браузере, заставляет подключаться сразу ко многим серверам в Интернете). Вы можете отключить такой тип отображения, отключив кнопку TCP и UDP в верхней панели меню.
Другие элементы меню и управления:
- Live / History — переключает режим отображения (в реальном времени или список, в котором отображается время запуска каждого процесса).
- Pause — поставить сбор информации на паузу.
- Kill Process — завершить выбранный процесс.
- Close TCP — завершить подключение по TCP/IP для процесса.
- Properties — открыть стандартное окно Windows со свойствами исполняемого файла процесса.
- VT Results — открыть окно с результатами сканирования в VirusTotal и ссылкой на результат сканирования на сайте.
- Copy All — скопировать всю представленную информацию об активных процессах в буфер обмена.
- Также для каждого процесса по правому клику мышью доступно контекстное меню с основными действиями.
Допускаю, что более опытные пользователи к настоящему моменту подумали: «отличный инструмент», а начинающие не совсем поняли, какой толк от него и как его можно использовать. А потому кратко и максимально просто для начинающих:
- Если у вас возникли подозрения что на компьютере происходит что-то плохое, а антивирусом и утилитами, наподобие AdwCleaner компьютер уже был проверен (см. Лучшие средства удаления вредоносных программ), можно заглянуть в Crowd Inspect и посмотреть, нет ли подозрительных фоновых программ, запущенных в Windows.
- Подозрительными стоит считать процессы с красной отметкой с высоким процентом в столбце VT и (или) красной отметкой в столбце MHR. Красные значки в Inject вы навряд ли встретите, но если увидите — тоже обратите внимание.
- Что делать в случае если процесс подозрителен: посмотрите его результаты в VirusTotal, нажав кнопку VT Results, а затем перейдя по ссылке с результатами сканирования файла антивирусами. Можно попробовать выполнить поиск по имени файла в Интернете — распространенные угрозы обычно обсуждаются на форумах и на сайтах поддержки.
- Если в результате сделан вывод о том, что файл вредоносный — пробуйте убрать его из автозагрузки, удалить программу, к которой относится этот процесс и использовать другие методы для избавления от угрозы.
Примечание: учитывайте, что с точки зрения многих антивирусов разного рода «программы для скачивания» и подобные средства, популярные у нас в стране, могут являться потенциально нежелательным ПО, что будет отображаться в столбцах VT и (или) MHR утилиты Crowd Inspect. Однако это не обязательно означает, что они опасны — тут стоит рассматривать каждый отдельный случай.
Скачать Crowd Inspect можно бесплатно с официального сайта https://www.crowdstrike.com/resources/community-tools/crowdinspect-tool/ (после нажатия кнопки загрузки, на следующей странице потребуется принять условия лицензии, нажав Accept для начала скачивания). Также может пригодиться: Лучшие бесплатные антивирусы для Windows.
СКАЧАТЬ
Выберите вариант загрузки:
- скачать с сервера SoftPortal
Spyware Process Detector отображает список запущенных процессов в системе. Обнаруживает любые скрытые процессы, такие как шпионы, трояны и вирусы. Используется 17 методов обнаружения скрытых процессов (полное описание…)
Рекомендуем популярное
HitmanPro 3.8.36.332
HitmanPro — эффективная и шустрая утилита для борьбы с вирусами, троянами, руткитами, червями,…
AVZ 4.46 / 5.83
AVZ — Программа предназначена для чистки компьютера от SpyWare и AdWare программ, различных Backdoor и троянских компонент и прочего вредоносного кода……
Avast Free Antivirus 25.4.10068.0
Avast Free Antivirus — бесплатное антивирусное решение для самой эффективной защиты от всех типов вирусов, шпионского ПО, руткитов и других вредоносных программ…
Все способы:
- Способ 1: Встроенный «Защитник»
- Способ 2: Сторонние сканеры
- Dr.Web CureIt!
- Kaspersky Virus Removal Tool
- Способ 3: Антивирусные LiveCD
- Dr.Web LiveDisk
- Kaspersky Rescue Disk
- Способ 4: Онлайн-сканеры
- VirusTotal Uploader
- Internxt
- Вопросы и ответы: 0
Способ 1: Встроенный «Защитник»
Операционная система Windows 10 поставляется со встроенной антивирусной программой «Microsoft Defender», также известной под названием «Защитник Windows». Приложение обеспечивает защиту в режиме реального времени, но может использоваться и для ручной проверки системы.
- Откройте приложение «Безопасность Windows», для чего кликните правой кнопкой мыши по одноименному значку в области уведомлений и выберите из контекстного меню опцию «Просмотр панели мониторинга безопасности».
- В открывшемся окне выберите раздел «Защита от вирусов и угроз».
- В следующем окне нажмите ссылку «Параметры сканирования».
- Выберите подходящий режим сканирования. Всего в Windows 10 доступно четыре режима проверки: быстрая, полная, выборочная (настраиваемая) и проверка автономным модулем «Microsoft Defender».
- В режиме быстрого сканирования проверяются только самые важные файлы;
- Полное сканирование предполагает проверку всех файлов на жестком диске. Оно занимает больше всего времени;
- Настраиваемое сканирование позволяет выбрать определенные файлы или папки;
- Проверка автономным модулем применяется, когда вирус не удается удалить в запущенной Windows.
- Выбрав режим, щелкните по кнопке «Выполнить сканирование сейчас», чтобы запустить процедуру проверки.
В случае обнаружения угрозы антивирус переместит зараженный файл в карантин автоматически, а в журнале «Защитника» и области уведомлений появится соответствующая запись.
Способ 2: Сторонние сканеры
Для проверки системы на предмет заражения вредоносным ПО также можно использовать сторонние антивирусные сканеры. Сканеры не конфликтуют с работающими в режиме реального времени антивирусами и могут использоваться параллельно с ними. Таких сканеров много, среди них имеются как те, которые нуждаются в установке, так и те, которые могут работать в портативном режиме.
Dr.Web CureIt!
Dr.Web CureIt! – популярный инструмент для поиска и удаления вирусов от российского разработчика Dr.Web. Лечащая утилита Dr.Web CureIt! не требует установки, стабильно обновляется и отличается высокой эффективностью распознавания самых разных типов угроз.
Скачать Dr.Web CureIt!
- Скачайте исполняемый файл лечащей утилиты с сайта разработчика. Чтобы его скачать, нужно будет заполнить небольшую форму, указав произвольное имя пользователя и рабочий почтовый ящик, на который будет отправлена ссылка на скачивание.
- Запустите исполняемый файл Dr.Web CureIt! на проверяемом компьютере, примите условия соглашения и нажмите кнопку «Продолжить».
- В следующем окне нажмите ссылку «Выбрать объекты для проверки».
- Укажите, какие объекты (загрузочный сектор, оперативную память, диски) хотите проверить, и щелкните по «Запустить проверку».
В случае обнаружения зараженных объектов по завершении процедуры проверки Dr.Web CureIt! предложит выполнить те или иные действия по нейтрализации угрозы.
Kaspersky Virus Removal Tool
Еще один популярный инструмент для проверки Windows на предмет заражения. Сканер не конфликтует с уже имеющимся на компьютере антивирусным ПО, успешно противостоит блокировке инсталляции, эффективно работает в безопасном режиме.
Скачать Kaspersky Virus Removal Tool с официального сайта
- Скачайте программу с сайта разработчика и запустите исполняемый файл.
- Примите лицензионное соглашение, политику конфиденциальности и положение о KSN.
- Нажмите кнопку «Начать проверку».
- Если необходимо проверить конкретный раздел или папку, кликните на «Изменить параметры» и укажите сканируемую область.
В случае обнаружения угрозы Kaspersky Virus Removal Tool либо нейтрализует ее автоматически, либо предложит пользователю выбрать то или иное действие.
Способ 3: Антивирусные LiveCD
Если вирус не удается удалить в работающей системе, можно воспользоваться одним из антивирусных LiveCD – загрузочных дисков на базе WinPE или Linux, содержащих антивирусный сканер.
Dr.Web LiveDisk
Спасательный загрузочный диск на базе операционной системы Linux, созданный разработчиками «Dr.Web». В состав диска входят антивирусный сканер, средство обновления вирусных баз, файловый менеджер и некоторые другие инструменты восстановления поврежденной системы.
Скачать Dr.Web LiveDisk с официального сайта
- Скачайте загрузочный образ Dr.Web LiveDisk с сайта разработчика. Доступны две редакции инструмента: для записи на оптический DVD-диск и для записи на флешку.
- Запишите Dr.Web LiveDisk на флешку с помощью Rufus или аналогичной программы.
Читайте также: Как пользоваться Rufus
- Загрузите компьютер с флешки и выберите на экране мастера русский язык, используя для этого клавиши-стрелки «Вверх» и «Вниз». Нажмите клавишу ввода.
- В следующем окне нажмите Enter.
- Загрузится рабочий стол спасательного диска. Запустите сканер кликом по ярлыку «Dr.Web CureIt!».
- В окне сканера примите лицензионное соглашение и кликните по «Продолжить».
- Щелкните по «Продолжить», чтобы запустить процедуру проверки.
В целом работа со сканером антивирусного диска ничем не отличается от работы с десктопным приложением Dr.Web CureIt!. Как и в случае с последним, здесь также можно самостоятельно выбрать область проверки.
Kaspersky Rescue Disk
Бесплатный загрузочный антивирусный диск для поиска и удаления вирусов с компьютера, в том числе тех, которые препятствуют загрузке компьютера. Работает средство по тому же принципу, что и Dr.Web LiveDisk.
Скачать Kaspersky Rescue Disk с официального сайта
- Скачайте образ Kaspersky Rescue Disk с сайта разработчика и запишите его на флешку с помощью Rufus или аналогичной программы.
- Загрузите компьютер с флешки и выберите с помощью клавиш-стрелок на приветственном экране русский язык. Нажмите клавишу ввода.
- Нажмите Enter, чтобы выбрать и запустить модуль «Kaspersky Rescue Disk. Графический режим».
- Компьютер перезагрузится, после чего на экране вскоре появится рабочий стол антивирусного диска. Примите лицензионное соглашение и политику конфиденциальности.
- Кликните по кнопке «Начать проверку». Если необходимо проверить конкретную область, нажмите «Изменить параметры» и укажите, что именно необходимо сканировать.
В случае обнаружения зараженных файлов программа предложит удалить или провести лечение.
Способ 4: Онлайн-сканеры
Также для проверки компьютера с Windows 10 на вирусы можно использовать онлайновые сканеры – небольшие специальные приложения-загрузчики, позволяющие отправлять проверяемые файлы на сервер с антивирусными движками. Лучше всего подходит для предотвращения заражения (когда вы не уверены в «чистоте» конкретных скачанных или хранящихся на ПК файлов).
VirusTotal Uploader
VirusTotal Uploader для Windows представляет собой простое бесплатное приложение для пакетной загрузки любых подозрительных файлов на сайт сервиса VirusTotal, где они проверяются более 50 антивирусами. VirusTotal Uploader требует наличия стабильного быстрого интернет-подключения.
Скачать VirusTotal Windows Uploader с официального сайта
- Скачайте приложение с официального сайта и установите с настройками по умолчанию.
- Кликните правой кнопкой мыши по файлу или файлам, которые хотите проверить, и выберите из контекстного меню опцию «Send to VirusTotal». Если при попытке отправить файлы в пакетном режиме утилита вернет ошибку, запакуйте сканируемые файлы в архив и отправьте его на сканирование.
- Файл будет загружен на сервер и проверен антивирусными движками, а результат отобразится на странице сервиса в браузере по умолчанию.
Internxt
Бесплатный онлайн-сканер, позволяющий проверять на наличие вирусов файлы размером до 1 ГБ. Сервис не столь удобен как VirusTotal, поскольку не предусматривает отдельного загрузчика, упрощающего отправку файлов на сервер.
Перейти к онлайн-сервису Internxt
- Посетите сайт сервиса и перетащите проверяемый файл на форму в правой области страницы. Если файлов много, можно запаковать их в архив без применения сжатия.
- После того как файл будет загружен, нажмите кнопку «Сканировать сейчас» и дождитесь завершения проверки.
Результат сканирования будет выведен тут же на странице.
Вы также можете проверять файлы и ссылки другими сканерами, подробнее о которых мы рассказывали в отдельном материале.
Подробнее: Онлайн проверка системы, файлов и ссылок на вирусы
Наша группа в TelegramПолезные советы и помощь
Applies ToMicrosoft Defender для Android Microsoft Defender для Mac Microsoft Defender для Windows
Вы можете начать проверку на наличие вредоносных программ в любое время.
Примечание: в настоящее времяMicrosoft Defender предлагает защиту от вредоносных программ в Windows, Android и macOS.
На панели мониторингаMicrosoft Defender
-
Выбор сведений об устройстве
-
Выберите Управление в Безопасность Windows
-
Выберите Быстрая проверка.
Советы:
-
Если вы хотите провести более глубокое сканирование, вместо того чтобы выбрать быструю проверку на шаге 3, выберите Параметры сканирования и выберите нужный тип сканирования.
-
Для наиболее полной проверки выполните Microsoft Defender в автономном режиме. Дополнительные сведения см. в статье Защита компьютера с помощью Microsoft Defender в автономном режиме.
-
Когда проверка завершится, Defender сообщит вам, нашли ли что-нибудь.
Когда нужно выполнить проверку?
Если вы подозреваете, что ваше устройство может быть заражено или хотите подтвердить, что предыдущая инфекция была очищена, необходимо запустить проверку в Defender.
Признаки того, что на вашем устройстве может быть вредоносное ПО:
-
Внезапно работает гораздо медленнее, чем обычно
-
Значительное уменьшение времени работы батареи
-
Непредвиденное увеличение использования данных
Любой из этих симптомов может указывать на то, что неизвестный процесс выполняется в фоновом режиме и потребляет ресурсы устройства.
Другие подсказки:
-
Непредвиденная реклама или всплывающие окна
-
Перенаправление на совершенно разные сайты при попытке просмотра веб-страниц
Подробнее
Как вредоносная программа может заразить ваше устройство
Справка и обучение по безопасности Майкрософт
Нужна дополнительная помощь?
Нужны дополнительные параметры?
Изучите преимущества подписки, просмотрите учебные курсы, узнайте, как защитить свое устройство и т. д.
Когда в системе что-то не так или просто хочется проконтролировать эффективность установленного на компьютере антивируса, мы обычно нажимаем три заветные клавиши Ctrl, Alt, Del и запускаем Диспетчер задач, надеясь обнаружить вирус в списке процессов. Но в нем мы видим лишь большое количество работающих на компьютере программ, каждая из которых представлена своим процессом. И где же тут скрывается вирус? Ответить на этот вопрос вам поможет наша сегодняшняя статья
Для того чтобы определить, есть вирус в процессах или его там нет, нужно очень внимательно вглядеться в список процессов. В операционной системе Windows Vista в обязательном порядке нажмите кнопочку «Отображать процессы всех пользователей», иначе вы толком ничего и не увидите. Прежде всего, обратите внимание на описание процесса в столбике «Описание». Если описания нет или оно какое-то «корявенькое», это должно вас насторожить. Ведь разработчики программ имеют привычку подписывать свои творения на понятном русском или английском языках.
Отметив взглядом процессы с подозрительным описанием, обращаем взор на следующий столбик – «Пользователь». Вирусы обычно запускаются от имени пользователя, реже в виде служб и от имени системы — SYSTEM, LOCAL SERVICE или NETWORK SERVICE.
Итак, найдя процесс с подозрительным описанием, запускаемый от имени пользователя или непонятно от чьего имени, щелкните нему правой кнопкой мышки и в появившемся контекстном меню выберите пункт «Свойства». Откроется окошко со свойствами программы, которая запустила данный процесс. Особое внимание обратите на вкладку «Подробно», где указана информация о разработчике, версии файла и его описание, а также на пункт «Размещение» вкладки «Общие» — здесь указан путь к запущенной программе.
Если путь «Размещение» ведет в каталог Temp, Temporary Internet Files или еще в какое-либо подозрительное место (например, в папку некой программы каталога Program Files, но вы уверены, что такую программу вы не устанавливали), то, ВОЗМОЖНО, данный процесс принадлежит вирусу. Но все это лишь наши догадки, за подробной информацией, конечно же, лучше обратиться к интернету. Неплохие списки процессов есть на сайтах what-process.com http://www.tasklist.org и http://www.processlist.com. Если после всех поисков ваши опасения на счет подозрительного процесса подтвердятся, можете радоваться – на вашем компьютере поселился вирус, троян или другой зловред, которого нужно срочно ликвидировать.
Но окошко со свойствами запустившего процесс файла из Диспетчера задач может и не открыться. Поэтому помимо стандартных средств Windows нужно пользоваться различными полезными утилитами, способными выдать максимум информации о подозрительном процессе. Одну из таких программ – Starter – мы уже рассматривали (http://www.yachaynik.ru/content/view/88/).
В Starter на вкладкее«Процессы» представлена исчерпывающая информация о выделенном процессе: описание программы и имя файла, который запустил процесс, информация о разработчике, список модулей (программных компонентов), задействованных процессом.
Таким образом, нет нужды копаться в свойствах файла, запустившего процесс – всё и так, как на ладони. Тем не менее, это не мешает щелкнуть по подозрительному процессу правой кнопкой мышки и выбрать «Свойства», чтобы получить доскональные сведения о файле процесса в отдельном окошке.
Чтобы попасть в папку программы, который принадлежит процесс, щелкните по названию процесса правой кнопкой мыши и выберите «Проводник в папку процесса».
Но самая удобная опция в Starter – возможность начать поиск информации о процессе прямо из окна программы. Для этого щелкните правой кнопкой мышки по процессу и выберите «Искать в Интернет».
После того, как вы получите полную информацию о файле, запустившем процесс, его разработчике, назначении и мнение о процессе в сети интернет, сможете достаточно точно определить – вирус перед вами или мирная программа-трудяга. Здесь действует тот же принцип, что и в Диспетчере задач. Подозрительны те процессы и модули процессов, для которых не указан разработчик, в описании которых ничего нет либо написано что-то невнятное, процесс или задействованные им модули запускаются из подозрительной папки. Например, Temp, Temporary Internet Files или из папки в Program Files, но вы точно помните, что указанную там программу вы не устанавливали. И, наконец, если в интернете четко сказано, что данный процесс принадлежит вирусу, радуйтесь – зловреду не удалось спрятаться от вас!
Одно из самых распространенных заблуждений начинающих чайников касается процесса svchost.exe. Пишется он именно так и никак иначе: svshost.exe, scvhost.exe, cvshost.exe и другие вариации на эту тему – вирусы, маскирующиеся под хороший процесс, который, кстати, принадлежит службам Windows. Точнее, один процесс svchost.exe может запускать сразу несколько системных служб. Поскольку служб у операционной системы много и все они нужны ей, процессов svchost.exe тоже много.
В Windows XP процессов svchost.exe должно быть не более шести. Пять процессов svchost.exe – нормально, а вот уже семь – стопроцентная гарантия, что на вашем компьютере поселился зловред. В Windows Vista процессов svchost.exe больше шести. У меня, к примеру, их четырнадцать. Но и системных служб в Windows Vista намного больше, чем в предыдущей версии этой ОС.
Узнать, какие именно службы запускаются процессом svchost.exe, вам поможет другая полезная утилита – Process Explorer. Скачать последнюю версию Process Explorer вы можете с официального сайта Microsoft: technet.microsoft.com
Process Explorer выдаст вам описание процесса, запустившую его программу, наименование разработчика и множество полезной технической информации, понятной разве что программистам.
Наведите мышку на имя интересующего вас процесса, и вы увидите путь к файлу, запустившему данный процесс.
А для svchost.exe Process Explorer покажет полный перечень служб, относящихся к выделенному процессу. Один процесс svchost.exe может запускать несколько служб или всего одну.
Чтобы увидеть свойства файла, запустившего процесс, щелкните по интересующему вас процессу правой кнопкой мышки и выберите «Properties» («Свойства»).
Для поиска информации о процессе в интернете при помощи поисковой системы Google, просто щелкните по названию процесса правой кнопкой мыши и выберите «Google».
Как и ранее, подозрения должны вызвать процессы без описания, без наименования разработчика, запускающиеся из временных папок (Temp, Temporary Internet Files) или из папки программы, которую вы не устанавливали, а также идентифицируемые в интернете как вирусы.
И помните, для качественно работы программ Process Explorer и Starter в Windows Vista, их нужно запускать с административными правами: щелкните по исполняемому файлу программы правой кнопкой мышки и выберите «Запуск от имени администратора».
Однако хочется вас разочаровать, только очень глупые вирусы выдают себя в списке процессов. Современные вирусописатели уже давно научились прятать свои творения не только от глаз пользователей, но и от антивирусных программ. Поэтому спасти вас в случае заражения качественно написанной вредоносной программой может лишь хороший антивирус со свежими базами (да и то не факт!), наличие резервной копии со всей вашей информацией и диск с дистрибутивом Windows для переустановки системы. Тем не менее, периодически заглядывать в список процессов все же стоит – мало ли какой scvhost или mouse.exe там притаился.