Windows 10 to system operacyjny oparty na usługach i procesach. W rzeczywistości, jeśli uzyskasz dostęp do lokalnych usług systemu, natkniesz się na szeroką gamę usług, z których niektóre są bardzo przejrzyste, a inne nie. Właśnie tam musimy być ostrożni, ponieważ jeśli zakończymy proces lub usługę, której nie rozumiemy, możemy ponieść ogólne awarie, które spowodują niestabilność systemu lub któregokolwiek z jego elementów.
Proces conhost.exe rozpoczyna się, gdy uruchamiamy terminal poleceń zawierający zarówno aktywne, jak i nieaktywne okno. W tym złożonym świecie usług i procesów z pewnością znajdziemy w pewnym momencie plik o nazwie „conhost.exe” i chociaż jego nazwa i misja nie są jasne, musimy go szczegółowo przeanalizować przed podjęciem jakichkolwiek działań na nim. Niektóre działania mające na celu sprawdzenie, czy nie jesteśmy zainfekowani przez zainfekowaną kopię tej usługi, to:
Przeanalizuj, czy conhost.exe jest złośliwy
- Spróbuj zamknąć wszystkie okna CMD lub konsoli poleceń za pomocą procesu cmd.exe
- Przejrzyj zaplanowane zadania i sprawdź, czy są uruchomione jakieś zadania.
- Sprawdź, czy jakaś aplikacja używa konsoli poleceń do wykonywania czynności
- Uruchom skaner wirusów i złośliwego oprogramowania na swoim komputerze
- Użyj aplikacji do rozwiązywania problemów i naprawy systemu
Dlatego Solvetic jest tutaj, aby pomóc Ci w odpowiedzi na pytania dotyczące złośliwego oprogramowania.
1. Co to jest plik conhost.exe
Pierwszą rzeczą, którą musimy zrozumieć i wyjaśnić, jest to, że jako plik wykonywalny (.exe) mówimy o oryginalnym pliku, który jest podpisany przez Microsoft i którego domyślna lokalizacja znajduje się w folderze system32. Powód, dla którego o tym mówimy, jest prosty, wiele plików wykonywalnych jest skonfigurowanych ze złośliwymi kodami, których celem jest atak na system i pliki lokalne, dlatego ich lokalizacja nie będzie folderem systemowym, takim jak folder System32.
Od wersji XP istnieje aktywny proces o nazwie ClientServer Runtime System Service (CSRSS). Ten proces jest usługą na poziomie systemu. Cóż, Microsoft opracował proces conhost.exe, aby mógł działać w ramach procesu csrss.exe. Ale nie wszystko jest takie proste, jak się wydaje, ponieważ przy wykonywaniu go w ten sposób pojawiły się dwa problemy, które były:
- Każda awaria, chociaż minimalna, w CSRSS blokowała cały system, logicznie wpływając na produktywność i wydajność.
- Po drugie, CSRSS nie mógł mieć nowych motywów, co ograniczało programistę do modyfikowania aspektów okna.
Z natury systemu Windows normalne jest, że w Menedżerze zadań działają różne wystąpienia procesu hosta okna konsoli (conhost.exe). Dzieje się tak, ponieważ każde złożone przez nas zamówienie niezależnie utworzy proces conhost, na przykład po otwarciu wiersza poleceń w systemie Windows 10 i użyciu narzędzia Process Explorer możemy zobaczyć, że conhost.exe jest powiązany z wykonaną konsolą:
POWIĘKSZAĆ
NotatkaTo narzędzie można pobrać pod następującym linkiem:
Typowe błędy conhost.exeW tym świecie procesów i usług normalne jest, że znajdujemy pewne błędy conhost.exe, takie jak:
- Błąd aplikacji Conhost.exe
- Conhost.exe nie jest prawidłową aplikacją Win32
- Conhost.exe nie jest uruchomiony
- Wystąpił problem z plikiem Conhost.exe i zostanie zamknięty. Przepraszamy za niedogodności
- Nie można znaleźć conhost.exe
- Nie znaleziono pliku Conhost.exe
- Ścieżka aplikacji powodującej błąd: conhost.exe
- Błąd podczas uruchamiania programu: conhost.exe
- Conhost.exe nie powiodło się
W tego typu sytuacjach Solvetic zaleca użycie narzędzia Process Explorer, ponieważ poda ono konkretną ścieżkę, w której powiązany jest Conhost.exe, i stamtąd będziemy mogli podejmować odpowiednie decyzje administracyjne.
2. Dowiedz się, czy plik conhost.exe jest wirusem
Dosadna i jasna odpowiedź brzmi „Nie”, jak wspomnieliśmy, jest to proces podpisany przez Microsoft, który znajduje się w katalogu System32, ale ponieważ wszystko na tym świecie ma swoją kopię lub imitację, możliwe jest, że atakujący symuluje conhost plik.exe, aby wykonać swoje działania.
Krok 1
Robią to, modyfikując literę lub jej kolejność, ale aby rozwiać wszelkie wątpliwości, możemy przejść do Menedżera zadań i tam wykryć wiersz "Host of console window", kliknąć prawym przyciskiem myszy i wybrać opcję "Otwórz lokalizację pliku ":
W ten sposób zostaniemy przekierowani do pierwotnej lokalizacji pliku conhost.exe, który, jeśli jest oryginalny, musi znajdować się w ścieżce.
C: \ Windows \ System32
POWIĘKSZAĆ
Abyśmy mogli sprawdzić, w jaki sposób można zastąpić ten plik, obecnie istnieje trojan o nazwie Conhost Miner, który jest procesem działającym jak koparka bitcoinów i wyraźnie wiemy, że oznacza to nadmierne zużycie zasobów systemowych, takich jak procesor, pamięć , itp., wpływając na jego optymalną wydajność, tego trojana można znaleźć w następującej ścieżce.
Widzimy, że na poziomie wyglądu symuluje bycie conhost.exe, ale jego cel wcale nie jest celem Microsoftu, co wpływa na bezpieczeństwo i wydajność naszego komputera.
% userprofile% \ AppData \ Roaming \ Microsoft
POWIĘKSZAĆ
Możemy użyć narzędzi antywirusowych lub antymalware, aby wykluczyć wszelkie zagrożenia tego typu, a tym samym wiedzieć, że wykonany plik conhost.exe jest prawidłowy.
Dowiedzieliśmy się, że przed usunięciem pliku Windows musimy udokumentować jego pochodzenie i działanie, aby ogólnie uniknąć destabilizacji systemu.
