In questo articolo Indice dei contenuti 3 sezioni
Quando nel Task Manager di Windows 11 compare un processo sconosciuto, con un nome che non dice nulla e un consumo di memoria che sembra esagerato, la tentazione di chiuderlo subito è forte. Prima di pensare al peggio conviene però sfruttare una funzione poco nota del sistema operativo Microsoft, cioè la possibilità di visualizzare la riga di comando completa dei programmi in esecuzione e delle applicazioni impostate per l’avvio automatico.
Il Task Manager, richiamabile con CTRL+MAIUSC+ESC, accompagna il sistema operativo fin dalle prime generazioni e non si limita a mostrare CPU, RAM e attività del disco. Con Windows 11, soprattutto dalla versione 22H2 che ha portato un’interfaccia profondamente rinnovata, molte informazioni tecniche sono diventate più accessibili, anche se spesso restano nascoste dietro le colonne predefinite. Non si tratta di una novità ma di uno strumento che parecchi utenti ignorano e che può tornare prezioso anche per diagnosticare problemi di sicurezza.
Come attivare la colonna Riga di comando
Nella sezione Dettagli di Gestione attività basta un clic destro sull’intestazione delle colonne per scegliere Seleziona colonne. Attivando Riga di comando appare una nuova colonna con il comando usato per avviare ciascun processo. Il nome dell’eseguibile indica quale file sta girando, mentre la riga di comando mostra anche il percorso e gli argomenti che ne determinano il comportamento.
Il caso di svchost.exe è emblematico. Windows 11 lo utilizza per ospitare numerosi servizi di sistema e dal solo nome è impossibile capire quale stia gestendo davvero. La riga di comando aggiunge indizi utili, come il gruppo di servizi di appartenenza o in alcuni casi il nome preciso del servizio. Gli argomenti però non sostituiscono la verifica dei servizi effettivamente ospitati, che si può fare dalla scheda Servizi oppure con il comando tasklist dal Prompt dei comandi.
La stessa colonna esiste nella sezione App di avvio, dedicata ai programmi in esecuzione automatica, e qui l’operazione è ancora più rapida. Torna utile quando spuntano nomi poco chiari o software che l’utente non ricorda di aver installato. Una voce chiamata semplicemente Update potrebbe appartenere a un programma legittimo che aggiorna i propri componenti, ma il nome da solo non basta. Il percorso aiuta a risalire alla cartella di installazione e spesso al produttore, mentre eventuali parametri possono spiegare perché un’applicazione parta senza mostrare alcuna finestra.
Leggere parametri e firme senza prendere abbagli
Per gli argomenti non esiste uno standard universale e ogni sviluppatore li definisce a modo suo. Un parametro come background suggerisce l’esecuzione in sottofondo, uno come minimized l’avvio con la finestra ridotta a icona. Con rundll32.exe, componente legittimo che richiama funzioni da librerie DLL, solo la riga di comando rivela quale libreria e quale funzione sono coinvolte. Lo stesso vale per powershell.exe, cmd.exe o wscript.exe. In PowerShell il parametro EncodedCommand segnala un comando in forma codificata, il che non implica per forza cattive intenzioni ma merita un approfondimento se l’esecuzione è inattesa. Una riga apparentemente normale comunque non esclude la presenza di malware, perché un processo malevolo può usare nomi plausibili o sfruttare componenti autentici del sistema.
Conviene poi controllare dove si trova il file con la voce Apri percorso file, quando disponibile. Da Esplora file si esaminano proprietà, versione e scheda Firme digitali. La firma digitale Authenticode permette di verificare l’integrità del file e identificare il titolare del certificato, ma non è una garanzia assoluta visto che anche software malevoli possono averne di valide. Da PowerShell lo stato Valid indica una firma considerata valida e NotSigned l’assenza di una firma utilizzabile. Un eseguibile che richiama un componente di Windows ma risiede in una cartella insolita merita attenzione, mentre programmi in AppData o ProgramData non sono di per sé sospetti. Calcolando l’hash SHA256 si può confrontare il file con i dati del produttore o di servizi come VirusTotal.
Il trucco del tasto CTRL e gli strumenti Sysinternals
Tenendo premuto CTRL con il Task Manager aperto l’aggiornamento dell’elenco si ferma momentaneamente. I processi smettono così di saltare da una riga all’altra e diventa facile leggere il nome, annotare il PID e aprire il menu contestuale. La pausa riguarda solo l’interfaccia, i programmi continuano a funzionare. Un doppio clic sui grafici della sezione Prestazioni attiva invece una vista compatta, mentre nelle impostazioni si può tenere la finestra sempre in primo piano.
Per analisi più approfondite Microsoft offre gratuitamente la suite Sysinternals. Process Explorer mostra le relazioni tra processi padre e figli, gli handle aperti e le DLL caricate in memoria. Autoruns esamina invece le numerose posizioni da cui Windows avvia software senza un intervento esplicito dell’utente, a partire dalle chiavi del Registro e dalle cartelle di avvio.
Fonte: TecnoAndroid