In questo articolo Indice dei contenuti 2 sezioni
Il Task Manager di Windows viene aperto quasi sempre per gli stessi motivi, cioè chiudere un’app che non risponde o capire quanto un programma stia pesando sulla CPU. Eppure dentro questo strumento si nascondono funzioni ben più interessanti, alcune pensate proprio per individuare malware e processi sospetti che lavorano in background senza dare nell’occhio. Queste colonne però risultano disattivate di default, probabilmente per non disorientare gli utenti meno esperti. Per abilitarle bastano pochi clic.
Un caso pratico rende bene l’idea. Durante una sessione di Forza Horizon 6 è comparso uno stuttering fastidioso, con la GPU ferma al 100%. Nella scheda Processi del Task Manager la colonna dedicata alla scheda video non era visibile. È bastato un clic destro su una qualsiasi intestazione e la selezione della voce “GPU” per aggiungerla. Ordinando i processi in base all’utilizzo grafico è emerso il colpevole. Wallpaper Engine, l’app per gli sfondi animati, spingeva la scheda al massimo ogni pochi minuti. Il problema si è risolto in un minuto.
Le colonne nascoste della scheda Processi
Lo stesso procedimento vale per qualunque altra colonna. La scheda Processi ne prevede 15 in totale ma ne mostra soltanto 6 in partenza, ovvero Nome, Stato, CPU, Memoria, Disco e Rete. Le altre nove restano lì in attesa di essere attivate.
Sul fronte della sicurezza le più utili sono due, Riga di comando e Nome percorso immagine. La prima indica da dove viene avviato ciascun processo, la seconda rivela la posizione esatta del file eseguibile. Messe insieme permettono di smascherare un trucco piuttosto classico dei software malevoli, che adottano lo stesso nome di un processo legittimo di Windows come svchost.exe o explorer.exe sperando che nessuno vada a controllare.
Se un processo chiamato svchost.exe consuma parecchia memoria o CPU, la colonna Riga di comando ne mostra il percorso di avvio. Quando al posto di C:WindowsSystem32svchost.exe compare qualcosa come C:UsersNomeUtenteDownloadssvchost.exe, quasi certamente si tratta di un malware.
Scheda Dettagli e controlli rapidi
C’è però un limite da considerare. Nella scheda Processi la colonna Riga di comando a volte riporta solo il nome del file, senza il percorso completo. Per avere un quadro definitivo conviene spostarsi nella scheda Dettagli, più tecnica ma anche più precisa. La via più veloce consiste nel fare clic destro sul processo sospetto e scegliere “Vai a Dettagli”. Il Task Manager di Windows porta così direttamente alla voce corrispondente nella scheda giusta.
Una volta lì basta un clic destro su una colonna qualsiasi e poi su “Seleziona colonne” per aggiungere sia Riga di comando sia Nome percorso immagine. Quest’ultima è disponibile esclusivamente in questa scheda e mostra il percorso completo dell’eseguibile anche quando l’altra colonna non lo fa. Un svchost.exe fasullo che gira da una cartella sbagliata salta subito all’occhio, perché compare accanto agli esemplari autentici che puntano tutti a System32.
Per una verifica lampo su un singolo processo, senza passare da Esplora file, esiste anche l’opzione Cerca online nel menu del clic destro. Si apre una ricerca nel browser predefinito, sempre tramite Bing anche se è stato impostato un altro motore, che chiarisce subito se quel processo è noto e legittimo.
Va detto che il metodo non è infallibile. Alcuni malware più sofisticati riescono a iniettare codice all’interno di processi legittimi che girano dai percorsi corretti. Se dispongono dei permessi di amministratore possono perfino copiare i propri file dentro cartelle di sistema come System32. La tecnica descritta intercetta comunque la maggior parte delle minacce comuni, quelle che si limitano a copiare il nome di un processo senza preoccuparsi troppo di nascondere la propria posizione.
Fonte: TecnoAndroid