Procesos y Aplicaciones en Windows (2)

Hace unos "días" prometí continuar con el tema de las aplicaciones (procesos) en Windows, tema que parece una tontera pero que puede llegar a ayudarnos a detectar "intrusos" en nuestro sistema y, por ende, a mejorar el rendimiento y el aprovechamiento de todos los recursos (que siempre son escasos y limitados) al eliminarlos.

Hasta aquí hemos visto un listado de procesos o aplicaciones "malignas" que, de ser detectadas, deben ser interrumpidas o eliminadas lo antes posible. En esa lista (larga por cierto) solo figuran servicios (de Windows XP o Vista) de alto riesgo, si hubiéramos incluido los de posible riesgo la lista (obviamente) hubiera crecido un poco más. La lista segura, de aquellos procesos o servicios que no incluyen ningún riesgo es igualmente larga y calculo que puede ser leída (por internet) desde otro sitio, no tiene sentido colgarla aquí.

Por otro lado, lo que yo quería postear hoy era, por una parte la pequeña lista se procesos exclusivos de Windows Vista (lista segura) y otra hacer unas aclaraciones sobre los cuatro procesos seguros (y fundamentales) que enumeré (csrss.exe; lsass.exe; svchost.exe y explorer.exe). Ustedes se preguntarán ¿son seguros? La respuesta es muy simple, en su "estado original" son, además de seguros, imprescindibles (ya explicamos el por qué), pero es por eso que suelen ser el blanco de muchos virus y otras amenazas ya que pueden ser infectados y, peor aún, imitados.

Una técnica muy común y muy efectiva (para un montón de cosas) es el Baile de Letras, que en el caso de nombres algo complicados, aprovechan esta dificultad para "esconderse" y confundirse entre los procesos legítimos. Un ejemplo:
El ejecutable csrss.exe (el original) y el csrrs.exe (el infectado - el imitador) podrían pasar (ambos) inadvertidos para un usuario que busca en la interminable lista de procesos, alguno "enfermo".

Otra forma de "engañar" es aprovechando la brecha se seguridad que produce la similitud, por no decir igualdad, entre el número uno (1), la letra ele minúscula (l) y la letra i mayúscula (I), por lo que muchas veces 1=l=I. La tipografía que utiliza Windows para mostrar el listado de procesos casi no distingue entre esas tres opciones (letras o números) por lo que si leemos 1sass, lsass o Isass no podremos ver la diferencia.

Finalmente, otro de los trucos usados, es agregar espacios en blanco. La diferencia entre svchost.exe (original), " svchost.exe" y "svchost .exe" es también imperceptible a los ojos en ese listado de procesos. Por eso, mucho cuidado al buscar procesos malignos porque muchas veces estarán camuflados de procesos legítimos y no podremos verlos.

Aquí va un pequeño listado (lista blanca) de procesos exclusivos de Windows Vista:

audiodg.exe Para que funcione la tarjeta de sonido.

dwm.exe POSIBLE RIESGO Desktop Windows Manager se ocupa de los efectos 3D de Vista. Si el archivo no se encuentra en la carpeta C:/Windows/System32/ puede ser un virus.

FXSSVX.exe Para el fax y scanner de Vista.

LogonUI.exe Para el registro del Usuario y para accesos remotos.

MSASCui.exe Componente de Windows Vista Defender.

sdclt.exe Forma parte de la protección de datos de Vista.

SearchIndexer.exe Componente de la función de búsqueda.

Sidebar.exe La barra lateral.

splwow64.exe Función solo en Windows Vista 64bits.

taskeng.exe Para cargar gran parte de las tareas programadas.

VSSvc.exe Interviene en la seguridad de Windows Vista.

wercon.exe Graba los fallos de Vista y los envía a Microsoft.

wmdc.exe Windows Mobile Device Center sincroniza los datos entre dos dispositivos.

wpcumi.exe Función de protección de contenidos según la edad.

WUDFHost.exe Sin él no funcionan otras diversas funciones.

Procesos y Aplicaciones en Windows (1)

Una de las cosas que más se notan con el paso del tiempo en nuestro ordenador, es la ralentización de todo el sistema y de cuanto hacemos o intentemos hacer. He escuchado razones muy graciosas al respecto, como que la PC se cansa porque está vieja, o porque está gastada. La verdad es que a medida que pasa el tiempo, sin notarlo, agregamos "tareas" a nuestro ordenador que, al sumarlas, hacen todo trabajo más pesado y, por lo tanto, más lento. Cada vez que instalamos software cambiamos en cierto modo la forma de funcionar de nuestro ordenador, dejando muchas veces algunas "tareas" en forma "residente" (andando continuamente) que, a partir de ese momento, se ejecutarán siempre; a veces en forma invisible.

Muchos de estos "procesos" son fundamentales para el correcto funcionamiento de Windows, otros en cambio, no lo son tanto y pueden ser "desactivados". Existe una tercera posibilidad que se puede dar, sobre todo, en equipos sin protección anti-virus, y es que alguno o varios de esos procesos sean acción de algún virus o malware en general; en ese caso deben ser eliminados.
Dentro de los procesos fundamentales que sí son necesarios siempre, encontramos:

csrss.exe que es el proceso responsable de gestionar todas las ventanas que se abren y, por lo tanto, de permitir que el usuario pueda acceder a ellas, modificar su tamaño, cerrarlas, etc. Es de vital importancia que esté permanentemente funcionando.

lsass.exe gestionatodo lo relacionado con la seguridad del sistema, servicios, aplicaciones y componentes de Windows, que son los valedores de la política y las directrices de seguridad.

svchost.exe su función es la de administrar y regular el trabajo de todos los procesos que suelen estar funcionando simultáneamente. Además, también inicia otros procesos, como la actualización del sistema, la conexión a Internet, o la búsqueda de Windows. Por eso es totalmente normal que encuentres varias entradas con su nombre en el Administrador de Tareas, ya que cada una de sus funciones depende de una instancia distinta.

explorer.exe su función es tan sencilla como importante, ya que es el responsable de gestionar adecuadamente el escritorio de Windows, permitir el acceso a los contenidos del mismo y, en cierta forma, de las ventanas y otros elementos abiertos durante una sesión de trabajo. Si lo cierras, el escritorio simplemente desaparecerá.

Como ya dije antes, pueden aparecer en ese listado infernal de procesos, algunos que sean la acción de algún virus. Hoy solamente los voy a listar, con la intención de explicar un poco más (todo esto) en otro post. Los siguientes son de "alto riesgo", y por favor, prestar atención porque muchos de ellos tiene solo una letra cambiada con la aplicación original que no es dañina. Ante la duda no borrar ni cambiar nada.

Adobes.exe
adstatserv.exe
Bargains.exe y bargain.exe
Belt.exe
Blank.exe
bot.exe
Buddy.exe
btv.exe
cd_instal.exe
comcfg.exe
Command.exe
desktop.exe
directxset.exe
divx.exe
download.exe
downloadplus.exe
druid_cchoice.exe
eraseme_75103.exe
FVProtect.exe
gmt.exe
helpexp.exe
hidden.exe y hidden32.exe
iedriver.exe
isass.exe (diferencia entre la "i" mayúscula y la "ele" minúscula del lsass.exe original)
keylogger.exe
Keymgr.exe
Isa.exe
Microsoft.exe
mscache.exe
MSUpdate.exe
NavPass.exe
NsUpdate.exe
ocxdll.exe
olehelp.exe
patch.exe
safe.exe y safenow.exe
SearchNav.exe
service5.exe
sp.exe
Taskbar.exe
testing.exe
tmp.exe
tsl.exe
tvm.exe
twain_16.dll.exe (ver el doble punto)
wincomm.exe
Windows.exe
winxp.exe
xpservicepack.exe

Como verán algunos tienen nombres que automáticamente nos suenan seguros o conocidos, ya que imitan nombres de aplicaciones seguras para no ser detectados o eliminados por el usuario. Por eso tener mucho cuidado al controlar, y sobre todo eliminar algo. Nos leemos en el próximo post.-