Статьи в Воронеже
17 ноября 2026 г
Критические системные процессы Microsoft Windows
Local Security Authority Subsystem Service (lsass.exe)
LSASS - часть операционной системы отвечающей за авторизацию локальных пользователей отдельного компьютера (сокр. от Local Security Authority Subsystem Service). Сервис является критическим, так как без него вход в систему для локальных пользователей (не зарегистрированных в домене) невозможен в принципе.
Процесс проверяет данные для авторизации, при успешной авторизации служба выставляет флаг о возможности входа. Если авторизация была запущена пользователем, то также ставится флаг запуска пользовательской оболочки. Если авторизация была инициализирована службой или приложением, данному приложению предоставляются права данного пользователя.
При заражении трояном или при получении полного доступа к днному сервису система полностю ?обезоруживается? ? злоумышленник может получить полные права для доступа к целевому компьютеру. Поэтому способ шифрования и способ передачи данных для авторизации между компонентами не документируется. К тому же пароль передается не в чистом виде, а в виде хеша, который сравнивается с хешем реального пароля.
Если компьютер входит в домен, авторизация сетевых пользователей производится на сервере локальной сети.
Session Manager Subsystem (smss.exe)
SMSS - сокращение от Session Manager Subsystem Service. Процесс SMSS отвечает за:
* инициализацию переменных окружения
* запуск процессов CSRSS и Winlogon
* контроль работы процесса Winlogon
* запуск программы CHKDSK (Autochk)
Windows XP может продолжать работу без запущенного smss.exe, но при этом компьютер будет работать нестабильно. Если этот процесс не может запуститься, Windows XP отображает синий экран смерти.
Client/Server Runtime Subsystem (csrss.exe)
CSRSS ? сокращённо от Client-Server Runtime Subsystem, является критическим процессом операционной системы Windows. Одноимённый исполняемый файл хранится в системной директории в папке system32.
Файл отвечает за работу:
* терминальных служб,
* служб удалённого доступа к рабочему столу,
* консольных приложений,
* а также является менеджером потоков в операционной системе.
По умолчанию его завершение в Диспетчере задач запрещено. Завершение csrss.exe каким-либо другим способом ведёт к аварийной перезагрузке Windows.
Множество вирусов использует данное имя приложения, чтобы не вызвать подозрения у пользователя, тем более что для каждого терминального доступа создаётся отдельный экземпляр файла, поэтому на серверных машинах их количество может доходить до нескольких десятков. Оригинальный файл хранится только в папке system32, а его подмена практически невозможна на компьютере с одной ОС.
svchost.exe в семействе операционных систем Microsoft Windows (2000, XP, Vista) ? главный процесс (англ. Host process) для служб, загружаемых из динамических библиотек.
Использование единого процесса для работы нескольких сервисов позволяет существенно уменьшить затраты оперативной памяти и процессорного времени.
Алгоритм работы
Все копии svchost.exe запускаются системным процессом services.exe. Вызовы svchost.exe для сервисов указаны в ключе реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ (где имя сервиса) в поле ImagePath; например, сервис ComputerBrowser (имя сервиса Browser) вызывается как %SystemRoot%\system32\svchost.exe -k netsvcs. При этом группировка процессов осуществляется на основании данных ветви реестра HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost, где каждый ключ соответствует имени группы, а значение ключа ? списку (через пробел) имён сервисов относящихся к группе.
Вирусная активность
Некоторые компьютерные вирусы и трояны маскируются под имя svchost.exe, помещая исполняемый файл в отличный от system32 каталог. (например, Net-Worm.Win32.Welchia.a, Virus.Win32.Hidrag.d, Trojan-Clicker.Win32.Delf.cn ).
LSASS - часть операционной системы отвечающей за авторизацию локальных пользователей отдельного компьютера (сокр. от Local Security Authority Subsystem Service). Сервис является критическим, так как без него вход в систему для локальных пользователей (не зарегистрированных в домене) невозможен в принципе.
Процесс проверяет данные для авторизации, при успешной авторизации служба выставляет флаг о возможности входа. Если авторизация была запущена пользователем, то также ставится флаг запуска пользовательской оболочки. Если авторизация была инициализирована службой или приложением, данному приложению предоставляются права данного пользователя.
При заражении трояном или при получении полного доступа к днному сервису система полностю ?обезоруживается? ? злоумышленник может получить полные права для доступа к целевому компьютеру. Поэтому способ шифрования и способ передачи данных для авторизации между компонентами не документируется. К тому же пароль передается не в чистом виде, а в виде хеша, который сравнивается с хешем реального пароля.
Если компьютер входит в домен, авторизация сетевых пользователей производится на сервере локальной сети.
Session Manager Subsystem (smss.exe)
SMSS - сокращение от Session Manager Subsystem Service. Процесс SMSS отвечает за:
* инициализацию переменных окружения
* запуск процессов CSRSS и Winlogon
* контроль работы процесса Winlogon
* запуск программы CHKDSK (Autochk)
Windows XP может продолжать работу без запущенного smss.exe, но при этом компьютер будет работать нестабильно. Если этот процесс не может запуститься, Windows XP отображает синий экран смерти.
Client/Server Runtime Subsystem (csrss.exe)
CSRSS ? сокращённо от Client-Server Runtime Subsystem, является критическим процессом операционной системы Windows. Одноимённый исполняемый файл хранится в системной директории в папке system32.
Файл отвечает за работу:
* терминальных служб,
* служб удалённого доступа к рабочему столу,
* консольных приложений,
* а также является менеджером потоков в операционной системе.
По умолчанию его завершение в Диспетчере задач запрещено. Завершение csrss.exe каким-либо другим способом ведёт к аварийной перезагрузке Windows.
Множество вирусов использует данное имя приложения, чтобы не вызвать подозрения у пользователя, тем более что для каждого терминального доступа создаётся отдельный экземпляр файла, поэтому на серверных машинах их количество может доходить до нескольких десятков. Оригинальный файл хранится только в папке system32, а его подмена практически невозможна на компьютере с одной ОС.
svchost.exe в семействе операционных систем Microsoft Windows (2000, XP, Vista) ? главный процесс (англ. Host process) для служб, загружаемых из динамических библиотек.
Использование единого процесса для работы нескольких сервисов позволяет существенно уменьшить затраты оперативной памяти и процессорного времени.
Алгоритм работы
Все копии svchost.exe запускаются системным процессом services.exe. Вызовы svchost.exe для сервисов указаны в ключе реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ (где имя сервиса) в поле ImagePath; например, сервис ComputerBrowser (имя сервиса Browser) вызывается как %SystemRoot%\system32\svchost.exe -k netsvcs. При этом группировка процессов осуществляется на основании данных ветви реестра HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost, где каждый ключ соответствует имени группы, а значение ключа ? списку (через пробел) имён сервисов относящихся к группе.
Вирусная активность
Некоторые компьютерные вирусы и трояны маскируются под имя svchost.exe, помещая исполняемый файл в отличный от system32 каталог. (например, Net-Worm.Win32.Welchia.a, Virus.Win32.Hidrag.d, Trojan-Clicker.Win32.Delf.cn ).