Co to jest lsass.exe i dlaczego działa?

Więc znalazłeś lsass.exe działający w systemie Windows. Prawdopodobnie chciałbyś wiedzieć, czy jest to wirus, czy też coś, co powinno tam być. Mamy dobre wieści. Ten proces nie jest wirusem, plik lsass.exe został stworzony przez firmę Microsoft i jest podstawowym systemem „Proces zabezpieczeń lokalnych” wbudowanym w system Windows. Istnieje jednak pewne ryzyko związane z plikiem cat-copy. Aby uzyskać więcej informacji, przeczytaj dalej.

Znane jako lokalne uwierzytelnianie bezpieczeństwaserwer, plik ten generuje proces odpowiedzialny za uwierzytelnianie użytkowników w usłudze WinLogon. Proces ten jest wykonywany przy użyciu pakietów uwierzytelniania, takich jak domyślny msgina.dll. Po pomyślnym uwierzytelnieniu lsass.exe generuje token dostępu użytkownika, który służy do uruchomienia początkowej powłoki. Inne procesy inicjowane przez użytkownika dziedziczą ten token.

Spojrzenie na lsass.exe w eksploratorze procesów ujawnia, że ​​obsługuje on 3 podstawowe usługi uwierzytelniania w systemie Windows:

• EFS (system szyfrowania plików)
  • Zapewnia podstawową technologię szyfrowania plików używaną do przechowywania zaszyfrowanych plików na woluminach systemu plików NTFS. Jeśli ta usługa zostanie zatrzymana lub wyłączona, aplikacja nie będzie mogła uzyskać dostępu do zaszyfrowanych plików.
• KeyIso (izolacja klucza CNG)
  • Izolacja klucza CNG jest hostowana w LSAproces. Usługa zapewnia izolację procesu klucza dla kluczy prywatnych i powiązanych operacji kryptograficznych zgodnie z wymaganiami wspólnych kryteriów. Usługa przechowuje i używa długo żyjących kluczy w bezpiecznym procesie zgodnym z wymaganiami Common Criteria.
• SamSs (Menedżer kont zabezpieczeń)
  • Uruchomienie tej usługi sygnalizuje inneusługi, które Menedżer kont zabezpieczeń (SAM) jest gotowy do przyjmowania żądań. Wyłączenie tej usługi zapobiegnie powiadamianiu innych usług w systemie, gdy SAM jest gotowy, co z kolei może spowodować nieprawidłowe uruchomienie tych usług. Ta usługa nie powinna być wyłączona.

Program lsass.exe obsługuje również lokalne zasady IPSEC. To zarządza i uruchamia ISAKMP / Oakley (IKE) i sterownik bezpieczeństwa IP w systemie Windows Server.

Słaby punkt

W notatce bezpieczeństwa ten proces jest bezpieczny. Jednak wiadomo, że wirus copy-cat infekuje systemy. Przeważnie złośliwy proces nosi nazwę isass.exe (Isass.exe = zły), który wygląda podobnie do Lsass.exe (lsass.exe = dobry). Jeśli okaże się, że proces zaczyna się od dużej litery „i” zamiast małej litery „L”, oznacza to, że twój system jest prawdopodobnie zainfekowany.

Ten „isass”.exe ”to wirus trojański znany jako robak Sasser. Celem robaka jest potajemne zainfekowanie systemu i rozpoczęcie gromadzenia danych. Wirus ten rejestruje każde wpisane naciśnięcie klawisza, a zwłaszcza nazwy użytkownika konta, hasła, numery kart kredytowych i inne poufne dane, które mogą być wykorzystane do nieuczciwego zysku finansowego. Jeśli okaże się, że komputer jest zainfekowany, wirusa można usunąć za pomocą narzędzia Microsoft Malware Removal.

Na szczęście naśladowca „isass”.exe ”wirus nie był widziany od kilku lat. Microsoft już dawno załatał lukę, która pozwoliła wirusowi zainfekować system Windows. Dlatego ważne jest, aby zawsze aktualizować system.

Wniosek

Ogólnie lsass.xe to domyślny proces uruchamiania, który kontroluje bezpieczeństwo logowania. Ten proces jest bezpieczny i niezbędny do działania systemu Windows. Ma niewielką powierzchnię systemu, jednak użycie pamięci nie ma znaczenia, ponieważ bez niego system Windows nie może działać poprawnie. Jeśli komputer jest opóźniony w aktualizacji, istnieje ryzyko zarażenia się wirusem copy-cat, ale nawet wtedy jest mało prawdopodobne, chyba że nadal używasz systemu Windows XP lub wcześniejszego.