Các tiến trình Windows đóng vai trò quan trọng trong việc chạy trơn tru PC/laptop. Một số, như csrss.exe và winlogon.exe, quan trọng đến mức nếu bạn nhầm chấm dứt chúng, có thể làm sập thiết bị. Tác giả malware tận dụng độ quan trọng này để lây lan hệ thống Windows khỏe mạnh. Thông điệp là virus, adware, spyware và Trojan có thể đặt tên bất kỳ – thậm chí đặt tên trùng tiến trình hệ thống Windows chuẩn.
Dưới đây là các tiến trình Windows 11 và 10 phổ biến thường bị nhầm lẫn với malware cùng tên. Học cách phát hiện giả mạo nếu chúng xuất hiện trên hệ thống.
Cách xác định tiến trình Windows hợp pháp
Có hai cách kiểm tra tiến trình Windows hợp pháp hay nguồn malware: qua Thuộc tính Ứng dụng và dùng công cụ bên ngoài như CrowdInspect của CrowdStrike.
1. Xác minh tính hợp pháp qua Thuộc tính
Tất cả file tiến trình Windows được phép đều liên kết với Microsoft Corporation, nhà phát triển chương trình/app chính thức hoặc tài khoản Microsoft tích hợp như TrustedInstaller.exe, quản lý thư mục như WindowsApps.
Để xác định tiến trình Windows 11/10 hợp pháp không phải malware, cần nhìn "dưới nắp" trong Thuộc tính Ứng dụng. Vào tab "Chi tiết" tìm chủ sở hữu bản quyền chính thức của tiến trình. Nếu là Microsoft, nhà phát triển app, hoặc TrustedInstaller, bạn an tâm.
Cũng trên Windows 11/10, bạn kiểm tra tab "Chữ ký số" của Thuộc tính tiến trình. Tại đây bạn tìm thấy chữ ký số chính thức với dấu thời gian mới nhất cho thêm층 bảo đảm.
Vì ký driver cho các tiến trình này yêu cầu quyền Microsoft chuẩn (hơn nữa, truy cập trái phép gốc thiết bị bị ngăn chặn bởi UEFI secure boot), giờ đây không thể làm giả chữ ký số trên Windows 11.
Từ đơn giản đến cực kỳ quan trọng như "services.exe" hay "svchost.exe", tất cả tiến trình Windows 11 đều được ký số với dấu thời gian. Mỗi bản cập nhật Windows thành công, xác thực này được kiểm tra lại.
Mặt khác, Thuộc tính Tiến trình Windows 10 có thể thiếu hoàn toàn tab Chữ ký số. Ngoài ra, một số tiến trình có thể không hiển thị thông tin bản quyền đúng.
Tuy nhiên, ngay cả trên Windows 10, tiến trình hệ thống nội bộ quan trọng như Winlogon.exe luôn hiển thị thông tin này. Bạn có thể xác minh tính xác thực phần mềm bằng cách khác. Thêm vào đó, nếu cài driver không ký trên Windows 10 hoặc 11, chúng không hiển thị chữ ký số khi khởi động lại.
2. Xác minh tính hợp pháp dùng CrowdInspect
Trên cả Windows 10 và 11, bạn có thể xác minh tính xác thực file tiến trình qua ứng dụng bên ngoài: CrowdInspect của CrowdStrike. CrowdInspect là công cụ kiểm tra tiến trình dựa trên host và thời gian thực miễn phí, quét malware nền bằng công cụ phát hiện như VirusTotal.
- Tải file ZIP CrowdInspect từ liên kết chính thức và nhấp chương trình giải nén để chạy. Không cần cài đặt.
- Chấp nhận thỏa thuận giấy phép và tiến đến màn hình phân tích lai tất cả chương trình và tiến trình nền trên thiết bị Windows. Dùng API key tích hợp và nhấp "OK".
- Đợi CrowdInspect điền màn hình với toàn bộ chương trình và tiến trình nền trên thiết bị Windows.
Bạn xác minh trạng thái chương trình qua biểu tượng màu. Mục sạch có biểu tượng xanh. Nếu có nghi ngờ, bạn thấy dấu hỏi bên cạnh biểu tượng. Mục đe dọa mức độ thấp có biểu tượng vàng. Mục đe dọa mức cao có biểu tượng đỏ. Bạn sẽ không thấy biểu tượng vàng hoặc đỏ nếu thiết bị khỏe mạnh.
- Để xác minh thêm không lo ngại malware, chuột phải tiến trình nhấp "Xem kết quả HA Test". Bạn không nên thấy lỗi, chỉ báo an toàn bạn không đối mặt malware.
Danh sách tiến trình Windows 11/10 phổ biến giống malware
1. Explorer.exe
Chương trình Windows File Explorer phổ biến, explorer.exe, dễ truy cập từ thanh tác vụ và desktop. Mục đích chính là quản lý file cho tất cả file/thư mục thiết bị Windows 11/10. Vì tầm quan trọng, explorer.exe là mục tiêu yêu thích của kẻ tấn công.
Phát hiện Virus: malware explorer.exe thường hiện là Trojan, ransomware (đặc biệt email), và file Adobe Flash. Chương trình hợp pháp luôn ở "C:\Windows", bản sao có thể hiện ở ổ D, Program Files, thư mục ẩn, hoặc vị trí PC khác.
Hành động: nếu có 2-3 instance explorer.exe, không lo miễn là đều có chữ ký số hợp pháp và vị trí. Khi nhiều tiến trình tiêu thụ CPU, xác định cái giả trong CrowdInspect, chuột phải "kill the process".
2. lsass.exe
lsass.exe là Local Security Authority Subsystem Service, chạy phía sau xác thực người dùng Windows. Bên cạnh malware, bạn không nên chấm dứt tiến trình gốc, vì sẽ làm hệ thống mất truy cập tài khoản Admin và cục bộ, buộc khởi động lại.
Phát hiện Virus: cách thường malware giả lsass là thay chữ "l" thường bằng "i" in hoa, hoặc "L" in hoa. Cảnh báo lỗi chính tả cố ý. Ngoài ra, chữ ký số không hợp pháp và file nằm ngoài "C:\Windows\System32" là dấu hiệu rõ ràng.
Hành động: chấm dứt tiến trình lsass giả từ Task Manager. Nếu không chắc "l" hay "i", làm tương tự từ CrowdInspect. Nhiều instance lsass hợp pháp cũng tốt và không nên can thiệp.
3. RuntimeBroker.exe
RuntimeBroker.exe là tiến trình Microsoft an toàn, việc quản lý quyền cho app tải từ Microsoft Store. Nó xác thực tính xác thực chương trình như app Photos. Nếu app không thuộc thiết bị Windows, Runtime Broker cảnh báo bằng tiêu thụ nhiều bộ nhớ thêm.
Phát hiện Virus: nếu thiết bị Windows nhiễm virus RuntimeBroker.exe, bạn thấy nó ở vị trí PC khác ngoài "C:\Windows\System32". Vì chương trình không hợp pháp, rò rỉ bộ nhớ sẽ tăng vọt, làm quá tải CPU. Bạn cũng thấy chữ ký số không hợp pháp cho instance giả.
Hành động: mở Task Manager. Nhấp nhiều instance Runtime Broker hợp pháp và "Kết thúc tác vụ". Điều này kết thúc vấn đề với app cho trước. Đối với entry RuntimeBroker.exe giả, chấm dứt từ CrowdInspect.
4. Winlogon.exe
Khi nói tiến trình nền Windows, không có gì quan trọng hơn winlogon.exe. Nó không chỉ quản lý đăng nhập, còn tải hồ sơ người dùng, điều khiển màn hình bảo vệ, kết nối nhiều mạng. Nằm ở "C:\Windows\System32".
Phát hiện Virus: thường là spyware hoặc keylogger, winlogon.exe là malware nguy hiểm gây sập hệ thống, dễ nhận ra. Nếu Windows Defender bật, nó cảnh báo xóa file ngay và chấm dứt vector (email, trình duyệt web).
Hành động: file winlogon.exe an toàn không có quá một instance trong CrowdInspect. Instance giả khác nên xóa ngay theo gợi ý Windows Defender.
5. Svchost.exe
Svchost.exe là "service host" Windows, tiến trình dịch vụ chung đóng vỏ tải các dịch vụ Windows. Tùy số ứng dụng mở, thường có nhiều instance svchost.exe chạy như tiến trình riêng.
Phát hiện Virus: bạn gặp malware svchost.exe khi tìm thư mục/program được bảo vệ bị chặn bởi tiến trình trùng lặp hoặc biến thể chính tả như "svhosts.exe". Chúng chủ yếu là ransomware hoặc công gian lừa ngân hàng. Nguồn bao gồm file PDF, ZIP, JavaScript.
Hành động: Trojan này thường đe dọa thấp nhưng nên xóa sớm. Công cụ diệt virus chuẩn và Windows Defender trang bị xóa instance service host không ở "C:\Windows\System32".
6. OfficeClickToRun.exe
Nếu dùng công cụ Office – Word, Excel, PowerPoint – bạn gặp file thực thi OfficeClickToRun.exe. Việc chạy phiên bản Office mới trên thiết bị và xử lý cập nhật. Dù không phải malware, OfficeClickToRun.exe có thể tốn bộ nhớ CPU. Tuy nhiên nếu xóa file tạm định kỳ, bớt gánh nặng.
Phát hiện Virus: file thực thi có mặt vị trí khác ngoài Program Files thư mục Microsoft Shared? File thừa không tốt cho hệ thống. Thiết bị Windows chỉ nên có một instance OfficeClickToRun.exe chạy. Kiểm tra chữ ký số cho cái khác.
Hành động: dù không gây hại bản thân, instance giả OfficeClickToRun.exe có thể tắc bộ nhớ hệ thống. Chúng thường đến qua file/tài liệu nhiễm, nên xóa ngay.
7. igfxem.exe
igfxEM.exe là tiến trình nền ít biết nhưng quan trọng quản lý card đồ họa Intel, do đó rất quan trọng cho hiển thị card video. Nó cài sẵn trên thiết bị và nên để yên, vì không làm nặng hệ thống.
Phát hiện Virus: nếu có nhiều instance igfxEM (và lỗi chính tả như hình), xác thực chữ ký số. Nếu hiện Intel và Microsoft, không malware. Ngược lại, bạn không có file igfxEM thật, tiến trình đó phải xóa.
Hành động: không hành động nếu chữ ký số hợp pháp – ngay cả với nhiều instance Intel. Nếu card đồ họa Intel gốc bị hỏng, thử cài lại driver từ "devmgmt.msc", Quản lý thiết bị, menu Start.
8. Csrss.exe
Csrss.exe là Client Server Runtime Subsystem, tiến trình người dùng hợp pháp quản lý hoạt động Đồ họa Windows, như tắt GUI và dịch vụ console hệ thống. Rất thường bị nhầm là malware. Chấm dứt nó có thể tử vong cho hệ thống, chắc chắn sập.
Phát hiện Virus: Giống chương trình khác trong "C:\Windows\System32", csrss.exe lặng lẽ nền, bạn chỉ tìm 1-2 instance trong CrowdInspect. File đáng ngờ có chữ ký số không hợp pháp và Chi tiết Bản quyền thiếu.
Hành động: csrss.exe thường bị công ty phần mềm bảo mật giả và lừa đảo kỹ thuật dùng làm "bằng chứng" thiết bị bị nhiễm. Đây không phải malware thật, nên không bao giờ chấm dứt tiến trình hiện có vì lời khuyên sai.
9. GoogleCrashHandler.exe
Nếu bạn có chương trình Google trên thiết bị Windows, bao gồm Google Chrome, bạn tìm thấy file thực thi GoogleCrashHandler.exe, phần của gói Google Updater. Đây không phải thành phần Windows quan trọng và có thể gỡ an toàn, dễ dàng, nhưng không phải lúc nào cũng là malware.
Phát hiện Virus: nếu chữ ký số Google CrashHandler.exe không hợp pháp, tức không được Google ký, đó là dấu hiệu spyware hoặc rootkit, vì tiến trình bình thường an toàn.
Hành động: xóa bất kỳ hoặc tất cả instance GoogleCrashHandler.exe từ Task Manager hệ thống dù không phải malware. Bạn không muốn làm nặng CPU trừ khi muốn gửi báo cáo sự cố cho Google.
10. Spoolsv.exe
Spoolsv.exe là tiến trình Windows thật, tích hợp với dịch vụ In ấn Spooler, dịch font và đồ họa cho phần cứng in và máy in ảo. Đây là tiến trình lõi Windows từ thời MS-DOS. Chấm dứt entry spoolsv.exe hợp pháp dẫn đến lỗi máy và khởi động lại hệ thống.
Phát hiện Virus: dù giống malware, spoolsv.exe là tiến trình Windows hợp pháp an toàn. Tiến trình thừa thiếu chữ ký số Microsoft. Nếu tác giả malware dùng tên tương tự tấn công, Windows Defender nên cảnh báo.
Hành động: không hành động nếu tiến trình spoolsv.exe được xác thực chữ ký số Microsoft. Ngược lại, vào Task Manager kết thúc tiến trình.
11. Task Manager
Windows Task Manager (taskmgr.exe) là chương trình quan trọng kiểm soát tất cả tiến trình lõi Windows và ứng용. Tắt chương trình thiết yếu này và dẫn xuất như taskhostw.exe có thể tử vong cho hệ thống, tác giả malware nhận ra điều này.
Phát hiện Virus: nếu cảm thấy chương trình liên quan task manager không hoạt động đúng, kiểm tra vị trí file, phải ở "C:\Windows\System32". Khởi động lại thiết bị xem vấn đề biến mất. Nếu instance task manager đáng ngờ tiếp tục, chúng ta nhìn vào malware tiềm ẩn. Dấu hiệu khác là chữ ký số không hợp pháp.
Hành động: bất kỳ file thực thi giống "task manager" bị malware có thể xác định và chấm dứt từ chính Task Manager. Nếu bạn gặp lỗi TaskSchedulerHelper.dll trên Windows 10, làm bước sửa chữa như chỉ dẫn.
Tóm tắt: Dấu hiệu cảnh báo malware giống tiến trình Windows
Tóm tắt nhanh cách xử lý tiến trình đáng ngờ giống tiến trình hệ thống Windows chuẩn. Bạn có thể hoặc không đối mặt malware, nhưng quan trọng theo dõi dấu hiệu cảnh báo.
- Kiểm tra Chi tiết Thuộc tính Ứng dụng cho bản quyền đúng: mỗi chương trình Windows 11/10 có vị trí file. Từ đó truy cập "Chi tiết" tab Thuộc tính. Đảm bảo bản quyền thuộc Windows, TrustedInstaller, hoặc chủ sở hữu tiến trình hợp pháp như Google, Intel, NVIDIA, v.v. Nếu không, chúng ta nhìn vào nguồn malware tiềm ẩn cần xóa.
- Kiểm tra sử dụng CPU chương trình Tiến trình Windows: bình thường CPU Windows tăng khi nhiều hệ thống chạy cùng lúc. Tuy nhiên, nhiều instance cùng chương trình làm chậm hệ thống là đáng lo. Chương trình không cần thiết nên xác định và tắt ngay.
- Kiểm tra chữ ký số tiến trình Windows đáng ngờ: đây là cách quan trọng và dễ nhất xác thực tiến trình. Nếu chữ ký số tiến trình không hợp pháp và không từ nguồn tin cậy, có khả năng lớn là malware.
- Kiểm tra vị trí file tiến trình đáng ngờ: hầu hết tiến trình file Windows có vị trí xác định trên PC. Có thể "C:\Windows\System32", Program Files, hoặc vị trí xác định khác. Bạn không nên tìm instance tiến trình ở nơi khác, như ổ D, vì chỉ báo khả năng malware.
Câu hỏi thường gặp
1. Làm sao nếu tiến trình Windows nhất định thực sự gây hại?
Không tiến trình Windows hợp pháp nào hại hệ thống. Tuy nhiên, nếu có instance trùng lặp chứa malware, vào CrowdInspect, chuột phải tiến trình đó, nhấp "Kill Process". Nếu Windows Defender bật, nó lo những instance malware. Đọc thêm tại sao Windows Defender là phần mềm diệt virus duy nhất bạn cần.
2. Điều gì xảy ra khi chấm dứt tiến trình Windows hợp pháp và cách khôi phục?
Nếu vô tình chấm dứt tiến trình Windows hợp pháp, hậu quả phụ thuộc vào mức độ quan trọng của tiến trình đối với hệ thống. Nếu là tiến trình phần mềm không quan trọng, không ảnh hưởng thiết bị Windows.
Đối với tiến trình tác động cao như winlogon.exe và csrss.exe, Windows có cơ chế tích hợp ngăn chấm dứt vô tình. Tuy nhiên, nếu bạn kiên quyết kết thúc hệ thống từ task manager, thiết bị tự tắt, yêu cầu khởi động lại. Trường hợp xấu nhất, dẫn đến đen hoàn toàn và hỏng vĩnh viễn do sập.
Nếu là tiến trình tác động thấp nhưng cần thiết cho vận hành và bảo trì theo lịch trình Windows, hệ thống báo lỗi nghiêm trọng và tự tắt. Sau khởi động, vấn đề biến mất.