Nhiều người dùng Windows liên hệ hỏi sau khi nhận thấy Cscript.exe dường như chạy mỗi khi khởi động hệ thống mà không có lý do rõ ràng. Một số lo ngại khả năng đối mặt với mối đe dọa malware. Vấn đề này không độc quyền với phiên bản Windows nào vì được xác nhận xảy ra trên Windows 7, 8.1 và 10.
Cscript.exe là gì?
Cscript.exe là file thực thi chính cho Windows Scripting Host – Tính năng tích hợp của Windows chịu trách nhiệm chạy file script. Miễn là file thực thi là bản gốc, nó không được coi là mối đe dọa bảo mật cho PC.
Cscript.exe về cơ bản là phiên bản dòng lệnh của dịch vụ Windows Script Host và tạo điều kiện các tùy chọn dòng lệnh để thiết lập thuộc tính script. Với Cscript.exe, script có thể chạy tự động hoặc đơn giản bằng cách gõ tên file script trong command prompt.
Vì có nhiều malware được lập trình để ngụy trang thành tiến trình hệ thống để tránh bị quét phát hiện, bạn nên xác thực vị trí file thực thi.
Để làm điều này, nhấn Ctrl + Shift + Esc ngay khi thấy Cscript.exe chạy để mở Windows Task Manager. Chuyển sang tab Processes và tìm dịch vụ cscript.exe. Khi thấy, điều tra vị trí. Trên Windows 10, click chuột phải vào nó và chọn Open File Location.
Nếu vị trí khác C:\Windows\System32, khả năng đối mặt với malware ngụy trang rất cao. Trong trường hợp này, chuyển sang phần dưới và làm theo bước để xóa mối đe dọa malware.
Cscript.exe có an toàn không?
Mặc dù Cscript.exe gốc là thành phần Windows chính hãng có mặt trong mọi phiên bản Windows gần đây, bạn nên采取 các biện pháp phòng ngừa cần thiết để đảm bảo không thực sự đối phó với malware.
Nhưng việc thấy cửa sổ Cscript.exe chạy mỗi khi khởi động hệ thống không phải hành vi bình thường. Hoặc là một số ứng dụng/dịch vụ/tiến trình hợp pháp đang gọi nó, hoặc là loại malware/adware nào đó.
Vì vậy, chúng tôi khuyến khích bạn thực hiện các điều tra sau để đảm bảo không đối phó với nhiễm virus. Cách hiệu quả nhất là chạy quét sâu Malwarebytes để xác nhận không gặp loại malware nào.
Để dễ dàng hơn, bạn có thể làm theo bài viết này (tại đây) về việc dùng bản miễn phí Malwarebytes để quét bảo mật sâu.
Nếu quét không phát hiện bằng chứng nhiễm malware, chuyển sang phần dưới.
Có nên vô hiệu hóa Cscript.exe không?
Nếu bạn đã xác định không đối phó với virus, đã đến lúc tìm ra ứng dụng nào và tại sao nó gọi Cscript.exe mỗi khi khởi động.
Loại script phổ biến nhất chạy bằng Cscript.exe không thực sự hợp pháp là chuyển hướng trình duyệt do browser bị tấn công (hijacked browser).
Nhưng trừ khi bạn thực sự bị phiền bởi các prompt (giảm hiệu suất hệ thống, chuyển hướng quảng cáo, hoặc vấn đề khác), bạn không nên thực hiện các bước vô hiệu hóa Cscript.exe.
Nhưng nếu bạn quyết tâm làm, làm theo bước dưới để đảm bảo các prompt Cscript.exe liên tục ngừng xuất hiện.
Cách vô hiệu hóa prompt Cscript.exe liên tục
Dựa trên nhiều báo cáo người dùng, có vài cách khác nhau xác định thủ phạm sau prompt Cscript.exe liên tục. Dưới đây là 3 cách xử lý loại vấn đề này.
Hai cách đầu tập trung vào cách tự nhiên xác định thủ phạm, cách cuối chỉ cách vô hiệu hóa hiệu quả Cscript.exe cùng toàn bộ thành phần Windows Scripting Host.
Nhưng trừ khi bạn thực sự hiểu rõ mình đang làm gì và sẵn sàng dùng máy tính mà không có Windows Scripting Host, chúng tôi khuyên nên thử sửa bằng 2 phương pháp đầu tiên.
Phương pháp 1: Dùng Autoruns xác định thủ phạm
Cách hiệu quả nhất xác định thủ phạm gây prompt Cscript.exe liên tục là dùng tiện ích bên thứ 3 tên Autoruns. Một số người dùng báo cáo đã xác định được thủ phạm và ngăn nó mở prompt Cscript.exe khác bằng thủ tục dưới.
Cần làm:
- Truy cập link này (tại đây) và tải phiên bản mới nhất Autoruns bằng cách click hyperlink Download Autoruns and Autorunsc.
- Sau khi tải xong, giải nén file .zip và double-click file thực thi Autoruns để mở tiện ích.
- Khi Autoruns mở, chờ danh sách Everything được tải. Khi tải xong, cuộn xuống danh sách Autorun entries và tìm Cscript.exe (xem cột Image Path). Khi thấy, click chuột phải và chọn Delete từ menu ngữ cảnh để ngăn file thực thi được gọi ở khởi động tiếp theo.
- Khởi động lại máy và xem có còn thấy prompt Cscript.exe ở khởi động tiếp theo không.
Phương pháp 2: Thực hiện Clean Boot
Cách dài hơn nhưng cũng hiệu quả để xác định và ngăn thủ phạm mở các prompt tương tự là khởi động hệ thống ở Clean Boot và bật lại có hệ thống các dịch vụ và autostart keys bị vô hiệu hóa cho đến khi xác định được file gọi Cscript.exe.
Hướng dẫn nhanh boot Clean Boot trên Windows 10:
- Nhấn Windows + R, gõ 'msconfig' và nhấn Enter để mở System Configuration. Click Yes tại UAC nếu được nhắc.
- Chọn tab Services, tích ô Hide all Microsoft Services. Sau đó, tất cả dịch vụ Windows thiết yếu sẽ bị loại khỏi danh sách.
- Bây giờ chỉ thấy dịch vụ bên thứ 3, click Disable all để ngăn dịch vụ bên thứ 3 gọi Cscript.exe. Click Apply để lưu cấu hình.
- Chuyển sang tab Startup, click Open Task Manager.
- Trong tab Startup của Task Manager, chọn từng dịch vụ khởi động và click Disable để ngăn chạy ở khởi động tiếp theo.
- Sau khi vô hiệu hóa mọi mục khởi động, bạn đạt trạng thái clean boot. Khởi động lại máy và chờ trình tự khởi động hoàn tất.
- Nếu Cscript.exe không còn xuất hiện, bật lại có hệ thống từng mục bạn đã vô hiệu hóa trước đó (bằng cách đảo ngược các bước trên) kèm khởi động lại ngẫu nhiên cho đến khi xác định thủ phạm. Sẽ mất thời gian nhưng đây là cách tiếp cận sạch sẽ.
Phương pháp 3: Vô hiệu hóa Cscript.exe qua Registry Editor
Cách chắc chắn giải quyết vấn đề là vô hiệu hóa hiệu quả Windows Scripting Host dùng Registry Editor. Điều này chắc chắn dừng mọi prompt Cscript.exe trong tương lai, nhưng cũng có thể dừng mọi script tự động chạy.
Điều này có khả năng ảnh hưởng nhiều ứng dụng, bao gồm thành phần Windows quan trọng. Vì vậy trừ khi bạn thực sự hiểu đầy đủ tác động của thay đổi Registry này, chúng tôi khuyên không nên thực hiện.
Nhưng nếu bạn sẵn sàng vô hiệu hóa Cscript.exe bằng Registry Editor, đây là hướng dẫn nhanh:
- Nhấn Windows + R, gõ "regedit" và nhấn Enter mở Registry Editor. Click Yes tại UAC.
- Dùng panel bên trái điều hướng đến vị trí sau:
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings
Lưu ý: Có thể dán vị trí trực tiếp vào thanh điều hướng và nhấn Enter để truy cập nhanh.
- Ở vị trí đúng, chuyển sang panel bên phải chọn New > Dword (32-bit) value.
- Đặt tên giá trị mới là Enabled, double-click vào nó, đặt Base là Hexadecimal và Value data là 1.
- Lưu thay đổi, khởi động lại máy và kiểm tra sự cố.