lsass.exe to legalny, krytyczny proces Windows odpowiedzialny za uwierzytelnianie użytkownika i egzekwowanie zasad bezpieczeństwa. Jego obecność jest normalna, ale złośliwy program może podszyć się pod tę nazwę. Nie usuwaj pliku ani nie kończ procesu w Menedżerze Zadań – system może wtedy natychmiast uruchomić się ponownie.
Jak sprawdzić, czy lsass.exe jest prawdziwy?
Najważniejsza jest lokalizacja pliku, a nie sama nazwa widoczna na liście procesów. Oryginalny plik znajduje się w folderze C:\Windows\System32. Malware może mieć identyczną nazwę, lecz działać z katalogu tymczasowego, profilu użytkownika albo innej nietypowej lokalizacji.
Weryfikację przeprowadzisz w kilku krokach:
- Otwórz Menedżer Zadań skrótem Ctrl+Shift+Esc.
- Znajdź proces lsass.exe na liście procesów. W nowszych wersjach Windows może być widoczny jako „Local Security Authority Process”.
- Otwórz lokalizację pliku po kliknięciu procesu prawym przyciskiem myszy.
- Sprawdź ścieżkę i upewnij się, że prowadzi do C:\Windows\System32.
- Otwórz właściwości pliku, przejdź do karty „Podpisy cyfrowe” i sprawdź, czy podpis wystawiła firma Microsoft.
Brak podpisu, błędna ścieżka albo kilka plików o podobnych nazwach zwiększa ryzyko infekcji. Sama nazwa nie wystarcza do oceny bezpieczeństwa. Szczególną uwagę zwróć na literówki, dodatkowe znaki i pliki umieszczone poza katalogiem systemowym.
Nie próbuj kończyć lsass.exe z poziomu Menedżera Zadań. To proces krytyczny, więc Windows może wyświetlić ostrzeżenie, zamknąć sesję lub zrestartować komputer. Takie zachowanie samo w sobie nie świadczy o obecności wirusa.
Oryginalny lsass.exe a malware podszywający się pod proces
| Cecha | Oryginalny lsass.exe | Malware podszywający się |
|---|---|---|
| Lokalizacja | C:\Windows\System32 | Inny folder, na przykład katalog tymczasowy lub profil użytkownika |
| Podpis cyfrowy | Podpis Microsoft | Brak podpisu, nieznany wystawca albo podpis budzący wątpliwości |
| Zużycie zasobów | Zwykle stabilne i niewielkie | Powtarzające się skoki użycia procesora lub pamięci |
| Rola | Obsługa logowania i zasad bezpieczeństwa | Może służyć jako kryptokopacz, trojan lub składnik innego malware |
Po czym poznać możliwą infekcję?
Nietypowe zużycie zasobów nie jest dowodem infekcji, ale w połączeniu z błędną lokalizacją lub brakiem podpisu cyfrowego powinno skłonić do skanowania. Niepokój mogą budzić następujące objawy:
- Nienaturalnie wysokie i długotrwałe użycie procesora lub pamięci przez lsass.exe.
- Plik znajduje się poza folderem C:\Windows\System32.
- Pojawiają się częste błędy systemowe, zawieszanie programów albo niebieskie ekrany.
- System ma problemy z logowaniem, dostępem do plików lub uruchamianiem usług.
- Komputer wyraźnie zwalnia, wyświetla nietypowe reklamy albo otwiera podejrzane strony.
- W systemie pojawiają się nieznane programy, rozszerzenia przeglądarki lub wpisy autostartu.
Wysokie użycie CPU może wskazywać na kryptokopacza, lecz podobne objawy powodują też uszkodzone pliki systemowe, sterowniki, problemy z dyskiem lub inne procesy. Dlatego diagnozę trzeba oprzeć na kilku oznakach, a nie na jednym odczycie z Menedżera Zadań.
Co zrobić przy podejrzeniu wirusa lub błędów systemu?
Nie usuwaj lsass.exe ręcznie. Skasowanie prawidłowego pliku może uniemożliwić poprawne logowanie i destabilizować Windows. Jeśli lokalizacja jest podejrzana, pozostaw decyzję programowi ochronnemu, który może przenieść złośliwy plik do kwarantanny.
Najpierw uruchom aktualne skanowanie Windows Defenderem. Możesz też użyć renomowanego narzędzia antymalware, takiego jak Malwarebytes. Skaner powinien sprawdzić cały system, a nie tylko aktywny proces. Gdy podejrzewasz rootkita lub zwykłe skanowanie nie daje wiarygodnego wyniku, skorzystaj z trybu offline albo nośnika ratunkowego oferowanego przez producenta zabezpieczeń.
Jeśli plik znajduje się w System32 i ma prawidłowy podpis, a problemem są błędy, sprawdź integralność Windows. Otwórz Terminal lub Wiersz polecenia jako administrator i uruchom:
sfc /scannow
Narzędzie System File Checker porównuje chronione pliki systemowe z prawidłowymi wersjami i może naprawić uszkodzenia. Po zakończeniu uruchom komputer ponownie. W przypadku powtarzających się błędów sprawdź także aktualizacje Windows, stan dysku i sterowniki. Sam lsass.exe często jest wtedy tylko elementem, na którym ujawnia się problem, a nie jego przyczyną.
Najprostsza reguła diagnostyczna brzmi: System32 plus podpis Microsoft oznaczają prawidłowy proces, natomiast inna lokalizacja, brak podpisu i nietypowe obciążenie wymagają skanowania. Do czasu potwierdzenia zagrożenia nie kończ procesu i nie kasuj żadnego pliku systemowego.
