タスクマネージャーの怪しいプロセスについて

質問

タスクマネージャーで「csrss.exe」「nvvsvc.exe」「winlogon.exe」の3つのシステムが、ユーザ名の部分が空欄で実行されていたのですが、これは本来普通のファイルではあるが、ウイルスが擬態している可能性もあるという話を聞きました、その確認法がタスクマネージャーのプロセスでこのシステムを右クリックでプロバティを開いて「全般」で実行ファイルの場所をチェックする、右クリックして「ファイルの場所を開く」をクリックなどをして確認する、と書いてあったのですが私のパソコンではこの３つのシステムが右クリックでプロバティを開いたりすることができず無反応でした・・・（この３つ以外のシステムは右クリックでプロバティを開いてファイルの場所などをちゃんと確認することができます）これはやっぱりまさにウイルスだからできないということなんでしょうか？単に私のやりかたがなにかまちがっているのでしょうか、この真偽とやりかたがまちがっているだけなら正しいやり方を教えて欲しいです。よろしくおねがいします

回答No.1

USS-Enterprise · ベストアンサー

以前からよく「怪しいファイル」の代表のような扱いを受けているファイルですね。Q&Aにも度々登場していますが、いろいろなケースがありそうなことに加え、結果報告がないので曖昧なままというケースが多いようです。
確認もなしに「それはウイルスじゃない」と無責任に言い放っているサイトもあるので、個々人が自分の環境ではどうなのか？ということを確認するしかありません。

>この真偽とやりかたがまちがっているだけなら正しいやり方を教えて欲しいです。
そこまでの行為では「間違っている」ものはないと思います。

「正しいやり方」と言うのはありません。手順はどうあれ「真贋が判別」でき「偽物なら駆除」して「正常な状態に復旧」できれば良い訳ですから。
もし不正なファイルだとしても、駆除する方法はどうやって組み込まれているかなど、その環境それぞれでしょうからでは触れられません。（私が異常な環境を持っていないので検証できないのです）

真贋を判別する方法の１つとして…

>csrss.exe
正常なものならば C:\Windows\System32 にあるファイルで、クライアントサーバーランタイムプロセスです。
不安であれば、実際のそのファイルがどこに保存されているものか・どうやって起動されているかを調べましょう。

Windowsの検索は当てになりませんから、
・コマンドプロンプト：cmd.exeを起動
・順番に、
CD\ Enter
dir csrss.exe /s Enter
を入力すると、C:ドライブ全体からそのファイルを実際に検索してくれます。
私の環境では全く同一のファイルが４カ所に存在しました。（Windows.old内を含む）

それぞれのフォルダと実体からその実行ファイルのプロパティを見れば、真贋の区別がつくのでは？（中身を比較すればより確実）
元々自動的に起動されるはずのものですから、スターアップなどにそのプログラムが明示的に登録されていたら間違いなく偽物でしょう。

>nvvsvc.exe
名称からして正しければNVIDIA関連のサービスではないかと思いますが、私の環境にNVIDIA製品はないので判りません。なので私の環境にはファイルも存在しません。
どこにあるのかはcsrss.exeと同じ方法で確認できるはず。ググれば情報はいくらでもありそうです。

>winlogon.exe
これも正規のものなら C:\Windows\System32 にあるファイルです。Windows ログオン アプリケーション。

csrss.exeと同じように調べましょう。
私の環境では３カ所に存在しました。２つは同じで正しいものでしたが、１つは内容が全く異りました。（中身を見るとそもそも実行ファイル形式ではない）どうもWindowsUpdateで使われたファイルの名残のようでした。なぜこの名称なのかは判りません。

私の環境はクリーンインストールしたバージョン1511→1607のWindows10 x64ですが、あなたの環境は判りませんので上記のファイルの数などは当然違うと思われます。
この種の質問の際は最低限環境などを書きましょう。中途半端な一般論のような回答しか得られなくなります。

お礼

環境によって変わるのですね、結局ウイルス対策を信じることが一番ですね、ありがとうございました