Proceso CSRSS.EXE

Si trabaja a menudo con el Administrador de Tareas de Windows, es posible que no haya notado que el objeto CSRSS.EXE está siempre presente en la lista de procesos. Averigüemos qué es este elemento, qué importancia tiene para el sistema y si es peligroso para el funcionamiento del ordenador.

CSRSS.EXE es ejecutado por el archivo de sistema del mismo nombre. Está presente en todos los sistemas operativos Windows a partir de Windows 2000. Puede verlo ejecutando el Administrador de tareas (combinación de Ctrl+Mayús+Esc) en la pestaña «Procesos».. La forma más fácil de encontrarlo es alinear los datos en la columna «Nombre de la imagen». en orden alfabético.

Hay un proceso CSRSS separado para cada sesión. Por lo tanto, en los PC normales hay dos procesos de este tipo que se ejecutan simultáneamente, y en los PC servidores el número de estos procesos puede ser de decenas. Sin embargo, aunque se ha comprobado que puede haber dos procesos, y en algunos casos incluso más, todos ellos corresponden a un único archivo CSRSS.EXE.

Para ver todos los objetos CSRSS.EXE activados en el sistema a través del Administrador de tareas, haga clic en «Mostrar los procesos de todos los usuarios»..

A continuación, si está ejecutando una instancia normal de Windows en lugar de un servidor, aparecerán dos elementos CSRSS.EXE en la lista del Administrador de tareas.

Funciones

En primer lugar, averigüemos qué elemento requiere el sistema.

El nombre «CSRSS.EXE» es una abreviatura de «Client-Server Runtime Subsystem», que se traduce como «Subsistema de tiempo de ejecución cliente-servidor». Es decir, el proceso sirve como una especie de enlace entre las áreas cliente y servidor del sistema Windows.

Este proceso es necesario para mostrar el componente gráfico, es decir, lo que vemos en la pantalla. Se utiliza principalmente al apagar el sistema y también al desinstalar o instalar un tema. Sin CSRSS.EXE, también sería imposible lanzar consolas (CMD, etc.). El proceso es necesario para que los servicios de terminal funcionen y para las conexiones remotas al escritorio. El archivo que estamos estudiando también maneja varios hilos del sistema operativo en el subsistema Win32.

Además, si CSRSS.EXE se termina (no importa cómo: colgando o forzado por el usuario), el sistema se bloqueará, dando lugar a BSOD. Así, se puede decir que Windows no puede funcionar sin que el proceso CSRSS.EXE esté activo. Por lo tanto, debe detenerlo forzosamente sólo si está seguro de que ha sido suplantado por un objeto de virus.

Ubicación del archivo

Ahora vamos a averiguar dónde se encuentra físicamente CSRSS.EXE. Puede obtener información al respecto con la ayuda del mismo Administrador de Tareas.

1. Una vez que el Administrador de Tareas esté configurado para mostrar los procesos de todos los usuarios, haga clic con el botón derecho del ratón en cualquiera de los objetos denominados «CSRSS.EXE». En la lista de contexto, seleccione «Ubicación de almacenamiento de archivos abiertos»..
2. В Conductor abrirá el directorio donde se encuentra el archivo deseado. Puede averiguar su dirección resaltando la barra de direcciones de la ventana. Muestra la ruta de la carpeta donde se encuentra el objeto. La dirección tiene la siguiente forma:

   C:WindowsSystem32

Ahora, conociendo la dirección, puede navegar hasta el directorio de ubicación del objeto sin necesidad de activar el Administrador de tareas.

1. Abierto . ExploradorEscriba o pegue en su barra de direcciones la dirección anteriormente copiada. Haga clic en Entre en o haga clic en el icono de la flecha a la derecha de la barra de direcciones.
2. Explorador abrirá el directorio de ubicación de CSRSS.EXE.

Identificación de archivos

Al mismo tiempo, no es raro que varias aplicaciones de virus (rootkits) se hagan pasar por CSRSS.EXE. En este caso es importante identificar qué archivo muestra un determinado CSRSS.EXE en el Administrador de tareas. Por lo tanto, vamos a averiguar en qué condiciones el proceso identificado debe llamar su atención.

1. En primer lugar, deberían surgir dudas si se ven más de dos objetos CSRSS en el Administrador de Tareas cuando se muestran los procesos de todos los usuarios en un sistema normal y no en un servidor. Uno de ellos es probablemente un virus. Cuando se comparan objetos, hay que prestar atención al consumo de memoria. En circunstancias normales, hay un límite de 3000 KB para el CSRSS. Preste atención en el Administrador de Tareas a la cifra correspondiente en el «Memoria».«. Si se supera el límite anterior, significa que hay algún problema con el archivo.

   Además, hay que tener en cuenta que este proceso no suele cargar casi nada de CPU (unidad central de procesamiento). A veces se permite aumentar el consumo de recursos de la CPU hasta en un pequeño porcentaje. Pero, cuando la carga se cuenta en decenas de puntos porcentuales, significa que, o bien el propio archivo es viral, o bien hay algo que falla en el sistema en general.

2. En el Administrador de tareas, en la columna «Usuario». («Nombre de usuario») el valor del objeto de estudio debe ser necesariamente «Sistema». («SISTEMA».«). Si allí aparece otra inscripción, incluyendo el nombre del perfil del usuario actual, podemos decir con un alto grado de certeza que estamos ante un virus.
3. Además, es posible comprobar la autenticidad de un archivo intentando forzar la detención de su funcionamiento. Para ello, seleccione el nombre del objeto sospechoso «CSRSS.EXE» y haga clic en el título «Completa el proceso». en el Administrador de tareas.

   Después de eso, se abrirá un cuadro de diálogo diciendo que la detención del proceso especificado hará que el sistema se apague. Naturalmente, no es necesario detenerlo, así que haga clic en el botón «Cancelar».. Pero la aparición de este mensaje ya es una confirmación indirecta de que el archivo es auténtico. Si no hay ningún mensaje, significa que el archivo es falso.

4. Además, se puede obtener cierta información sobre la autenticidad de un archivo a partir de sus propiedades. Haga clic con el botón derecho del ratón sobre el nombre del objeto sospechoso en el Administrador de tareas. En la lista de contexto, seleccione «Propiedades»..

   Se abre la ventana de propiedades. Pasar a la pestaña «General».. Tenga en cuenta el parámetro «Ubicación».. La ruta del directorio de ubicación del archivo debe corresponder a la dirección que ya hemos mencionado anteriormente:

   C:WindowsSystem32

   Si cualquier otra dirección aparece allí, significa que el proceso es falsificado.

   En la misma pestaña cerca del parámetro «Tamaño del archivo». debe tener un valor de 6 KB. Si se especifica un tamaño diferente, el objeto es falso.

   Pasar a la pestaña «Detalles».. Cerca del parámetro «Derechos de autor». debe tener el valor «Microsoft Corporation». («Microsoft Corporation»).

Pero, lamentablemente, aunque cumpla todos los requisitos anteriores, el archivo CSRSS.EXE puede ser viral. La cuestión es que un virus no sólo puede disfrazarse como un objeto, sino también infectar el archivo real.

Además, el problema del consumo excesivo de recursos del sistema de CSRSS.EXE puede ser causado no sólo por un virus, sino también por un perfil de usuario corrupto. En este caso puede intentar «hacer retroceder» el SO a un punto de restauración anterior o generar un nuevo perfil de usuario y trabajar ya en él.

Eliminación de la amenaza

Entonces, ¿qué hacer si descubre que CSRSS.EXE no está causado por el archivo original del sistema operativo, sino por un virus? Supondremos que su antivirus habitual no pudo identificar el código malicioso (de lo contrario, ni siquiera notaría el problema). Por lo tanto, tomemos otras medidas para arreglar el proceso.

Método 1: Escaneo con antivirus

En primer lugar, escanee su sistema con un escáner antivirus fiable como Dr.Web CureIt.

Cabe destacar que el escaneo del sistema en busca de virus se recomienda realizarlo a través del modo seguro de Windows, cuando se trabaja en el que sólo se ejecutan aquellos procesos que proporcionan el funcionamiento básico del ordenador, es decir, el virus estará «dormido», y será mucho más fácil encontrarlo de esta manera.

Más información: Cómo entrar en el «modo seguro» a través de la BIOS

Método 2: Eliminación manual

Si el escaneo no da ningún resultado, pero puede ver claramente que el archivo CSRSS.EXE no está en el directorio en el que debería estar, en ese caso tendrá que aplicar el procedimiento de eliminación manual.

1. En el Administrador de tareas, resalte el nombre correspondiente al objeto falso y haga clic en «Proceso final»..
2. Después, con la ayuda de Explorador navegar hasta el directorio de ubicación del objeto. Puede ser cualquier directorio excepto la carpeta «Sistema32». Haga clic con el botón derecho en el objeto y seleccione «Borrar»..

Si no puede detener el proceso en el Administrador de Tareas o realizar un borrado de archivos, apague el ordenador y entre en el Modo Seguro (tecla F8 O una combinación de Mayúsculas+F8 al arrancar, dependiendo de la versión del sistema operativo). A continuación, realice el procedimiento para eliminar el objeto de su directorio de ubicación.

Método 3: Restaurar el sistema

Por último, si ni el primer ni el segundo método han dado resultados adecuados y no ha podido deshacerse del proceso del virus que se hace pasar por CSRSS.EXE, la función de recuperación del sistema de Windows puede ayudarle.

La esencia de esta función es que se selecciona uno de los puntos de retroceso existentes, lo que permitirá devolver el funcionamiento del sistema completamente al periodo de tiempo seleccionado: si el virus estaba ausente en el ordenador en el momento seleccionado, esta herramienta permitirá eliminarlo.

Esta característica tiene una desventaja: si se instalaron programas después de crear tal o cual punto, se escribieron ajustes en ellos, etc., esto lo afectará exactamente de la misma manera. La restauración del sistema no afecta sólo a los archivos del usuario, que incluyen documentos, fotos, vídeos y música.

Leer más: Cómo recuperar el sistema operativo Windows

Como podemos ver, en la mayoría de los casos, CSRSS.EXE es uno de los procesos más importantes para el funcionamiento del sistema operativo. Pero a veces puede ser iniciado por un virus. En este caso, debe realizar su procedimiento de eliminación de acuerdo con las recomendaciones proporcionadas en este artículo.

¿Le ha ayudado este artículo?