Windows 11, il trucco per scoprire cosa fanno i processi sconosciuti

Un processo sconosciuto compare nel Task Manager di Windows 11. Il nome non dice nulla, il consumo di memoria sembra eccessivo e non è chiaro quale programma lo abbia avviato. Prima di pensare a un malware o terminare il processo, è utile ricorrere a una funzionalità poco conosciuta del sistema operativo Microsoft: la possibilità di visualizzare la riga di comando completa associata ai programmi in esecuzione e alle applicazioni configurate per l’avvio automatico.

Il Task Manager di Windows (avviabile premendo CTRL+MAIUSC+ESC) è presente fin dalle prime generazioni del sistema operativo e non si limita a mostrare CPU, RAM e attività del disco. Con Windows 11, soprattutto a partire dalla versione 22H2 che ha introdotto un’interfaccia profondamente rinnovata, Microsoft ha reso più accessibili diverse informazioni tecniche che spesso restano nascoste dietro le colonne predefinite.

Quando il nome di un processo non permette di identificarne l’origine, aggiungere la colonna Riga di comando può rivelare informazioni decisive. Non si tratta di una nuova funzionalità, ma di uno strumento che molti utenti ignorano e che può risultare prezioso anche per diagnosticare problemi di sicurezza.

Windows 11: come scoprire cosa esegue un processo sconosciuto

Nella sezione Dettagli del Task Manager (Gestione attività, in italiano) un clic con il tasto destro sull’intestazione delle colonne consente di scegliere Seleziona colonne.

Da qui è possibile attivare Riga di comando, ottenendo una nuova colonna che mostra il comando utilizzato per avviare ciascun processo.

Il nome di un eseguibile indica quale file Windows sta eseguendo; la riga di comando, invece, può mostrare anche il percorso del programma e gli argomenti che ne determinano il comportamento.

Prendiamo il caso di svchost.exe: Windows 11 utilizza questo componente per ospitare numerosi servizi di sistema. Osservare soltanto il nome del processo non permette di capire quale servizio stia effettivamente gestendo.

Una riga di comando come C:\Windows\System32\svchost.exe -k netsvcs -p fornisce già indicazioni aggiuntive: l’opzione -k identifica un gruppo di servizi, mentre -p riguarda il comportamento di protezione e mitigazione del processo host. Se compare anche l’argomento -s, seguito dal nome di un servizio, diventa possibile individuare più precisamente il componente interessato.

Attenzione però: gli argomenti non sostituiscono l’analisi dei servizi effettivamente ospitati. Per verificarli, si può utilizzare la sezione Servizi del Task Manager oppure il comando tasklist /svc dal Prompt dei comandi.

La colonna Riga di comando funziona anche con le applicazioni di avvio

La stessa possibilità legata all’aggiunta della colonna Riga di comando esiste nella sezione App di avvio del Task Manager, dedicata ai programmi Windows configurati in esecuzione automatica.

Qui l’operazione è ancora più immediata: basta fare clic destro sulle intestazioni della tabella e abilitare la voce Riga di comando. Accanto al nome di ciascuna applicazione appare così il comando associato alla relativa voce di avvio.

È particolarmente utile quando Windows mostra nomi poco comprensibili, riferimenti generici a componenti software oppure applicazioni che l’utente non ricorda di avere installato. Una voce chiamata semplicemente Update, per esempio, potrebbe appartenere a un programma legittimo che aggiorna i propri componenti, ma il nome da solo non permette di stabilirlo.

Conoscere il percorso dell’eseguibile aiuta a risalire alla cartella di installazione e, in molti casi, al produttore del software. Gli eventuali parametri aggiuntivi possono inoltre spiegare perché un’applicazione parta senza mostrare alcuna finestra.

Come interpretare percorsi e parametri senza commettere errori

Una riga di comando può contenere informazioni molto diverse: in genere è presente il percorso dell’eseguibile, seguito da uno o più argomenti. Per esempio, un’applicazione potrebbe partire con un parametro come --background, che suggerisce l’esecuzione in background, oppure --minimized, utilizzato da alcuni programmi per avviarsi con la finestra ridotta a icona.

Non esiste però uno standard universale per questi argomenti: ogni sviluppatore può definirli autonomamente e attribuire loro significati differenti. Per interpretarli correttamente occorre quindi conoscere il programma che li utilizza.

Un altro esempio interessante riguarda rundll32.exe, componente legittimo di Windows che permette di richiamare determinate funzioni esportate da librerie DLL. Se il Task Manager mostra soltanto il suo nome, non sappiamo quale libreria stia utilizzando; la colonna Riga di comando – aggiunta seguendo le nostre indicazioni – può invece rivelare il percorso della DLL e la funzione richiesta.

Considerazioni analoghe valgono per processi come powershell.exe, cmd.exe o wscript.exe. Sono tutti strumenti legittimi, ma possono eseguire istruzioni molto diverse. Con PowerShell, per esempio, la presenza di -EncodedCommand indica che il comando è stato fornito in forma codificata; non è detto che vi sia l’intenzione di nascondere qualcosa di dannoso, ma l’uso dell’argomento può giustificare un approfondimento se l’esecuzione risulta inattesa.

Una riga di comando apparentemente normale non certifica l’assenza di malware: un processo malevolo può utilizzare nomi plausibili, sfruttare componenti autentici di Windows oppure nascondere parte delle proprie operazioni attraverso altre tecniche.

Processi sospetti: cosa controllare oltre al nome

Un controllo utile consiste nel verificare dove risiede il file eseguibile. Il Task Manager permette di selezionare un processo con il tasto destro e scegliere Apri percorso file, quando l’opzione è disponibile. Da Esplora file è possibile esaminarne le proprietà, controllare la versione e consultare l’eventuale scheda delle firme digitali.

Controllo della firma digitale

La firma digitale Authenticode offre un elemento di valutazione importante perché permette di verificare l’integrità del file rispetto al contenuto firmato e di identificare il soggetto associato al certificato. Non rappresenta, tuttavia, una garanzia assoluta di affidabilità: anche software indesiderati o malevoli possono disporre di firme valide.

Per verificare la firma digitale basta cliccare con il tasto destro sul file .exe, selezionare Proprietà, aprire la scheda Firme digitali, se presente, scegliere una firma e premere Dettagli per verificarne il firmatario e lo stato. La scheda Firme digitali compare quando il file contiene una firma Authenticode riconosciuta da Windows; se non compare, non significa automaticamente che il file sia dannoso ma è opportuno fare comunque qualche controllo aggiuntivo.

In alternativa, è possibile verificare la firma direttamente da PowerShell:

Get-AuthenticodeSignature -FilePath "C:\Windows\System32\notepad.exe" | Format-List Status, StatusMessage, SignerCertificate

L’indicazione Status esprime l’esito della verifica: Valid significa che Windows considera valida la firma; NotSigned indica che non ha individuato una firma utilizzabile.

Ovviamente, un eseguibile con un nome che richiama un componente di Windows, ma collocato in una directory insolita, merita particolare attenzione. Allo stesso tempo, la presenza di programmi nelle cartelle AppData o ProgramData non costituisce da sola un indizio di compromissione: numerose applicazioni legittime utilizzano tali percorsi.

Per approfondire l’identificazione si può calcolare l’hash SHA-256 del file tramite PowerShell, usando Get-FileHash -Algorithm SHA256 seguito dal percorso completo. L’impronta ottenuta può aiutare a confrontare il file con informazioni disponibili presso il produttore o servizi di analisi come VirusTotal.

La scorciatoia CTRL che rende più facile analizzare Gestione attività

Tenendo premuto il tasto CTRL il Task Manager è aperto, gli aggiornamenti automatici dell’elenco si interrompono temporaneamente. Si evita così che i processi continuino a cambiare posizione mentre si tenta di selezionarli, soprattutto quando l’elenco è ordinato per utilizzo della CPU o della memoria.

È un piccolo espediente che semplifica un problema frequente: il processo da analizzare continua a spostarsi perché il suo consumo di risorse cambia rapidamente. Congelando momentaneamente la visualizzazione si può leggere il nome, osservare il PID (Process ID) e aprire il menu contestuale senza inseguire le righe.

La pausa riguarda l’aggiornamento dell’interfaccia, non l’esecuzione dei processi; Windows e le applicazioni continuano a funzionare normalmente.

Un’altra possibilità consiste nel fare doppio clic sui grafici della sezione Prestazioni per passare a una visualizzazione compatta.

Nelle impostazioni del Task Manager è disponibile anche l’opzione per mantenere la finestra sempre in primo piano: utile quando si controlla un’applicazione a schermo intero o si tenta di diagnosticare un malfunzionamento.

Quando Gestione attività non basta: Process Explorer e Autoruns

Per un’analisi più approfondita, Microsoft mette a disposizione strumenti gratuiti della suite Sysinternals, particolarmente apprezzati dagli amministratori di sistema e dagli specialisti di sicurezza.

Il primo è Process Explorer, che consente di esaminare i processi attivi, le relazioni tra processi padre e figli, gli handle aperti e le DLL caricate in memoria. Rispetto al Task Manager, permette di studiare con maggiore precisione quali componenti utilizza un’applicazione e di accedere a informazioni diagnostiche avanzate.

Per analizzare invece i meccanismi di esecuzione automatica, conviene utilizzare Autoruns. Il programma esamina numerose posizioni utilizzate da Windows per avviare software senza un intervento esplicito dell’utente: chiavi del Registro, cartelle di avvio, servizi, driver, attività pianificate e altri punti di persistenza.

Autoruns permette anche di verificare le firme digitali e integra controlli con VirusTotal. Offre quindi una visione molto più estesa rispetto alla sola sezione App di avvio di Windows 11, che non comprende tutti i meccanismi di avvio automatico disponibili nel sistema operativo.