Cách dùng Process Explorer kiểm tra tiến trình lạ trên Windows

Task Manager chỉ cho bạn thấy tên và mức dùng CPU, RAM của từng tiến trình. Khi máy chậm bất thường hoặc nghi có phần mềm lạ chạy ngầm, bạn cần nhiều thông tin hơn: tiến trình đó nằm ở đâu, do ai ký, nó được mở bởi chương trình nào. Process Explorer là công cụ miễn phí của Microsoft (nằm trong bộ Sysinternals) làm được điều này.

Bài này hướng dẫn cách tải đúng nguồn, đọc các cột quan trọng và kiểm tra một tiến trình khả nghi một cách an toàn. Công cụ giúp bạn phát hiện nghi vấn, còn việc xóa hẳn mã độc nên làm cẩn thận hoặc nhờ kỹ thuật viên.

Process Explorer khác gì Task Manager

• Hiển thị cây tiến trình: biết chương trình nào sinh ra chương trình nào.
• Cho xem đường dẫn đầy đủ của file chạy, tên công ty phát hành và mô tả.
• Có cột Verified Signer (người ký đã xác minh) để biết file có chữ ký số hợp lệ không.
• Tích hợp kiểm tra VirusTotal theo mã băm của file.
• Xem được các thư viện (DLL) và tay cầm (handle) mà tiến trình đang dùng.

Nếu bạn mới làm quen, hãy xem trước bài mở Task Manager để tắt ứng dụng bị treo để nắm kiến thức nền.

Tải và chạy Process Explorer đúng cách

1. Mở trình duyệt, tìm Process Explorer Sysinternals và chỉ tải từ trang chính thức của Microsoft (trang Sysinternals trên Microsoft Learn). Tránh các trang tải lại, vì công cụ quản trị là mục tiêu hay bị gắn mã độc.
2. Giải nén file ProcessExplorer.zip vào một thư mục, ví dụ C:\Tools\ProcExp. Chương trình chạy trực tiếp, không cần cài đặt.
3. Bấm chuột phải vào procexp64.exe rồi chọn Run as administrator (Chạy với tư cách quản trị viên).
4. Lần đầu mở, đồng ý điều khoản sử dụng (Agree).

Thiết lập các cột giúp phát hiện điều bất thường

1. Vào menu View (Xem) rồi chọn Select Columns (Chọn cột).
2. Ở tab Process Image, tích Image Path (Đường dẫn) và Verified Signer.
3. Bấm OK.
4. Vào menu Options (Tùy chọn) rồi bật Verify Image Signatures để chương trình kiểm tra chữ ký số (tên mục có thể khác chút tùy phiên bản).

Sau đó, hãy để ý các tiến trình thỏa nhiều điều kiện sau:

• Không có tên công ty phát hành hoặc không có mô tả.
• Chữ ký không xác minh được (hiện chữ Unable to verify).
• Nằm ở thư mục bất thường như C:\Users\TênBạn\AppData\Local\Temp, thư mục Downloads hoặc thư mục tên ngẫu nhiên.
• Mượn tên giống tiến trình hệ thống nhưng nằm sai chỗ. Ví dụ svchost.exe thật nằm trong C:\Windows\System32.
• Chiếm CPU, ổ đĩa hoặc mạng cao liên tục khi bạn không làm gì.

Cách kiểm tra một tiến trình khả nghi

1. Bấm chọn tiến trình trong danh sách và nhìn thanh thông tin phía dưới (nếu cần thì mở bằng View > Show Lower Pane).
2. Bấm đúp vào tiến trình để mở Properties, xem tab Image để biết đường dẫn thật, dòng lệnh khởi chạy và chương trình cha.
3. Chuột phải tiến trình rồi chọn Check VirusTotal (hoặc vào Options > VirusTotal.com > Check VirusTotal.com). Công cụ sẽ gửi mã băm của file để tra cứu, có thể hiện hộp thoại điều khoản.
4. Đọc kết quả ở cột VirusTotal, dạng số công cụ phát hiện trên tổng số. Một hai cảnh báo lẻ có thể là báo nhầm, còn nhiều công cụ cùng cảnh báo là dấu hiệu đáng ngờ.
5. Nếu cần, chuột phải và chọn Properties > Image > Explore để mở thư mục chứa file, xem tên, ngày tạo, kích thước.

Song song bạn có thể tra file bằng cách kiểm tra file, đường link đáng ngờ bằng VirusTotal, rồi chạy quét virus bằng Windows Security.

Những tiến trình bình thường nhưng hay bị nhầm

Nhiều người hoảng khi thấy nhiều dòng giống nhau, nhưng đây thường là bình thường:

• svchost.exe xuất hiện nhiều lần, vì mỗi bản chạy một nhóm dịch vụ Windows.
• System, Registry, Memory Compression là thành phần của hệ điều hành.
• Trình duyệt như Chrome, Edge tạo ra nhiều tiến trình con cho từng tab.

Điều đáng nghi không phải số lượng, mà là vị trí file, chữ ký và hành vi.

Khi nào nên dừng lại

• Không kết thúc (Kill) tiến trình hệ thống nếu chưa chắc, vì có thể khiến Windows treo hoặc khởi động lại.
• Nếu tiến trình nghi vấn lập tức chạy lại sau khi tắt, hoặc VirusTotal báo nhiều cảnh báo, hãy rút mạng, ngừng đăng nhập ngân hàng trên máy này và đổi mật khẩu từ thiết bị khác.
• Nếu máy có dữ liệu quan trọng, sao lưu trước theo cách sao lưu dữ liệu máy tính an toàn rồi mới xử lý.

Cần hỗ trợ thêm?

Nếu bạn thấy tiến trình lạ mà không dám tự xử lý, hãy mang máy tới cửa hàng. Kỹ thuật viên kiểm tra miễn phí và báo giá trước khi sửa, xem trang sửa chữa. Bạn cũng có thể gọi hotline 0943.847.333 để được hướng dẫn trước khi mang máy tới.