Valores altos de ID do processo no Gerenciador de tarefas

0

Eu tenho uma seqüência curiosa de eventos que podem estar relacionados.

O sintoma: Meu PC de repente começou a demorar para executar um link no final de uma compilação. Isto foi associado com a atividade contínua do disco. Eu olhei no Gerenciador de Tarefas e:

  • muita memória
  • nada em particular usando quantidades excessivas de CPU
  • IDs de processo para tarefas recentes têm valores de 6 dígitos - normalmente, os PIDs nunca têm mais de 4 dígitos.
  • uma tarefa - GoogleToolbarNotifier - está usando 160.000 alças, e isso está funcionando conforme eu a assisto. Esse aplicativo obviamente tem um vazamento sério de identificador.
  • observe também um SearchSettings.exe sobre o qual estou desconfiado.

Eu reinicializo e mato a tarefa GoogleToolbarNotifier e todas as tarefas com PIDs altas, mas novas tarefas ainda recebem PIDs altos.

Além disso, um dia ou mais atrás, o GoogleToolbarNotifier apareceu de repente na minha barra de tarefas e avisou-me que algo estava a tentar alterar o meu motor de pesquisa padrão do Google para o Yahoo.

Corri o MalwareBytes e encontrei 9 itens associados ao Youtube Downloader que acabei de instalar. Removido e desinstalado YD.

Eu posso ter instalado acidentalmente alguma extensão da barra de ferramentas quando instalei o YD. Não me lembro.

E a questão é ...

Por que tenho PIDs de alto valor no gerenciador de tarefas e isso é indicativo de comportamento indesejado ou suspeito?

TIA Ross

    
por rossmcm 01.08.2010 / 03:24

2 respostas

2

Why do I have high-value PID's in task manager and is it indicative of unwanted or suspicious behaviour?

Indica que algum programa em algum momento provavelmente criou dezenas de milhares (ou centenas de milhares) de processos. Isso não precisa ser malicioso e pode ser que o programa esteja tentando iniciar um processo que falha e continue tentando novamente a ação. Isso pode ser causado por um bug de programação ou por uma instalação corrompida.

Por exemplo, vi um programa que monitorava um determinado diretório para os arquivos recebidos e, se houvesse algum, ele executava um arquivo em lote que fazia algum trabalho e, em seguida, excluía o arquivo. Uma atualização do pacote de antivírus do cliente causou problemas porque ele estava bloqueando o arquivo quando o arquivo de lote tentava excluir e, portanto, o arquivo nunca era excluído. Portanto, essa rotina era executada continuamente e, toda vez que o arquivo em lote era iniciado, um ID do processo era usado.

I reboot and kill the GoogleToolbarNotifier task and all the tasks with high PID's but new tasks still get assigned high PID's

Os números começarão de novo em números baixos quando você reiniciar, então se você tiver números altos imediatamente após a reinicialização, parecerá algo estranho acontecendo na inicialização.

No entanto, uma vez que o sistema começou a usar altos pids, ele pode continuar a usá-los (mesmo após o culpado ser eliminado) até ser reinicializado. Embora os PIDs possam ser reutilizados, é mais comum ver o número aumentar. Não é culpa das novas tarefas, nem deve causar problemas. (Eles provavelmente são todos os espectadores inocentes e o culpado provavelmente tem um pid normal).

Como o GoogleToolbarNotifier tem um problema com 160.000 handles, sugiro que você o desinstale. Se resolver o problema e você quiser o programa, você também pode tentar reinstalá-lo depois, talvez verificando se há uma nova versão.

Note que altos PIDs normalmente não causam problemas, mas um programa que vaza manipula eventualmente causará todo tipo de problemas estranhos, como telas que não podem ser desenhadas, programas não abrirão corretamente, arquivos pode ser acessado / salvo etc. É bastante comum obter mensagens de erro totalmente sem sentido em tais casos, como o arquivo não existe (quando obviamente é) ou a permissão negada (quando as permissões são boas).

    
por 07.12.2010 / 20:04
1

Parece normal em alguns sistemas

link

link

O malware de rootkit pode ser difícil de detectar, experimente este software para ver se algum está presente.

link

.

    
por 01.08.2010 / 05:36