SMSS.EXE — системный процесс Windows¶
SMSS.EXE (Session Manager Subsystem) — системный процесс операционной системы Windows, отвечающий за запуск и инициализацию сессий пользователей. Файл расположен в каталоге C:\Windows\System32 и является легитимным компонентом Windows NT-семейства, начиная с Windows NT 3.1. Процесс запускается ядром Windows на этапе загрузки системы и остаётся активным до её завершения.
¶Назначение и функции
SMSS.EXE выполняет ряд критически важных задач при старте операционной системы:
- Создание сессий — процесс отвечает за создание сессий (session) в системе, включая системную сессию 0 и пользовательские сессии.
- Запуск подсистем — инициализирует Win32k.sys (графическую подсистему) и запускает первые пользовательские процессы:
csrss.exe(Client/Server Runtime Subsystem) иwinlogon.exeдля каждой новой сессии. - Обработка переменных окружения — при загрузке читает файл
SYSTEM.INIи реестр, формирует переменные окружения, необходимые для работы остальных компонентов. - Создание каналов именованного пространства — устанавливает объекты
\BaseNamedObjects, используемые для межпроцессного взаимодействия. - Обработка сообщений WM_ENDSESSION — корректно завершает работу приложений при выключении системы.
После завершения инициализации SMSS.EXE переходит в режим ожидания, периодически проверяя состояние сессий и завершая зависшие процессы.
¶Расположение и внешний вид
Легитимный файл smss.exe всегда находится в каталоге C:\Windows\System32\. В диспетчере задач Windows процесс отображается как «Диспетчер сеансов подсистемы» (Session Manager Subsystem). В системе может работать только один экземпляр SMSS.EXE, запущенный в контексте ядра с минимальными привилегиями.
¶Как отличить настоящий smss.exe от вредоносного
Вредоносное ПО часто маскируется под системные процессы, в том числе под smss.exe. Основные признаки, по которым можно отличить настоящий процесс от подделки:
| Признак | Легитимный smss.exe | Подозрительный файл |
|---|---|---|
| Расположение | C:\Windows\System32\ | Другие каталоги, включая папки пользователя, Temp, AppData |
| Цифровая подпись | Подписан Microsoft | Отсутствует или подписан неизвестным издателем |
| Имя процесса | Строго smss.exe | smss.exe с пробелами, двойными расширениями (например, smss .exe, smss.exe.exe) |
| Количество экземпляров | Один | Несколько экземпляров одновременно |
| Использование ресурсов | Минимальное (обычно < 1% CPU) | Повышенная загрузка процессора или памяти |
¶Вредоносное ПО, маскирующееся под smss.exe
Известны несколько семейств вредоносных программ, использующих имя smss.exe для сокрытия своей активности:
- Backdoor.Win32.Agent — бэкдоры, использующие имя smss.exe для постоянного присутствия в системе.
- Trojan-Ransom — шифровальщики, скрывающие процесс под именем системного компонента.
- Майнеры криптовалют — программы, незаметно использующие ресурсы компьютера для добычи криптовалюты.
¶Действия при подозрении
Если работа smss.exe вызывает подозрения, рекомендуется выполнить следующие шаги:
- Открыть диспетчер задач и проверить расположение файла процесса (правый клик → «Открыть расположение файла»).
- Проверить цифровую подпись файла в свойствах.
- Просканировать систему антивирусом и средствами защиты Windows (Microsoft Defender).
- При обнаружении подозрительного файла — удалить его и выполнить полное сканирование системы.
¶Интересные факты
- SMSS.EXE — один из самых ранних процессов, запускаемых при загрузке Windows, после инициализации ядра.
- Процесс не имеет графического интерфейса и работает полностью в фоновом режиме.
- В 64-разрядных версиях Windows процесс работает в режиме WOW64 для совместимости с 32-разрядными приложениями.
¶Источники
- Документация Microsoft Learn: Windows Internals
- Microsoft TechNet: System Processes and Required Services
- База знаний Microsoft: Описание системных процессов Windows