Lsass.exe (Local Security Authority Process) är en säker fil från Microsoft som används i Windows-operativsystem. Det är avgörande för den normala driften av en Windows-dator och bör därför inte raderas, flyttas eller redigeras på något sätt.
Filen finns permanent i mappen \Windows\System32\ och används för att upprätthålla säkerhetspolicyer, vilket innebär att den är involverad i saker som lösenordsändringar och inloggningsverifieringar.
Medan filen är extremt viktig för normal Windows-drift och inte bör manipuleras, har skadlig programvara varit känd för att antingen kapa den riktiga filen lsass.exe eller låtsas vara äkta för att lura dig att låta den köras.
Hur man hittar en falsk lsass.exe-fil
Det är inte svårt att upptäcka en falsk lsass.exe-fil, men du måste titta mycket noga på några saker för att säkerställa att du har att göra med en falsk process och inte den riktiga som Windows behöver.
Kontrollera stavningen
Den vanligaste metoden som används av skadlig programvara för att lura dig att tro att lsass.exe inte är ett virus är att byta namn på filen till något som liknar något. Eftersom en mapp inte kan ha två filer med samma namn kommer den att ändras lite.
Här är ett exempel:
Isass.exe
Om det ser ut precis som lsass.exe har du rätt…det gör det. Den riktiga filen använder dock ett gement L (l) medan den skadliga använder ett versaler i (I). Beroende på hur teckensnitt visas på din dator kan de se identiska ut, vilket gör det lätt att blanda ihop dem.
Ett sätt att verifiera om filnamnet är felaktigt är att använda en case-konverterare. Kopiera filnamnet och klistra in det i textrutan vid Konvertera versaler och välj sedan gemener för att konvertera allt till gemener. Om resultatet inte är äkta kommer det att stavas så här: isass.exe
Det här är några andra målmedvetna felstavningar som är avsedda att lura dig att låta filen stanna kvar på din dator eller låta den köras när du tillfrågas (titta noga på den första, den har ett onödigt utrymme):
lsass.exe
lsassa.exe
lsasss.exe
Isassa.exe
Var finns det?
Den riktiga lsass.exe-filen finns bara i en mapp, så om du hittar den någon annanstans är den troligen farlig och bör raderas omedelbart.
Den riktiga filen är tänkt att lagras i System32-mappen:
C:\Windows\System32\
Om det finns någon annanstans på din dator, som på skrivbordet, i din nedladdningsmapp, på en flashenhet, etc., behandla det som ett hot och ta bort det omedelbart (det finns mer om hur du gör det nedan).
Din dator kan ha några lsass.exe-filer i C:\Windows\winsxs\-mappar. De används under Windows-uppdateringar och fungerar som säkerhetskopior, men skulle du känna behov av att ta bort dem senare när du söker efter lsass.exe-filer, är det säkert att ta bort dem.
Om du ser lsass.exe i Aktivitetshanteraren, så här vet du var den faktiskt körs från:
-
Öppna Aktivitetshanteraren.
Det finns flera sätt att göra detta, men det enklaste är med kortkommandot Ctrl+Shift+Esc. Du kan också komma åt den från Power User Menu i Windows 11/10/8 genom att högerklicka på Start-knappen.
-
Öppna Details-fliken.
Om du inte ser den här fliken, välj Mer information längst ned i Aktivitetshanteraren.
-
Högerklicka på lsass.exe från listan. Välj den första du ser.
Image -
Välj Öppna filplats, som bör öppna mappen C:\Windows\System32 och förvälj filen lsass.exe, som du kan se nedan.
Image - Upprepa stegen ovan för varje lsass.exe-fil som du ser i Aktivitetshanteraren. Det bör bara finnas en listad, så om du ser ytterligare instanser är alla utom en falska.
- Hittade du en falsk lsass.exe-fil? Se anvisningarna på knappen på den här sidan för att ta bort den och se till att din dator är ren från alla lsass.exe-relaterade maskar, spionprogram, virus etc.
Vad är dess filstorlek?
Det är vanligt att virus och annan skadlig programvara använder en fil i programstorlek för att leverera vad den skadliga programvaran bär på, så ett annat sätt att kontrollera om lsass.exe är äkta eller falsk är att se hur mycket utrymme filen tar upp på hårddisken.
Högerklicka på den och öppna Properties för att kontrollera storleken.
Till exempel är Windows 11-versionen av filen 82 KB på vår testmaskin, Windows 10 lsass.exe-filen är 57 KB och Windows 8 är 46 KB. Om filen du ser är mycket större, som några megabyte eller mer, är det troligen inte den riktiga filen som tillhandahålls av Microsoft.
Varför använder lsass.exe så mycket minne?
Rapporterar Aktivitetshanteraren lsass.exe hög CPU- eller minnesanvändning?
Vissa Windows-processer bör aldrig använda mycket minne eller processorkraft, och när de gör det är det vanligtvis ett tecken på att något inte står rätt till och att något kan vara skadlig programvara.
Lsass.exe är ett undantag där det under vissa normala omständigheter kommer att använda mer RAM och CPU än vid andra tillfällen, vilket gör det svårt att veta om lsass.exe är äkta eller falsk.
Minnesanvändning för lsass.exe bör förbli under 10 MB vid varje given tidpunkt, men det är norm alt att det ökar när mer än en användare är inloggad, under krypterad filskrivning på NTFS-volymer, och möjligen andra gånger som t.ex. medan en användare ändrar sitt lösenord eller under öppnandet av ett program när det körs med en administratörs autentiseringsuppgifter.
När ska lsass.exe tas bort
Om lsass.exe använder en uppenbarligen överdriven mängd av minnet eller processorn, och speciellt om EXE-filen inte finns i mappen Windows\System32\, måste du bli av med den. Endast en infekterad lsass.exe-fil eller en lookalike kommer att tappa alla systemresurser.
Ett exempel på detta är om filen lsass.exe låtsas vara äkta så att den kan bryta kryptovalutor. Programvara som utför kryptomining kräver enorma mängder systemresurser, så om din dator är ovanligt långsam, kraschar slumpmässigt, visar konstiga fel eller har oförklarligt installerade webbläsartillägg eller andra program som du aldrig accepterat, då kan du säkert anta att du behöver en bra rensning av malware.
Hur man tar bort ett lsass.exe-virus
Innan du lär dig hur man tar bort en lsass.exe-infektion, kom ihåg att du inte kan ta bort den riktiga filen lsass.exe, inte heller kan du inaktivera den eller stänga av den av någon anledning. Stegen nedan är för att ta bort en falsk lsass.exe-fil; en som Windows inte riktigt använder.
-
Stäng av den falska lsass.exe-processen och ta sedan bort filen.
Du kan göra detta på flera sätt, men det enklaste är att högerklicka på uppgiften på fliken Processer i Aktivitetshanteraren och välja Avsluta uppgift Om du inte ser uppgiften där, leta efter den under fliken Details, högerklicka på den och välj Avsluta processträd
Image Om du försöker avsluta den äkta processen kommer du antingen att få ett felmeddelande som du inte kan eller, om processen stängs av, kommer du att se ett meddelande om att Windows kommer att starta om automatiskt snart.
-
När du har stängt av processen öppnar du mappen där filen finns (se stegen "Var finns den?" ovan om du inte är säker på hur) och raderar den.
Image Om du misstänker att ett visst program är ansvarigt för att installera lsass EXE-viruset får du gärna ta bort programmet för att se om det rensar bort processen också. IObit Uninstaller är ett exempel på ett kraftfullt programavinstallationsprogram som kan göra detta.
- Skanna din dator efter lsass.exe skadlig programvara med ett program som Malwarebytes eller någon annan on-demand virusscanner.
-
Installera ett antivirusprogram som alltid är på. Detta kommer att hjälpa till att ge inte bara en andra titt utöver Malwarebytes utan också en permanent metod för att säkerställa att din dator är skyddad från framtida hot som detta.
Se vår lista över de bästa Windows-antivirusprogramvaran om du inte är säker på var du ska leta.
- Använd ett startbart antivirusverktyg för att ta bort viruset lsass.exe. Det här är en perfekt metod om de andra programmen ovan inte fungerade eftersom när du kör ett antivirusprogram innan Windows startar kan du säkerställa en grundlig borttagningsprocess utan att stöta på behörighetsproblem eller problem med låsta filer.
