Windows 11, come identificare i processi sconosciuti con Gestione attività

Windows 11 mette a disposizione una funzione poco conosciuta che consente di individuare l’origine dei processi in esecuzione e comprendere quali programmi vengono avviati automaticamente. Attraverso la colonna Riga di comando di Gestione attività è possibile ottenere informazioni utili per diagnosticare rallentamenti, verificare applicazioni sospette e approfondire eventuali problemi di sicurezza.

Come riconoscere un processo sconosciuto in Windows 11

Quando un processo presenta un nome incomprensibile o utilizza quantità elevate di memoria, non significa necessariamente che sia dannoso. Prima di interromperlo, è opportuno verificarne la provenienza.

Per iniziare, basta aprire Gestione attività utilizzando la combinazione CTRL+MAIUSC+ESC e selezionare la sezione Dettagli.

Facendo clic con il pulsante destro sull’intestazione delle colonne, si può scegliere Seleziona colonne e attivare Riga di comando.

La nuova colonna mostra il comando utilizzato per avviare ciascun processo, compresi il percorso dell’eseguibile e gli eventuali parametri.

Il caso di svchost.exe e dei servizi Windows

Un esempio significativo riguarda svchost.exe, componente utilizzato da Windows per ospitare diversi servizi di sistema.

Una riga come C:\Windows\System32\svchost.exe -k netsvcs -p permette di ottenere informazioni aggiuntive.

Il parametro -k identifica un gruppo di servizi, mentre -p riguarda le impostazioni di protezione e mitigazione del processo. L’eventuale parametro -s specifica invece un servizio.

Per conoscere i servizi effettivamente associati a un processo è possibile consultare la sezione Servizi oppure eseguire tasklist /svc nel Prompt dei comandi.

Controllare i programmi che si avviano automaticamente

La colonna Riga di comando può essere abilitata anche nella sezione App di avvio di Gestione attività.

Questa funzione permette di identificare applicazioni configurate per partire automaticamente all’accensione del computer, comprese quelle con nomi generici come Update.

Il percorso dell’eseguibile può aiutare a individuare il produttore del software, mentre gli argomenti aggiuntivi possono spiegare particolari modalità di esecuzione.

Per esempio, --background può indicare l’avvio in background e --minimized l’apertura con la finestra ridotta a icona. Il significato effettivo dipende comunque dall’applicazione.

Processi sospetti: quali elementi verificare

Alcuni componenti legittimi di Windows possono essere utilizzati anche per eseguire operazioni indesiderate.

Tra questi figurano rundll32.exe, powershell.exe, cmd.exe e wscript.exe.

Nel caso di rundll32.exe, la riga di comando può rivelare quale libreria DLL viene richiamata. Per PowerShell, invece, il parametro -EncodedCommand segnala la presenza di istruzioni codificate.

Quest’ultimo elemento non dimostra automaticamente un’attività malevola, ma può giustificare ulteriori verifiche quando l’esecuzione è inattesa.

Verificare il percorso e la firma digitale

Un primo controllo consiste nel selezionare il processo con il pulsante destro e scegliere Apri percorso file, quando disponibile.

Dalle proprietà dell’eseguibile si possono consultare versione, produttore ed eventuali firme digitali.

La firma Authenticode consente di verificare l’integrità del contenuto firmato e di identificare il soggetto associato al certificato. Una firma valida, tuttavia, non garantisce che il programma sia sicuro.

La verifica può essere effettuata anche attraverso PowerShell:

Get-AuthenticodeSignature -FilePath "C:\Windows\System32\notepad.exe" | Format-List Status, StatusMessage, SignerCertificate

Il risultato Valid indica una firma considerata valida da Windows, mentre NotSigned segnala l’assenza di una firma utilizzabile.

Anche il percorso del file merita attenzione. Un eseguibile che imita il nome di un componente Windows ma si trova in una cartella insolita richiede ulteriori controlli. La presenza nelle directory AppData o ProgramData, invece, non costituisce di per sé una prova di infezione.

Per approfondire l’analisi è possibile calcolare l’impronta SHA-256 con Get-FileHash -Algorithm SHA256, confrontandola con informazioni attendibili o servizi come VirusTotal.

Il trucco del tasto CTRL per bloccare temporaneamente l’elenco

Gestione attività offre un’altra funzione utile durante l’analisi dei processi.

Tenendo premuto CTRL, gli aggiornamenti dell’elenco vengono temporaneamente sospesi.

In questo modo le righe non continuano a spostarsi quando cambia l’utilizzo di CPU o memoria, facilitando la selezione del processo e la lettura del relativo identificativo PID.

La sospensione interessa soltanto la visualizzazione: programmi e servizi continuano a funzionare normalmente.

Sono inoltre disponibili una modalità compatta, accessibile dai grafici della sezione Prestazioni, e l’opzione per mantenere Gestione attività sempre in primo piano.

Process Explorer e Autoruns per controlli più approfonditi

Quando le informazioni di Gestione attività non sono sufficienti, Microsoft offre strumenti gratuiti della suite Sysinternals.

Process Explorer permette di analizzare le relazioni tra processi, le librerie DLL caricate e gli handle aperti, fornendo dettagli diagnostici avanzati.

Autoruns è invece dedicato all’esecuzione automatica. Esamina chiavi del Registro, servizi, driver, attività pianificate e altri meccanismi utilizzati per avviare software.

Il programma supporta inoltre controlli delle firme digitali e integrazioni con VirusTotal.

Conclusioni

La visualizzazione della riga di comando rappresenta un metodo semplice per comprendere meglio il funzionamento di Windows 11 e individuare l’origine dei processi sconosciuti. Non sostituisce un controllo antivirus o un’analisi approfondita, ma costituisce un valido punto di partenza per riconoscere comportamenti anomali e gestire il sistema con maggiore consapevolezza.