Lsass.exe: что это за процесс в Windows 10

Lsass.exe что это за процесс windows 10 — вопрос, который часто возникает у пользователей, замечающих незнакомое имя в диспетчере задач. Это Local Security Authority Subsystem Service — критически важный системный процесс, отвечающий за безопасность операционной системы. Он управляет политиками безопасности, аутентификацией пользователей (входом в систему по паролю) и созданием токенов доступа. Without him Windows просто не загрузится.

В нормальном состоянии lsass.exe работает в фоновом режиме, потребляя минимальные ресурсы: обычно 5–20 МБ оперативной памяти и 0–5% CPU. Если вы видите, что процесс грузит процессор на 50–100% или «кушает» гигабайты ОЗУ — это сигнал о проблеме. В 90% случаев причина в вирусе, маскирующемся под легитимный файл, или в сбое системных компонентов.

Зачем нужен Lsass.exe в Windows 10

Процесс lsass.exe — это сердце безопасности Windows. Без него система не сможет:

Проверять пароли при входе в учетную запись (локальную или доменную).
Применять групповые политики (если вы в корпоративной сети).
Управлять правами доступа к файлам и папкам (ACL — Access Control Lists).
Обрабатывать маркеры безопасности для запущенных программ.

Фактически, lsass.exe работает как посредник между пользователем и ядром ОС, обеспечивая, что только авторизованные действия выполняются в системе.

💡

Если в диспетчере задач вы видите несколько экземпляров lsass.exe — это 100% вирус. В нормальной Windows этот процесс всегда запущен в единственном экземпляре.

Процесс стартует при загрузке системы и работает до её выключения. Его нельзя закрыть вручную — Windows сразу же перезагрузится с синим экраном (CRITICAL_PROCESS_DIED). Даже если вы попробуете завершить его через диспетчер задач, система заблокирует действие или аварийно перезапустится.

Параметр	Значение для подлинного файла	Как проверить
Путь к файлу	`C:\Windows\System32\lsass.exe`	Откройте диспетчер задач → правый клик по `lsass.exe` → «Открыть расположение файла»
Цифровая подпись	Microsoft Windows или Microsoft Corporation	Правый клик по файлу → «Свойства» → вкладка «Цифровые подписи»
Размер файла	~30–50 КБ (зависит от версии Windows 10)	Правый клик по файлу → «Свойства» → «Размер»
Пользователь	`SYSTEM` или `LOCAL SERVICE`	В диспетчере задач → колонка «Пользователь»

Как выглядит настоящий Lsass.exe: локация и цифровые подписи

Чтобы отличить легитимный процесс от вируса, проверьте три ключевых параметра:

Если файл находится ввой папке (например, C:\ProgramData\ или C:\Users\), а подпись отсутствует или принадлежит неизвестному издателю — это вирус. В таком случае нужно срочно проверить систему антивирусом.

Почему Lsass.exe грузит процессор или оперативную память

Высокая нагрузка от lsass.exe — тревожный сигнал. В большинстве случаев это происходит по четырем причинам:

Вирусная активность. Злоумышленники часто маскируют свои процессы под lsass.exe, чтобы скрыться от пользователя. Например, троян Dridex или майнеры криптовалюты могут использовать это имя.
Сбои в групповой политике. Если вы работаете в корпоративной сети, некорректные настройки Group Policy могут заставлять lsass.exe бесконечно перечитывать политики.
Проблемы с доменной аутентификацией. В домене Active Directory процесс может подвисать, если контроллер домена недоступен или отвечает с задержкой.
Повреждение системных файлов. Если файл lsass.exe или связанные с ним библиотеки (например, sspicli.dll) повреждены, процесс может уйти в зацикленное состояние.

Чтобы понять, в чём дело, откройте Диспетчер задач (Ctrl+Shift+Esc), найдите lsass.exe и посмотрите на:

Процент загрузки и RAM.
Пользователя, от которого запущен процесс.
Описание (должно быть «Local Security Authority Process»).

Как проверить Lsass.exe на вирусы

Если вы подозреваете, что lsass.exe — это вирус, выполните следующие шаги:

Проверьте расположение файла. Откройте диспетчер задач, найдите lsass.exe, кликните правой кнопкой → «Открыть расположение файла». Если путь не C:\Windows\System32\, это точно вирус.
Запустите сканирование антивирусом. Используйте Windows Defender (Защита от вирусов и угроз → «Быстрая проверка») или сторонние инструменты вроде Kaspersky Virus Removal Tool или Malwarebytes.
Проверьте цифровую подпись. Откройте папку C:\Windows\System32\, найдите lsass.exe, кликните правой кнопкой → «Свойства» → вкладка «Цифровые подписи». Убедитесь, что подпись принадлежит Microsoft.
Используйте Process Explorer. Скачайте утилиту Process Explorer от Microsoft (входит в Sysinternals Suite). В ней можно увидеть, какие библиотеки (.dll) подгружает процесс. Если есть подозрительные файлы — это признак заражения.
Посмотрите на родительский процесс. В Process Explorer найдите lsass.exe и проверьте, какой процесс его запустил. У легитимного lsass.exe родитель — wininit.exe.

⚠️ Внимание: Ни в коем случае не удаляйте и не блокируйте lsass.exe вручную. Это приведет к немдленному краху системы. Если вы подтвердили, что это вирус, используйте антивирусные инструменты или обратитесь к спициалисту.

Сравнение нормального и заражённого Lsass.exe

Чтобы было проще различать подлинный процесс и вирус, сравните их характеристики в таблице ниже:

Признак	Нормальный Lsass.exe	Lsass.exe
Путь к файлу	`C:\Windows\System32\lsass.exe`	Любая другая папка (`Temp`, `AppData`, корень диска и т.д.)
Цифровая подпись	Microsoft Windows или Microsoft Corporation	Отсутствует или неизвестный издатель
Пользователь	`SYSTEM` или `LOCAL SERVICE`	Ваше имя пользователя или `Administrator`
Загрузка CPU	0–5% (пики до 10% при входе в систему)	Свыше 20%, постоянная нагрузка
Потребление RAM	5–50 МБ	Сотни МБ или несколько ГБ
Родительский процесс	`wininit.exe`	Любой другой процесс (например, `svchost.exe` или неизвестный)

Если хоть один из признаков не совпадает с нормальными значениями — ваш компьютер, скорее всего, заражён. В этом случае нужно действовать быстро: отключить компьютер от сети, запустить сканирование антивирусом и при необходимости переустановить систему.

Как исправить высокую нагрузку от Lsass.exe

Если lsass.exe легитимен, но всё равно грузит систему, попробуйте следующие шаги:

Высокая нагрузка от легитимного lsass.exe обычно связана с сбоями в групповой политике или аутентификацией. Решается перезагрузкой или обновлением системы.

В большинстве случаев проблема устраняется после перезагрузки компьютера. Если нагрузка возвращается:

Обновите Windows. Откройте Параметры → «Обновление и безопасность» → «Проверка наличия обновлений». Установите все доступные обновления, особенно критических исправлений для безопасности.
Проверьте групповые политики. Если вы в корпоративной сети, обратитесь к администратору — возможно, в домене применяются некорректные политики.
Сбросьте кэш учетных данных. Откройте командную строку от имени администратора и выполните: net stop nla && net start nla.
Восстановите системные файлы. В командной строке (администратор) выполните: sfc /scannow и DISM /Online /Cleanup-Image /RestoreHealth.

Практика: как мониторить Lsass.exe

Чтобы быть уверенным в безопасности системы, настройте мониторинг lsass.exe. Это можно сделать с помощью встроенных инструментов Windows:

Как следить за Lsass.exe

Откройте «Журналы Windows» в «Просмотре событий» Настройте фильтр для событий от LSASS Проверяйте нагрузку в диспетчере задач раз в неделю Используйте Process Explorer для детального анализа

Выполнено: 0 / 4

Для продвинутых пользователей подойдёт утилита Performance Monitor (perfmon). С её помощью можно отслеживать:

Загрузку и процессом lsass.exe.
Количество обращений к LSA (Local Security Authority).
Ошибки аутентификации (если они есть).

Если вы заметите аномальную активность, сразу проверьте систему на вирусы.

Часто задаваемые вопросы

Можно ли удалить Lsass.exe?

Нет. Это критически важный системный процесс. Его удаление или остановка приведет к немдленному краху Windows с синим экраном. Если вы подозреваете, что файл заражён, не удаляйте его вручную — используйте антивирус.

Почему Lsass.exe появляется несколько раз в диспетчере задач?

В нормальной ситуации lsass.exe запущен только один раз. Если вы видите несколько экземпляров — это 100% вирус, маскирующийся под легитимный процесс. Немедленно проверьте систему антивирусом.

Как отличить вирус Lsass.exe от настоящего?

Проверьте путь к файлу (C:\Windows\System32\lsass.exe), цифровую подпись (Microsoft) и пользователя (SYSTEM или LOCAL SERVICE). Если что-то не совпадает — это вирус.

Что делать, если Lsass.exe грузит диск на 100%?

Скорее всего, это связано с некорректной работой Windows Update или Superfetch (SysMain). Попробуйте отключить службу Superfetch через services.msc или запустите утилиту sfc /scannow для восстановления системных файлов.