Misteriosi "processi disinstallati" che utilizzano la rete ogni volta che accendo il mio computer

Sto viaggiando con il mio laptop Windows 10 / Ubuntu a doppio avvio e spesso ho un accesso abbastanza limitato al WiFi. Quando eseguo l'avvio sul lato Windows delle cose (o addirittura mi sveglio dalla sospensione, dopo aver dormito un po '), spesso ho un periodo di prestazioni di rete più scadenti del previsto.

Aprendo Task Manager, vedo tramite "Cronologia app" che qualcosa chiamato "Processi disinstallati" in genere trascina la rete per alcuni minuti dopo il risveglio. Per "peg" intendo che il loro uso della rete aumenta di pari passo con qualsiasi altra cosa che ho aperto che stia cercando di scaricare continuamente. Di solito diventa silenzioso dopo pochi minuti, ma è estremamente fastidioso mentre è attivo. È peggio mentre sono legato al mio telefono, da allora sto pagando dollari veri per questa attività.

Ecco una tipica immagine dell'elenco "Cronologia app" dopo il risveglio e l'utilizzo di "Elimina cronologia utilizzo" per azzerare tutti i contatori:

Questo è un po 'di tempo dopo che i "processi disinstallati" hanno smesso di usare la rete, ma inizialmente dopo l'attivazione è stato collegato alla rete più alta usando il processo.

Questa è una nuova scatola e ho disinstallato forse una dozzina di cose su di essa, ma nessuna recentemente e ci sono stati molti riavvii dall'ultima reinstallazione.

Sono piuttosto disperato per qualsiasi consiglio su come rintracciare questo processo canaglia.

Come accennato nella presentazione forense collegata da harrymc nei commenti, la voce Processi disinstallati è la somma delle statistiche per i processi i cui eseguibili su disco non possono più essere trovati. Il monitoraggio dell'utilizzo delle risorse di sistema di Windows, come evidenziato dalla diapositiva 17 di quella presentazione, identifica i programmi in base al nome completo di Object Manager (nel caso delle app desktop), al nome del servizio (nel caso dei servizi) o all'ID dell'applicazione Windows Store .

Task Manager tenta di visualizzare il titolo dell'applicazione per ogni voce, ma tali informazioni non sono archiviate nel database SRUM - sono solo nelle proprietà dell'eseguibile. La teoria è che se Task Manager non riesce a trovare il file EXE del programma, inserisce le statistiche nei processi disinstallati . Possiamo verificare questa teoria usando la scienza ! Scarica il tuo programma portatile preferito che utilizza molte risorse di sistema (ad esempio Procmon , che impiega un po 'di tempo della CPU se lo lasci funzionare senza filtro per un po'). Nota la sua voce nella contabilità Task Manager. Ora chiudi ed elimina / sposta il programma di test e riapri Task Manager. Le risorse utilizzate sono state aggiunte alla voce Processi disinstallati .

Si noti che Task Manager potrebbe considerare un programma "disinstallato" se il suo eseguibile è inaccessibile per qualsiasi motivo, non solo per assenza. In tal caso, il programma responsabile dell'attività risiederebbe in una directory di sistema inaccessibile anche agli amministratori (per impostazione predefinita). È possibile ottenere ulteriori informazioni su di esso con Process Explorer .

Pertanto, l'utilizzo della rete viene eseguito da un programma che non è possibile trovare al momento dell'esecuzione di Task Manager. Questo è quasi certamente causato da un'applicazione desktop che scarica o estrae un altro EXE (ad esempio un programma di controllo degli aggiornamenti), esegue tale EXE e quindi lo elimina dopo la sua uscita. Per capire cosa sta facendo, potresti provare ad analizzare direttamente il database SRUM (come descritto nella presentazione), utilizzare la funzionalità di registrazione di avvio di Procmon o provare a disabilitare alcune delle tue applicazioni di avvio automatico con Autoruns .

Questi processi sono uno dei grandi misteri di Windows e non sono tutti documentati. Questo apre le porte alla speculazione. Per me, fa rima senza documenti con parti di Windows 10 di cui a Microsoft non piace parlare.

Una definizione di questi processi può essere trovata in questa presentazione forense SRUM forensics che li spiega inutilmente come:

I "processi disinstallati" sono tutti i programmi non più su disco (nelle posizioni originali)

Poiché un programma che non è più su disco non è più in grado di avere attività di rete, è logico che questa attività di rete riguardi piuttosto che da questi processi disinstallati, e l'unica entità suscettibile di farlo è Windows o uno dei suoi componenti, il principale dei quali è la telemetria, noto per essere mal documentato e invasivo della privacy.

L'articolo Segreti di telemetria di Windows 10 definisce la telemetria:

Microsoft definisce la telemetria come "dati di sistema che vengono caricati dal componente Connected User Experience e Telemetry", noto anche come Universal Telemetry Client o servizio UTC. (Più su questo a breve.)

Microsoft utilizza i dati di telemetria di Windows 10 per identificare i problemi di sicurezza e affidabilità, analizzare e correggere i problemi del software, migliorare la qualità di Windows e dei servizi correlati e prendere decisioni di progettazione per le versioni future.

La mia teoria è che questo è Windows che prova a comunicare ai suoi server di telemetria segreti l'identità dei processi disinstallati. O forse Windows Defender (ora una parte indistruttibile di Windows) che cerca di comunicare informazioni su questi processi.

Prova a disabilitare tutto in Impostazioni -> Aggiornamento e sicurezza -> Windows Defender e riavvia due volte per vedere se questo scompare. Tuttavia, Windows 10 è noto per i dati di telemetria che non possono essere completamente arrestati.

Se ciò non aiuta, provare a utilizzare un prodotto come TCPView per trovare l'indirizzo IP del server con cui viene effettuata la comunicazione. Presumo qui che l'attività di rete sia verso Internet, facilmente verificabile avviando senza connettività Internet. Task Manager può mascherare l'identità di quel processo con il nome di "Processi disinstallati", ma forse Process Explorer dirà la verità.

Una volta che conosci l'indirizzo IP del server, puoi usare un servizio whois, come IP WHOIS Lookup per identificare il proprietario del sito web.