csrss.exe: entiende el proceso en tiempo de ejecución cliente-servidor

Los sistemas ope­ra­ti­vos modernos son entidades complejas. En el año 1982, Microsoft co­me­r­cia­li­zó MS-DOS, el precursor del Windows actual, formado por siete archivos con un tamaño total de tan solo 400 kilobytes. En sus inicios, lo único que se veía era una línea de comandos con un cursor pa­r­pa­dea­n­do a la espera de in­s­tru­c­cio­nes.

Hoy en día, cuando inicias un sistema operativo Windows, se cargan in­nu­me­ra­bles programas eje­cu­ta­bles en la memoria principal. Incluso antes de que puedas iniciar sesión en el sistema, ya hay varias docenas de procesos y servicios activos en el sistema. Uno de estos programas del sistema es el programa csrss.exe, cuya función en el sistema Windows exa­mi­na­re­mos en pro­fu­n­di­dad en este artículo.

El proceso en tiempo de ejecución del cliente-servidor se inicia una vez por cada sesión; en las in­s­ta­n­cias de Windows iniciadas siempre hay al menos dos sesiones: una sesión “0” para todos los servicios y una sesión para los procesos de usuario. Por esa razón, el archivo csrss.exe siempre se iniciará, como mínimo, dos veces.

Cada proceso csrss.exe carga varias DLL (bi­blio­te­cas de vínculos dinámicos) como basesrv.dll, winsrv.dll o csrsv.dll. Estas ofrecen, entre otras, las si­guie­n­tes funciones:

• Inicio y fi­na­li­za­ción de procesos
• Inicio y fi­na­li­za­ción de su­b­pro­ce­sos
• Pre­pa­ra­ción de la ventana de la consola (línea de comandos)
• De­s­co­ne­xión del sistema

Otros programas o procesos pueden acceder o utilizar estas funciones mediante el uso de csrss.exe, lo que también explica el uso central de este proceso: si csrss.exe no se ejecuta co­rre­c­ta­me­n­te o si si­m­ple­me­n­te se finaliza, de inmediato dejarán de estar di­s­po­ni­bles algunas funciones im­po­r­ta­n­tes del sistema operativo. También dejarán de funcionar procesos activos en cuanto no tengan po­si­bi­li­dad de iniciar su­b­pro­ce­sos.

Hay varias formas de examinar con todo detalle el proceso csrss.exe. El método más cómodo es mediante el ad­mi­ni­s­tra­dor de tareas integrado de forma estándar. Este se puede abrir, por ejemplo, mediante la co­m­bi­na­ción de teclas [Control] + [Mayús] + [Esc] o buscando en el campo de búsqueda de Windows. El ad­mi­ni­s­tra­dor de tareas ofrece in­fo­r­ma­ción sobre el re­n­di­mie­n­to del sistema, así como sobre los procesos y servicios activos a través de varias pestañas.

Desde la versión Windows 10, podrás encontrar el proceso csrss.exe en la pestaña del ad­mi­ni­s­tra­dor de tareas “Procesos” con la de­no­mi­na­ción “Proceso en tiempo de ejecución del cliente-servidor”. En versiones antiguas, se en­co­n­tra­ba dentro de la lista con su nombre de apli­ca­ción (es decir, “csrss.exe”). Si haces clic con el botón derecho del ratón sobre el proceso, podrás elegir entre varias opciones. Algunas de estas opciones son útiles para examinar el proceso:

• Abrir ubicación del archivo: abre una ventana del ex­plo­ra­dor con el lugar de al­ma­ce­na­mie­n­to de csrss.exe. Esta debe ser siempre la ruta “Windows\System32\”. Si este no es el caso, no se trata del proceso correcto.
• Ir a detalles: junto al PID, la ide­n­ti­fi­ca­ción del proceso, aquí también podrás averiguar si el proceso se encuentra en ejecución y qué usuario lo está eje­cu­ta­n­do. En el caso del csrss.exe, el usuario debe ser siempre “System”, al tratarse de un proceso del sistema.
• Pro­pie­da­des: en la pestaña “Detalles” podrás consultar los po­r­me­no­res de la apli­ca­ción. En la pestaña “Firmas digitales” se puede consultar el ce­r­ti­fi­ca­do del programa. En el caso de csrss.exe, el firmante del ce­r­ti­fi­ca­do debe ser siempre Microsoft.

Una al­te­r­na­ti­va co­n­so­li­da­da a la co­m­pro­ba­ción general de procesos del sistema como csrss.exe son los programas de Mark Ru­s­si­no­vi­ch, que mantiene una estrecha relación con Windows. Ru­s­si­no­vi­ch ha publicado una amplia colección de programas útiles bajo el nombre “Sy­si­n­te­r­na­ls Suite”, entre los que se incluye el programa Process Explorer, con el que se pueden re­pre­se­n­tar los procesos activos de forma je­rá­r­qui­ca. Además, el programa ofrece un vínculo directo a la pla­ta­fo­r­ma Vi­ru­s­to­tal.com, la cual permite una co­m­pro­ba­ción rápida de los procesos deseados.

En los foros de internet aparece de vez en cuando la duda de si se puede finalizar procesos como csrss.exe o eliminar el programa. Sin embargo, finalizar csrss.exe tendría como co­n­se­cue­n­cia la inmediata de­s­co­ne­xión del sistema. Por este motivo, no se nos ocurre ninguna razón por la que proceder de esta forma. Desde el ad­mi­ni­s­tra­dor de tareas no se puede finalizar el proceso, ya que no se cuenta con los derechos ne­ce­sa­rios.

Si el proceso causa problemas, como por ejemplo un alto uso de la CPU, tu tarea será más bien averiguar qué co­m­po­ne­n­tes son los re­s­po­n­sa­bles de esta situación. Además de eso, deberías comprobar si se trata siquiera del “verdadero” proceso csrss.

Eliminar por completo la apli­ca­ción csrss.exe de la carpeta del sistema pro­vo­ca­ría que el sistema dejara de funcionar.

Como el proceso csrss.exe siempre está activo, atrae la atención al comprobar los procesos en ejecución. Además, al tener un nombre tan críptico, incita a los de­sa­rro­lla­do­res de programas ma­li­cio­sos a programar apli­ca­cio­nes con nombres parecidos, como, por ejemplo, “crss.exe” o “cssrs.exe” y a in­tro­du­ci­r­los en los sistemas poco pro­te­gi­dos. Estos nombres, al lado de las de­no­mi­na­cio­nes to­ta­l­me­n­te de­s­co­no­ci­das, son muy fáciles de pasar por alto o de confundir con el nombre original del archivo si se hace una co­m­pro­ba­ción rápida.

Por este motivo, debes comprobar en primer lugar que el nombre esté bien escrito y que el programa se encuentre en la ubicación correcta. La apli­ca­ción csrss.exe que se encuentra en la carpeta del sistema .\Windows\System32\ no se trata, muy pro­ba­ble­me­n­te, de ningún programa malicioso. Si, en contra de lo esperado, sospechas de que existe una ma­ni­pu­la­ción, te re­co­me­n­da­mos una re­in­s­ta­la­ción, ya que en ese caso todo el sistema se co­n­si­de­ra­ría inseguro.