lsm.exeとは?正規プロセスかウイルスかの見分け方と対処法を徹底解説

タスクマネージャーに常に表示され、システムリソースをかなり消費しているlsm.exeというプロセスを見つけて、「これは本物なのか、それともウイルスなのか?」と不安に感じた経験はありませんか?

このプロセスが正当なものである可能性は高いのですが、念のため以下の手順で確認し、ウイルス感染ではないことを確かめておきましょう。

lsm.exeとは何か?

正規のlsm.exeは完全に合法的な実行ファイルであり、Windowsのコアシステムプロセスの一つです。Lsmとは「Local Session Manager Service(ローカルセッションマネージャーサービス)」の略称で、Windows 7、Windows 8、Windows 10ではデフォルトで起動される重要なプロセスです。

このプロセスの役割は、ホストマシン上でターミナルとして機能するサーバーに関連するすべての接続を管理することです。

エクスプローラーのクラッシュやゲーム中のパフォーマンス問題と関連付けられることもありますが、これはシステムにとって不可欠なコンポーネントです。もし削除してしまうと、システムはユーザーのインタラクティブセッションを適切に処理できなくなります。

なお、lsm.exeの重要性が高まったのはWindows Vista以降です。Vista以降のバージョンでは、ローカルセッション接続の管理だけでなく、仮想化されたターミナルサーバーセッションの管理も担うようになりました。

セキュリティ上の脅威になる可能性はある?

悪意のある実行ファイルに遭遇する可能性は低いものの、セキュリティソフトによる検出を逃れるために、lsm.exeと同じ名前をつけられたウイルスやトロイの木馬の亜種が少なくとも3種類確認されています。

• Packed.Win32.Krap.hm
• Worm.Win32.VBNA.b
• Backdoor:Win32/Slingup.A

注意:これらのマルウェアの多くは、PCのリソースを使ってビットコインなどの暗号通貨を不正にマイニング(採掘)します。

デジタル署名で正規性を確認する方法

自分のPCのlsm.exeがウイルス感染したものではないか確認するには、まずタスクマネージャー(Ctrl + Shift + Esc)を開き、「プロセス」タブからlsm.exeを探します。次に、lsm.exeを右クリックして「プロパティ」を選択してください。

プロパティ画面で「デジタル署名」タブを開き、署名者の名前が「Microsoft Windows Publisher(マイクロソフト Windows 発行元)」になっているかどうかを確認しましょう。一致していれば、そのファイルは悪意のあるものではないと断言できます。

注意:正規か偽物かを見分ける最大のポイントはファイル名です。本物のlsm.exeの名前に含まれるのは小文字の「l(L)」ですが、偽の(悪意のある)実行ファイルには大文字の「I(i)」が使われていることが多いのです。一見ほぼ同じに見えるため、注意深く確認しましょう。

ファイルの場所を確認する方法

「署名」リストに何も表示されていない場合は、追加の調査が必要です。lsm.exeを右クリックして「ファイルの場所を開く」を選択してください。表示された場所がC:\ Windows \ System32以外であれば、悪意のある実行ファイルである可能性が高いです。

疑念を確定させるためには、見つかった実行ファイルをVirusTotalにアップロードして解析するのも有効な手段です。

注意:正規のIsm.exeになりすます悪意のあるファイルがよく潜む場所は、C:\ Users \ *ユーザー名* \ AppData \ Roaming \ lsm.exeです。

解析の結果、不審なアクティビティが検出された場合は、Safety Scanner(Microsoft Safety Scanner)やMalwarebytesといった強力なマルウェア除去ツールでシステム全体をスキャンすることを強くおすすめします。

lsm.exeは削除すべきか?

前述の通り、lsm.exeはターミナルセッションに関わるさまざまな設定のリモート管理に使用される重要なプロセスです。この実行ファイルを削除したり、動作を妨げたりすると、システムの安定性に深刻な悪影響を及ぼす可能性があります。

そのため、正規のlsm.exeをシステムから削除してはいけません。

もしlsm.exeによってCPUやメモリ(RAM)の使用率が異常に高くなっていることに気づいた場合でも、正規のプロセスだと確認できていれば、単純にPCを再起動してみてください。次回の起動時には使用率が改善しているはずです。