У многих пользователей возникают вопросы, связанные с процессом «Хост-процесс для служб Windows» svchost.exe в диспетчере задач Windows 10, 8 и Windows 7. Некоторых смущает, что процессов с таким именем большое число, другие сталкиваются с проблемой, выраженной в том, что svchost.exe грузит процессор на 100% (особенно актуально для Windows 7), вызывая тем самым невозможность нормальной работы с компьютером или ноутбуком.
В этой подробно о том, что это за процесс, для чего он нужен и как решать возможные проблемы с ним, в частности выяснить — какая именно служба, запущенная через svchost.exe грузит процессор, и не является ли данный файл вирусом.
Svchost.exe — что это за процесс (программа)
Svchost.exe в Windows 10, 8 и Windows 7 является основным процессом для загрузки служб операционной системы Windows, хранящихся в динамических библиотеках DLL. То есть службы Windows, которые вы можете увидеть в списке служб (Win+R, ввести services.msc) загружаются «через» svchost.exe и для многих из них запускается отдельный процесс, которые вы и наблюдаете в диспетчере задач.
Службы Windows, а особенно те, за запуск которых отвечает svchost, являются необходимыми компонентами для полноценной работы операционной системы и загружаются при ее запуске (не все, но большинство из них). В частности, таким образом запускаются такие нужные вещи, как:
- Диспетчеры различных видов сетевых подключений, благодаря которым Вы имеете доступ в Интернет, в том числе и по Wi-Fi
- Службы для работы с устройствами Plug and Play и HID, позволяющие Вам пользоваться мышками, веб-камерами, USB-клавиатурой
- Службы центра обновления, защитник Windows 10 и 8 другие.
Соответственно, ответ на то, почему пунктов «Хост-процесс для служб Windows svchost.exe» много в диспетчере задач заключается в том, что системе необходимо запускать много служб, работа которых выглядит как отдельный процесс svchost.exe.
При этом, если каких-либо проблем данный процесс не вызывает, вам, вероятнее всего, не стоит каким-либо образом что-то настраивать, переживать о том, что это вирус или тем более пробовать удалить svchost.exe (при условии, что нахождение файла в C:\Windows\System32 или C:\Windows\SysWOW64, иначе, в теории, может оказаться, что это вирус, о чем будет упомянуто далее).
Что делать, если svchost.exe грузит процессор на 100%
Одна из самых распространенных проблем, связанных с svchost.exe — то, что этот процесс грузит систему на 100%. Наиболее частые причины такого поведения:
- Выполняется какая-либо стандартная процедура (если такая нагрузка не всегда) — индексация содержимого дисков (особенно сразу после установки ОС), выполнение обновления или его загрузки и подобные. В этом случае (если это проходит «само») делать обычно ничего не требуется.
- Какая-то из служб по какой-то причине работает неправильно (тут попробуем выяснить, что это за служба, см. далее). Причины неправильной работы могут быть разными — повреждения системных файлов (может помочь проверка целостности системных файлов), проблемы с драйверами (например, сетевыми) и другие.
- Проблемы с жестким диском компьютера (стоит выполнить проверку жесткого диска на ошибки).
- Реже — результат работы вредоносного ПО. Причем не обязательно сам файл svchost.exe является вирусом, могут быть варианты, когда посторонняя вредоносная программа обращается к Хост-процессу служб Windows таким образом, что вызывает нагрузку на процессор. Тут рекомендуется проверить компьютер на вирусы и использовать отдельные средства удаления вредоносных программ. Также, если проблема исчезает при чистой загрузке Windows (запуск с минимальным набором системных служб), то стоит обратить внимание на то, какие программы есть у вас в автозагрузке, возможно, влияние оказывают они.
Наиболее распространенный из указанных вариантов — неправильная работа какой-либо службы Windows 10, 8 и Windows 7. Для того, чтобы выяснить, какая именно служба вызывает такую нагрузку на процессор, удобно использовать программу Microsoft Sysinternals Process Explorer, скачать которую можно бесплатно с официального сайта https://technet.microsoft.com/en-us/sysinternals/processexplorer.aspx (представляет собой архив, который нужно распаковать и запустить из него исполняемый файл).
После запуска программы вы увидите список запущенных процессов, в том числе проблемный svchost.exe, нагружающий процессор. Если навести на процесс указатель мыши, во всплывающей подсказке появится информация о том, какие конкретно службы запущенны данным экземпляром svchost.exe.
Если это одна служба — можно попробовать отключить её (см. Какие службы можно отключить в Windows 10 и как это сделать). Если несколько — можно экспериментировать с отключением, а можно по типу служб (например, если всё это — сетевые службы) предположить возможную причину проблемы (в указанном случае это могут быть неправильно работающие сетевые драйвера, конфликты антивирусов, или же вирус, использующий ваше сетевое подключение, задействуя при этом системные службы).
Как узнать, svchost.exe — это вирус или нет
Существует некоторое количество вирусов, которые либо маскируются, либо загружаются с помощью настоящего svchost.exe. Хотя, в настоящее время они встречаются не очень часто.
Симптомы заражения могут быть различными:
- Основной и почти гарантированно говорящий о вредоносности svchost.exe — расположение этого файла вне папок system32 и SysWOW64 (чтобы узнать расположение, вы можете кликнуть правой кнопкой мыши по процессу в диспетчере задач и выбрать пункт «Открыть расположение файла». В Process Explorer посмотреть расположение можно схожим образом — правый клик и пункт меню Properties). Важно: в Windows файл svchost.exe можно обнаружить также в папках Prefetch, WinSxS, ServicePackFiles — это не вредоносный файл, но, одновременно, среди запущенных процессов файла из этих расположений быть не должно.
- Среди прочих признаков отмечают, что процесс svchost.exe никогда не запускается от имени пользователя (только от имени «Система», «LOCAL SERVICE» и «Network Service»). В Windows 10 это точно не так (Shell Experience Host, sihost.exe, запускается именно от пользователя и через svchost.exe).
- Интернет работает только после включения компьютера, потом перестает работать и страницы не открываются (причем иногда можно наблюдать активный обмен трафиком).
- Другие обычные для вирусов проявления (реклама на всех сайтах, открывается не то, что нужно, изменяются системные настройки, компьютер тормозит и т.д.)
В случае, если у Вас возникли подозрения на то, что на компьютере какой-либо вирус, имеющий к svchost.exe, рекомендую:
- С помощью ранее упоминавшейся программы Process Explorer кликнуть правой кнопкой мыши по проблемному экземпляру svchost.exe и выбрать пункт меню «Check VirusTotal» для проверки этого файла на вирусы.
- В Process Explorer посмотреть, какой процесс запускает проблемный svchost.exe (т.е. в отображаемом в программе «дереве» находится «выше» в иерархии). Проверить его на вирусы тем же способом, что был описан в предыдущем пункте, если он вызывает подозрения.
- Воспользоваться антивирусной программой для полной проверки компьютера (так как вирус может быть не в самом файле svchost, а просто использовать его).
- Посмотреть описания вирусов здесь https://threats.kaspersky.com/ru/ . Просто введите в поисковую строку «svchost.exe» и получите список вирусов, использующих этот файл в своей работе, а также описание, как именно они работают и каким образом скрываются. Хотя, наверное, это излишне.
- Если по имени файлов и задач вы способны определить их подозрительность, можно посмотреть, что именно запускается с помощью svchost с помощью командной строки, введя команду Tasklist /SVC
Стоит отметить, что 100% загрузка процессора, вызываемая svchost.exe редко бывает следствием работы вирусов. Чаще всего это все-таки следствие проблем со службами Windows, драйверами или другим ПО на компьютере, а также «кривости» установленных на компьютерах многих пользователей «сборок».
Уровень сложностиПростой
Время на прочтение12 мин
Количество просмотров30K
В этой статье моей целью будет быстро и понятно внести памятку о легитимных процессах Windows. Немного расскажу, какой процесс за что отвечает, какие нормальные свойства имеют процессы, и приправлю это все небольшим количеством краткой, но полезной информации.
Я искренне приношу извинения за возможные неточности в изложении материала, информация в этой статье является «сборной солянкой» из моих слов и тысячи и тысячи источников!
По мере возможности я постараюсь обновлять материал, исправляя неточности, делая его более детализированным и актуальным.
System
Путь: Процесс не создается за счет исполняемого файла
Родительский процесс: Нет
Количество экземпляров: Один
Время запуска: Запуск системы
Здесь многословить не стоит: этот процесс отвечает за выполнение ядра операционной системы, других процессов и драйверов устройств, поэтому в основном под ним запускаются файлы .sys и некоторые важные для системы библиотеки. В обязанности System входит контроль за управлением оперативной и виртуальной памятью, объектами файловой системы.
smss.exe
Путь: %SystemRoot%\System32\smss.exe
Родительский процесс: System
Количество экземпляров: Один и дочерний, который запускается после создания сеанса
Время запуска: Через несколько секунд после запуска первого экземпляра
Session Manager Subsystem — диспетчер, отвечающий за создание новых сеансов, запуск процессов csrss.exe и winlogon.exe, отвечающих за графический интерфейс и вход в систему, а также за инициализацию переменных окружения. Первый экземпляр создает сеанс нуля и дочерний экземпляр, и как только дочерний экземпляр инициализирует новый сеанс, запуская csrss.exe и wininit.exe для сеанса 0 или winlogon.exe для сеанса 1, дочерний экземпляр завершается.
Если обнаружены проблемы с файловой системой, первостепенной функцией smss.exe является запуск системной утилиты для проверки диска — autochk.
После выполнения этих задач smss.exe переходит в пассивный режим.
Немного о сеансе 0 и сеансе 1
Сеанс 0 и сеанс 1 — это разные типы сеансов Windows, которые используются для запуска процессов.
Сеанс 0 создается при запуске системы, и в нем в фоновом режиме работают службы и процессы Windows.
Сеанс 1 создается для пользовательских процессов.Chkdsk и autochk — что это вообще, и зачем? А разница в чем?
На самом деле, autochk — это версия chkdsk, которая запускается автоматически smss.exe при обнаруженных проблемах с диском. А разница их в том, что chkdsk можно запустить в среде Windows напрямую из командной строки, а autochk — нет.
Да и autochk работает только с NTFS, что не скажешь про chkdsk — он, в дополнение к NTFS, поддерживает FAT и exFAT.Кстати!
По сути, chkdsk тоже может запускаться smss.exe, но это зависит от того, что указано в ключе реестраHKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Control\SessionManager(здесь хранится информация, предназначенная для Диспетчеpa сеансов ) в параметреBootExecute). При запуске chkdsk Диспетчер сеансов использует параметр/r, что позволяет утилите производить поиск повреждённых секторов (наряду с ошибками файловой системы).
csrss.exe
Путь: %SystemRoot%\System32\csrss.exe
Родительский процесс: smss.exe, который, запустив csrss.exe, завершает работу
Количество экземпляров: Два или больше
Время запуска: Через несколько секунд после запуска первых двух экземпляров — для сеанса 0 и сеанса 1
Client/Server Run-Time Subsystem — подсистема выполнения «клиент/сервер» обеспечивает пользовательский режим подсистемы Windows. Csrss.exe отвечает за импорт многих DLL-библиотек, которые предоставляют WinAPI (kernel32.dll, user32.dll, ws_2_32.dll и другие), а также за обработку графического интерфейса завершения работы системы.
Процесс запускается для каждого сеанса, а именно 0 и 1, дополнительные сеансы создаются при помощи удаленного рабочего стола или за счет быстрого переключения между пользователями.
Что интересно для Windows Server
Можно проверить количество активных сеансов, введя
query SESSIONв командной строке. Так можно проверить, соответствует ли количество сеансов количеству запущенных csrss.exe.И еще..
До Windows 7 csrss.exe обеспечивал старт окна консоли, но теперь этим занимается conhost.exe.
wininit.exe
Путь: %SystemRoot%\System32\wininit.exe
Родительский процесс: smss.exe, который завершает работу перед запуском wininit.exe
Количество экземпляров: Один
Время запуска: Через несколько секунд после запуска системы
После получения управления от процесса smss.exe, wininit.exe помечает себя как критический, что позволяет ему избегать нежелательного отключения при аварийном завершении сеанса или входа систему в гибернацию. Целью Windows Initialisation (wininit.exe) является запуск ключевых фоновых процессов в рамках сеанса нуля. Он запускает:
-
services.exe — Диспетчер управления службами
-
lsass.exe — Сервер проверки подлинности локальной системы безопасности
-
lsaiso.exe — для систем с включенной Credential Guard.
Дополнительно на протяжении всего сеанса работы системы wininit.exe отвечает за создание и наполнение папки TEMP. Перед выключением wininit.exe снова «активизируется» — теперь уже для корректного завершения запущенных процессов. .
Кстати!
До Windows 10 lsm.exe (Диспетчер локальных сеансов) также запускался с помощью wininit.exe. Начиная с Windows 10, эта функция перенесена в lsm.dll, которая размещена в svchost.exe.
services.exe
Путь: %SystemRoot%\System32\services.exe
Родительский процесс: wininit.exe
Количество экземпляров: Один
Время запуска: Через несколько секунд после запуска системы
В функции services.exe входит реализация Унифицированного диспетчера фоновых процессов (UBPM), который отвечает за фоновую работу таких компонентов, как Диспетчер управления службами (SCM) и Планировщик задач (Task Sheduler). Словом, services.exe отвечает за управление службами, а также за контроль за взаимодействием служб, обеспечивая их безопасную и эффективную работу.
UBPM: немного для тех, кто видит первый раз
Унифицированный диспетчер фоновых процессов (UBPM) — компонент системы, который автоматически управляет фоновыми процессами, такими как службы и запланированные задачи. Словом, он помогает оптимизировать запущенные в фоновом режиме службы, приостанавливать или завершать фоновые процессы, что позволяет экономить ресурсы системы.
Кстати!
До Windows 10, как только пользователь успешно вошел в систему в интерактивном режиме, services.exe считал загрузку успешной и устанавливал для последнего удачного набора элементов управления
HKLM\SYSTEM\Select\LastKnownGoodзначениеCurrentControlSet.А LastKnownGood — что это вообще?
LastKnownGood являлся опцией восстановления, благодаря которой можно запустить систему с последней рабочей конфигурацией, если система не может загрузиться из-за каких-либо причин. LastKnownGood сохранял резервную копию части реестра, в которой хранится информация о системе, драйверах и настройках.
Когда это могло пригодиться? Например, если загрузка нового ПО или изменение параметров системы не привело ни к чему хорошему. Тогда можно было бы использовать эту опцию, чтобы отменить изменения и откатиться к прошлому состоянию.
svchost.exe
Путь: %SystemRoot%\system32\svchost.exe
Родительский процесс: services.exe (чаще всего)
Количество экземпляров: Несколько (обычно не менее 10)
Время запуска: В течение нескольких секунд после загрузки, однако службы могут запускаться в течение работы системы, что приводит к появлению новых экземпляров svchost.exe.
svchost.exe (в Диспетчере задач прописывается как Служба узла) — универсальный хост-процесс для служб Windows, использующийся для запуска служебных DLL. В системе запускается несколько экземпляров svchost.exe, и каждая служба работает в своем собственном процессе svchost, что позволяет изолировать ошибки в работе одной службы от других, хотя в системах с ОЗУ менее 3,5 ГБ службы приходится группировать (см. ниже). Ну а в системах с оперативной памятью более 3,5 ГБ можно увидеть даже более 50 экземпляров svchost.exe.
Злоумышленники часто пользуются преимуществом наличия большого количества процессов svchost.exe, и могут воспользоваться этим, чтобы разместить какую-либо вредоносную DLL в качестве службы, либо запустить вредоносный процесс с именем svchost.exe или что-то типа scvhost.exe, svhost.exe и так далее.
Хотя, как известно, так можно сделать с любым процессом, но с svchost.exe это происходит почаще.
Кстати!
До Windows 10 версии 1703 экземпляры svchost.exe по умолчанию запускались в системе с уникальным параметром
-k, благодаря которому была возможна группировка похожих служб. Типичные параметры-kвключают:
DcomLaunch — служба, которая запускает компоненты COM и DCOM, благодаря которым программы взаимодействуют между собой на удаленных компьютерах
RPCSS — служба RPC (удаленный вызов процедур), благодаря которой программы взаимодействуют между собой через сеть.
LocalServiceNetworkRestricted — локальная служба, которая работает в пределах компьютера и имеет доступ к сети только для определенных операций.
LocalServiceNoNetwork — локальная служба, идентичная LocalServiceNetworkRestricted, но не имеющая доступа к сети.
netsvcs — группа служб Windows, благодаря которым выполняются задачи, связанные с сетью.
NetworkService — служба, которая позволяет выполнять задачи на удаленных хостах, и имеет доступ к сети для обмена данными.
Здесь можно почитать о разделении служб SvcHost.
RuntimeBroker.exe
Путь: %SystemRoot%\System32\RuntimeBroker.exe
Родительский процесс: svchost.exe
Количество экземпляров: Один или больше
Время запуска: Может быть разным
Работающий в системах Windows, начиная с Windows 8, RuntimeBroker.exe действует как прокси между ограниченными приложениями универсальной платформы Windows (UWP) и набором функций и процедур Windows API. В целях безопасности приложения UWP должны иметь ограниченные возможности взаимодействия с оборудованием, файловой системой и другими процессами, поэтому процессы-брокеры а-ля RuntimeBroker.exe используются для обеспечения требуемого уровня доступа для таких приложений.
Обычно для каждого приложения UWP существует один файл RuntimeBroker.exe. Например, запуск сalculator.exe приведет к запуску соответствующего процесса RuntimeBroker.exe.
И такое было: об утечках памяти, связанных с RuntimeBroker
Когда процесс RuntimeBroker еще был в новинку, пользователи во время работы с системой начали замечать, что RuntimeBroker.exe нещадно занимает аж более 500 МБ памяти, что несвойственно для него.
Оказывается, ошибка заключалась в следующем: каждый вызов методаTileUpdater.GetScheduledTileNotificationsприводила к тому, что RuntimeBroker выделял память без ее дальнейшего высвобождения. Чаще всего с этим сталкивались пользователи, у которых было установлено приложение «The Time» для измерения времени — оно постоянно обновляло информацию на плитке.Об этом казусе в Windows 8 можно почитать тут.
Про метод TileUpdater.GetScheduledTileNotifications
Если кратко, это метод, позволяющий получать запланированные уведомления от плиток в универсальных приложениях Windows (UWP). Он позволяет приложениям отображать информацию на стартовом экране пользователя в виде динамически обновляемых плиток.
taskhostw.exe
Путь: %SystemRoot%\System32\taskhostw.exe
Родительский процесс: svchost.exe
Количество экземпляров: Один или больше
Время запуска: Может быть разным
Процесс Task Host Window отвечает за выполнение различных задач Windows.
С началом работы, taskhostw.exe начинает выполнять задачи, которые были назначены ему системой, а в течение работы системы выполняет непрерывный цикл прослушивания триггерных событий. Примеры триггерных событий, которые могут инициировать задачу, могут включать в себя:
-
Определенное расписание задач
-
Вход пользователя в систему
-
Запуск системы
-
Событие журнала Windows
-
Блокировка/ разблокировка рабочей станции и т.д.
Двое из ларца: В чем разница между Task Host Window и Task Scheduler?
Task Host Window отвечает за выполнение различных системных задач, например, запуск служб и выполнение запросов на исполнение программ. Taskhostw.exe может использоваться для запуска службы обновления Windows, перехода компьютера в режим сна или ожидания после определенного времени и так далее.
Task Sheduler, он же Планировщик задач, — инструмент, благодаря которому пользователь имеет возможность создавать задачи и запускать их по расписанию или при определенных событиях. Планировщик задач может быть использован для запуска программ, скриптов и автоматизации задач.
lsass.exe
Путь: %SystemRoot%\System32\lsass.exe
Родительский процесс: wininit.exe
Количество экземпляров: Один
Время запуска: В течение нескольких секунд после загрузки
Local Security Authentication Subsystem Service (Служба проверки подлинности локальной системы безопасности) отвечает за аутентификацию пользователей путем вызова соответствующего пакета аутентификации, указанного в HKLM\SYSTEM\CurrentControlSet\Control\Lsa. Обычно это Kerberos для учетных записей домена или MSV1_0 для локальных учетных записей. Помимо аутентификации пользователей, lsass.exe также отвечает за реализацию локальной политики безопасности (например, политики паролей и политики аудита), а также за запись событий в журнал событий безопасности.
Что любят котята: Mimikatz и LSASS
Многим известно, что злоумышленники могут использовать Mimikatz, зачастую для перехвата учетных данных в операционной системе, и делают они это за счет перехвата данных процесса lsass.exe.
Все просто: работает Mimikatz на уровне ядра и внедряется в процесс LSASS или использует метод DLL-injection. Кража учетных данных происходит либо за счет получения доступа к памяти процесса, в котором лежат заветные креды, либо за счет перехвата вызова функций до шифрования учетных данных.
Также Mimikatz не пренебрегает использованием стандартных функций Win32 LsaProtectMemory и LsaUnprotectMemory, которые используются для шифрования и расшифровки некоторых участков памяти с чувствительной информацией.Чуть больше об lsass.exe можно прочитать тут.
И о любви котят к LSASS — тут.
winlogon.exe
Путь: %SystemRoot%\System32\winlogon.exe
Родительский процесс: smss.exe, который, запустив winlogon.exe, завершает работу
Количество экземпляров: Один или больше
Время запуска: В течение нескольких секунд после загрузки первого экземпляра, дополнительные экземпляры запускаются по мере создания новых сеансов (подключение с удаленного рабочего стола и быстрое переключение пользователей)
Winlogon обрабатывает интерактивный вход и выход пользователей из системы. Он запускает LogonUI.exe, который использует поставщика учетных данных для сбора учетных данных пользователя, а затем передает учетные данные lsass.exe для проверки.
После аутентификации пользователя Winlogon загружает NTUSER.DAT пользователя в HKCU, настраивает окружение пользователя, включая его рабочий стол, настройки реестра и т.д., и запускает оболочку пользователя explorer.exe через userinit.exe.
Совсем чуть-чуть об logonUI.exe
Да, название говорит само за себя: logonUI.exe отвечает за отображение экрана входа пользователя и за взаимодействие с пользователем при входе в систему. Если просто, то вывод того самого экрана входа и поля для ввода учетных данных — старания logonUI.exe.
..И об userinit.exe
Основная функция userinit.exe заключается в подготовке среды пользователя для работы в операционной системе.
Когда пользователь входит в систему, userinit.exe инициирует загрузку профиля пользователя, настройки оболочки (шаблоны рабочего стола, запуск программ и т.д.). После выполнения сих действий, userinit.exe запускает оболочку пользователя explorer.exe, которая отображает рабочий стол и другие элементы интерфейса, после чего завершает работу.Кстати!
Обработка команд из
CTRL+ALT+DEL, между прочим, тоже входит в обязанности winlogon.exe.
А тут можно почитать о Winlogon еще и узнать чуть больше — и про его состояния, и про GINA, и про все-все.
explorer.exe
Путь: %SystemRoot%\explorer.exe
Родительский процесс: userinit.exe, который завершает работу
Количество экземпляров: Один или больше, если включена опция Запускать окна с папками в отдельном процессе
Время запуска: Интерактивный вход пользователя
По своей сути, explorer.exe предоставляет пользователям доступ к файлам, хотя одновременно это файловый браузер через проводник Windows (тот самый Диспетчер файлов) и пользовательский интерфейс, предоставляющий такие функции, как:
-
Рабочий стол пользователя
-
Меню «Пуск»
-
Панель задач
-
Панель управления
-
Запуск приложений через ассоциации расширений файлов и файлы ярлыков
Словом, процесс отвечает за отображение действий пользователя: открытие и закрытие окон, перемещение и копирование файлов и тому подобное.
Запуск приложений через ассоциации расширений файлов
По сути, это процесс, при котором система использует информацию о расширении имени файла (например,
.txt) для определения программы, которая будет запущена, чтобы обработать этот файл. Например, файл расширения.txtассоциируется в системе с текстовым редактором, потому она запустит его при двойном щелчке мышью. Словом, ассоциации расширений файлов определяют, какие программы открываются по умолчанию для определенных типов файлов.Также и с ярлыками — при щелчке запускается связанные с ними ресурсы.
Explorer.exe — это пользовательский интерфейс по умолчанию, указанный в значении реестра HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Shell, хотя Windows может работать и с другим интерфейсом, например, с cmd.exe.
Следует заметить, что легитимный explorer.exe находится в каталоге %SystemRoot%, а не %SystemRoot%\System32.
Explorer — это же браузер, нет?
В старые добрые времена, когда на системах еще стоял Internet Explorer, запуск этого браузера инициировал процесс iexplore.exe, и с каждой новой вкладкой создавался новый экземпляр этого процесса. Сейчас остался только explorer.exe, который ни в коем случае не связан с браузером.
Вместо Internet Explorer на наших системах стоит MS Edge, который имеет процесс msedge.exe, исполняемый файл которого лежит в\Program Files (x86)\Microsoft\Edge\Application\.
ctfmon.exe
Путь: %SystemRoot%\System32\ctfmon.exe
Родительский процесс: Зависит от того, какой процесс запустил ctfmon.exe
Количество экземпляров: Один
Время запуска: При входе в систему
Процесс ctfmon.exe или, как привыкли его видеть, CTF-загрузчик, управляет функциями рукописного и сенсорного ввода, распознавания голоса и переключения языка на панели задач. Также процесс отслеживает активные программы и настраивает языковые параметры для обеспечения поддержки многоязычного ввода.
Ctfmon.exe может быть запущен разными процессами, и это напрямую зависит от того, какие функции ввода или языка используются в системе. Примеры родительских процессов и причины запуска:
-
svchost.exe — использование рукописного ввода или распознавания речи
-
winword.exe, excel.exe и т.д. — использование программ пакета Microsoft Office
-
searchUI.exe — использование поиска на панели задач или приложения из магазина Windows 10
Конечно, это не исчерпывающий список легитимных процессов, но, как минимум, основной. Хочется верить, что этот материал был полезен тем, кто пугается страшных букв в Диспетчере задач и тем, кто просто хочет узнать немного больше.
Спасибо за прочтение!
В Диспетчере задач есть много различных процессов и загадочных файлов, которые постоянно потребляют какие-то ресурсы компьютера, включаются, отключаются и живут своей активной цифровой жизнью. Среди них пользователи находят и так называемый Хост-процесс для служб Windows, он же svhost.exe. Эта статья расскажет вам, для чего нужен этот процесс.
Что за процесс svchost.exe
Хост-процесс для служб Windows – это системный процесс операционной системы. Сервисы и службы Windows, которые запускаются из исполняемых файлов exe, регистрируются в диспетчере задач как полноценные отдельные процессы с собственными именами и графиками потребления памяти, процессора, диска и сети. Те сервисы, которые загружаются из динамически подключаемых библиотек (также известные как DLL – Dynamic Linked Library), не могу т «прописаться» как полноценный процесс. Вместо этого система регистрирует их в виде процесса, известного как Хост-процесс для служб Windows или svchost.exe. Среди этих сервисов числятся диспетчеры сетевых подключений, служба Plug-and-play, центр обновлений, механизмы защиты и так далее.
Другая его особенность заключается в том, что для каждого сервиса, основанного на динамически подключаемых библиотеках, система создает отдельный хост-процесс. Именно поэтому вы можете увидеть несколько svchost.exe в Диспетчере задач. Чтобы посмотреть, какое количество svhost.exe у вас запущено, откройте Диспетчер задач и перейдите на вкладку Подробности. Зачастую в системе работает несколько десятков хост-процессов для служб Windows. Это норма.
Хост-процессы. Тысячи их.
К сожалению, Диспетчер задач не разрешает посмотреть, сколько именно сервисов или групп связано с каждым хост-процессом. Если вам действительно интересно узнать, какие библиотеки подключены к хост-процессам вашего компьютера, понадобится небольшая утилита Process Explorer, разработанная Microsoft. Она «портативна», поэтому вам не нужна будет установка. Просто скачайте ее и распакуйте в нужную локацию. Запустите файл processxp64, если у вас 64-разрядная версия Windows или processxp, если 32-разрядная. В списке Process найдите svchost.exe – это те самые хост-процессы для служб Windows. Наведение курсора на один из них отображает список служб, связанных с конкретным процессом. К примеру, Диспетчер локальных сеансов, доступ к HID-устройствам, журнал локальных событий, служба профилей пользователей и так далее. Много различных служб, жизненно важных для работы Windows.
svchost.exe грузит процессор
Вы можете заметить, что сразу после включения компьютера все хост-процессы служб Windows сильнее загружают ваш компьютер, особенно процессор. Это тоже норма, так должно быть. Спустя некоторое время (не особо долго) все успокоится, и нагрузка упадет. Почему так происходит? Когда Windows стартует, хост-процесс сканирует все записи сервисов и реестра, а также составляет список DLL-сервисов, необходимых для запуска. Затем происходит загрузка этих сервисов, из-за чего увеличивается потребление ресурсов процессора.
На увеличение нагрузки CPU процессом svchost.exe также влияют также другие факторы. К примру, система проводит индексацию, скачивает обновление или выполняет другую фоновую задачу, которая требуется для обслуживания системы. Разумеется, бывают и внештатные ситуации, когда одна из служб системы работает некорректно, что приводит к нагрузке на процессор и замедлению быстродействия компьютера. Причин этому может быть большое количество. К примеру, поврежденные системные файлы, проблемный драйвер, сбой в работе службы, выход из строя жесткого диска или вредоносное ПО.
Зачастую главной причиной аномальной нагрузки на процессор служит сбой в работе одной или нескольких служб. Диагностировать такой сбой можно в той же утилите Process Explorer. Найдите в ней процесс, потребляющий больше всех ресурсов и наведите курсор мыши. В окне всплывающей подсказки появится список подключенных служб или службы. Попробуйте отключить их и понаблюдать за результатом. Обнаружив проблемное место, действуйте уже соответственно инструкции по решению проблем в работе службы.
Предупреждение: службы системы не стоит слепо отключать. Убедитесь, что вы знаете, что делаете, а также уверены в своих возможностях вернуть все обратно. Слепые манипуляции с системой могут привести к повреждению ее работы.
svchost.exe — вирус или нет
Мы уже уяснили, что процесс svchost.exe или Хост-процесс для служб Windows – это стандартный механизм системы, который в принципе не может быть вирусом на нормально работающем компьютере. Тем не менее, бывают случаи, когда вредоносное ПО или вирус выдает себя за svchost.exe.
Обратите внимание на расположение файла. В диспетчере задач на вкладке Подробнее нажмите правой кнопкой мыши на один из svchost.exe и выберите Расположение файла. Его основное местоположение – папка C:\Windows\System32 или SysWOW64. Файл с аналогичным именем встречается также в директориях Prefetch, WinSxS и ServicePackFiles, вы никогда не попадете из Диспетчера задач в эти папки, если svchost.exe работает в штатном режиме.
При подозрении наличия вредоносного ПО и обнаружении аномалий в расположении svchost.exe вам надо будет обратиться к услугам своего антивируса, что вполне очевидно. Это руководство лишь поможет вам понять, в чем причина увеличения нагрузки на компьютер процессом svchost.exe.
Home
Windows
By
Abhishek Silwal
Host Process for Windows Services or svchost.exe is a system process that runs in the background. If you ever see it on the Task Manager or any other apps, you may be curious, especially since the Task Manager shows a lot of this process running at the same time.
You may also be encountering some issues with this process, such as high consumption of internet bandwidth or other system resources. In this article, I’ll go through what exactly this process is while also providing the solution for those problems.
What is Host Process for Windows Services (Svchost.exe)?
Host Process for Windows Services or svchost.exe is, as the name says, the system process that hosts Windows services. In newer Windows systems, you will also find this process as Service Host.
Unlike Programs, services are not independently running processes and are actually parts of some Dynamic Link Library (DLL) files in your system. Each service is associated with different types of Windows processes.
By default, a service only needs to start if your system runs another process (service or program) that requires the service. They also have different Startup types that help control when your system needs to run them.
The Host Process for Windows Services acts as a shell or host process for loading the services whenever necessary depending on their configuration.
Why are There So Many Service Host Processes?
The Windows Services can run under three different user groups—the Local System, Local Service, and Network Service. Also, the services running under Local System and Local Service may or may not require full or restricted network access. So the services can be classified into six individual groups based on this property.
Previously, a single svchost.exe used to be responsible for one category or classification of services for conserving the system’s memory resources. However, the complete svchost.exe along with all of its services can fail if a single service running under this process experiences some issues.
So, after Windows 10 version 1703 and on computers with 3.5 GB+ RAM, each service has started running in its own svhcost.exe processes. This is why you’ll see a lot of this process running on your system.
Is Svchost.exe a Virus?
The legitimate svchost.exe is a system process and not a virus. The current security in Windows systems is also good enough that viruses are unlikely to infect this process.
However, it is possible for malware creators to create viruses with similar names like svchosl.exe or svchosts.exe and infect your system. Or they may create malware with the name svchost.exe that runs from some other location on your system. Similarly, the real svchost.exe processes can only run under specific usernames.
So you can use the following steps to check if the process is legitimate or not.
- On the Task Manager, if you are on the Processes tab, right-click on the Service Host process you wish to check and select Go to details. If you are already in the Details tab, you can proceed to step 2.
- Check the name of the process as well as its User name carefully. It should not run under your user account or anything other than LOCAL SERVICE or NETWORK SERVICE or SYSTEM.
- Right-click on
svchost.exeand select Open file location. It should open toC:\Windows\System32orC:\Windows\SysWOW64and point to thesvchost.exefile.
If any of the checks did not give the required result, the process might be a malware process. In this case, you need to scan your computer with Windows Defender (Virus & threat protection) or another antivirus to secure your system.
Can I Disable or End Service Host?
The Service Host processes are always running the essential services on your system. So the legitimate svchost.exe is not a process that you would ever want to forcefully close. In fact, if you ever try to do so, you will receive a message prompt that says “Ending this process will cause Windows to become unstable or shut down..”
It is possible to check the “Abandon unsaved data and shut down” option and click Shut down to close the process. If you only end the svchost.exe for some less important services, it won’t affect your system much. They may even restart automatically. However, if it is running a critical service, your system will forcefully shut down or run into a Blue Screen of Death (BSOD) error.
So, it’s never recommended to manually disable or end the Service Host or Host Process for Windows Services processes.
Fixing Service Host Using Up Internet Bandwidth or Other Computer Resources
Service Host is only a shell process, so it is actually the service under this process that is using up internet bandwidth or any other type of computer resource. In this case, the only solution is to find out the exact service or the relevant application the service depends on and close them.
Disable Some Services
Usually, this issue occurs when some services that work in the background are using up internet data. For example, your system may be downloading Windows Update files from other computers on the same network or Microsoft’s server itself. In such cases, you can disable some non-critical services that won’t hamper your system from blocking such background activities.
- Open Run by pressing Windows + R.
- Type
services.mscand press Enter to open Windows Services. - Look for the following services:
- Background Intelligent Transfer Service
- Delivery Optimization
- Sysmain
- Double-click on these services to open their Properties.
- Set Startup type to Disabled and select Stop.
- Click Apply and OK.
Note: Keep in mind that Windows Update depends on Background Intelligent Transfer Service. So, if you disable this service the automatic updates won’t work.
You can also use the Task Manager to see which service under Service Host or Host Process for Windows Services is consuming the Internet Bandwidth and then troubleshoot it.
- Press Ctrl + Shift + Esc to open the Task Manager.
- On the Processes tab, scroll down to Windows processes.
- Look for the exact Service Host or
svchost.exeprocess showing the most Network usage. - Check its name or expand it to determine the responsible service.
- Then, you can try disabling it from Windows Services.
If the Startup type of the service is grayed out, it is a critical service, and thus Windows itself does not allow disabling it from this app. While it is still possible to do so using the Registry Editor, you should never do so, as it will harm your system.
If you can disable the service, but it is a service you need (check the service description for more information), you will have to look for specific solutions for the exact service.
Check Process Explorer
If the associated service is an important service that you can’t or don’t want to disable or disabling it does not help, it’s better to run the Process Explorer and see which processes are using the services under the svchost.exe process.
Process Explorer is an additional resource provided by Microsoft as a Sysinternals utility. It is similar to Task Manager but can also show all the related processes, DLLs, and handles for individual programs. Here’s how you can use it in this case:
- First, note down the exact service through Task Manager.
- Download and extract Process Explorer from Microsoft Sysinternals.
- Open the Process Explorer folder and run
procexp.exeorprocexp64.exeas admin. You need to right-click on the executable and select Run as administrator to do so.
- The program should list the processes in a tree structure. If not, click on View > Show Process Tree.
- Hover over each
svchost.exe. It will show the services that the particular instance is running. Search for the instance that is running the service you noticed from the Task Manager.
- Look for all the programs under this
svchost.exe - Right-click on one of the programs and select Suspend to pause the process. Make sure to right-click on the suspended processes again and select Resume after you finish the troubleshooting.
- Check the impact on the network usage in the Task Manager.
- Reiterate this process for all the programs under the particular
svchost.exeprocess inside Process Explorer until you can determine which process is using up the network resources.
After that, disable or uninstall the application to resolve your issue.
Fixing “Host Process for Windows Services Has Stopped Working”
You will get an error with the message “Host Process for Windows Services has stopped working” when one of the various services or programs running under svchost.exe suddenly stops working due to any issues.
In normal scenarios, this error occurs due to temporary reasons, and you won’t be seeing it next time, or a restart is enough to resolve it. However, if the components fail due to severe causes, this error will pop up frequently or on every login.
Check Event Logs
The different programs and services corresponding to the Service Host process can stop working due to different reasons. So you will need to first use the Event Viewer or Reliability Monitor to check the event logs and determine which process has failed. Here, I will be using the Reliability Monitor.
- Open Run.
- Type
perfmon /reland press Enter to open this app. - Click on the day where you encountered this error on the graph.
- Look for the Host process for Windows Services and double-click on it.
- Check the Fault Module Name to determine the system file or component that failed.
- Search for it on the internet to find the relevant app or service.
If it corresponds to a driver, you need to update it. If it is an app, you can reinstall or update the app. For other system files and services, the only option is to try repairing the corrupt files using SFC or DISM.
Update Windows
Some updates can also carry unintentional bugs that cause conflicts with certain services or svchost.exe processes and stop them from working properly. So, it’s best to have your system fully updated to prevent any such issues.
Windows also rolls out updates for device drivers through the Windows Update. So, you definitely need to look for updates if the faulting module was related to a device or driver.
- Press the Windows key + I to open Settings.
- Go to Windows Update or Update & Security > Windows Update.
- Click Check for Updates if the option is available.
- After it lists the available updates, click on Install now.
Run SFC and DISM
Most of the DLL files that the svchost.exe process runs are system files. So if any such components fail, you might be able to fix them using the System File Checker and the Deployment Image Servicing and Management tool.
- Open Run.
- Type
cmdand press Ctrl + Shift + Enter to open the Elevated Command Prompt. - Type the commands below and press Enter after each to execute them.
dism /online /cleanup-image /restorehealthsfc /scannow
Fixing “Host Process for Windows Services Using Microphone”
If you see the Currently in use message under Host Process for Windows Services in the Microphone Privacy setting, it indicates that your system is currently listening to the Microphone. You need to go to the relevant setting and disable it in such cases.
- Open Run.
- Type
mmsys.cpland click OK to open Sound options. - Go to the Recording tab and double-click on the current Microphone device (with tick mark).
- Go to the Listen tab.
- Uncheck Listen to this device.
- Click OK.
Система — это сложный механизм, который работает благодаря множеству взаимосвязанных процессов.
Процессор, будучи сердцем компьютера, должен эффективно распределять ресурсы для выполнения задач.
Один из таких процессов, грузящий систему каждый день, называется svchost.exe.
Почему же этот процесс вызывает столько вопросов у пользователей?
Основной функцией svchost.exe является загрузка динамических библиотек (.dll) и их использование для выполнения различных служб в системе.
Описание процесса распределения задач в системе
Для понимания, что такое svchost exe, необходимо понимать, как система работает.
Процесс svchost exe грузит процессор, но почему так происходит?
Он является важным элементом операционной системы, обеспечивая выполнение различных служб.
С помощью svchost exe система распределяет задачи между разными службами, обеспечивая их работу.
Процесс svchost exe является своего рода «хозяином», контролирующим и управляющим другими службами в системе.
Он может грузить процессор из-за неоптимальной работы служб, требующих больше ресурсов, или из-за вирусов и вредоносных программ, скрывающихся под этим именем.
Назначение и функции процесса svchost.exe
В системе Windows существует процесс, который называется svchost.exe. Почему он так важен для функционирования операционной системы и какие задачи выполняет?
- Сначала стоит отметить, что svchost.exe — это не отдельная программа, а процесс-хост, который запускает и управляет службами в системе.
- Этот процесс помогает системе эффективно управлять различными службами, необходимыми для работы Windows.
- Он позволяет сгруппировать несколько служб под один процесс для оптимизации ресурсов и повышения производительности системы.
Процесс svchost.exe использует процессор для выполнения нескольких служб одновременно, что помогает снизить нагрузку на систему.
Благодаря этому процессу, Windows может выполнять различные задачи параллельно, улучшая общую производительность и стабильность работы операционной системы.
Вредоносные программы: зачем они грузятся в системе
Как правило, вредоносные программы скрыты и действуют незаметно для пользователя. Они могут использовать процесс svchost exe, чтобы маскироваться под обычные системные процессы и избежать обнаружения.
Многие пользователи задаются вопросом, почему эти вредоносные программы загружаются именно в систему через процесс svchost exe. Причин может быть несколько, но одной из главных является скрытность действий и сохранение доступа к основной области операционной системы.
Процесс svchost exe имеет высокие привилегии на компьютере, что делает его привлекательной целью для злоумышленников. Путем обмана и маскировки вредоносные программы могут обходить антивирусную защиту и иметь доступ к важным системным функциям.
- Вредоносные программы могут использовать процесс svchost exe для скрытой установки дополнительных модулей программного обеспечения на компьютере;
- Они также могут использовать его для сбора конфиденциальных данных и передачи их злоумышленникам;
Таким образом, понимание причин почему вредоносные программы загружаются через процесс svchost exe позволяет пользователям эффективнее защищать свои компьютеры от угроз и проводить профилактические меры для обеспечения безопасности.
Как обнаружить вредоносное ПО на компьютере?
Для того чтобы защитить ваш компьютер от вредоносных программ, важно знать какие признаки указывают на возможное заражение.
Один из первых признаков — высокая загрузка процессора без видимой причины. Если процессор внезапно начал работать на полную мощность, это может быть сигналом о наличии вредоносного ПО на вашей системе.
Другим важным признаком является непрерывная активность диска без видимых причин. Если ваш жесткий диск активно работает в течение длительного времени, это также может свидетельствовать о наличии вируса или другой вредоносной программы.
Появление рекламных баннеров, редиректов на странные сайты или других незапланированных изменений в работе системы — еще один признак того, что на вашем компьютере есть вирус.
В случае обнаружения подозрительной активности на вашем компьютере, рекомендуется провести полное сканирование системы антивирусной программой.
Основные способы защиты от излишне грузящего процесса
Один из наиболее распространенных вопросов, который возникает в контексте работы с процессами на компьютере, — как защитить свой процессор от навязчивых нагрузок. Важно понимать, почему некоторые процессы могут грузить ваш компьютер и как можно справиться с этим.
Во-первых, следует оптимизировать запуск программ и служб, которые могут оказать негативное влияние на процессор. Проверьте автозапуск и настройки программ, чтобы избежать лишней загрузки системы.
Далее, полезно регулярно проводить сканирование компьютера на наличие вредоносных программ, которые могут использовать ваш процессор для своих целей. Антивирусная защита — это один из ключевых аспектов поддержания своего устройства в хорошем состоянии.
Также, убедитесь, что ваше программное обеспечение всегда обновлено до последней версии. Часто разработчики выпускают обновления, которые улучшают производительность и устраняют проблемы, связанные с загрузкой процессора.
Не забывайте и о проверке ресурсов компьютера — возможно, ваш процессор перегружается из-за недостаточного объема оперативной памяти или устаревших драйверов. Обратитесь к специалистам, если у вас возникают серьезные проблемы с производительностью компьютера.
Кроме того, проведение регулярной оптимизации системы, удаление ненужных файлов и программ также помогут снизить нагрузку на процессор и улучшить общую производительность вашего устройства.
Последствия заражения процессора
Когда вирус заражает ваш процесс, он начинает грузить систему.
Процесс становится медленным и неэффективным из-за вредоносного программного обеспечения.
Это может привести к потере данных, важной информации и даже краху системы в целом.
Почему это так опасно? Потому что ваш компьютер становится уязвимым для хакеров и кибератак.
Они могут получить доступ к вашим личным данным, паролям, банковским счетам и т. д.
Все это из-за заражения вашего процессора вредоносным программным обеспечением, которое может привести к серьезным последствиям.