Как зайти во вкладку процессы

Пока компьютер работает нормально, обычного пользователя мало интересует, какие процессы запущены в системе и для чего они нужны вообще.

А вот нестандартное поведение ОС Windows XP/Vista/7 – торможение, зависание, частые перезагрузки, заставляет нас искать причины.

С чего же начать поиск? Давайте попробуем запустить «Диспетчер задач».

Варианты запуска.

1. Нажимаем комбинацию клавиш «Ctrl»+ «Alt»+ «Del».
2. Нажимаем кнопку «Пуск», выбираем команду «Выполнить», вводим taskmgr.exe и нажимаем кнопку «Ok».

Теперь переходим на вкладку «Процессы» и изучаем список.

Большое количество процессов svchost.exe сразу настораживает. Ну что ж, самое время разобраться с возможностями этого приложения.

Вернуться к содержанию ^

Первое знакомство с svchost.exe

В последнее время для компоновки служб Windows вместо привычных исполняемых файлов с расширением .exe все чаще применяются динамически подключаемые библиотеки с расширением .dll.

Этот способ считается более эффективным. Однако, библиотечный файл, в отличие от исполняемого, сам стартовать не может.

Запустить службу (сервис) из dll-файла «помогает» приложение svchost.exe.

Вот, например, как запускается служба DNS-клиента:

C:\WINDOWS\system32\svchost.exe -k NetworkService.

Вернуться к содержанию ^

Несколько слов о процессах svchost.exe

Каждый экземпляр процесса svhost.exe инициируется родителем — системным процессом services.exe.

Один процесс svshost.exe может запускать одну службу или группу, состоящую из нескольких логически связанных служб Windows.

Вариант запуска «один процесс svchost -> несколько служб Windows» позволяет экономить ресурсы оперативной памяти и процессора.

Для просмотра svchost-групп и их состава переходим в реестр Windows:

• нажимаем кнопку «Пуск» и находим команду «Выполнить»;
• в командной строке вводим regedit.exe и нажимаем кнопку «Ok».
• в реестре переходим к ветке HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost;
• находим параметры REG_MULTI_SZ со списками служб каждой группы.

Например, в состав группы DcomLaunch входят следующие сервисы:

1. Power – служба, которая управляет конфигурацией питания и отправкой уведомлений об установленных конфигурациях питания;
2. PlugPlay – служба, благодаря которой компьютер автоматически распознает подключенные к нему устройства и настраивает их на работу без участия пользователя или минимизирует это участие.
3. DcomLaunch – служба запуска серверов COM и DCOM для устойчивой работы программ использующие данные сервера.

Ни одну из выше указанных служб отключать не рекомендуется.

При просмотре данных процесса svchost обязательно обратите внимание на колонку «Имя пользователя».

В ней может находиться только одно из следующих значений: «Local Service», «System», «Network Service».

Где живет файл.

В операционных системах Windows XP/Vista/7 местоположение файла svchost.exe – стандартное:

• 32-битные ОС – C:\Windows\System32\;
• 64-битные ОС – C:\Windows\SysWOW64\.

Запомним точный адрес файла. Это нам пригодится в дальнейшем.

Вернуться к содержанию ^

Процесс svchost.exe и его связи

Диспетчер задач выдает нам целый список запущенных процессов svchost.exe, но этой информации явно недостаточно.

Естественно, нас интересует, какие именно сервисы запускает конкретный экземпляр этого процесса.

Итак, несколько способов узнать о связях svchost’а.

Команды tasklist и sc.

Применение команд tasklist и sc возможно в любой версии Windows. Поэтому, этот способ можно считать универсальным.

Прежде всего, запускаем cmd – интерпретатор командной строки Windows:

• нажимаем кнопку «Пуск»;
• выбираем команду «Выполнить»;
• вводим cmd и нажимаем кнопку «Ok».

Для получения списка служб на экране интерпретатора запускаем команду tasklist с ключом svc и нажимаем клавишу «Enter»:

Для сохранения результатов запроса в текстовый файл svc.txt, находящийся на диске C: в папке temp, делаем перенаправление вывода команды tasklist:

• tasklist /svc > C:\temp\svc.txt «Enter»

Заметим, что файл будет сохранен в dos-кодировке.

Фрагмент листинга tasklist.exe.

Имя образа PID Службы:

+++

• svchost.exe 1216 DcomLaunch
• svchost.exe 1300 RpcSs
• svchost.exe 1384 WudfSvc
• svchost.exe 1528 Dnscache
• svchost.exe 1584 LmHosts, SSDPSRV

+++

Колонки таблицы:

• «Имя образа» – имя исполняемого файла;
• «PID» – идентификатор процесса;
• «Службы» – список сервисов.

Чтобы получить информацию о конкретном сервисе, задаем его краткое название в качестве параметра команды управления сервисами sc.

Пример получения сведений о службе TermService.

– sc qc TermService «Enter».

Два способа перехода к списку сервисов.

1. Нажимаем кнопку «Пуск», находим команду «Выполнить», в командной строке вводим services.msc и нажимаем кнопку «Ok».
2. Нажимаем кнопку «Пуск», затем выбираем Настройка ->Панель управления -> Администрирование -> Службы.

Диспетчер задач Windows Vista/7.

Получаем список сервисов, связанных с процессом svchost с помощью диспетчера задач Windows Vista/7:

• устанавливаем курсор на название процесса;
• вызываем контекстное меню нажатием правой кнопки мыши и выбираем опцию «Перейти к службам»;
• получаем список, в котором подсветкой выделены связанные с нашим процессом сервисы.

В операционной системе Windows XP опция «Перейти к службам», к сожалению, отсутствует. Этот вариант нельзя считать универсальным.

Утилита Process Explorer.

Эта программа не входит в дистрибутивы Windows, но доступна к скачиванию с сайта Microsoft либо со страницы загрузки Process Explorer.

Процесс запуска очень простой и не требующий инсталляции:

• скачиваем zip-архив;
• разархивируем в папку на диске;
• запускаем файл procexp.exe.

Утилита выдает детальную информацию о процессах, запущенных в системе: pid, загрузку cpu, краткое описание, сведения о производителе и т.д.

При наведении мыши на название одного из экземпляров svchost’а мы получили следующую информацию:

• Command Line – строка запуска сервиса или группы сервисов через svchost;
• Path – путь к файлу svchost.exe;
• Services – список сервисов.

Контекстное меню, вызываемое нажатием правой кнопки мыши, предоставляет большие возможности по управлению процессом и службами, которые он запускает.

Утилита AnVir Task Manager.

Программа AnVir Task Manager не только обеспечивает управление запущенными процессами, сервисами, драйверами и автозагрузкой, но и выполняет функции антивируса.

Порядок запуска такой же, как и у Process Explorer’а:

Для переключения языка при первом запуске программы пользуемся главным меню:

«View->Language->Russian».

Выбираем вкладку «Процессы» для получения подробной информации о наших svchost’ах.

В строке процесса мы видим сведения о производителе, путь к исполняемому файлу, процент загрузки ЦП и т.д.

Но самые интересные данные представлены в колонке «Автозагрузка». Здесь вы найдете список запускаемых svchost’ом сервисов.

Дважды щелкаем левой кнопкой мыши по названию процесса и получаем более детальную информацию о нем (окно с вкладками в нижней части экрана).

Система тормозит что делать

Какие симптомы указывают на виновность svchost и как устранить проблемы. Давайте разберемся.

Система может тормозить по разным причинам. Но если в диспетчере задач вы обнаружите процесс svchost.exe c высоким процентом загрузки центрального процессора (иногда даже около 100%) – вполне вероятно, что причина именно в нем.

Многие пользователи считают, что в этом случае svchost обязательно является вирусом. Но это не так. Процесс может грузить систему и по другим причинам.

Давайте рассмотрим, как решить проблему с svchost’ом в обоих случаях.

Вернуться к содержанию ^

Svchost – вирус или нет?

Многие трояны и другие компьютерные вирусы маскируются под известные системные приложения Windows. Svchost – не исключение.

По данным лаборатории Касперского svchost’ом «прикидываются» вирусы Trojan-Clicker.Win32.Delf.cn, Virus.Win32.Hidrag.d, Net-Worm.Win32.Welchia.a, а также известный большинству пользователей вирус Kido.

Итак, начинаем проверять наш процесс.

В первую очередь обратите внимание на расположение файла svchost.exe. Если оно отличается от стандартного – файл смело можно удалять.

Проверьте имя пользователя, запустившего процесс. Список допустимых имен приведен в разделе «Несколько слов о процессах svchost.exe».

Внимательно перечитайте имя процесса. Вирусописатели часто используют похожие имена: svhost, svchosts и т.д.

Приложение никогда не может запускаться через раздел «Run» реестра Windows.

Поэтому обязательно нужно проверить его наличие в автозагрузке:

• нажимаем кнопку «Пуск», выбираем команду «Выполнить», вводим msconfig и нажимаем кнопку «Ok»;
• переходим на вкладку «Автозагрузка»;
• если файл svchost.exe найден — отключаем запуск.

Для удаления подозрительного процесса в диспетчере задач вызываем контекстное меню нажатием правой кнопки мыши и выбираем команду «Завершить дерево процессов».

После выполнения всех описанных действий необходимо обязательно запустить антивирусную программу и пролечить компьютер.

Вернуться к содержанию ^

Svchost не является вирусом, но грузит систему

Если вы убедились, что svchost – реальный системный процесс, давайте разберемся со службами, которые он запускает.

Порядок действий следующий – по очереди останавливаем службы, связанные с процессом, и смотрим, что получится.

Мы уже рассказывали о том, как перейти к списку сервисов в разделе «Процесс svchost.exe и его связи». Теперь разберемся, как их останавливать.

Отключение сервиса в стандартной программе «Службы» ОС Windows:

• устанавливаем курсор на имя службы и двойным щелчком левой кнопки мыши открываем окно службы;
• переходим на вкладку «Общие», нажимаем кнопку «Стоп», затем – «Ok».

Отключение сервиса в программе Process Explorer:

• устанавливаем курсор на нужный процесс svchost.exe, вызываем контекстное меню нажатием правой кнопки мыши и выбираем опцию «Properties»;
• в открывшемся окне переходим на вкладку «Services»;
• выбираем нужную службу в списке и нажимаем кнопку «Stop».

Отключение сервиса в программе AnVir Task Manager:

• устанавливаем курсор на нужный процесс svchost.exe, вызываем контекстное меню нажатием правой кнопки мыши и выбираем «Перейти->Перейти к сервису»;
• выбираем нужный сервис в списке, вызываем контекстное меню нажатием правой кнопки мыши и выбираем опцию «Стоп».

Отключение сервиса с помощью команды sc:

• нажимаем кнопку «Пуск»;
• выбираем команду «Выполнить»;
• вводим cmd и нажимаем кнопку «Ok»;
• в окне интерпретатора вводим команду: sc stop «имя службы» «Enter».

Если остановленная вами служба не является причиной загрузки процессора, ее следует запустить и повторить те же действия со следующей службой.

Перезапуск сервисов:

• программа «Службы» — кнопка «Пуск»;
• программа Process Explorer – кнопка «Restart»;
• программа AnVir Task Manager – кнопка «Пуск»;
• команда sc — sc start «имя службы» «Enter».

Отметим, что остановка службы действует только до перезагрузки Windows. Поэтому, если вы нашли «виновницу», которая грузит систему, нужно отключить ее запуск в программе «Службы»:

• нажимаем кнопку «Пуск», выбираем меню «Настройка ->Панель управления -> Администрирование -> Службы»;
• устанавливаем курсор на имя сервиса и двойным щелчком левой кнопки мыши открываем его окно;
• переходим на вкладку «Общие»;
• находим параметр «Тип запуска», устанавливаем значение «Отключено» и нажимаем кнопку «Ok».

Перед отключением службы вы должны четко представлять, какие функции она выполняет и не приведет ли ее отключение к нарушению работы системы.

Заметим, что при установке Windows включается стандартный набор служб. Некоторые из них могут быть совершенно не нужны вам для работы, и только потреблять ресурсы компьютера.

Поэтому желательно разобраться в назначении каждой из них и отключить лишние службы.

Вернуться к содержанию ^

Четыре возможных причины большой загрузки процессора

Если список служб, запускаемых svchost’ом, достаточно велик – поиск «виновника» превращается в довольно утомительное занятие.

Несколько полезных советов, на что следует обратить внимание в первую очередь.

1. Служба автоматического обновления может работать некорректно для Windows XP. Причина – ошибки в реализации механизма проверки обновлений. Поскольку количество «заплаток» достаточно велико, компьютер способен искать их не один день и зависать при этом.
2. Работа «Проводника Windows», связанного с нашим процессом, напрямую зависит от Internet Explorer. Поэтому устаревшая версия IE – одна из вероятных причин торможения. Решение проблемы – установка новой версии Internet Explorer’а (можно воспользоваться службой автоматического обновления Windows).
3. «Кривые» драйверы, запускаемые svchost’ом из динамических библиотек, также одна из вероятных причин неприятностей. Испытывая трудности в поиске драйверов, пользователи иногда устанавливают найденный в Сети софт от неизвестных производителей. Чаще всего проблемы возникают с драйверами звуковых плат и видеокарт. Проблемные драйверы следует удалить и заменить стабильными версиями.
4. Программа «Защитник Windows» из стандартного дистрибутива Windows 7/Vista предназначенная для защиты ПК от вредоносных программ не может работать в связке с антивирусными программами. Но, к сожалению, не каждый антивирусник может деактивировать «Защитника» (пример — Eset Nod). Для решения вопроса заходим в «Панель управления» через кнопку «Пуск», находим «Защитника» и выключаем флажок «Запускать проверку в состоянии простоя».

Надеемся, что материалы нашей статья помогут вам разобраться в проблемных ситуациях с процессом svchost.exe. Удачи.

Вернуться к содержанию ^

Процесс svchost.exe: вирус или нет?

Если вы читаете эту статью, то наверняка уже обратили внимание на системный процесс, имеющий название «svchost.exe». Причём обычно он не одинок, и компанию ему составляют ещё несколько одноимённых процессов:

В нормальной ситуации быстродействие компьютера от выполнения данного процесса не страдает, и обычные пользователи внимание на него не обращают. Совсем иначе обстоит ситуация, когда процесс начинает «пожирать» от половины до 100% ресурсов компьютера. Причем не эпизодически, а постоянно. Радикальным решением проблемы в таком случае иногда становится переустановка Windows или откат системы к тому моменту, когда она работала нормально. Эти способы не только излишни, но и не всегда помогают, поэтому сегодня мы расскажем вам о более простых решениях проблемы, когда процесс svchost.exe грузит процессор компьютера «на полную».

Что такое svchost.exe

Начнём с теории. Svchost.exe — системный процесс Windows, который отвечает за запуск различных служб на компьютере (например, Служба печати или Брандмауэр Windows). С помощью него на компьютере могут быть запущены несколько служб одновременно, что позволяет сократить потребление ресурсов компьютера этими службами. Кроме того, сам процесс может быть запущен в нескольких копиях. Именно поэтому в «Диспетчере задач» всегда запущено больше одного процесса svchost.exe.

Так из-за чего же svchost.exe может создавать высокую нагрузку на процессор и память компьютера? В сети можно встретить мнение, что процесс svchost.exe инициируется вирусом или вовсе является вирусом. Это не так. Строго говоря, некоторые вирусы и трояны могут маскироваться под него, создавая дополнительную нагрузку на ресурсы компьютера, но их довольно легко вычислить и обезвредить.

Как удалить вирус, замаскированный под процесс svchost.exe

Запустите «Диспетчер задач» (с помощью комбинации клавиш Control+Atl+Delete или из меню Пуск > Программы > Стандартные > Служебные) и откройте вкладку «Процессы». В первой колонке вы увидите названия процессов, а во второй — указание, от чьего имени он был запущен. Так вот, обратите внимание на то, что svchost.exe может запускаться только от имени пользователей LOCAL SERVICE, SYSTEM (или «система»), а также NETWORK SERVICE.

Если вы заметили, что процесс запущен от имени вашего пользователя (например, от имени User), то перед вами — вирус. Так как настоящий svchost.exe может запускаться только системными службами, то он не может находиться в «Автозагрузке» текущего пользователя Windows. Поэтому именно там мы и попробуем найти вирус, замаскированный под системный процесс svchost.exe. Попасть в Автозагрузку можно двумя способами: через стороннюю программу, например, CCleaner или стандартными средствами Windows.

Для того, чтобы попасть в Автозагрузку без установки дополнительных программ, откройте Пуск и в строке поиска программ (в Windows XP — в Пуск > Выполнить) напишите msconfig, после чего нажмите ОК. Появится окно «Конфигурация системы». Перейдите на вкладку Автозагрузка и внимательно просмотрите список программ, запускаемых при загрузке системы. Если в этом списке вы обнаружите процесс svchost.exe, то можете не сомневаться в его вирусном происхождении.

Настоящий svchost.exe может быть запущен только из папки C:\WINDOWS\system32, где «C» — диск, на котором установлена Windows. (В 64-битной операционной системе 32-битная версия svchost.exe расположена в папке C:\WINDOWS\SysWOW64, и теоретически процесс может быть запущен также из неё. Однако по умолчанию все системные процессы, включая svchost.exe, в 64-разрядных Windows запускаются из C:\WINDOWS\system32.) На скриншоте выше видно, файл расположен в папке WINDOWS, да ещё и называется «svhost.exe», а не «svchost.exe», что прямо говорит о его вирусном происхождении.

Список самых излюбленных папок для маскировки вируса выглядит примерно так:

C:\WINDOWS\svchost.exe
C:\WINDOWS\config\svchost.exe
C:\WINDOWS\drivers\svchost.exe
C:\WINDOWS\system\svchost.exe
C:\WINDOWS\sistem\svchost.exe
C:\WINDOWS\windows\svchost.exe
C:\Users\имя-вашего-пользователя\svchost.exe

Файл вирусного процесса может не только находится в одной из перечисленных выше папок (а не в стандартной папке, где находится настоящий svchost.exe), но и называться по-другому:

svhost.exe
svch0st.exe
svchost32.exe
svchosts.exe
syshost.exe
svchosl.exe
svchos1.exe

…И так далее, — фантазия вирусописателей не знает границ :-).

Итак, вы нашли вирус svchost.exe в Автозагрузке. Первое, что нужно сделать — отключить его автозапуск, убрав галку напротив него в столбце «Элемент автозагрузки». Теперь нужно завершить его процесс через «Диспетчер задач» (правая кнопка мыши на процессе > Завершить процесс) и удалить сам файл. Полный путь к файлу, как и на скриншоте выше, всегда указан в столбце «Команда». Вполне возможно, что файл процесса не даст себя удалить, — в этом случае попробуйте сначала перезагрузить компьютер и повторить операцию, или воспользуйтесь программой для удаления подобных, «неудаляемых» файлов Unlocker.

После этого не лишним будет также провести антивирусную проверку компьютера. Если на вашем компьютере до сих пор не установлен антивирус, рекомендуем ознакомиться с нашей статьей о выборе бесплатного антивируса.

Вирусов в системе нет, но svchost.exe всё равно «грузит» компьютер?

Вы нашли и обезвредили все вирусы в системе или убедились, что вирусов на компьютере нет, а svchost.exe по-прежнему мешает работать? Попробуйте выяснить, какая программа или служба использует данный процесс. Это легко сделать с помощью простой бесплатной программы Process Explorer. Очень часто процесс svchost.exe использует служба Windows Update, автоматически устанавливающая обновления на компьютер:

В данном случае можно либо подождать, когда все обновления Windows будут загружены и установлены, либо временно отключить автоматическое обновление Windows. Это можно сделать через Панель управления в разделе Система и безопасность > Центр обновления Windows, открыв Настройки параметров (в боковом меню окна) и выбрав в выпадающем списке пункт Не проверять наличие обновлений:

Если отключение автоматического обновления не помогло, то точно также можно проверить все остальные службы Windows. Остановить или отключить любую службу Windows можно через оснастку «Службы». Попасть в неё легко: нажмите Пуск > кликните на Компьютер правой кнопкой мыши, в раскрывшемся меню выберете Управление > перейдите в Службы и приложения > Службы. Выбрав искомую службу, кликните на неё правой кнопкой мыши и выберите Остановить. Если нагрузку на компьютер создавала именно она, то после остановки службы процесс svchost.exe перестанет загружать ваш компьютер на 100%.

Не удалось решить проблему самостоятельно? Мы готовы вам помочь! «Помощь онлайн» — подробная информация здесь.

Процесс svchost.exe и системные службы, связанные с ним.

&nbsp &nbsp Практически, каждый пользователь Windows, неоднократно наблюдал в списке отображаемых диспетчером задач, несколько процессов с именем svchost.exe. Для разных версий Windows и в зависимости от установленных компонентов системы, количество таких процессов может составлять от нескольких штук до нескольких десятков. При чем, это вполне нормальное явление, поскольку

C:\Windows\system32\svchost.exe -k RPCSS

Такой способ запуска системных служб вполне оправдан, поскольку позволяет существенно уменьшить затраты оперативной памяти и ресурсов процессора. Все копии

Параметры вызова исполняемого файла svchost.exe для конкретных системных служб определяются значениями в ключе реестра

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\имя службы

Параметр ImagePath задает командную строку для данной службы или группы служб. Имя библиотеки, которая используется для данной службы, определяется параметром

Перечень всех служб, запускаемых с использованием svchost.exe и их объединение в группы определяется содержимым ключа реестра

HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost

Так, например, в группу DcomLaunch входят 3 службы:

Power — Питание

PlugPlay — Plug-and-Play

DcomLaunch — Модуль запуска процессов DCOM-сервера

Каждый ключ соответствует имени группы, а значение ключа — списку (через пробел) имён сервисов, относящихся к группе.

&nbsp &nbsp Некоторые компьютерные вирусы нередко маскируются под процессы с именем

— исполняемый файл имеет путь отличный от \Windows\system32\. Такой способ используют вирусы Net-Worm.Win32.Welchia.a, Virus.Win32.Hidrag.d, Trojan-Clicker.Win32.Delf.cn. — Процесс svchost выполняется в контексте учетной записи пользователя. Настоящий процесс svchost.exe является системной службой и всегда выполняется в контексте системных учетных записей ”Система” (”Локальная системная учетная запись”, SYSTEM, LOCAL SERVICE) или в контексте сетевых служб (NETWORK, NETWORK SERVICE). Соответственно, легальный исполняемый файл

Следует отметить, что существует возможность создания вредоносной программой собственной службы, использующей для запуска настоящий svchost.exe

Как определить системную службу, связанную с конкретным процессом svchost.exe.

Иногда, требуется определить, какая именно служба соответствует конкретному процессу scvhost.exe, например, когда этот процесс потребляет значительные ресурсы центрального процессора:

В данном примере, процесс svchost.exe потребляет 50% ресурсов процессора. Это ненормально, и внешне может проявляться в виде снижения общей производительности, подвисаний (лагов), скачкообразного перемещения указателя мыши и т.п. Поскольку системные процессы имеют более высокий приоритет по сравнению с пользовательскими, они и потребляют ресурсы системы в первую очередь, что снижает реальную производительность программ, выполняемых в контексте учетных записей пользователей.

Для поиска причин чрезмерного потребления ресурсов системы конкретным экземпляром svchost.exe, в первую очередь необходимо определить, действительно ли данный процесс является системным ( не вирусом), и с какой именно службой он связан. Существует несколько способов, применимость которых зависит от возможностей конкретной версии Windows .

Для получения списка выполняющихся служб в любой версии Windows можно использовать команду:

tasklist /svc

tasklist /svc > %TEMP%\svclist.txt — то же, что и в предыдущем примере, но с выдачей результатов в текстовый файл. Результат будет представлен в DOS-кодировке, и для просмотра его кириллической составляющей стандартными средствами Windows, потребуется перекодировка, или редактор с поддержкой кодовой страницы CP866 (DOS), как например, Notepad++ или встроенный редактор Far Manager.

notepad++ %TEMP%\svclist.txt — открыть созданный файл со списком сервисов.

Пример отображаемой информации:

Имя образа                     PID Службы                                      
========================= ======== ============================================
System Idle Process              0 Н/Д                                         
System                           4 Н/Д                                         
smss.exe                       492 Н/Д                                         
csrss.exe                      668 Н/Д                                         
wininit.exe                    748 Н/Д                                         
csrss.exe                      764 Н/Д                                         
services.exe                   816 Н/Д                                         
lsass.exe                      832 KeyIso, SamSs                               
lsm.exe                        840 Н/Д                                         
winlogon.exe                   892 Н/Д                                         
svchost.exe                    984 DcomLaunch, PlugPlay, Power                 
svchost.exe                    600 RpcEptMapper, RpcSs                         
cmdagent.exe                   744 CmdAgent                                    
svchost.exe                   1040 CryptSvc, Dnscache, LanmanWorkstation,      
                                   NlaSvc, TermService                         
atiesrxx.exe                  1096 AMD External Events Utility                 
svchost.exe                   1132 AudioSrv, Dhcp, eventlog,                   
                                   HomeGroupProvider, lmhosts, wscsvc          
svchost.exe                   1176 AudioEndpointBuilder, CscService,           
                                   HomeGroupListener, Netman, PcaSvc, TrkWks,  
                                   UmRdpService, UxSms, Wlansvc, wudfsvc       
svchost.exe                   1236 EventSystem, fdPHost, FontCache, netprofm,  
                                   nsi, WdiServiceHost                         
svchost.exe                   1288 AeLookupSvc, BITS, Browser, CertPropSvc,    
                                   EapHost, gpsvc, IKEEXT, iphlpsvc,           
                                   LanmanServer, ProfSvc, Schedule, SENS,      
                                   SessionEnv, ShellHWDetection, Themes,       
                                   Winmgmt                                     
. . .

sc qc power — отобразить конфигурацию о службе Power

Пример отображаемой информации:

Имя_службы: power
        Тип                  : 20  WIN32_SHARE_PROCESS 
        Тип_запуска          : 2   AUTO_START
        Управление_ошибками  : 1   NORMAL
        Имя_двоичного_файла  : C:\Windows\system32\svchost.exe -k DcomLaunch
        Группа_запуска       : Plugplay
        Тег                  : 0
        Выводимое_имя        : Питание
        Зависимости          : 
        Начальное_имя_службы : LocalSystem

В графическом интерфейсе пользователя, сведения о службе можно получить с использованием оснастки “Службы” консоли управления Microsoft (комбинация клавиш Win+R и выполнить services.msc), или через меню Панель управления – Администрирование – Службы

Стандартные диспетчеры задач отличаются по своим возможностям в зависимости от версии Windows. Так, например диспетчер задач Windows XP не имеет собственных средств по сопоставлению имени процесса с именем системной службы, а диспетчер задач Windows 10 позволяет это сделать с использованием контекстного меню, вызываемого правой кнопкой мышки:

При выборе пункта Перейти к службам откроется окно со списком служб, в котором будут подсвечены службы, связанные с выбранным процессом svchost.exe

При необходимости, можно нажать на ссылку Открыть службы в нижней части экрана, и, непосредственно из диспетчера задач, открыть список системных служб (оснастку консоли управления Windows services.msc). Диспетчеры задач Windows Vista – Windows 8.1 менее информативны и обладают меньшей функциональностью, но также позволяют выполнять переход от выбранного процесса к связанным с ним службам.

Утилита Process Explorer не входит в состав стандартных дистрибутивов Windows и может быть загружена с сайта Microsoft либо в составе пакета Sysinternals Suite, либо как отдельный программный продукт — Страница загрузки Process Explorer

Программа не требует установки, достаточно разархивировать загруженный пакет и запустить исполняемый файл procexp.exe. Возможности Process Explorer настолько обширны, что даже для их перечисления потребуется отдельная немаленькая статья. А для получения сведений о процессе достаточно просто подсветить его указателем мышки:

Более подробную информацию можно получить, открыв свойства процесса двойным щелчком, или через контекстное меню, вызываемое правой кнопкой мышки — Properties. На вкладке Services отображается полный перечень всех служб, связанных с выбранным процессом.

Process — в данной колонке отображается дерево активных процессов и их потомков. Потомок (child) — процесс, созданный другим, родительским (parent) процессом. Любой процесс может быть и потомком, если он создан в ходе выполнения другого процесса, и родителем, если в ходе его выполнения создан другой процесс. Отображение элементов дерева процессов выполняется в соответствии с порядком их запуска в ходе загрузки операционной системы и ее дальнейшего функционирования.

Корнем дерева процессов является уровень System Idle Process . Фактически, это не реальный процесс, а индикатор состояния простоя системы, когда центральный процессор не выполняет каких-либо программ. Следующим элементом дерева представлен уровень System. Этот уровень так же, не является реальным процессом и предназначен для отображения активности системы, связанной с обработкой прерываний, работой системных драйверов, диспетчера сеансов Windows (Session Manager) smss.exe, и csrss.exe (Client — Server Runtime). Элемент Interrupts является уровнем для индикации обработки аппаратных прерываний, элемент DPCs — для индикации обработки отложенных вызовов процедур (Deferred Procedure Calls). Механизм обработки аппаратных прерываний в Windows предполагает как бы двухуровневую обработку. При возникновении запроса на прерывание, сначала, получает управление программа-обработчик аппаратного прерывания, выполняющая лишь самые необходимые критические операции, а остальные действия откладываются до тех пор, пока не появится относительно свободное процессорное время. Тогда эти действия будут выполнены в рамках вызова отложенной процедуры. В многопроцессорных системах каждый процессор имеет свою отдельную очередь отложенных вызовов. Порядок обработки очереди запросов на прерывание и очереди отложенных процедур определяется их приоритетами. Для определения приоритетов используется уровень запроса на прерывание IRQL — программно-аппаратный механизм, применяемый для синхронизации выполнения отдельных процессов в операционных системах семейства Windows. Уровни IRQL аппаратных прерываний задаются программированием регистров контроллера прерываний, а уровни IRQL программного кода операционной системы — реализуются программно.

Степень использования ресурсов уровнем System дерева процессов, отображаемого программой Process Explorer, характеризует занятость операционной системы диспетчеризацией и обработкой прерываний. Высокая степень использования процессора для обработки прерываний может указывать на наличие проблем с оборудованием или некорректно работающий драйвер устройства. Обычно, это сопровождается эффектом заметного снижения общей ”полезной” производительности системы и внешне проявляется в виде “тормозов” и ”подвисаний” на пользовательских задачах, например, в скачкообразном перемещении указателя мыши по экрану, медленном открытии страниц в браузере, ”фризы” в играх, увеличении шума от вентиляторов систем охлаждения и т.п.

Остальная часть дерева отображает иерархию реально выполняющихся в Windows процессов. Так, например, приложение служб и контроллеров SERVICES.EXE обеспечивает создание, удаление, запуск и остановку служб (сервисов) операционной системы, что и отображается в списке порождаемых им процессов.

PID — идентификатор процесса PID — уникальное десятичное число, присваиваемое каждому процессу при его создании.

CPU — степень использования центрального процессора.

Private Bytes — объем оперативной памяти, выделенной данному процессу и не разделяемой с другими процессами.

Working Set — рабочий набор процесса, представляющий собой суммарный объем всех страниц используемой им памяти, в данный момент времени. Размер этого набора может изменяться, в зависимости от запросов процесса. Практически все процессы используют разделяемую память.

Description — описание процесса

Company Name — имя компании-разработчика.

Path — путь и имя исполняемого файла.

Verified Signer — признак достоверности цифровой подписи исполняемого файла. Наличие строки «Not verified» говорит о том, что цифровая подпись отсутствует или ее не удалось проверить. Для проверки цифровой подписи нужен доступ в Интернет. Наличие цифровой подписи легального производителя ПО, гарантирует достоверность подписанного ей файла.

Иерархический характер дерева процессов способствует визуальному восприятию родительски-дочерних отношений каждого активного процесса. Нижняя панель дает информацию обо всех DLL, загруженных выделенным в верхней панели процессом, открытых им файлах, папках, разделах и ключах реестра.

При выборе уровня System дерева процессов в нижней панели можно получить информацию обо всех загруженных драйверах системы, их описание, версию, путь исполняемого файла, адрес в оперативной памяти, размер, Кроме того, можно проверить цифровую подпись, а также просмотреть строковые значения в самом исполняемом файле или в оперативной памяти.

При просмотре свойств любого процесса, можно получить очень подробную информацию о ресурсах системы, используемых данным процессом, включая память, процессор, систему ввода-вывода, графическую подсистему и сетевые соединения.

Использование Process Explorer позволяет легко определить дополнительные признаки, которые могут принадлежать вредоносной программе, замаскированной под легальный процесс:

— в пути исполняемого файла присутствует папка для хранения временных файлов (TEMP), или в случае с svchost.exe , путь исполняемого файла отличается от \Windows\System32, например — ”C:\Users\User1\Application Data\Microsoft\svchost.exe”. Такой svchost.exe однозначно является вредоносной программой.

— отсутствует информация о производителе программного обеспечения. В редких случаях это не является настораживающим признаком, но подавляющее большинство разработчиков современного ПО такую информацию предоставляют.

— отсутствует цифровая подпись. Большинство производителей программного обеспечения имеют сертификаты с цифровой подписью для своих программ. Для проверки подписи можно нажать кнопку Verify. Необходим доступ в Интернет. Наличие цифровой подписи у исполняемого файла говорит о том, что он не является поддельной программой.

— отсутствуют поля описания загрузочного образа Version и Time. Хотя эти поля и не обязательно являются признаком легального ПО, их отсутствие можно считать дополнительным настораживающим признаком угрозы.

— имя исполняемого файла соответствует имени реально существующего системного файла Windows, но путь отличается от стандартных \WINDOWS, \WINDOWS\SYSTEM32 или \WINDOWS\SysWOW64 (для 64-разрядных систем). Это характерно для вирусов, маскирующихся под наиболее часто встречающиеся программные модули — svchost.exe, smss.exe, csrss.exe, winlogon.exe и т.п. Легальное имя исполняемого файла и нестандартный путь его запуска являются явным признаком вредоносной программы.

— путь исполняемого файла совпадает c \WINDOWS или \WINDOWS\SYSTEM32 , но имя немного отличается от распространенных имен системных файлов — swchoct.exe вместо svchost.exe и т.п. Для современных ОС семейства Windows такой прием вирусного заражения встречается довольно редко, поскольку настройки безопасности современных систем затрудняют реализацию записи данных в системные каталоги.

— исполняемый файл находится в \WINDOWS или \WINDOWS\SYSTEM32, но дата его создания значительно отличается от даты создания остальных системных файлов и приблизительно соответствует предполагаемой дате заражения. Тоже довольно редко встречающийся прием вирусного заражения по той же причине, которая приведена в предыдущем пункте.

Кроме отображения информации о процессах, утилита Process Explorer позволяет убить выбранный процесс или дерево процессов. В ОС Windows XP и более ранних, уничтожение некоторых системных процессов, как например winlogon.exe, может приводить к синему экрану смерти (BSoD), а в более поздних версия Windows – к аварийному завершению сеанса пользователя.

Одним из приемов диагностики вирусного заражения или причин непомерного потребления системных ресурсов является поочередное принудительное их завершение и анализ состояния системы после него. Вместо принудительного завершения можно использовать последовательное изменение приоритетов процессов на минимальное значение. Если после завершения процесса или снижения его приоритета состояние системы стало нормальным (нет ”подвисаний”, лишнего трафика, роста температуры процессора или видеокарты и т.п.), это явно указывает на необходимость пристального внимания к параметрам процесса, его легальности или принадлежности к вредоносному ПО.

Утилита Process Explorer бесплатна, удобна в использовании, может применяться в переносимом варианте и много лет является одним из наиболее популярных инструментов системных администраторов Windows.

Дополнение к статье:

Краткое описание и инструкция по использованию утилиты Process Explorer

Пример использования утилит Process Explorer и Autoruns для обезвреживания вируса-майнера.

Краткое описание и инструкция по использованию утилиты Autoruns

Список команд командной строки с описанием и примерами.

Если вы желаете поделиться ссылкой на эту страницу в своей социальной сети, пользуйтесь кнопкой «Поделиться»

В начало страницы &nbsp &nbsp | &nbsp &nbsp На главную страницу

Svchost.exe: что это за процесс?

Если вы откроете диспетчер задач, то обнаружите в нем процесс под названием svchost.exe, причем не один, а сразу несколько. Разумеется, у пользователя сразу возникает вопрос, что это такое и не являются ли данные процессы вредоносными?

На самом деле svchost.exe в семействе операционных систем Windows, включая Windows 7, Windows 8, Windows 10, Windows XP и т.д., является главным процессом для служб, загружаемых из динамических библиотек. Использование единого процесса для работы нескольких сервисов необходимо для того, что бы уменьшить затраты процессорного времени и оперативной памяти.

Почему в диспетчере задач отображается сразу несколько процессов? Порой их количество может достигать нескольких десятков. Дело в том, что процесс svchost.exe позволяет службам в виде dll-файлов исполнять их код в своем адресном пространстве. Поэтому чем больше таких служб запущено, тем больше будет копий процесса с именем svchost.exe.

Иными словами, в этом нет ничего необычного или преступного. Другое дело, что под видом процесса svchost.exe действительно может скрываться вредоносный файл (компьютерный вирус или троян). Например, если файл помещен в иную директорию, отличную от system32, это вредоносный файл. Кроме того, еще одним признаком наличия вредоносного файла является процесс svchost.exe, запущенный от имени пользователя. Запомните, svchost.exe запускается только от имени SYSTEM, LOCAL SERVICE или NETWORK SERVICE, но никогда от имени пользователя.

Более того, svchost.exe никогда не запускается из раздел Run реестра, то есть он должен отсутствовать в автозагрузке (если он там имеется, значит, это вирус), а запускается только только посредством механизма системных сервисов. Кстати, некоторые вирусы умеют создавать службы, которые используют настоящий процесс svchost.exe, поэтому их сложно обнаружить.

Для того, что бы посмотреть список служб, которые выполняются в процессе svchost.exe, необходимо воспользоваться командной строкой. Для этого нажмите на сочетание клавиш WIN+R на клавиатуре, появится окно «Выполнить». Введите команду cmd и нажмите кнопку ОК.

Откроется командная строка. Введите команду Tasklist /SVC и нажмите клавишу Enter. Вы увидите список активных процессов.

Если вы найдете подозрительный процесс, воспользуйтесь антивирусом и утилитой типа Dr. Web Cureit (она бесплатная для частного использования).

О том, что делать, если svchost.exe грузит процессор, я уже успел рассказать ранее.

Svchost.exe грузит память и процессор в Windows 7 или 10

В этой статье я подробно расскажу, что это за процесс Svchost.exe, почему svchost.exe грузит память Windows 7, а также опишу способы, как решить проблему с данным процессом.

Svchost.exe грузит процессор и память в Windows 7

Бывает, что во время работы за компьютером он начинает сильно подтормаживать. Пытаясь понять причину дисфункции, вы заходите в “Диспетчер задач”, и видите, что виновником проблем является процесс Svchost.exe, здорово нагружающий центральный процессор или память вашего ПК.

Что это svchost.exe

Я узнал, что Svchost.exe – это системный процесс в ОС Windows, служащий для запуска других системных служб. Использование данного процесса берёт своё начало ещё с Windows 2000, ныне же он является неотъемлемой частью семейства операционных систем Windows 7 и 10. Чтобы уменьшить общие затраты процессора, разработчики приняли решение использовать один процесс для работы различных служб, придав процессу некую универсальность. Ныне процессов Svchost в диспетчере задач может наблюдаться от четырёх и более, и каждый из них отвечает за работу какой-либо отдельной службы. Поэтому Svchost грузит процессор и память компьютера, об этом далее.

Несколько запущенных процессов Svchost.exe

При просмотре указанных процессов в своём диспетчере задач необходимо помнить,  что пользователь процесса Svchost.exe всегда должен быть или system (система), local service или network service. Если же данный процесс запущен от вашего имени,  администратора или ещё кого – тогда, вероятно, вы имеете дело с вирусом.

Почему Svchost.exe грузит память и процессор в Windows 7

Причин перегрузки процессора и памяти из-за работы svchost.exe существует несколько, и ниже я перечислю каждую из них.

• Случайный сбой в системе. Такое иногда бывает в Windows 7
• Вирус под маркой svchost.exe. Часто встречающаяся проблема. Создатели вирусных программ любят использовать имя данного процесса для своих вредоносных приложений, так вирус под именем svchost.exe тяжело идентифицировать как злокачественную программу, даже когда svchost.exe значительно грузит процессор или память.
• Ошибки работы модуля автоматических обновлений ОС Windows. Если у вас включены автоматические обновления Windows 7, то сбои в их загрузке могут вызвать проблемы с svchost.exe. Также бывают случаи, что сами обновления содержат в себе различные ошибки и баги, и такое обновление может вызвать проблемы в работе операционной системы, и svchost.exe в частности.
• Большой log-файл событий в журнале Windows 7. В некоторых случаях высокая нагрузка на процессор и память от svchost.exe связана с очень раздутым log файлом в системном журнале событий.
• Физические повреждения чипов памяти, перегрев системного блока и др. Бывает редко, но также не стоит исключать.

Svchost.exe грузит процессор в Windows – что делать

Давайте подробно рассмотрим инструментарий исправления имеющихся ошибок, если Svchost exe грузит память windows 7.

• Попробуйте просто подождать некоторое время. Возможно, операционная система просто обновляется, и скоро её нормальная работа восстановится.
• Перезагрузите компьютер. Это помогает решить проблему с загрузкой процесса не так редко, как можно подумать.
• Попробуйте закрыть наиболее ресурсоёмкий svchost.exe, если их несколько. Для этого перейдите в Диспетчер задач (одновременно нажав Ctrl+Alt+Del и выбрав «Диспетчер задач»), нажмите на вкладку «Процессы», выберите внизу «Отображать процессы всех пользователей» и посмотрите, какой из svchost.exe грузит систему больше всего. Попробуйте его закрыть, кликнув на нём правой клавишей мыши и нажав в появившемся меню «Завершить дерево процесса».

  Отображать процессы всех пользователей

• Проверьте исправность вашей памяти с помощью специальных программ, спросите себя, как давно вы чистили ваш ПК от пыли, не гудит ли сильно кулер внутри вашего компьютера (это может сигнализировать о переполнении системы охлаждения ПК пылью), давно ли вы меняли термопасту на центральном процессоре. Это аппаратные проблемы могут быть напрямую виноваты в замедлении скорости вашего ПК и нагрузкой svchost.exe в частности.
• Во многих случаях проблема, когда svchost.exe грузит память, вызвана сбоями в работе службы автоматического обновления Windows Update, Поэтому или установите все имеющиеся обновления, или полностью отключите службу автоматических обновлений через «Пуск» — «Панель управления» — «Система и Безопасность» — «Центр обновления Windows 7». В левой части экрана выберите пункт «Настройка параметров», а в появившемся меню «Важные объявления» выберите «Не проверять наличие обновлений» и подтвердите, нажав «Ок».

  Центр обновления Windows 7

  Отключаем обновление

• Можно попробовать откат системы на ту дату, когда проблем с svchost.exe не наблюдалось, и вы не обращали внимание на загрузку процессора.
• Проверьте систему на наличие вирусов. Для начала зайдите в Диспетчер задач (одновременно нажав Ctrl+Alt+Del и выбрав «Диспетчер задач»), перейдите во вкладку «Процессы», выберите внизу «Отображать процессы всех пользователей» и посмотрите, какой пользователь стоит напротив каждого процесса svchost.exe. Приемлемыми являются system, local service или network service, все другие – это вирусные или другие вредоносные программы. Их нужно завершить, кликнув по данному процессу, нажав на правую клавиши мыши и выбрать «Завершить дерево процесса». Используйте хорошую антивирусную программу (попробуйте Dr.Web CureIt!, Trojan Remover и др.), ваша система может быть заражена вредоносными программами.
• Удаляем папку Prefetch, используемую системой для ускорения работы служб и сервисов. Заходим в общий каталог ОС Windows, находим там папку Prefetch (обычно находится по адресу С:\WINDOWS\Prefetch) и удаляем эту папку, затем перезагружаем компьютер;
• Если в диспетчере действует процесс wuauclt.exe, тогда в папке Software Distribution, находящейся в общем каталоге Windows, удалите все имеющиеся директории.
• Очищаем log-файл событий в журнале Windows Для этого жмём одновременно комбинацию клавиш Win+R, в появившемся меню набираем eventvwr и подтверждаем, нажав «Ок». В появившемся окне кликаем дважды на «Журналы Windows» (слева сверху), а в перечисленном ниже списке кликаем правой клавишей мыши на «Приложения» и выбираем «Очистить журнал». То же самое проделаем с пунктами «Безопасность», «Установка», «Система». Перезагружаем компьютер.

Визуальную демонстрацию некоторых приёмов действий, когда svchost.exe грузит память в Windows 7 можно посмотреть на видео:

Заключение

Основными проблемами, связанными с перегрузкой процессора файлом svchost.exe, являются ошибки в автоматическом обновлении ОС Windows 7 или 10, а также вирусные программы, прячущиеся под идентичным именем или использующие svchost.exe в своих целях. Для борьбы с ними рекомендуется проверить ваш компьютер самыми мощными антивирусами (например: Dr. Web CureIt), отключить автоматическое обновление системы, а также принудительно закрыть наиболее ресурсоёмкий svchost.exe. Именно тот, который нагружает процессор, а значит svchost.exe грузит память. Если же ничего из всего вышеописанного вам ничего не помогло – тогда обратитесь за консультацией в комментариях ниже.