# Antimalware Service Executable con la CPU alta: qué está haciendo Defender Antimalware Service Executable es Microsoft Defender Antivirus, el antivirus incluido en Windows, y el archivo del proceso es `MsMpEng.exe`. Cuando usa mucha CPU, normalmente está examinando: un examen programado, un examen después de que llega nueva inteligencia de seguridad, o el examen en tiempo real de archivos que otro programa está abriendo en ese momento. Identifica cuál de los tres es antes de cambiar nada, porque cada uno tiene una solución distinta y ninguno exige desactivar Defender de forma permanente. ## Qué está haciendo el proceso El [artículo de Microsoft sobre problemas de rendimiento de Defender](https://learn.microsoft.com/en-us/defender-endpoint/troubleshoot-performance-issues) nombra el proceso de forma directa: Anti-malware Service Executable, `MsMpEng.exe`, Microsoft Defender Antivirus. Su trabajo se divide en tres grupos. | Origen del trabajo | Cuándo ocurre | Cómo se ve | | --- | --- | --- | | Protección en tiempo real | Cada vez que se abren, cierran o inician archivos | La CPU sigue otra tarea: una compilación, un instalador, descomprimir un archivo, copiar muchos archivos pequeños | | Examen programado | Según una programación, de forma predeterminada solo cuando el PC está inactivo | Empieza cuando te alejas y puede continuar cuando vuelves | | Examen tras una actualización de inteligencia de seguridad | Después de instalar definiciones nuevas | Parece un examen fuera de la programación | La protección en tiempo real es la que encuentra la mayoría de la gente. El mismo artículo indica qué la hace costosa: archivos `.exe` y `.dll` sin firmar que se inician, formatos complejos como HTA y CHM usados como almacenes de datos, scripts ofuscados y archivos grandes como `.iso` o `.vhdx` en una carpeta de perfil que se sincroniza con una ubicación de red o con OneDrive. Una compilación de proyecto que escribe miles de archivos pequeños es la versión cotidiana de este caso: cada archivo que escribe el compilador es un archivo que Defender examina.
Tres tipos de examen de Defender
El examen en tiempo real sigue otro trabajo, los exámenes programados siguen el reloj y una actualización puede iniciar un examen propio. Cada uno tiene un remedio distinto.
## Comprueba primero, sin cambiar la configuración Pulsa `Ctrl + Shift + Esc` para abrir el Administrador de tareas, ordena por CPU y anota qué más está ocupado en el mismo momento. Si Antimalware Service Executable sube y baja junto con una compilación, un instalador o una copia grande, está examinando ese trabajo en tiempo real. Si está ocupado mientras nada más lo está, lo más probable es un examen. Espera unos minutos y mira de nuevo: un examen que termina es un comportamiento normal, no un fallo. Luego abre Seguridad de Windows desde el menú Inicio y ve a Protección contra virus y amenazas. La [guía de Microsoft sobre Seguridad de Windows](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) describe ahí Opciones de examen (Examen rápido, Examen completo, Examen personalizado y Microsoft Defender Antivirus (examen sin conexión)) e Historial de protección. El historial importa en este caso: si Defender encontró algo y lo está tratando, el uso de CPU tiene un motivo, y el elemento que aparece ahí es sobre el que hay que actuar. Si necesitas saber con precisión qué archivos cuestan más, Defender tiene un analizador de rendimiento. La [guía del analizador de Microsoft](https://learn.microsoft.com/en-us/defender-endpoint/tune-performance-defender-antivirus) registra los eventos de examen de Defender mientras reproduces la tarea lenta y luego informa de los principales archivos, rutas, extensiones y procesos por tiempo de examen. Ejecuta PowerShell como administrador, inicia la grabación, repite el trabajo lento y pulsa Entrar para detenerla: ```powershell New-MpPerformanceRecording -RecordTo C:\Temp\defender.etl Get-MpPerformanceReport -Path C:\Temp\defender.etl -TopFiles 10 -TopProcesses 10 ``` La ruta es un ejemplo; usa una carpeta que exista. El informe lee datos y no cambia ningún ajuste. Si las primeras entradas son el resultado de tu compilación o una caché de paquetes, has encontrado el coste en tiempo real; si son un archivo descargado o una herramienta que no reconoces, sigue examinándolos. ## Exámenes: el rápido es el valor recomendado La [guía de exámenes de Microsoft](https://learn.microsoft.com/en-us/defender-endpoint/schedule-antivirus-scans) recomienda un examen rápido para los exámenes programados habituales. Un examen rápido revisa los lugares donde el malware se registra para iniciarse con Windows, como claves del Registro y carpetas de inicio, y junto con la protección en tiempo real es la cobertura que Microsoft recomienda. Un examen completo lee cada unidad fija, puede tardar horas o días en un disco grande, y Microsoft en general no recomienda programarlo. Si iniciaste tú un examen completo, el uso de CPU durará hasta que termine. La misma guía indica que Defender busca actualizaciones 15 minutos antes de un examen programado, y el artículo de solución de problemas explica que un examen tras una actualización de inteligencia de seguridad se ejecuta de forma predeterminada. Por eso un examen puede aparecer a una hora que nunca elegiste. Para apartar el examen programado de tu horario de trabajo, las [instrucciones del Programador de tareas de Microsoft](https://support.microsoft.com/windows/schedule-a-scan-in-microsoft-defender-antivirus-54b64e9c-880a-c6b6-2416-0eb330ed5d2d) abren Biblioteca del Programador de tareas, Microsoft, Windows, Windows Defender, luego Windows Defender Scheduled Scan, y añaden un desencadenador en la pestaña Desencadenadores. Elige un momento en el que el PC esté encendido pero no lo estés usando, como la pausa del almuerzo. Mover la hora conserva el examen; solo cambia cuándo pagas su coste. ## Carpetas de compilación: Dev Drive antes que las exclusiones Si el coste viene del trabajo de desarrollo, la respuesta de Microsoft en Windows 11 es una [unidad Dev Drive](https://learn.microsoft.com/en-us/windows/dev-drive/). Es un volumen ReFS aparte, de al menos 50 GB, pensado para repositorios de código, cachés de paquetes y resultados de compilación. Una unidad Dev Drive de confianza ejecuta Defender en modo de rendimiento, que Microsoft describe como una alternativa segura a las exclusiones de carpetas: los archivos se siguen examinando, con menos efecto en la compilación. Puedes comprobar su estado desde un símbolo del sistema de administrador: ```powershell fsutil devdrv query D: ``` Sustituye `D:` por la letra de tu unidad Dev Drive. La unidad C: no puede ser una unidad Dev Drive, un volumen existente no se puede convertir sin formatearlo, y Microsoft recomienda dejar en C: las herramientas de desarrollo como Visual Studio y los SDK. Mover cachés es un cambio mayor que añadir un ajuste; la página de Dev Drive enumera las variables de entorno de npm, NuGet, pip, Cargo, Maven y Gradle. Para saber cuáles de esas carpetas se pueden vaciar en su lugar, consulta [Cachés de desarrollo en Windows](/es/windows/blog/windows-developer-caches). ## Exclusiones: solo para carpetas de confianza, y sabe lo que cedes Una exclusión impide que Defender examine ese archivo, esa carpeta, ese tipo de archivo o ese proceso. En Seguridad de Windows, los [pasos de Microsoft para las exclusiones](https://support.microsoft.com/en-us/windows/add-an-exclusion-to-windows-security-811816c0-4dfd-af4a-47e4-c301afe13b26) pasan por Protección contra virus y amenazas, Administrar la configuración, Agregar o quitar exclusiones, y la misma página advierte de que los elementos excluidos pueden dejar el dispositivo y los datos vulnerables. La [referencia de exclusiones de Microsoft](https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-antivirus-exclusions-configure) dice además que normalmente no necesitas exclusiones en absoluto. Si aun así añades una, mantenla estrecha: - Una carpeta en la que solo escriben tus herramientas de confianza, como el resultado de compilación de un proyecto, no toda la unidad ni todo el perfil de usuario. - Nunca Descargas, Escritorio, la carpeta de descargas de un navegador ni una carpeta que reciba archivos del correo, del chat o de internet. Ahí es donde llega el malware. - Una exclusión de proceso cubre cada archivo que ese proceso abre, así que excluir un compilador o un administrador de paquetes también deja de examinar lo que descarga. Cada exclusión es un intercambio: menos CPU para esa carpeta, ningún examen de lo que acabe en ella. Si la carpeta empieza a contener archivos descargados, quita la exclusión. ## Qué no hacer No desactives Defender de forma permanente mediante el Registro, la Directiva de grupo, un script de «debloat» o una herramienta de ajustes de terceros. Desactivar la protección en tiempo real en Seguridad de Windows es temporal por diseño: [Microsoft indica](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) que se vuelve a activar sola al cabo de poco tiempo y, mientras está desactivada, los archivos que abres o descargas no se examinan. El artículo de solución de problemas solo sugiere apagarla un momento, mediante el modo de solución de problemas, para descartarla como causa. No finalices MsMpEng.exe en el Administrador de tareas ni elimines archivos de las carpetas de Defender. No excluyas `C:\` ni toda una carpeta de usuario para que baje un número. Y si también ejecutas otro producto de seguridad, el artículo de Microsoft recomienda añadir los procesos de cada producto a las exclusiones del otro; dos examinadores que revisan los mismos archivos son una causa conocida de CPU alta. ## Comprueba que el cambio funcionó Después de mover la programación, mover una caché a una unidad Dev Drive o añadir una exclusión estrecha, repite el mismo trabajo, por ejemplo la misma compilación, y compara. Puedes grabar de nuevo el analizador y confirmar que la carpeta ahora muestra un motivo de omisión, o que el tiempo de examen bajó. En Seguridad de Windows, Protección contra virus y amenazas debe seguir mostrando la protección como activada. Mole no cambia la configuración ni las exclusiones de Defender. Su informe de Doctor, que se abre desde Ejecutar Doctor después de hacer clic en la marca de Mole en la parte superior izquierda de la ventana, muestra si la protección en tiempo real de Defender está activada y señala la inteligencia de seguridad que lleva una semana sin actualizarse, una comprobación útil después de que otra persona haya cambiado la seguridad del PC. Para un uso de CPU que no sea Defender, consulta [Uso alto de CPU en Windows](/es/windows/blog/windows-high-cpu-usage); para un disco detenido al 100 %, consulta [Disco al 100 % en el Administrador de tareas](/es/windows/blog/windows-disk-100-percent). ## Preguntas frecuentes ### ¿Antimalware Service Executable es un virus? El proceso genuino es Microsoft Defender Antivirus, `MsMpEng.exe`, parte de Windows. Una CPU alta por su parte suele ser un examen. Si el Historial de protección muestra una detección, actúa sobre ese elemento. ### ¿Por qué Antimalware Service Executable usa mucha CPU cuando no estoy haciendo nada? Los exámenes programados se ejecutan cuando el PC está inactivo, y Defender también examina de forma predeterminada después de una actualización de inteligencia de seguridad. Un examen rápido suele terminar solo; uno completo puede tardar horas. ### ¿Puedo desactivar Antimalware Service Executable? No de forma segura. Desactivar la protección en tiempo real es temporal y Windows la vuelve a activar. Una desactivación permanente mediante directivas o scripts deja los archivos sin examinar. Reprograma los exámenes o usa una unidad Dev Drive. ### ¿Debo añadir una exclusión para la CPU alta de Microsoft Defender? Solo para una carpeta estrecha en la que escriban únicamente herramientas de confianza, como el resultado de una compilación. Microsoft advierte de que las exclusiones reducen la protección; no excluyas nunca Descargas, Escritorio ni una unidad entera. Canonical: https://mole.fit/es/windows/blog/antimalware-service-executable-high-cpu