Procesos de Windows explicados: svchost, Runtime Broker y más

La mayoría de los procesos de Windows que parecen alarmantes en el Administrador de tareas son partes normales de Windows: System, Interrupciones del sistema, Host de servicio, Runtime Broker, Proceso en tiempo de ejecución cliente-servidor y los demás tienen cada uno su función, y una CPU alta en uno de ellos suele indicar trabajo que ocurre debajo, como un controlador, un servicio o una actualización. Averigua cuál es ese trabajo antes de finalizar nada, porque varios de estos procesos no se pueden finalizar con seguridad y el resto vuelve por sí solo.

A continuación verás qué es cada nombre habitual, dónde está el archivo auténtico, por qué se dispara y cómo comprobarlo. Las ubicaciones y descripciones de archivo provienen de una instalación actual de Windows 11; en tu PC, haz clic derecho en una fila del Administrador de tareas y elige Abrir ubicación del archivo para comparar.

De un vistazo

System, Interrupciones del sistema y Compresión de memoria

System es el kernel de Windows. Siempre tiene el ID de proceso 4, y su archivo, ntoskrnl.exe, se describe en Propiedades › Detalles como «NT Kernel & System». Una CPU alta aquí te dice que el trabajo a nivel de kernel está ocupado, no qué parte, y los controladores y las actualizaciones pendientes son los primeros sitios donde mirar. La guía de Microsoft sobre controladores dice que la mejor forma de obtener actualizaciones de controladores es Windows Update, y si un controlador reciente empeoró las cosas, Administrador de dispositivos › Propiedades del dispositivo › Controlador › Revertir al controlador anterior lo deshace (se necesitan derechos de administrador).

Interrupciones del sistema no es un programa y no tiene archivo. Es el tiempo que los procesadores dedican a responder al hardware. La guía de análisis de CPU de Microsoft explica el mecanismo: un dispositivo como una tarjeta de red genera una interrupción, Windows ejecuta una rutina de servicio de interrupción (ISR), que normalmente programa una llamada a procedimiento diferido (DPC) para el resto del trabajo, y mientras un procesador ejecuta DPC e ISR ningún hilo puede ejecutarse en él. Por eso un tiempo de interrupción alto puede notarse como chasquidos de audio o tirones. Siempre hay algo de tiempo de interrupción mientras el hardware está en uso; una cifra alta y constante en un PC inactivo apunta a un controlador o a un dispositivo.

Para saber cuál, graba un seguimiento desde un Símbolo del sistema de administrador. La referencia de comandos de WPR documenta -start y -stop, y el perfil integrado GeneralProfile incluye eventos de DPC e interrupciones:

wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl

Ejecuta la primera línea, espera mientras Interrupciones del sistema está alto y luego ejecuta la segunda; la carpeta tiene que existir. Abre el archivo en Windows Performance Analyzer y mira el gráfico DPC/ISR, cuya columna Module indica el archivo del controlador que contiene la rutina ocupada. Una prueba más sencilla y sin herramientas: desconecta los dispositivos USB y las bases uno a uno y observa la cifra.

Compresión de memoria guarda en la RAM, de forma comprimida, las páginas de memoria que se usan poco en lugar de escribirlas en el archivo de paginación. Cuando Microsoft presentó el almacén de compresión en Windows 10, explicó que el almacén crece justo cuando se está liberando memoria para otros programas, y por eso puede parecer grande. Una cifra alta es consecuencia de la presión de memoria de otros programas, no su causa. Consulta uso elevado de memoria en Windows para encontrar qué la está usando de verdad.

Host de servicio (svchost.exe): encuentra el servicio de dentro

El artículo de Microsoft sobre el host de servicio describe svchost.exe como un proceso de servicios compartidos que carga servicios desde archivos DLL. Desde Windows 10 versión 1703, los PC con más de 3,5 GB de RAM ejecutan la mayoría de los servicios en su propio proceso Host de servicio, por eso el Administrador de tareas muestra decenas y cada fila lleva ahora el nombre del servicio que contiene, como «Host de servicio: Windows Update». Algunos servicios, como Motor de filtrado de base con Firewall de Windows, siguen agrupados.

«svchost CPU alta» no tiene por tanto una única respuesta: la parte ocupada es un servicio. Tres formas de identificarlo:

1. En la vista Procesos del Administrador de tareas, expande la fila Host de servicio ocupada. Los servicios que contiene aparecen debajo.
2. Haz clic derecho en la fila y elige Ir a detalles para obtener su PID, luego abre la página Servicios (una pestaña en Windows 10), que lista cada servicio con el PID que lo ejecuta.
3. Desde el Símbolo del sistema, usa tasklist, donde /svc lista los servicios de cada proceso:

tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"

Sustituye 1234 por el PID del Administrador de tareas. Después ocúpate del servicio, no del host: Windows Update terminando una instalación o wsappx implementando una aplicación de Store tienen cada uno su propia solución. Finalizar un Host de servicio detiene de golpe todos los servicios que contiene y no detiene lo que le pidió trabajo al servicio.

Runtime Broker, Explorador de Windows y Administrador de ventanas del escritorio

Runtime Broker (RuntimeBroker.exe) se ejecuta en tu sesión y, según el artículo de Microsoft sobre Runtime Broker, administra en tu PC los permisos de las aplicaciones de Microsoft Store. Normalmente usa unos pocos megabytes. El umbral de la propia Microsoft: si usa más del 15 % de la memoria, probablemente alguna aplicación se está comportando mal, y la solución sugerida es finalizar la tarea Runtime Broker y reiniciar el PC.

Explorador de Windows (explorer.exe, directamente en C:\Windows) no son solo las ventanas del Explorador de archivos; también dibuja la barra de tareas, Inicio y el escritorio. Si se cuelga o la pantalla se queda en negro, la guía de Microsoft sobre pantallas en blanco indica abrir el Administrador de tareas con Ctrl + Shift + Esc, hacer clic derecho en Explorador de Windows y seleccionar Reiniciar, o, si no aparece, usar Archivo › Ejecutar nueva tarea y escribir explorer.exe.

Administrador de ventanas del escritorio (dwm.exe) compone todas las ventanas en la imagen que ves en pantalla. La descripción general de DWM de Microsoft explica cómo las ventanas dibujan en superficies fuera de pantalla que DWM representa luego en la pantalla. Su trabajo depende de lo que haya en pantalla. No lo finalices; consulta Desktop Window Manager con GPU alta para saber qué revisar.

csrss, wininit, winlogon y taskhostw

Proceso en tiempo de ejecución cliente-servidor (csrss.exe) es, en palabras de Microsoft en sus notas de depuración, el proceso en modo usuario que controla la capa subyacente del entorno de Windows, y desde Windows 10 es un proceso protegido. Hay uno por sesión, así que ver dos o más es normal. Debería estar cerca de cero de CPU; no hay nada que ajustar ni motivo para finalizarlo.

wininit.exe (descripción de archivo «Aplicación de inicio de Windows») y winlogon.exe («Aplicación de inicio de sesión de Windows») se encargan del arranque y del inicio de sesión. La página de Microsoft sobre Winlogon dice que Winlogon crea los escritorios de la estación de ventanas e implementa las operaciones de tiempo de espera, y que registra la secuencia de atención segura, el Ctrl + Alt + Delete que pulsas para llegar a la pantalla de seguridad. Los dos deberían estar inactivos casi todo el tiempo. Déjalos tranquilos.

Proceso host para tareas de Windows (taskhostw.exe) ejecuta tareas para Windows, y Microsoft no publica una página dedicada a él. Si sigue ocupado, el Programador de tareas (Biblioteca del Programador de tareas › Microsoft › Windows) muestra qué tareas se están ejecutando; déjalas terminar en lugar de finalizar el host. Un taskhostw.exe fuera de C:\Windows\System32 es otro asunto, que se trata más abajo.

Ocupados por un motivo: Defender, actualizaciones, búsqueda y aplicaciones de Store

Estos cuatro suelen estar haciendo un trabajo real que termina por sí solo, y cada uno tiene una guía completa:

• Antimalware Service Executable (MsMpEng.exe, en C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\) es Microsoft Defender analizando. Consulta Antimalware Service Executable con CPU alta.
• Windows Modules Installer Worker (TiWorker.exe, en una carpeta de la pila de servicio dentro de C:\Windows\WinSxS) hace el trabajo de actualización para el servicio Instalador de módulos de Windows (C:\Windows\servicing\TrustedInstaller.exe). Consulta Windows Modules Installer Worker con CPU alta.
• Microsoft Windows Search Indexer (C:\Windows\System32\SearchIndexer.exe) crea el índice de búsqueda. Consulta Windows Search Indexer con CPU alta.
• wsappx es un Host de servicio para la implementación y las licencias de las aplicaciones de Store. Consulta wsappx con CPU alta.

Cómo reconocer un proceso del sistema falso

El malware a veces toma prestado un nombre del sistema. El nombre no demuestra nada; la ubicación y la firma, sí.

1. En el Administrador de tareas, haz clic derecho en el proceso y elige Abrir ubicación del archivo. Un svchost.exe, csrss.exe, RuntimeBroker.exe o taskhostw.exe que se ejecuta desde una carpeta de usuario, AppData, ProgramData o Temp no es el archivo de Windows. Fíjate también en nombres casi iguales, como scvhost.exe.
2. Clic derecho en el archivo › Propiedades › Detalles. Un archivo auténtico muestra Microsoft Corporation y la descripción de la tabla anterior.
3. Comprueba la firma. La mayoría de los archivos de Windows se firman mediante un catálogo de Windows y no dentro del archivo, así que sus Propiedades no tienen pestaña Firmas digitales; que falte esa pestaña no es una señal de alarma. Get-AuthenticodeSignature también lee las firmas de catálogo. Apúntalo a la ruta que encontraste:

Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate

Un archivo auténtico devuelve Valid, normalmente Catalog, con un certificado de Microsoft Windows. Para revisar una carpeta entera, Sigcheck de Microsoft lista los archivos sin firmar con sigcheck -u -e c:\windows\system32, y Microsoft recomienda investigar cualquier archivo que no esté firmado.

Si algo no cuadra, haz un examen. La guía de Seguridad de Windows de Microsoft sitúa Opciones de examen en Protección antivirus y contra amenazas; Microsoft Defender Antivirus (examen sin conexión) reinicia el PC y examina antes de que Windows se cargue, así al malware persistente le cuesta más esconderse, y los resultados aparecen en Historial de protección. No borres a mano el archivo sospechoso mientras se ejecuta, y nunca borres un archivo de C:\Windows\System32 porque su nombre te pareció raro.

Dónde encaja Mole

La página Estado de Mole lista los procesos agrupados por la aplicación a la que pertenecen, con la CPU y la memoria sumadas para cada grupo, de modo que los procesos auxiliares repetidos quedan en una sola fila. Elegir ¿Por qué se ejecuta? en el menú de una fila muestra la ruta de su ejecutable y, en las filas de Host de servicio, los servicios de Windows que aloja, del más ocupado al menos; Mostrar en el Explorador de archivos abre la carpeta del archivo para la comprobación de ubicación de más arriba. Mole no ofrece Terminar ni Forzar salida para los servicios de Windows, para nada que se ejecute desde la carpeta de Windows ni para el propio proceso System, y en su lugar marca esas filas como Sistema. Como dice la página de ayuda, conserva los procesos del sistema y los procesos compartidos con otras aplicaciones.

Mole no cambia controladores, servicios ni ajustes de Defender, y no detecta malware. Para una CPU alta causada por aplicaciones normales, consulta Uso elevado de CPU en Windows.

Preguntas frecuentes

¿Por qué svchost.exe usa tanta CPU?

Host de servicio solo contiene servicios; uno de ellos está ocupado. Expande la fila en el Administrador de tareas o ejecuta tasklist /svc para identificar el servicio, y luego ocúpate de ese servicio, por ejemplo Windows Update o la instalación de una aplicación de Store.

¿Qué es Interrupciones del sistema y se puede desactivar?

Es el tiempo que Windows dedica a atender interrupciones de hardware y el trabajo diferido que generan, no un programa, así que no hay nada que desactivar. Un uso alto y constante apunta a un controlador o a un dispositivo; actualiza o revierte los controladores, o graba un seguimiento para ver qué módulo de controlador está ocupado.

¿Qué es Runtime Broker y es seguro finalizarlo?

Administra los permisos de las aplicaciones de Microsoft Store. Microsoft dice que si usa más del 15 % de la memoria, puedes finalizar la tarea en el Administrador de tareas y reiniciar el PC.

¿Cómo sé si un proceso de Windows es un virus?

Comprueba dónde está el archivo y quién lo firmó: los procesos centrales auténticos se ejecutan desde C:\Windows o C:\Windows\System32 y llevan una firma válida de Microsoft, a menudo una firma de catálogo. Si la ubicación o la firma no son las correctas, haz un examen sin conexión de Microsoft Defender.