Antimalware Service Executable et processeur élevé : ce que fait Defender

Antimalware Service Executable est l’antivirus Microsoft Defender, intégré à Windows, et son fichier de processus est MsMpEng.exe. Quand il occupe beaucoup de processeur, il analyse en général : une analyse planifiée, une analyse après l’arrivée de nouvelles informations de sécurité, ou l’analyse en temps réel de fichiers qu’un autre programme ouvre à cet instant. Déterminez lequel de ces cas s’applique avant de changer quoi que ce soit : chacun a un correctif différent, et aucun n’exige de désactiver Defender pour de bon.

Ce que fait le processus

L’article Microsoft sur les performances de Defender nomme le processus directement : Anti-malware Service Executable, MsMpEng.exe, Antivirus Microsoft Defender. Son travail se répartit en trois groupes.

La protection en temps réel est celle que la plupart des gens rencontrent. Le même article liste ce qui la rend coûteuse : des fichiers .exe et .dll non signés qui sont lancés, des formats complexes comme HTA et CHM utilisés comme magasins de données, des scripts obscurcis, et de gros fichiers comme .iso ou .vhdx dans un dossier de profil synchronisé vers un emplacement réseau ou OneDrive. Une compilation de projet qui écrit des milliers de petits fichiers en est la version quotidienne : chaque fichier écrit par le compilateur est un fichier que Defender examine.

Vérifier d’abord, sans changer les paramètres

Appuyez sur Ctrl + Shift + Esc pour ouvrir le Gestionnaire des tâches, triez par processeur et notez ce qui est occupé au même moment. Si Antimalware Service Executable monte et descend avec une compilation, un programme d’installation ou une grosse copie, c’est l’analyse en temps réel de ce travail. S’il est occupé alors que rien d’autre ne l’est, une analyse est l’explication la plus probable. Attendez quelques minutes et regardez à nouveau : une analyse qui se termine est un comportement normal, pas une panne.

Ouvrez ensuite Sécurité Windows depuis le menu Démarrer et allez dans Protection contre les virus et menaces. Le guide Microsoft de Sécurité Windows y décrit les Options d’analyse (Analyse rapide, Analyse complète, Analyse personnalisée et Antivirus Microsoft Defender (analyse hors connexion)) et l’Historique de la protection. Cet historique compte ici : si Defender a trouvé quelque chose et le traite, l’usage du processeur a une raison, et l’élément listé est celui sur lequel agir.

Si vous devez savoir exactement quels fichiers coûtent le plus, Defender a un analyseur de performances. Le guide Microsoft de cet analyseur enregistre les événements d’analyse de Defender pendant que vous reproduisez la tâche lente, puis signale les principaux fichiers, chemins, extensions et processus selon le temps d’analyse. Exécutez PowerShell en tant qu’administrateur, lancez l’enregistrement, répétez le travail lent, puis appuyez sur Entrée pour arrêter :

New-MpPerformanceRecording -RecordTo C:\Temp\defender.etl
Get-MpPerformanceReport -Path C:\Temp\defender.etl -TopFiles 10 -TopProcesses 10

Le chemin est un exemple ; utilisez un dossier qui existe. Le rapport lit des données et ne change aucun paramètre. Si les premières entrées sont vos propres fichiers de compilation ou un cache de paquets, vous avez trouvé le coût de l’analyse en temps réel. S’il s’agit d’une archive téléchargée ou d’un outil que vous ne reconnaissez pas, continuez à l’analyser.

Analyses : l’analyse rapide est le choix recommandé

Le guide Microsoft des analyses recommande une analyse rapide pour les analyses planifiées régulières. Une analyse rapide vérifie les endroits où les programmes malveillants s’inscrivent pour démarrer avec Windows, comme des clés du Registre et des dossiers de démarrage. Avec la protection en temps réel, c’est la couverture que Microsoft recommande. Une analyse complète lit chaque lecteur fixe, peut prendre des heures ou des jours sur un grand disque, et Microsoft ne recommande en général pas de la planifier. Si vous avez lancé vous-même une analyse complète, l’usage du processeur durera jusqu’à la fin.

Le même guide note que Defender cherche des mises à jour 15 minutes avant une analyse planifiée, et l’article de dépannage explique qu’une analyse après une mise à jour des informations de sécurité s’exécute par défaut. C’est pourquoi une analyse peut apparaître à une heure que vous n’avez jamais choisie.

Pour déplacer l’analyse planifiée hors de vos heures de travail, les instructions du Planificateur de tâches de Microsoft ouvrent Bibliothèque du Planificateur de tâches › Microsoft › Windows › Windows Defender, puis Windows Defender Scheduled Scan, et ajoutent un déclencheur dans l’onglet Déclencheurs. Choisissez un moment où le PC est allumé mais où vous ne l’utilisez pas, par exemple la pause déjeuner. Déplacer l’heure conserve l’analyse ; cela change seulement le moment où vous en payez le coût.

Dossiers de compilation : Dev Drive avant les exclusions

Si le coût vient du développement, la réponse de Microsoft sous Windows 11 est un Dev Drive. C’est un volume ReFS distinct, d’au moins 50 Go, prévu pour les dépôts de code, les caches de paquets et les fichiers de compilation. Un Dev Drive approuvé exécute Defender en mode performances, que Microsoft décrit comme une alternative sûre aux exclusions de dossiers : les fichiers sont toujours analysés, avec moins d’effet sur la compilation. Vous pouvez vérifier son état depuis une invite d’administrateur :

fsutil devdrv query D:

Remplacez D: par la lettre de votre Dev Drive. Le lecteur C: ne peut pas être un Dev Drive, un volume existant ne peut pas être converti sans formatage, et Microsoft recommande de garder les outils de développement comme Visual Studio et les SDK sur C:. Déplacer des caches est un changement plus important qu’ajouter un paramètre ; la page Dev Drive liste les variables d’environnement pour npm, NuGet, pip, Cargo, Maven et Gradle. Pour savoir lesquels de ces dossiers peuvent plutôt être vidés, voir les caches de développement Windows.

Exclusions : seulement pour des dossiers de confiance, en sachant ce que vous cédez

Une exclusion empêche Defender d’analyser ce fichier, ce dossier, ce type de fichier ou ce processus. Dans Sécurité Windows, les étapes Microsoft pour une exclusion passent par Protection contre les virus et menaces › Gérer les paramètres › Ajouter ou supprimer des exclusions, et la même page avertit que les éléments exclus peuvent laisser l’appareil et les données vulnérables. La référence Microsoft sur les exclusions dit aussi que vous n’avez en général pas besoin d’exclusions du tout.

Si vous en ajoutez quand même une, gardez-la étroite :

• Un dossier dans lequel seuls vos propres outils de confiance écrivent, comme les fichiers de compilation d’un projet, pas le lecteur entier ni tout le profil utilisateur.
• Jamais Téléchargements, le Bureau, le dossier de téléchargement d’un navigateur, ni un dossier qui reçoit des fichiers par e-mail, messagerie ou Internet. C’est par là que les programmes malveillants arrivent.
• Une exclusion de processus couvre chaque fichier que ce processus ouvre : exclure un compilateur ou un gestionnaire de paquets arrête aussi l’analyse de ce qu’il télécharge.

Chaque exclusion est un échange : moins de processeur pour ce dossier, aucune analyse de ce qui y arrive. Si le dossier commence un jour à contenir des fichiers téléchargés, retirez l’exclusion.

Ce qu’il ne faut pas faire

Ne désactivez pas Defender de façon permanente par le Registre, une stratégie de groupe, un script de « debloat » ou un outil de réglage tiers. Couper la protection en temps réel dans Sécurité Windows est temporaire par conception : Microsoft indique qu’elle se réactive automatiquement après un court moment, et tant qu’elle est coupée, les fichiers que vous ouvrez ou téléchargez ne sont pas analysés. L’article de dépannage suggère seulement de la couper brièvement, via le mode de dépannage, pour l’écarter comme cause.

Ne terminez pas MsMpEng.exe dans le Gestionnaire des tâches et ne supprimez pas de fichiers dans les dossiers de Defender. N’excluez pas C:\ ni un dossier utilisateur entier pour faire baisser un chiffre. Et si vous exécutez aussi un autre produit de sécurité, l’article de Microsoft recommande d’ajouter les processus de chaque produit aux exclusions de l’autre : deux analyseurs qui inspectent les mêmes fichiers sont une source connue de processeur élevé.

Vérifier que le changement a fonctionné

Après avoir déplacé le calendrier, déplacé un cache vers un Dev Drive ou ajouté une exclusion étroite, refaites le même travail, par exemple la même compilation, et comparez. Vous pouvez enregistrer à nouveau l’analyseur et confirmer que le dossier affiche maintenant une raison d’ignorer, ou que le temps d’analyse a baissé. Dans Sécurité Windows, Protection contre les virus et menaces doit toujours indiquer que la protection est activée.

Mole ne change pas les paramètres ni les exclusions de Defender. Son rapport de diagnostic, ouvert avec Lancer le diagnostic après un clic sur le logo Mole en haut à gauche de la fenêtre, indique si la protection en temps réel de Defender est activée et signale des informations de sécurité qui n’ont pas été mises à jour depuis une semaine, ce qui vaut le coup d’être vérifié après qu’une autre personne a changé les paramètres de sécurité du PC. Pour un usage du processeur qui n’est pas Defender, voir Processeur élevé sous Windows ; pour un disque bloqué à 100 %, voir Disque à 100 % dans le Gestionnaire des tâches.

FAQ

Antimalware Service Executable est-il un virus ?

Le processus authentique est l’antivirus Microsoft Defender, MsMpEng.exe, qui fait partie de Windows. Un processeur élevé vient en général d’une analyse. Si l’Historique de la protection liste une détection, agissez sur cet élément.

Pourquoi Antimalware Service Executable utilise-t-il beaucoup de processeur quand je ne fais rien ?

Les analyses planifiées s’exécutent quand le PC est inactif, et Defender analyse aussi par défaut après une mise à jour des informations de sécurité. Une analyse rapide se termine en général d’elle-même ; une analyse complète peut prendre des heures.

Puis-je désactiver Antimalware Service Executable ?

Pas de façon sûre. Couper la protection en temps réel est temporaire et Windows la réactive. Une désactivation permanente par stratégie ou par script laisse les fichiers sans analyse. Décalez les analyses ou utilisez un Dev Drive.

Faut-il ajouter une exclusion pour corriger le processeur élevé de Microsoft Defender ?

Seulement pour un dossier étroit dans lequel seuls des outils de confiance écrivent, comme des fichiers de compilation. Microsoft avertit que les exclusions réduisent la protection ; n’excluez jamais Téléchargements, le Bureau ni un lecteur entier.