Processus Windows expliqués : svchost, Runtime Broker et autres

La plupart des processus Windows qui inquiètent dans le Gestionnaire des tâches font partie du fonctionnement normal de Windows : System, Interruptions système, Hôte de service, Runtime Broker, Processus d’exécution client-serveur et les autres ont chacun un rôle, et un processeur élevé sur l’un d’eux signale en général un travail en dessous, comme un pilote, un service ou une mise à jour. Identifiez ce travail avant de terminer quoi que ce soit, car plusieurs de ces processus ne peuvent pas être arrêtés sans risque et les autres reviennent d’eux-mêmes.

Voici ce qu’est chaque nom courant, où se trouve le vrai fichier, pourquoi il s’emballe et comment le vérifier. Les emplacements et les descriptions de fichier viennent d’une installation récente de Windows 11 ; sur votre PC, faites un clic droit sur une ligne du Gestionnaire des tâches et choisissez Ouvrir l’emplacement du fichier pour comparer.

En un coup d’œil

System, Interruptions système et Compression de la mémoire

System est le noyau Windows. Il a toujours l’ID de processus 4, et son fichier, ntoskrnl.exe, se décrit dans Propriétés › Détails comme « NT Kernel & System ». Un processeur élevé ici vous dit que le travail au niveau du noyau est chargé, pas quelle partie, et les pilotes et les mises à jour en attente sont les premiers endroits à regarder. Le guide de Microsoft sur les pilotes indique que la meilleure façon d’obtenir des mises à jour de pilotes est Windows Update, et si un pilote récent a aggravé les choses, Gestionnaire de périphériques › Propriétés du périphérique › Pilote › Restaurer le pilote l’annule (droits d’administrateur nécessaires).

Interruptions système n’est pas un programme et n’a pas de fichier. C’est le temps que les processeurs passent à répondre au matériel. Le guide d’analyse du processeur de Microsoft explique le mécanisme : un périphérique comme une carte réseau déclenche une interruption, Windows exécute une routine de service d’interruption (ISR), qui planifie en général un appel de procédure différé (DPC) pour le reste du travail, et tant qu’un processeur exécute des DPC et des ISR, aucun thread ne peut tourner dessus. C’est pourquoi un temps d’interruption élevé peut se traduire par des craquements audio ou des saccades. Un peu de temps d’interruption est toujours présent quand le matériel travaille ; un chiffre élevé et constant sur un PC au repos désigne un pilote ou un périphérique.

Pour savoir lequel, enregistrez une trace depuis une Invite de commandes administrateur. La référence des commandes WPR documente -start et -stop, et le profil intégré GeneralProfile inclut les événements DPC et d’interruption :

wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl

Lancez la première ligne, attendez pendant qu’Interruptions système est élevé, puis lancez la seconde ; le dossier doit exister. Ouvrez le fichier dans Windows Performance Analyzer et regardez le graphique DPC/ISR, dont la colonne Module nomme le fichier du pilote qui contient la routine chargée. Un test plus simple, sans outil : débranchez les périphériques USB et les stations d’accueil un par un et surveillez le chiffre.

Compression de la mémoire garde en RAM, sous forme compressée, les pages mémoire rarement utilisées au lieu de les écrire dans le fichier d’échange. Quand Microsoft a présenté le magasin de compression dans Windows 10, l’entreprise a expliqué que le magasin grossit précisément au moment où de la mémoire est libérée pour d’autres programmes, ce qui explique qu’il puisse paraître gros. Un chiffre élevé suit la pression mémoire créée par d’autres programmes, il ne la cause pas. Voir utilisation élevée de la mémoire sous Windows pour trouver ce qui l’utilise réellement.

Hôte de service (svchost.exe) : trouver le service à l’intérieur

L’article de Microsoft sur l’hôte de service décrit svchost.exe comme un processus de services partagés qui charge des services depuis des fichiers DLL. Depuis Windows 10 version 1703, les PC qui ont plus de 3,5 Go de RAM exécutent la plupart des services dans leur propre processus Hôte de service, ce qui explique que le Gestionnaire des tâches en affiche des dizaines et que chaque ligne porte désormais le nom du service qu’elle contient, comme « Hôte de service : Windows Update ». Certains services, comme le Moteur de filtrage de base avec le Pare-feu Windows, restent groupés.

« svchost processeur élevé » n’a donc pas de réponse unique : la partie occupée, c’est un service. Trois façons de le nommer :

1. Dans la vue Processus du Gestionnaire des tâches, développez la ligne Hôte de service chargée. Les services qu’elle contient sont listés en dessous.
2. Faites un clic droit sur la ligne et choisissez Accéder aux détails pour obtenir son PID, puis ouvrez la page Services (un onglet sous Windows 10), qui liste chaque service avec le PID qui l’exécute.
3. Depuis l’Invite de commandes, utilisez tasklist, où /svc liste les services de chaque processus :

tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"

Remplacez 1234 par le PID vu dans le Gestionnaire des tâches. Occupez-vous ensuite du service, pas de l’hôte : Windows Update qui termine une installation ou wsappx qui déploie une application du Store ont chacun leur propre solution. Terminer un Hôte de service arrête d’un coup tous les services qu’il contient et n’arrête pas ce qui a demandé au service de travailler.

Runtime Broker, Explorateur Windows et Gestionnaire de fenêtres du Bureau

Runtime Broker (RuntimeBroker.exe) tourne dans votre session et, selon l’article de Microsoft sur Runtime Broker, gère sur votre PC les autorisations des applications du Microsoft Store. Il utilise normalement quelques mégaoctets. Le seuil de Microsoft lui-même : s’il utilise plus de 15 % de la mémoire, une application se comporte probablement mal, et terminer la tâche Runtime Broker puis redémarrer le PC est la solution proposée.

Explorateur Windows (explorer.exe, directement dans C:\Windows) ne se limite pas aux fenêtres de l’Explorateur de fichiers ; il dessine aussi la barre des tâches, le menu Démarrer et le Bureau. S’il se fige ou si l’écran devient noir, le guide de Microsoft sur les écrans noirs dit d’ouvrir le Gestionnaire des tâches avec Ctrl + Shift + Esc, de faire un clic droit sur Explorateur Windows et de choisir Redémarrer, ou, s’il n’apparaît pas, d’utiliser Fichier › Exécuter une nouvelle tâche et de taper explorer.exe.

Gestionnaire de fenêtres du Bureau (dwm.exe) assemble toutes les fenêtres dans l’image affichée à l’écran. La présentation de DWM par Microsoft décrit comment les fenêtres dessinent sur des surfaces hors écran que DWM rend ensuite à l’affichage. Son travail suit ce qui est à l’écran. Ne le terminez pas ; voir Desktop Window Manager et GPU élevé pour savoir quoi vérifier.

csrss, wininit, winlogon et taskhostw

Processus d’exécution client-serveur (csrss.exe) est, selon les termes de Microsoft dans ses notes de débogage, le processus en mode utilisateur qui contrôle la couche sous-jacente de l’environnement Windows, et depuis Windows 10 c’est un processus protégé. Il y en a un par session, donc en voir deux ou plus est normal. Il devrait rester proche de zéro en processeur ; il n’y a rien à régler et aucune raison de le terminer.

wininit.exe (description de fichier « Application de démarrage de Windows ») et winlogon.exe (« Application d’ouverture de session Windows ») gèrent le démarrage et la connexion. La page de Microsoft sur Winlogon indique que Winlogon crée les bureaux de la station de fenêtres et implémente les opérations de délai d’expiration, et qu’il enregistre la séquence d’attention sécurisée, le Ctrl + Alt + Delete que vous tapez pour atteindre l’écran de sécurité. Les deux devraient être inactifs presque tout le temps. Laissez-les tranquilles.

Processus hôte pour les tâches Windows (taskhostw.exe) exécute des tâches pour Windows, et Microsoft ne publie pas de page dédiée à ce processus. S’il reste occupé, le Planificateur de tâches (Bibliothèque du Planificateur de tâches › Microsoft › Windows) montre quelles tâches tournent ; laissez-les finir plutôt que de terminer l’hôte. Un taskhostw.exe situé hors de C:\Windows\System32 est une autre histoire, traitée plus bas.

Occupés pour une bonne raison : Defender, mises à jour, recherche et applications du Store

Ces quatre-là font en général un vrai travail qui se termine tout seul, et chacun a son guide complet :

• Antimalware Service Executable (MsMpEng.exe, sous C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\), c’est Microsoft Defender en train d’analyser. Voir Antimalware Service Executable et processeur élevé.
• Windows Modules Installer Worker (TiWorker.exe, dans un dossier de la pile de maintenance sous C:\Windows\WinSxS) fait le travail de mise à jour pour le service Programme d’installation pour les modules Windows (C:\Windows\servicing\TrustedInstaller.exe). Voir Windows Modules Installer Worker et processeur élevé.
• Microsoft Windows Search Indexer (C:\Windows\System32\SearchIndexer.exe) construit l’index de recherche. Voir Windows Search Indexer et processeur élevé.
• wsappx est un Hôte de service pour le déploiement et les licences des applications du Store. Voir wsappx et processeur élevé.

Repérer un faux processus système

Les logiciels malveillants empruntent parfois un nom système. Le nom ne prouve rien ; l’emplacement et la signature, si.

1. Dans le Gestionnaire des tâches, faites un clic droit sur le processus et choisissez Ouvrir l’emplacement du fichier. Un svchost.exe, csrss.exe, RuntimeBroker.exe ou taskhostw.exe qui tourne depuis un dossier utilisateur, AppData, ProgramData ou Temp n’est pas le fichier de Windows. Méfiez-vous aussi des orthographes presque identiques, comme scvhost.exe.
2. Clic droit sur le fichier › Propriétés › Détails. Un vrai fichier affiche Microsoft Corporation et la description du tableau ci-dessus.
3. Vérifiez la signature. La plupart des fichiers Windows sont signés via un catalogue Windows plutôt que dans le fichier lui-même, si bien que leurs Propriétés n’ont pas d’onglet Signatures numériques ; l’absence de cet onglet n’est pas un signal d’alarme. Get-AuthenticodeSignature lit aussi les signatures de catalogue. Pointez-le sur le chemin trouvé :

Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate

Un vrai fichier renvoie Valid, en général Catalog, avec un certificat Microsoft Windows. Pour vérifier un dossier entier, Sigcheck de Microsoft liste les fichiers non signés avec sigcheck -u -e c:\windows\system32, et Microsoft recommande d’examiner tout fichier qui n’est pas signé.

Si quelque chose paraît anormal, lancez une analyse. Le guide Sécurité Windows de Microsoft place Options d’analyse sous Protection contre les virus et menaces ; Microsoft Defender Antivirus (analyse hors ligne) redémarre le PC et analyse avant le chargement de Windows, ce qui complique la tâche des logiciels malveillants persistants, et les résultats apparaissent dans Historique de protection. Ne supprimez pas à la main le fichier suspect pendant qu’il tourne, et ne supprimez jamais un fichier de C:\Windows\System32 parce que son nom vous a paru bizarre.

La place de Mole

La page État de Mole liste les processus regroupés par l’application à laquelle ils appartiennent, avec le processeur et la mémoire additionnés pour chaque groupe, si bien que les processus auxiliaires répétés tiennent sur une seule ligne. Choisir Pourquoi tourne-t-il ? dans le menu d’une ligne affiche le chemin de son exécutable et, pour les lignes Hôte de service, les services Windows qu’elle héberge, du plus occupé au moins occupé ; Afficher dans l’Explorateur de fichiers ouvre le dossier du fichier pour la vérification d’emplacement décrite plus haut. Mole ne propose ni Terminer ni Forcer à quitter pour les services Windows, pour tout ce qui tourne depuis le dossier Windows ni pour le processus System lui-même, et marque ces lignes comme Système à la place. Comme le dit la page d’aide, gardez les processus système et les processus partagés avec d’autres applications.

Mole ne modifie ni les pilotes, ni les services, ni les réglages de Defender, et ne détecte pas les logiciels malveillants. Pour un processeur élevé causé par des applications ordinaires, voir Utilisation élevée du processeur sous Windows.

FAQ

Pourquoi svchost.exe utilise-t-il autant de processeur ?

Hôte de service ne fait que contenir des services ; l’un d’eux est occupé. Développez la ligne dans le Gestionnaire des tâches ou lancez tasklist /svc pour nommer le service, puis occupez-vous de ce service, par exemple Windows Update ou l’installation d’une application du Store.

Qu’est-ce qu’Interruptions système et peut-on le désactiver ?

C’est le temps que Windows passe à traiter les interruptions matérielles et le travail différé qui en découle, pas un programme, donc il n’y a rien à désactiver. Une utilisation élevée et constante désigne un pilote ou un périphérique ; mettez à jour ou restaurez les pilotes, ou enregistrez une trace pour voir quel module de pilote est occupé.

Qu’est-ce que Runtime Broker et peut-on le terminer sans risque ?

Il gère les autorisations des applications du Microsoft Store. Microsoft indique que s’il utilise plus de 15 % de la mémoire, vous pouvez terminer la tâche dans le Gestionnaire des tâches et redémarrer le PC.

Comment savoir si un processus Windows est un virus ?

Vérifiez où se trouve le fichier et qui l’a signé : les vrais processus centraux tournent depuis C:\Windows ou C:\Windows\System32 et portent une signature Microsoft valide, souvent une signature de catalogue. Si l’emplacement ou la signature ne colle pas, lancez une analyse hors ligne Microsoft Defender.