Processi di Windows spiegati: svchost, Runtime Broker e altri

La maggior parte dei processi Windows che in Gestione attività sembrano allarmanti sono parti normali di Windows: System, Interrupt di sistema, Host di servizio, Runtime Broker, Processo runtime client-server e gli altri hanno ciascuno un compito, e una CPU alta su uno di loro di solito indica un lavoro che avviene sotto, come un driver, un servizio o un aggiornamento. Scopri qual è quel lavoro prima di terminare qualcosa, perché diversi di questi processi non si possono terminare in sicurezza e gli altri tornano da soli.

Qui sotto trovi cos’è ogni nome comune, dove si trova il file autentico, perché si impegna e come verificarlo. Percorsi e descrizioni dei file vengono da un’installazione aggiornata di Windows 11; sul tuo PC, fai clic con il pulsante destro su una riga di Gestione attività e scegli Apri percorso file per confrontare.

In sintesi

System, Interrupt di sistema e Compressione memoria

System è il kernel di Windows. Ha sempre l’ID processo 4, e il suo file, ntoskrnl.exe, si descrive in Proprietà › Dettagli come «NT Kernel & System». Una CPU alta qui ti dice che il lavoro a livello di kernel è intenso, non quale parte, e driver e aggiornamenti in sospeso sono i primi posti da guardare. La guida di Microsoft sui driver dice che il modo migliore per ottenere aggiornamenti dei driver è Windows Update, e se un driver recente ha peggiorato le cose, Gestione dispositivi › Proprietà del dispositivo › Driver › Ripristina driver lo annulla (servono diritti di amministratore).

Interrupt di sistema non è un programma e non ha un file. È il tempo che i processori passano a rispondere all’hardware. La guida di Microsoft all’analisi della CPU spiega il meccanismo: un dispositivo come una scheda di rete genera un interrupt, Windows esegue una routine di servizio dell’interrupt (ISR), che di solito pianifica una chiamata di procedura differita (DPC) per il resto del lavoro, e mentre un processore esegue DPC e ISR nessun thread può girare su di esso. Per questo un tempo di interrupt elevato può farsi sentire come crepitii audio o scatti. Un po’ di tempo di interrupt c’è sempre mentre l’hardware lavora; un valore alto e costante su un PC inattivo indica un driver o un dispositivo.

Per capire quale, registra una traccia da un Prompt dei comandi come amministratore. Il riferimento dei comandi WPR documenta -start e -stop, e il profilo integrato GeneralProfile include gli eventi DPC e di interrupt:

wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl

Esegui la prima riga, aspetta mentre Interrupt di sistema è alto, poi esegui la seconda; la cartella deve esistere. Apri il file in Windows Performance Analyzer e guarda il grafico DPC/ISR, la cui colonna Module indica il file del driver che contiene la routine impegnata. Un test più semplice, senza strumenti: scollega dispositivi USB e dock uno alla volta e osserva il valore.

Compressione memoria tiene in RAM, in forma compressa, le pagine di memoria usate di rado invece di scriverle nel file di paging. Quando Microsoft ha presentato l’archivio di compressione in Windows 10, ha spiegato che l’archivio cresce proprio quando si libera memoria per altri programmi, ed è per questo che può sembrare grande. Un valore alto segue la pressione sulla memoria creata da altri programmi, non la causa. Vedi uso elevato della memoria su Windows per trovare cosa la sta usando davvero.

Host di servizio (svchost.exe): trova il servizio dentro

L’articolo di Microsoft sull’host di servizio descrive svchost.exe come un processo di servizi condivisi che carica servizi da file DLL. Da Windows 10 versione 1703, i PC con più di 3,5 GB di RAM eseguono la maggior parte dei servizi in un proprio processo Host di servizio, ed è per questo che Gestione attività ne mostra decine e che ogni riga ora porta il nome del servizio che contiene, come «Host di servizio: Windows Update». Alcuni servizi, come Base Filtering Engine con Windows Firewall, restano raggruppati.

«svchost CPU alta» quindi non ha un’unica risposta: la parte impegnata è un servizio. Tre modi per individuarlo:

1. Nella vista Processi di Gestione attività, espandi la riga Host di servizio impegnata. I servizi che contiene sono elencati sotto.
2. Fai clic con il pulsante destro sulla riga e scegli Vai ai dettagli per ottenere il PID, poi apri la pagina Servizi (una scheda in Windows 10), che elenca ogni servizio con il PID che lo esegue.
3. Dal Prompt dei comandi, usa tasklist, dove /svc elenca i servizi di ogni processo:

tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"

Sostituisci 1234 con il PID preso da Gestione attività. Poi occupati del servizio, non dell’host: Windows Update che finisce un’installazione o wsappx che distribuisce un’app dello Store hanno ciascuno la propria soluzione. Terminare un Host di servizio ferma in un colpo solo tutti i servizi al suo interno e non ferma ciò che ha chiesto al servizio di lavorare.

Runtime Broker, Esplora risorse e Gestione finestre desktop

Runtime Broker (RuntimeBroker.exe) gira nella tua sessione e, secondo l’articolo di Microsoft su Runtime Broker, gestisce sul PC le autorizzazioni delle app di Microsoft Store. Di norma usa pochi megabyte. La soglia indicata da Microsoft stessa: se usa più del 15% della memoria, probabilmente un’app si comporta male, e la soluzione suggerita è terminare l’attività Runtime Broker e riavviare il PC.

Esplora risorse (explorer.exe, direttamente in C:\Windows) non sono solo le finestre di Esplora file; disegna anche la barra delle applicazioni, Start e il desktop. Se si blocca o lo schermo diventa vuoto, la guida di Microsoft sugli schermi vuoti dice di aprire Gestione attività con Ctrl + Shift + Esc, fare clic con il pulsante destro su Esplora risorse e scegliere Riavvia, oppure, se non c’è, usare File › Esegui nuova attività e digitare explorer.exe.

Gestione finestre desktop (dwm.exe) compone tutte le finestre nell’immagine che vedi sullo schermo. La panoramica di DWM di Microsoft descrive come le finestre disegnano su superfici fuori schermo che DWM poi rende sul display. Il suo lavoro segue ciò che è sullo schermo. Non terminarlo; vedi Desktop Window Manager con GPU alta per cosa controllare.

csrss, wininit, winlogon e taskhostw

Processo runtime client-server (csrss.exe) è, nelle parole di Microsoft nelle sue note di debug, il processo in modalità utente che controlla il livello sottostante dell’ambiente Windows, e da Windows 10 è un processo protetto. Ce n’è uno per sessione, quindi due o più sono normali. Dovrebbe restare vicino allo zero di CPU; non c’è niente da regolare e nessun motivo per terminarlo.

wininit.exe (descrizione file «Applicazione di avvio di Windows») e winlogon.exe («Applicazione di accesso Windows») gestiscono avvio e accesso. La pagina di Microsoft su Winlogon dice che Winlogon crea i desktop della window station e implementa le operazioni di timeout, e registra la sequenza di attenzione sicura, il Ctrl + Alt + Delete che premi per arrivare alla schermata di sicurezza. Entrambi dovrebbero restare inattivi quasi sempre. Lasciali stare.

Processo host per le attività di Windows (taskhostw.exe) esegue attività per Windows, e Microsoft non pubblica una pagina dedicata. Se resta impegnato, Utilità di pianificazione (Libreria Utilità di pianificazione › Microsoft › Windows) mostra quali attività sono in esecuzione; lasciale finire invece di terminare l’host. Un taskhostw.exe fuori da C:\Windows\System32 è un’altra faccenda, trattata più sotto.

Impegnati per un motivo: Defender, aggiornamenti, ricerca e app dello Store

Questi quattro di solito stanno facendo un lavoro vero che finisce da solo, e ognuno ha una guida completa:

• Antimalware Service Executable (MsMpEng.exe, in C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\) è Microsoft Defender che analizza. Vedi Antimalware Service Executable con CPU alta.
• Windows Modules Installer Worker (TiWorker.exe, in una cartella dello stack di manutenzione sotto C:\Windows\WinSxS) svolge il lavoro di aggiornamento per il servizio Programma di installazione moduli di Windows (C:\Windows\servicing\TrustedInstaller.exe). Vedi Windows Modules Installer Worker con CPU alta.
• Microsoft Windows Search Indexer (C:\Windows\System32\SearchIndexer.exe) costruisce l’indice di ricerca. Vedi Windows Search Indexer con CPU alta.
• wsappx è un Host di servizio per la distribuzione e le licenze delle app dello Store. Vedi wsappx con CPU alta.

Riconoscere un falso processo di sistema

Il malware a volte prende in prestito un nome di sistema. Il nome non prova niente; percorso e firma sì.

1. In Gestione attività, fai clic con il pulsante destro sul processo e scegli Apri percorso file. Un svchost.exe, csrss.exe, RuntimeBroker.exe o taskhostw.exe che gira da una cartella utente, da AppData, ProgramData o Temp non è il file di Windows. Attenzione anche ai nomi quasi uguali, come scvhost.exe.
2. Clic destro sul file › Proprietà › Dettagli. Un file autentico mostra Microsoft Corporation e la descrizione della tabella qui sopra.
3. Controlla la firma. La maggior parte dei file di Windows è firmata tramite un catalogo Windows anziché all’interno del file, quindi le loro Proprietà non hanno la scheda Firme digitali; la scheda mancante non è un campanello d’allarme. Get-AuthenticodeSignature legge anche le firme di catalogo. Puntalo sul percorso che hai trovato:

Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate

Un file autentico restituisce Valid, di solito Catalog, con un certificato Microsoft Windows. Per controllare un’intera cartella, Sigcheck di Microsoft elenca i file non firmati con sigcheck -u -e c:\windows\system32, e Microsoft dice di indagare su qualsiasi file non firmato.

Se qualcosa non torna, esegui un’analisi. La guida di Microsoft a Sicurezza di Windows colloca Opzioni di analisi sotto Protezione da virus e minacce; Microsoft Defender Antivirus (analisi offline) riavvia il PC e analizza prima che Windows si carichi, così il malware persistente ha più difficoltà a nascondersi, e i risultati compaiono in Cronologia protezione. Non eliminare a mano il file sospetto mentre è in esecuzione, e non eliminare mai un file da C:\Windows\System32 solo perché il nome ti sembrava strano.

Dove si inserisce Mole

La pagina Stato di Mole elenca i processi raggruppati per l’app a cui appartengono, con CPU e memoria sommate per ogni gruppo, così i processi di supporto ripetuti si riducono a una riga. Scegliere Perché è in esecuzione? dal menu di una riga mostra il percorso dell’eseguibile e, per le righe Host di servizio, i servizi Windows che ospita, dal più impegnato; Mostra in Esplora file apre la cartella del file per il controllo del percorso descritto sopra. Mole non offre Termina né Uscita forzata per i servizi Windows, per tutto ciò che gira dalla cartella Windows o per il processo System stesso, e marca invece quelle righe come Sistema. Come dice la pagina di aiuto, lascia stare i processi di sistema e i processi condivisi con altre app.

Mole non modifica driver, servizi o impostazioni di Defender, e non rileva malware. Per una CPU alta causata da app normali, vedi Uso elevato della CPU su Windows.

Domande frequenti

Perché svchost.exe usa così tanta CPU?

Host di servizio contiene solo servizi; uno di questi è impegnato. Espandi la riga in Gestione attività o esegui tasklist /svc per individuare il servizio, poi occupati di quel servizio, per esempio Windows Update o l’installazione di un’app dello Store.

Cos’è Interrupt di sistema e si può disattivare?

È il tempo che Windows passa a gestire gli interrupt hardware e il lavoro differito che ne deriva, non un programma, quindi non c’è niente da disattivare. Un uso alto e costante indica un driver o un dispositivo; aggiorna o ripristina i driver, oppure registra una traccia per vedere quale modulo driver è impegnato.

Cos’è Runtime Broker e si può terminare in sicurezza?

Gestisce le autorizzazioni delle app di Microsoft Store. Microsoft dice che se usa più del 15% della memoria puoi terminare l’attività in Gestione attività e riavviare il PC.

Come faccio a sapere se un processo di Windows è un virus?

Controlla dove si trova il file e chi l’ha firmato: i processi centrali autentici girano da C:\Windows o C:\Windows\System32 e hanno una firma Microsoft valida, spesso una firma di catalogo. Se il percorso o la firma non tornano, esegui un’analisi offline di Microsoft Defender.