Windows-processen uitgelegd: svchost, Runtime Broker en meer

De meeste Windows-processen die in Taakbeheer verontrustend ogen, zijn gewone onderdelen van Windows: System, Systeeminterrupts, Servicehost, Runtime Broker, Client Server Runtime-proces en de rest hebben elk een taak, en hoge CPU bij een ervan wijst meestal op werk dat eronder gebeurt, zoals een stuurprogramma, een service of een update. Zoek uit wat dat werk is voordat je iets beëindigt, want een aantal van deze processen kun je niet veilig beëindigen en de rest komt vanzelf terug.

Hieronder staat wat elke bekende naam is, waar het echte bestand staat, waarom het druk wordt en hoe je het controleert. De locaties en bestandsbeschrijvingen komen van een actuele Windows 11-installatie; klik op je eigen pc met de rechtermuisknop op een rij in Taakbeheer en kies Bestandslocatie openen om te vergelijken.

In één oogopslag

System, Systeeminterrupts en Geheugencompressie

System is de Windows-kernel. Het heeft altijd proces-id 4, en het bestand, ntoskrnl.exe, beschrijft zichzelf onder Eigenschappen › Details als "NT Kernel & System". Hoge CPU hier vertelt je dat werk op kernelniveau druk is, niet welk deel, en stuurprogramma's en wachtende updates zijn de plekken om te beginnen. De handleiding van Microsoft voor stuurprogramma's zegt dat Windows Update de beste manier is om stuurprogramma-updates te krijgen, en als een recent stuurprogramma het erger maakte, draait Apparaatbeheer › Eigenschappen van het apparaat › Stuurprogramma › Vorig stuurprogramma dat terug (beheerdersrechten nodig).

Systeeminterrupts is geen programma en heeft geen bestand. Het is de tijd die processors besteden aan het reageren op hardware. De CPU-analysehandleiding van Microsoft legt het mechanisme uit: een apparaat zoals een netwerkkaart geeft een interrupt, Windows voert een interrupt service routine (ISR) uit, die meestal een deferred procedure call (DPC) inplant voor de rest van het werk, en zolang een processor DPC's en ISR's uitvoert, kan er geen thread op draaien. Daarom kan veel interrupttijd zich uiten als krakend geluid of haperingen. Een beetje interrupttijd is er altijd zolang hardware in gebruik is; een constant hoog getal op een inactieve pc wijst op een stuurprogramma of een apparaat.

Om te achterhalen welk, neem je een trace op vanaf een opdrachtprompt als administrator. De WPR-opdrachtreferentie documenteert -start en -stop, en het ingebouwde GeneralProfile bevat DPC- en interrupt-gebeurtenissen:

wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl

Voer de eerste regel uit, wacht terwijl Systeeminterrupts hoog staat en voer dan de tweede uit; de map moet bestaan. Open het bestand in Windows Performance Analyzer en kijk naar de DPC/ISR-grafiek, waarvan de kolom Module het stuurprogrammabestand noemt met de drukke routine. Een simpelere test zonder tools: koppel USB-apparaten en docks een voor een los en houd het getal in de gaten.

Geheugencompressie houdt zelden gebruikte geheugenpagina's gecomprimeerd in het RAM in plaats van ze naar het wisselbestand te schrijven. Toen Microsoft de compressieopslag introduceerde in Windows 10, legde het uit dat de opslag juist groeit wanneer er geheugen wordt vrijgemaakt voor andere programma's, en daarom kan hij groot lijken. Een hoog getal volgt op geheugendruk van andere programma's in plaats van die te veroorzaken. Zie hoog geheugengebruik in Windows om te vinden wat het geheugen echt gebruikt.

Servicehost (svchost.exe): zoek de service erin

Het artikel van Microsoft over servicehost beschrijft svchost.exe als een proces voor gedeelde services dat services laadt uit DLL-bestanden. Sinds Windows 10 versie 1703 draaien pc's met meer dan 3,5 GB RAM de meeste services in een eigen Servicehost-proces, en daarom toont Taakbeheer er tientallen en draagt elke rij nu de naam van de service die erin zit, zoals "Servicehost: Windows Update". Sommige services, zoals Base Filtering Engine met Windows Firewall, blijven gegroepeerd.

"svchost hoge CPU" heeft dus geen eenduidig antwoord: het drukke deel is een service. Drie manieren om die te benoemen:

1. Klap in de weergave Processen van Taakbeheer de drukke Servicehost-rij uit. De services erin staan eronder.
2. Klik met de rechtermuisknop op de rij en kies Naar details gaan om de PID te krijgen, en open dan de pagina Services (een tabblad in Windows 10), die elke service toont met de PID die hem uitvoert.
3. Gebruik vanaf de opdrachtprompt tasklist, waarbij /svc de services in elk proces toont:

tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"

Vervang 1234 door de PID uit Taakbeheer. Pak daarna de service aan, niet de host: Windows Update dat een installatie afrondt of wsappx dat een Store-app implementeert, heeft elk een eigen oplossing. Een Servicehost beëindigen stopt alle services erin tegelijk en stopt niet wat de service aan het werk zette.

Runtime Broker, Windows Verkenner en Bureaubladvensterbeheer

Runtime Broker (RuntimeBroker.exe) draait in je sessie en beheert volgens het artikel van Microsoft over Runtime Broker op je pc de machtigingen voor apps uit de Microsoft Store. Normaal gebruikt het een paar megabyte. De eigen drempel van Microsoft: gebruikt het meer dan 15% van het geheugen, dan gedraagt een app zich waarschijnlijk slecht, en de voorgestelde oplossing is de taak Runtime Broker beëindigen en de pc opnieuw opstarten.

Windows Verkenner (explorer.exe, direct in C:\Windows) is niet alleen de vensters van Verkenner; het tekent ook de taakbalk, Start en het bureaublad. Als het vastloopt of het scherm leeg wordt, zegt de handleiding van Microsoft voor lege schermen om Taakbeheer te openen met Ctrl + Shift + Esc, met de rechtermuisknop op Windows Verkenner te klikken en Opnieuw opstarten te kiezen, of, als het ontbreekt, Bestand › Nieuwe taak uitvoeren te gebruiken en explorer.exe te typen.

Bureaubladvensterbeheer (dwm.exe) voegt alle vensters samen tot het beeld op je scherm. Het DWM-overzicht van Microsoft beschrijft hoe vensters tekenen op oppervlakken buiten het scherm die DWM vervolgens op het beeldscherm weergeeft. Het werk volgt wat er op het scherm staat. Beëindig het niet; zie Desktop Window Manager met hoge GPU voor wat je kunt controleren.

csrss, wininit, winlogon en taskhostw

Client Server Runtime-proces (csrss.exe) is, in de woorden van Microsoft in zijn debugnotities, het proces in gebruikersmodus dat de onderliggende laag van de Windows-omgeving aanstuurt, en sinds Windows 10 is het een beveiligd proces. Er is er één per sessie, dus twee of meer is normaal. Het hoort rond nul CPU te zitten; er valt niets af te stellen en er is geen reden om het te beëindigen.

wininit.exe (bestandsbeschrijving "Windows-opstarttoepassing") en winlogon.exe ("Windows-aanmeldingstoepassing") regelen opstarten en aanmelden. De Winlogon-pagina van Microsoft zegt dat Winlogon de bureaubladen voor het window station aanmaakt en time-outbewerkingen uitvoert, en dat het de secure attention sequence registreert, de Ctrl + Alt + Delete die je indrukt om bij het beveiligingsscherm te komen. Beide horen bijna altijd inactief te zijn. Laat ze met rust.

Hostproces voor Windows-taken (taskhostw.exe) voert taken uit voor Windows, en Microsoft publiceert er geen eigen pagina over. Blijft het druk, dan toont Taakplanner (Taakplanner-bibliotheek › Microsoft › Windows) welke taken draaien; laat ze afronden in plaats van de host te beëindigen. Een taskhostw.exe buiten C:\Windows\System32 is een ander verhaal, dat hieronder aan bod komt.

Druk met een reden: Defender, updates, zoeken en Store-apps

Deze vier doen meestal echt werk dat vanzelf ophoudt, en elk heeft een volledige handleiding:

• Antimalware Service Executable (MsMpEng.exe, onder C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\) is Microsoft Defender die scant. Zie Antimalware Service Executable met hoge CPU.
• Windows Modules Installer Worker (TiWorker.exe, in een map van de onderhoudsstack onder C:\Windows\WinSxS) doet het updatewerk voor de service Windows Modules Installer (C:\Windows\servicing\TrustedInstaller.exe). Zie Windows Modules Installer Worker met hoge CPU.
• Microsoft Windows Search Indexer (C:\Windows\System32\SearchIndexer.exe) bouwt de zoekindex op. Zie Windows Search Indexer met hoge CPU.
• wsappx is een Servicehost voor de implementatie en licenties van Store-apps. Zie wsappx met hoge CPU.

Een nep-systeemproces herkennen

Malware leent soms een systeemnaam. De naam bewijst niets; de locatie en de handtekening wel.

1. Klik in Taakbeheer met de rechtermuisknop op het proces en kies Bestandslocatie openen. Een svchost.exe, csrss.exe, RuntimeBroker.exe of taskhostw.exe die draait vanuit een gebruikersmap, AppData, ProgramData of Temp is niet het Windows-bestand. Let ook op bijna-gelijke spellingen, zoals scvhost.exe.
2. Klik met de rechtermuisknop op het bestand › Eigenschappen › Details. Een echt bestand toont Microsoft Corporation en de beschrijving uit de tabel hierboven.
3. Controleer de handtekening. De meeste Windows-bestanden zijn ondertekend via een Windows-catalogus in plaats van in het bestand zelf, dus hun Eigenschappen hebben geen tabblad Digitale handtekeningen; een ontbrekend tabblad is geen waarschuwingsteken. Get-AuthenticodeSignature leest ook catalogushandtekeningen. Richt het op het pad dat je vond:

Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate

Een echt bestand meldt Valid, meestal Catalog, met een Microsoft Windows-certificaat. Om een hele map te controleren, toont Sigcheck van Microsoft niet-ondertekende bestanden met sigcheck -u -e c:\windows\system32, en Microsoft zegt elk bestand te onderzoeken dat niet ondertekend is.

Ziet iets er verkeerd uit, scan dan. De handleiding van Microsoft voor Windows-beveiliging zet Scanopties onder Virus- en bedreigingsbeveiliging; Microsoft Defender Antivirus (offlinescan) start de pc opnieuw op en scant voordat Windows laadt, zodat hardnekkige malware zich moeilijker kan verstoppen, en de resultaten verschijnen in Beveiligingsgeschiedenis. Verwijder het verdachte bestand niet met de hand terwijl het draait, en verwijder nooit een bestand uit C:\Windows\System32 omdat de naam je vreemd leek.

Waar Mole past

De Status-pagina van Mole toont processen gegroepeerd per app waartoe ze horen, met CPU en geheugen per groep opgeteld, zodat herhaalde hulpprocessen samen één rij vormen. Kies je Waarom draait dit? in het menu van een rij, dan zie je het pad van het uitvoerbare bestand en, bij Servicehost-rijen, de Windows-services die erin draaien, de drukste eerst; Toon in Verkenner opent de map van het bestand voor de locatiecontrole hierboven. Mole biedt geen Beëindig of Forceer stop voor Windows-services, voor alles wat vanuit de Windows-map draait of voor het System-proces zelf, en markeert die rijen in plaats daarvan als Systeem. Zoals de helppagina het zegt: laat systeemprocessen en processen die met andere apps gedeeld worden staan.

Mole verandert geen stuurprogramma's, services of Defender-instellingen, en het detecteert geen malware. Voor hoge CPU door gewone apps, zie Hoog CPU-gebruik in Windows.

Veelgestelde vragen

Waarom gebruikt svchost.exe zoveel CPU?

Servicehost bevat alleen services; een daarvan is druk. Klap de rij uit in Taakbeheer of voer tasklist /svc uit om de service te benoemen, en pak dan die service aan, zoals Windows Update of de installatie van een Store-app.

Wat is Systeeminterrupts en kan ik het uitschakelen?

Het is de tijd die Windows besteedt aan het afhandelen van hardware-interrupts en het uitgestelde werk daarvan, geen programma, dus er valt niets uit te schakelen. Constant hoog gebruik wijst op een stuurprogramma of apparaat; werk stuurprogramma's bij of zet ze terug, of neem een trace op om te zien welke stuurprogrammamodule druk is.

Wat is Runtime Broker en kan ik het veilig beëindigen?

Het beheert machtigingen voor Microsoft Store-apps. Microsoft zegt dat je, als het meer dan 15% van het geheugen gebruikt, de taak in Taakbeheer kunt beëindigen en de pc opnieuw kunt opstarten.

Hoe weet ik of een Windows-proces een virus is?

Controleer waar het bestand staat en wie het heeft ondertekend: echte kernprocessen draaien vanuit C:\Windows of C:\Windows\System32 en hebben een geldige Microsoft-handtekening, vaak een catalogushandtekening. Klopt de locatie of de handtekening niet, voer dan een offlinescan van Microsoft Defender uit.