# Antimalware Service Executable com CPU alta: o que o Defender está fazendo O Antimalware Service Executable é o Microsoft Defender Antivírus, o antivírus que vem com o Windows, e o arquivo do processo é `MsMpEng.exe`. Quando ele usa muita CPU, em geral está varrendo: uma verificação agendada, uma verificação depois que chegou uma nova inteligência de segurança, ou a verificação em tempo real de arquivos que outro programa está abrindo agora. Descubra qual desses casos é o seu antes de mudar qualquer coisa, porque cada um tem uma correção diferente, e nenhum exige desligar o Defender para sempre. ## O que o processo está fazendo O [artigo de solução de problemas de desempenho do Defender](https://learn.microsoft.com/en-us/defender-endpoint/troubleshoot-performance-issues) da Microsoft nomeia o processo diretamente: Anti-malware Service Executable, `MsMpEng.exe`, Microsoft Defender Antivírus. O trabalho dele se divide em três grupos. | Origem do trabalho | Quando acontece | Como aparece | | --- | --- | --- | | Proteção em tempo real | Sempre que arquivos são abertos, fechados ou iniciados | A CPU acompanha outra tarefa: uma compilação, um instalador, descompactar um arquivo, copiar muitos arquivos pequenos | | Verificação agendada | Num horário, por padrão só quando o PC está ocioso | Começa quando você se afasta e pode continuar quando você volta | | Verificação depois de uma atualização de inteligência de segurança | Depois que novas assinaturas são instaladas | Parece uma verificação fora do horário | A proteção em tempo real é a parte que a maioria das pessoas encontra. O mesmo artigo lista o que a deixa cara: arquivos `.exe` e `.dll` sem assinatura que são iniciados, formatos complexos como HTA e CHM usados como armazenamento de dados, scripts ofuscados e arquivos grandes como `.iso` ou `.vhdx` numa pasta de perfil que sincroniza com um local de rede ou com o OneDrive. Uma compilação de projeto que grava milhares de arquivos pequenos é a versão cotidiana disso: cada arquivo que o compilador grava é um arquivo que o Defender examina.
Três tipos de verificação do Defender
A verificação em tempo real acompanha outro trabalho, as verificações agendadas seguem o relógio, e uma atualização pode iniciar uma verificação própria. Cada uma tem um remédio diferente.
## Confira primeiro, sem mudar as configurações Pressione `Ctrl + Shift + Esc` para abrir o Gerenciador de Tarefas, ordene por CPU e anote o que mais está ocupado no mesmo momento. Se o Antimalware Service Executable sobe e desce junto com uma compilação, um instalador ou uma cópia grande, é a verificação em tempo real desse trabalho. Se ele está ocupado enquanto nada mais está, uma verificação é a causa mais provável. Espere alguns minutos e olhe de novo: uma verificação que termina é comportamento normal, não uma falha. Depois abra a Segurança do Windows pelo menu Iniciar e vá em Proteção contra vírus e ameaças. O [guia da Segurança do Windows](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) da Microsoft descreve ali as Opções de verificação (Verificação rápida, Verificação completa, Verificação personalizada e Microsoft Defender Antivírus (verificação offline)) e o Histórico de proteção. O Histórico de proteção importa aqui: se o Defender encontrou algo e está tratando, o uso de CPU tem um motivo, e o item listado ali é o que precisa de ação. Se você precisa saber exatamente quais arquivos custam mais, o Defender tem um analisador de desempenho. O [guia do analisador](https://learn.microsoft.com/en-us/defender-endpoint/tune-performance-defender-antivirus) da Microsoft grava os eventos de verificação do Defender enquanto você reproduz a tarefa lenta e depois informa os principais arquivos, caminhos, extensões e processos pelo tempo de verificação. Execute o PowerShell como administrador, comece a gravação, repita o trabalho lento e pressione Enter para parar: ```powershell New-MpPerformanceRecording -RecordTo C:\Temp\defender.etl Get-MpPerformanceReport -Path C:\Temp\defender.etl -TopFiles 10 -TopProcesses 10 ``` O caminho é um exemplo; use uma pasta que exista. O relatório lê dados e não muda nenhuma configuração. Se as primeiras entradas forem a saída da sua compilação ou um cache de pacotes, você achou o custo em tempo real; se forem um arquivo baixado ou uma ferramenta que você não reconhece, continue verificando. ## Verificações: a rápida é o padrão recomendado O [guia de verificação](https://learn.microsoft.com/en-us/defender-endpoint/schedule-antivirus-scans) da Microsoft recomenda uma verificação rápida para as verificações agendadas regulares. Uma verificação rápida confere os lugares onde o malware se registra para iniciar com o Windows, como chaves do Registro e pastas de inicialização, e junto com a proteção em tempo real essa é a cobertura que a Microsoft recomenda. Uma verificação completa lê cada unidade fixa, pode levar horas ou dias num disco grande, e a Microsoft em geral não recomenda agendá-la. Se você mesmo iniciou uma verificação completa, o uso de CPU dura até ela terminar. O mesmo guia observa que o Defender procura atualizações 15 minutos antes de uma verificação agendada, e o artigo de solução de problemas explica que uma verificação depois de uma atualização de inteligência de segurança roda por padrão. Por isso uma verificação pode aparecer num horário que você nunca escolheu. Para tirar a verificação agendada do seu horário de trabalho, as [instruções do Agendador de Tarefas](https://support.microsoft.com/windows/schedule-a-scan-in-microsoft-defender-antivirus-54b64e9c-880a-c6b6-2416-0eb330ed5d2d) da Microsoft abrem Biblioteca do Agendador de Tarefas › Microsoft › Windows › Windows Defender, depois Windows Defender Scheduled Scan, e adicionam um gatilho na guia Gatilhos. Escolha um horário em que o PC esteja ligado, mas você não esteja usando, como o intervalo do almoço. Mover o horário mantém a verificação; só muda quando você paga por ela. ## Pastas de compilação: Dev Drive antes de exclusões Se o custo vem do trabalho de desenvolvimento, a resposta da Microsoft no Windows 11 é um [Dev Drive](https://learn.microsoft.com/en-us/windows/dev-drive/). É um volume ReFS separado, de pelo menos 50 GB, feito para repositórios de código, caches de pacotes e saída de compilação. Um Dev Drive confiável executa o Defender no modo de desempenho, que a Microsoft descreve como uma alternativa segura às exclusões de pasta: os arquivos continuam sendo verificados, com menos efeito na compilação. Você pode conferir o estado num prompt de administrador: ```powershell fsutil devdrv query D: ``` Substitua `D:` pela letra do seu Dev Drive. A unidade C: não pode ser um Dev Drive, um volume existente não pode ser convertido sem formatá-lo, e a Microsoft recomenda manter ferramentas de desenvolvedor como o Visual Studio e os SDKs em C:. Mover caches é uma mudança maior do que adicionar uma configuração; a página do Dev Drive lista as variáveis de ambiente do npm, NuGet, pip, Cargo, Maven e Gradle. Para saber quais dessas pastas podem ser esvaziadas em vez disso, veja [Caches de desenvolvedor no Windows: o que npm, pip e Gradle guardam](/pt-br/windows/blog/windows-developer-caches). ## Exclusões: só para pastas em que você confia, e saiba o que abre mão Uma exclusão impede o Defender de verificar aquele arquivo, pasta, tipo de arquivo ou processo. Na Segurança do Windows, os [passos de exclusão](https://support.microsoft.com/en-us/windows/add-an-exclusion-to-windows-security-811816c0-4dfd-af4a-47e4-c301afe13b26) da Microsoft passam por Proteção contra vírus e ameaças › Gerenciar configurações › Adicionar ou remover exclusões, e a mesma página avisa que itens excluídos podem deixar o dispositivo e os dados vulneráveis. A [referência de exclusões](https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-antivirus-exclusions-configure) da Microsoft também diz que em geral você não precisa de exclusão nenhuma. Se ainda assim adicionar uma, mantenha-a estreita: - Uma pasta em que só as suas ferramentas confiáveis gravam, como a saída de compilação de um projeto, não a unidade inteira nem o perfil inteiro do usuário. - Nunca Downloads, Área de Trabalho, a pasta de download de um navegador, ou uma pasta que recebe arquivos de e-mail, chat ou da internet. É por aí que o malware chega. - Uma exclusão de processo cobre todo arquivo que esse processo abre, então excluir um compilador ou um gerenciador de pacotes também para a verificação do que ele baixa. Cada exclusão é uma troca: menos CPU para aquela pasta, nenhuma verificação do que cair nela. Se a pasta passar a guardar arquivos baixados, remova a exclusão. ## O que não fazer Não desligue o Defender de forma permanente pelo Registro, pela Política de Grupo, por um script de "debloat" ou por uma ferramenta de ajuste de terceiros. Desligar a proteção em tempo real na Segurança do Windows é temporário de propósito: a [Microsoft diz](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) que ela volta sozinha depois de pouco tempo, e enquanto está desligada os arquivos que você abre ou baixa não são verificados. O artigo de solução de problemas só sugere desligá-la por um momento, pelo modo de solução de problemas, para descartá-la como causa. Não encerre o MsMpEng.exe no Gerenciador de Tarefas nem apague arquivos das pastas do Defender. Não exclua `C:\` nem uma pasta inteira de usuário para fazer um número cair. E, se você também usa outro produto de segurança, o artigo da Microsoft recomenda adicionar os processos de cada produto às exclusões do outro; dois verificadores inspecionando os mesmos arquivos são uma fonte conhecida de CPU alta. ## Confira se a mudança funcionou Depois de mover o agendamento, mover um cache para um Dev Drive ou adicionar uma exclusão estreita, repita o mesmo trabalho, como a mesma compilação, e compare. Você pode gravar o analisador de novo e confirmar que a pasta agora mostra um motivo de ignorar, ou que o tempo de verificação caiu. Na Segurança do Windows, Proteção contra vírus e ameaças ainda deve mostrar a proteção como ativada. O Mole não muda configurações nem exclusões do Defender. O relatório do Diagnóstico, aberto em Executar diagnóstico depois que você clica no símbolo do Mole no canto superior esquerdo da janela, mostra se a proteção em tempo real do Defender está ativada e sinaliza inteligência de segurança que não atualiza há uma semana, o que vale conferir depois que outra pessoa mudou as configurações de segurança do PC. Para uso de CPU que não é o Defender, veja [Uso alto de CPU no Windows: ache o programa que está trabalhando](/pt-br/windows/blog/windows-high-cpu-usage); para um disco preso em 100%, veja [Disco do Windows em 100%: rastreie o processo, os arquivos e a latência](/pt-br/windows/blog/windows-disk-100-percent). ## Perguntas frequentes ### O Antimalware Service Executable é um vírus? O processo genuíno é o Microsoft Defender Antivírus, `MsMpEng.exe`, parte do Windows. CPU alta vinda dele em geral é uma verificação. Se o Histórico de proteção listar uma detecção, aja sobre esse item. ### Por que o Antimalware Service Executable usa muita CPU quando eu não estou fazendo nada? Verificações agendadas rodam quando o PC está ocioso, e o Defender também verifica depois de uma atualização de inteligência de segurança, por padrão. Uma verificação rápida em geral termina sozinha; uma completa pode levar horas. ### Posso desativar o Antimalware Service Executable? Não com segurança. Desligar a proteção em tempo real é temporário e o Windows a religa. Desativar de forma permanente por política ou scripts deixa os arquivos sem verificação. Reagende as verificações ou use um Dev Drive. ### Devo adicionar uma exclusão para corrigir a CPU alta do Microsoft Defender? Só para uma pasta estreita em que apenas ferramentas confiáveis gravam, como a saída de compilação. A Microsoft avisa que exclusões reduzem a proteção; nunca exclua Downloads, a Área de Trabalho ou uma unidade inteira. Canonical: https://mole.fit/pt-br/windows/blog/antimalware-service-executable-high-cpu