Processos do Windows explicados: svchost, Runtime Broker e mais

A maioria dos processos do Windows que parecem alarmantes no Gerenciador de Tarefas são partes normais do Windows: System, Interrupções do sistema, Host de Serviço, Runtime Broker, Processo de Tempo de Execução de Cliente-Servidor e os demais têm cada um a sua função, e CPU alta em um deles geralmente aponta para algum trabalho acontecendo por baixo, como um driver, um serviço ou uma atualização. Descubra que trabalho é esse antes de finalizar qualquer coisa, porque vários desses processos não podem ser finalizados com segurança e o resto volta sozinho.

Abaixo está o que é cada nome comum, onde fica o arquivo legítimo, por que ele fica ocupado e como verificar. Os locais e as descrições de arquivo vêm de uma instalação atual do Windows 11; no seu PC, clique com o botão direito em uma linha do Gerenciador de Tarefas e escolha Abrir local do arquivo para comparar.

Visão geral

System, Interrupções do sistema e Compactação de Memória

System é o kernel do Windows. Ele sempre tem o ID de processo 4, e o arquivo dele, ntoskrnl.exe, se descreve em Propriedades › Detalhes como "NT Kernel & System". CPU alta aqui diz que o trabalho no nível do kernel está ocupado, não qual parte, e drivers e atualizações pendentes são os primeiros lugares a olhar. O guia de drivers da Microsoft diz que a melhor forma de receber atualizações de driver é o Windows Update, e se um driver recente piorou as coisas, Gerenciador de Dispositivos › Propriedades do dispositivo › Driver › Reverter Driver desfaz a mudança (precisa de direitos de administrador).

Interrupções do sistema não é um programa e não tem arquivo. É o tempo que os processadores gastam respondendo ao hardware. O guia de análise de CPU da Microsoft explica o mecanismo: um dispositivo como uma placa de rede gera uma interrupção, o Windows executa uma rotina de serviço de interrupção (ISR), que normalmente agenda uma chamada de procedimento adiada (DPC) para o resto do trabalho, e enquanto um processador executa DPCs e ISRs nenhuma thread pode rodar nele. É por isso que muito tempo de interrupção pode aparecer como estalos no áudio ou travadas. Sempre existe algum tempo de interrupção enquanto o hardware está em uso; um número alto e constante em um PC ocioso aponta para um driver ou um dispositivo.

Para descobrir qual, grave um rastreamento a partir de um Prompt de Comando de administrador. A referência de comandos do WPR documenta -start e -stop, e o perfil integrado GeneralProfile inclui eventos de DPC e de interrupção:

wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl

Rode a primeira linha, espere enquanto Interrupções do sistema está alto e depois rode a segunda; a pasta precisa existir. Abra o arquivo no Windows Performance Analyzer e olhe o gráfico DPC/ISR, cuja coluna Module mostra o arquivo do driver que contém a rotina ocupada. Um teste mais simples, sem ferramentas: desconecte dispositivos USB e docks um de cada vez e acompanhe o número.

Compactação de Memória mantém na RAM, de forma compactada, as páginas de memória pouco usadas em vez de gravá-las no arquivo de paginação. Quando a Microsoft apresentou o repositório de compactação no Windows 10, explicou que o repositório cresce justamente quando memória está sendo liberada para outros programas, e é por isso que ele pode parecer grande. Um número alto acompanha a pressão de memória de outros programas, não a causa. Veja uso alto de memória no Windows para descobrir o que realmente está usando a memória.

Host de Serviço (svchost.exe): encontre o serviço lá dentro

O artigo da Microsoft sobre o host de serviço descreve o svchost.exe como um processo de serviços compartilhados que carrega serviços a partir de arquivos DLL. Desde o Windows 10 versão 1703, PCs com mais de 3,5 GB de RAM rodam a maioria dos serviços no próprio processo Host de Serviço, e por isso o Gerenciador de Tarefas mostra dezenas deles e cada linha agora traz o nome do serviço que contém, como "Host de Serviço: Windows Update". Alguns serviços, como o Mecanismo de Filtragem Base com o Firewall do Windows, continuam agrupados.

"svchost com CPU alta", portanto, não tem uma resposta única: a parte ocupada é um serviço. Três maneiras de identificá-lo:

1. Na visualização Processos do Gerenciador de Tarefas, expanda a linha Host de Serviço ocupada. Os serviços que ela contém aparecem embaixo.
2. Clique com o botão direito na linha e escolha Ir para detalhes para obter o PID, depois abra a página Serviços (uma guia no Windows 10), que lista cada serviço com o PID que o executa.
3. No Prompt de Comando, use o tasklist, em que /svc lista os serviços de cada processo:

tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"

Troque 1234 pelo PID do Gerenciador de Tarefas. Depois cuide do serviço, não do host: o Windows Update terminando uma instalação ou o wsappx implantando um app da Store têm cada um a sua própria solução. Finalizar um Host de Serviço para de uma vez todos os serviços dentro dele e não para aquilo que pediu trabalho ao serviço.

Runtime Broker, Windows Explorer e Gerenciador de Janelas da Área de Trabalho

Runtime Broker (RuntimeBroker.exe) roda na sua sessão e, segundo o artigo da Microsoft sobre o Runtime Broker, gerencia no seu PC as permissões dos apps da Microsoft Store. Normalmente usa poucos megabytes. O limite da própria Microsoft: se ele usar mais de 15% da memória, provavelmente algum app está se comportando mal, e finalizar a tarefa Runtime Broker e reiniciar o PC é a correção sugerida.

Windows Explorer (explorer.exe, direto em C:\Windows) não é só as janelas do Explorador de Arquivos; ele também desenha a barra de tarefas, o Iniciar e a área de trabalho. Se ele travar ou a tela ficar em branco, o guia da Microsoft sobre telas em branco diz para abrir o Gerenciador de Tarefas com Ctrl + Shift + Esc, clicar com o botão direito em Windows Explorer e selecionar Reiniciar, ou, se ele não estiver lá, usar Arquivo › Executar nova tarefa e digitar explorer.exe.

Gerenciador de Janelas da Área de Trabalho (dwm.exe) junta todas as janelas na imagem que aparece na tela. A visão geral do DWM da Microsoft descreve como as janelas desenham em superfícies fora da tela que o DWM então renderiza no monitor. O trabalho dele acompanha o que está na tela. Não o finalize; veja Desktop Window Manager com GPU alta para saber o que verificar.

csrss, wininit, winlogon e taskhostw

Processo de Tempo de Execução de Cliente-Servidor (csrss.exe) é, nas palavras da Microsoft em suas notas de depuração, o processo no modo de usuário que controla a camada subjacente do ambiente Windows, e desde o Windows 10 é um processo protegido. Existe um por sessão, então ver dois ou mais é normal. Ele deve ficar perto de zero de CPU; não há nada para ajustar e nenhum motivo para finalizá-lo.

wininit.exe (descrição do arquivo "Aplicativo de Inicialização do Windows") e winlogon.exe ("Aplicativo de Logon do Windows") cuidam da inicialização e da entrada. A página da Microsoft sobre o Winlogon diz que o Winlogon cria as áreas de trabalho da estação de janela e implementa as operações de tempo limite, e que registra a sequência de atenção segura, o Ctrl + Alt + Delete que você pressiona para chegar à tela de segurança. Os dois devem ficar ociosos quase o tempo todo. Deixe-os quietos.

Processo de Host para Tarefas do Windows (taskhostw.exe) executa tarefas para o Windows, e a Microsoft não publica uma página dedicada a ele. Se ele continuar ocupado, o Agendador de Tarefas (Biblioteca do Agendador de Tarefas › Microsoft › Windows) mostra quais tarefas estão rodando; deixe-as terminar em vez de finalizar o host. Um taskhostw.exe fora de C:\Windows\System32 é outra história, tratada mais abaixo.

Ocupados por um motivo: Defender, atualizações, pesquisa e apps da Store

Estes quatro geralmente estão fazendo um trabalho real que termina sozinho, e cada um tem um guia completo:

• Antimalware Service Executable (MsMpEng.exe, em C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\) é o Microsoft Defender verificando. Veja Antimalware Service Executable com CPU alta.
• Windows Modules Installer Worker (TiWorker.exe, em uma pasta da pilha de manutenção dentro de C:\Windows\WinSxS) faz o trabalho de atualização para o serviço Instalador de Módulos do Windows (C:\Windows\servicing\TrustedInstaller.exe). Veja Windows Modules Installer Worker com CPU alta.
• Microsoft Windows Search Indexer (C:\Windows\System32\SearchIndexer.exe) monta o índice de pesquisa. Veja Windows Search Indexer com CPU alta.
• wsappx é um Host de Serviço para implantação e licenciamento de apps da Store. Veja wsappx com CPU alta.

Como identificar um processo de sistema falso

Malware às vezes pega emprestado um nome do sistema. O nome não prova nada; o local e a assinatura, sim.

1. No Gerenciador de Tarefas, clique com o botão direito no processo e escolha Abrir local do arquivo. Um svchost.exe, csrss.exe, RuntimeBroker.exe ou taskhostw.exe rodando a partir de uma pasta de usuário, AppData, ProgramData ou Temp não é o arquivo do Windows. Fique atento também a grafias quase iguais, como scvhost.exe.
2. Clique com o botão direito no arquivo › Propriedades › Detalhes. Um arquivo legítimo mostra Microsoft Corporation e a descrição da tabela acima.
3. Verifique a assinatura. A maioria dos arquivos do Windows é assinada por um catálogo do Windows, e não dentro do arquivo, então as Propriedades deles não têm a guia Assinaturas Digitais; a falta dessa guia não é sinal de alerta. O Get-AuthenticodeSignature também lê assinaturas de catálogo. Aponte-o para o caminho que você encontrou:

Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate

Um arquivo legítimo retorna Valid, geralmente Catalog, com um certificado Microsoft Windows. Para verificar uma pasta inteira, o Sigcheck da Microsoft lista os arquivos sem assinatura com sigcheck -u -e c:\windows\system32, e a Microsoft diz para investigar qualquer arquivo que não esteja assinado.

Se algo parecer errado, faça uma verificação. O guia da Segurança do Windows da Microsoft coloca Opções de verificação em Proteção contra vírus e ameaças; o Microsoft Defender Antivírus (verificação offline) reinicia o PC e verifica antes de o Windows carregar, o que dificulta a vida de malware persistente, e os resultados aparecem em Histórico de proteção. Não apague à mão o arquivo suspeito enquanto ele estiver rodando, e nunca apague um arquivo de C:\Windows\System32 só porque o nome pareceu estranho.

Onde o Mole entra

A página Status do Mole lista os processos agrupados pelo app a que pertencem, com CPU e memória somadas em cada grupo, então processos auxiliares repetidos viram uma linha só. Escolher Por que está em execução? no menu de uma linha mostra o caminho do executável e, nas linhas de Host de Serviço, os serviços do Windows que ela hospeda, do mais ocupado para o menos; Mostrar no Explorador de Arquivos abre a pasta do arquivo para a verificação de local descrita acima. O Mole não oferece Encerrar nem Forçar encerramento para serviços do Windows, para nada que rode a partir da pasta do Windows nem para o próprio processo System, e marca essas linhas como Sistema. Como diz a página de ajuda, mantenha os processos do sistema e os processos compartilhados com outros apps.

O Mole não altera drivers, serviços nem configurações do Defender, e não detecta malware. Para CPU alta causada por apps comuns, veja Uso alto de CPU no Windows.

Perguntas frequentes

Por que o svchost.exe está usando tanta CPU?

O Host de Serviço só abriga serviços; um deles está ocupado. Expanda a linha no Gerenciador de Tarefas ou rode tasklist /svc para identificar o serviço e depois cuide desse serviço, como o Windows Update ou a instalação de um app da Store.

O que é Interrupções do sistema e dá para desativar?

É o tempo que o Windows gasta atendendo interrupções de hardware e o trabalho adiado que elas geram, não um programa, então não há nada para desativar. Uso alto e constante aponta para um driver ou dispositivo; atualize ou reverta os drivers, ou grave um rastreamento para ver qual módulo de driver está ocupado.

O que é o Runtime Broker e é seguro finalizá-lo?

Ele gerencia as permissões dos apps da Microsoft Store. A Microsoft diz que, se ele usar mais de 15% da memória, você pode finalizar a tarefa no Gerenciador de Tarefas e reiniciar o PC.

Como saber se um processo do Windows é vírus?

Verifique onde o arquivo está e quem o assinou: os processos centrais legítimos rodam a partir de C:\Windows ou C:\Windows\System32 e têm uma assinatura válida da Microsoft, muitas vezes uma assinatura de catálogo. Se o local ou a assinatura estiverem errados, faça uma verificação offline do Microsoft Defender.