# Processos do Windows explicados: svchost, Runtime Broker e mais

A maioria dos processos do Windows que parecem alarmantes no Gerenciador de Tarefas são partes normais do Windows: System, Interrupções do sistema, Host de Serviço, Runtime Broker, Processo de Tempo de Execução de Cliente-Servidor e os demais têm cada um a sua função, e CPU alta em um deles geralmente aponta para algum trabalho acontecendo por baixo, como um driver, um serviço ou uma atualização. Descubra que trabalho é esse antes de finalizar qualquer coisa, porque vários desses processos não podem ser finalizados com segurança e o resto volta sozinho.

Abaixo está o que é cada nome comum, onde fica o arquivo legítimo, por que ele fica ocupado e como verificar. Os locais e as descrições de arquivo vêm de uma instalação atual do Windows 11; no seu PC, clique com o botão direito em uma linha do Gerenciador de Tarefas e escolha Abrir local do arquivo para comparar.

## Visão geral

| Nome no Gerenciador de Tarefas | Arquivo | O que é | Pode finalizar? |
| --- | --- | --- | --- |
| System | `C:\Windows\System32\ntoskrnl.exe` ("NT Kernel & System") | O kernel do Windows, ID de processo 4 | Não |
| Interrupções do sistema (System interrupts) | Nenhum | Tempo gasto atendendo interrupções de hardware | Não é um processo que dá para finalizar |
| Compactação de Memória (Memory Compression) | Nenhum | Páginas de memória compactadas mantidas na RAM | Não |
| Host de Serviço: … (Service Host) | `C:\Windows\System32\svchost.exe` | Um contêiner para um ou mais serviços do Windows | Não; encontre o serviço |
| Runtime Broker | `C:\Windows\System32\RuntimeBroker.exe` | Intermediário de permissões para apps da Microsoft Store | Sim, a Microsoft sugere isso quando a memória está alta |
| Windows Explorer | `C:\Windows\explorer.exe` | A barra de tarefas, o Iniciar, a área de trabalho e o Explorador de Arquivos | Use Reiniciar, não Finalizar tarefa |
| Gerenciador de Janelas da Área de Trabalho (Desktop Window Manager) | `C:\Windows\System32\dwm.exe` | Desenha cada janela na tela | Não |
| Processo de Tempo de Execução de Cliente-Servidor (Client Server Runtime Process) | `C:\Windows\System32\csrss.exe` | Parte central do Windows no modo de usuário | Não |
| Aplicativo de Inicialização do Windows / Aplicativo de Logon do Windows | `wininit.exe` / `winlogon.exe` em `C:\Windows\System32` | Inicialização e entrada | Não |
| Processo de Host para Tarefas do Windows (Host Process for Windows Tasks) | `C:\Windows\System32\taskhostw.exe` | Executa tarefas do Windows | Deixe quieto |

## System, Interrupções do sistema e Compactação de Memória

**System** é o kernel do Windows. Ele sempre tem o ID de processo 4, e o arquivo dele, `ntoskrnl.exe`, se descreve em Propriedades › Detalhes como "NT Kernel & System". CPU alta aqui diz que o trabalho no nível do kernel está ocupado, não qual parte, e drivers e atualizações pendentes são os primeiros lugares a olhar. O [guia de drivers da Microsoft](https://support.microsoft.com/en-us/windows/update-drivers-through-device-manager-in-windows-ec62f46c-ff14-c91d-eead-d7126dc1f7b6) diz que a melhor forma de receber atualizações de driver é o Windows Update, e se um driver recente piorou as coisas, Gerenciador de Dispositivos › Propriedades do dispositivo › Driver › Reverter Driver desfaz a mudança (precisa de direitos de administrador).

**Interrupções do sistema** não é um programa e não tem arquivo. É o tempo que os processadores gastam respondendo ao hardware. O [guia de análise de CPU da Microsoft](https://learn.microsoft.com/en-us/windows-hardware/test/wpt/cpu-analysis) explica o mecanismo: um dispositivo como uma placa de rede gera uma interrupção, o Windows executa uma rotina de serviço de interrupção (ISR), que normalmente agenda uma chamada de procedimento adiada (DPC) para o resto do trabalho, e enquanto um processador executa DPCs e ISRs nenhuma thread pode rodar nele. É por isso que muito tempo de interrupção pode aparecer como estalos no áudio ou travadas. Sempre existe algum tempo de interrupção enquanto o hardware está em uso; um número alto e constante em um PC ocioso aponta para um driver ou um dispositivo.

Para descobrir qual, grave um rastreamento a partir de um Prompt de Comando de administrador. A [referência de comandos do WPR](https://learn.microsoft.com/en-us/windows-hardware/test/wpt/wpr-command-line-options) documenta `-start` e `-stop`, e o perfil integrado GeneralProfile inclui eventos de DPC e de interrupção:

```cmd
wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl
```

Rode a primeira linha, espere enquanto Interrupções do sistema está alto e depois rode a segunda; a pasta precisa existir. Abra o arquivo no Windows Performance Analyzer e olhe o gráfico DPC/ISR, cuja coluna Module mostra o arquivo do driver que contém a rotina ocupada. Um teste mais simples, sem ferramentas: desconecte dispositivos USB e docks um de cada vez e acompanhe o número.

**Compactação de Memória** mantém na RAM, de forma compactada, as páginas de memória pouco usadas em vez de gravá-las no arquivo de paginação. Quando a Microsoft [apresentou o repositório de compactação](https://blogs.windows.com/windows-insider/2015/08/18/announcing-windows-10-insider-preview-build-10525/) no Windows 10, explicou que o repositório cresce justamente quando memória está sendo liberada para outros programas, e é por isso que ele pode parecer grande. Um número alto acompanha a pressão de memória de outros programas, não a causa. Veja [uso alto de memória no Windows](/pt-br/windows/blog/windows-high-memory-usage) para descobrir o que realmente está usando a memória.

## Host de Serviço (svchost.exe): encontre o serviço lá dentro

O [artigo da Microsoft sobre o host de serviço](https://learn.microsoft.com/en-us/windows/application-management/svchost-service-refactoring) descreve o `svchost.exe` como um processo de serviços compartilhados que carrega serviços a partir de arquivos DLL. Desde o Windows 10 versão 1703, PCs com mais de 3,5 GB de RAM rodam a maioria dos serviços no próprio processo Host de Serviço, e por isso o Gerenciador de Tarefas mostra dezenas deles e cada linha agora traz o nome do serviço que contém, como "Host de Serviço: Windows Update". Alguns serviços, como o Mecanismo de Filtragem Base com o Firewall do Windows, continuam agrupados.

"svchost com CPU alta", portanto, não tem uma resposta única: a parte ocupada é um serviço. Três maneiras de identificá-lo:

1. Na visualização Processos do Gerenciador de Tarefas, expanda a linha Host de Serviço ocupada. Os serviços que ela contém aparecem embaixo.
2. Clique com o botão direito na linha e escolha Ir para detalhes para obter o PID, depois abra a página Serviços (uma guia no Windows 10), que lista cada serviço com o PID que o executa.
3. No Prompt de Comando, use o [tasklist](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/tasklist), em que `/svc` lista os serviços de cada processo:

```cmd
tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"
```

Troque `1234` pelo PID do Gerenciador de Tarefas. Depois cuide do serviço, não do host: o Windows Update terminando uma instalação ou o wsappx implantando um app da Store têm cada um a sua própria solução. Finalizar um Host de Serviço para de uma vez todos os serviços dentro dele e não para aquilo que pediu trabalho ao serviço.

## Runtime Broker, Windows Explorer e Gerenciador de Janelas da Área de Trabalho

**Runtime Broker** (`RuntimeBroker.exe`) roda na sua sessão e, segundo o [artigo da Microsoft sobre o Runtime Broker](https://support.microsoft.com/en-us/windows/runtime-broker-is-using-too-much-memory-ca6ed4e3-2a36-964c-4d2e-8c93980d8a98), gerencia no seu PC as permissões dos apps da Microsoft Store. Normalmente usa poucos megabytes. O limite da própria Microsoft: se ele usar mais de 15% da memória, provavelmente algum app está se comportando mal, e finalizar a tarefa Runtime Broker e reiniciar o PC é a correção sugerida.

**Windows Explorer** (`explorer.exe`, direto em `C:\Windows`) não é só as janelas do Explorador de Arquivos; ele também desenha a barra de tarefas, o Iniciar e a área de trabalho. Se ele travar ou a tela ficar em branco, o [guia da Microsoft sobre telas em branco](https://support.microsoft.com/en-us/windows/hardware/display-graphics/troubleshooting-blank-screens-in-windows) diz para abrir o Gerenciador de Tarefas com `Ctrl + Shift + Esc`, clicar com o botão direito em Windows Explorer e selecionar Reiniciar, ou, se ele não estiver lá, usar Arquivo › Executar nova tarefa e digitar `explorer.exe`.

**Gerenciador de Janelas da Área de Trabalho** (`dwm.exe`) junta todas as janelas na imagem que aparece na tela. A [visão geral do DWM da Microsoft](https://learn.microsoft.com/en-us/windows/win32/dwm/dwm-overview) descreve como as janelas desenham em superfícies fora da tela que o DWM então renderiza no monitor. O trabalho dele acompanha o que está na tela. Não o finalize; veja [Desktop Window Manager com GPU alta](/pt-br/windows/blog/desktop-window-manager-high-gpu) para saber o que verificar.

## csrss, wininit, winlogon e taskhostw

**Processo de Tempo de Execução de Cliente-Servidor** (`csrss.exe`) é, nas palavras da Microsoft em suas [notas de depuração](https://learn.microsoft.com/en-us/windows-hardware/drivers/debugger/debugging-csrss), o processo no modo de usuário que controla a camada subjacente do ambiente Windows, e desde o Windows 10 é um processo protegido. Existe um por sessão, então ver dois ou mais é normal. Ele deve ficar perto de zero de CPU; não há nada para ajustar e nenhum motivo para finalizá-lo.

**wininit.exe** (descrição do arquivo "Aplicativo de Inicialização do Windows") e **winlogon.exe** ("Aplicativo de Logon do Windows") cuidam da inicialização e da entrada. A [página da Microsoft sobre o Winlogon](https://learn.microsoft.com/en-us/windows/win32/secauthn/winlogon) diz que o Winlogon cria as áreas de trabalho da estação de janela e implementa as operações de tempo limite, e que registra a sequência de atenção segura, o `Ctrl + Alt + Delete` que você pressiona para chegar à tela de segurança. Os dois devem ficar ociosos quase o tempo todo. Deixe-os quietos.

**Processo de Host para Tarefas do Windows** (`taskhostw.exe`) executa tarefas para o Windows, e a Microsoft não publica uma página dedicada a ele. Se ele continuar ocupado, o Agendador de Tarefas (Biblioteca do Agendador de Tarefas › Microsoft › Windows) mostra quais tarefas estão rodando; deixe-as terminar em vez de finalizar o host. Um `taskhostw.exe` fora de `C:\Windows\System32` é outra história, tratada mais abaixo.

## Ocupados por um motivo: Defender, atualizações, pesquisa e apps da Store

Estes quatro geralmente estão fazendo um trabalho real que termina sozinho, e cada um tem um guia completo:

- **Antimalware Service Executable** (`MsMpEng.exe`, em `C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\`) é o Microsoft Defender verificando. Veja [Antimalware Service Executable com CPU alta](/pt-br/windows/blog/antimalware-service-executable-high-cpu).
- **Windows Modules Installer Worker** (`TiWorker.exe`, em uma pasta da pilha de manutenção dentro de `C:\Windows\WinSxS`) faz o trabalho de atualização para o serviço Instalador de Módulos do Windows (`C:\Windows\servicing\TrustedInstaller.exe`). Veja [Windows Modules Installer Worker com CPU alta](/pt-br/windows/blog/windows-modules-installer-worker-high-cpu).
- **Microsoft Windows Search Indexer** (`C:\Windows\System32\SearchIndexer.exe`) monta o índice de pesquisa. Veja [Windows Search Indexer com CPU alta](/pt-br/windows/blog/windows-search-indexer-high-cpu).
- **wsappx** é um Host de Serviço para implantação e licenciamento de apps da Store. Veja [wsappx com CPU alta](/pt-br/windows/blog/wsappx-high-cpu-windows).

## Como identificar um processo de sistema falso

Malware às vezes pega emprestado um nome do sistema. O nome não prova nada; o local e a assinatura, sim.

1. No Gerenciador de Tarefas, clique com o botão direito no processo e escolha Abrir local do arquivo. Um `svchost.exe`, `csrss.exe`, `RuntimeBroker.exe` ou `taskhostw.exe` rodando a partir de uma pasta de usuário, `AppData`, `ProgramData` ou `Temp` não é o arquivo do Windows. Fique atento também a grafias quase iguais, como `scvhost.exe`.
2. Clique com o botão direito no arquivo › Propriedades › Detalhes. Um arquivo legítimo mostra Microsoft Corporation e a descrição da tabela acima.
3. Verifique a assinatura. A maioria dos arquivos do Windows é assinada por um catálogo do Windows, e não dentro do arquivo, então as Propriedades deles não têm a guia Assinaturas Digitais; a falta dessa guia não é sinal de alerta. O [Get-AuthenticodeSignature](https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.security/get-authenticodesignature) também lê assinaturas de catálogo. Aponte-o para o caminho que você encontrou:

```powershell
Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate
```

Um arquivo legítimo retorna `Valid`, geralmente `Catalog`, com um certificado Microsoft Windows. Para verificar uma pasta inteira, o [Sigcheck](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck) da Microsoft lista os arquivos sem assinatura com `sigcheck -u -e c:\windows\system32`, e a Microsoft diz para investigar qualquer arquivo que não esteja assinado.

Se algo parecer errado, faça uma verificação. O [guia da Segurança do Windows da Microsoft](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) coloca Opções de verificação em Proteção contra vírus e ameaças; o Microsoft Defender Antivírus (verificação offline) reinicia o PC e verifica antes de o Windows carregar, o que dificulta a vida de malware persistente, e os resultados aparecem em Histórico de proteção. Não apague à mão o arquivo suspeito enquanto ele estiver rodando, e nunca apague um arquivo de `C:\Windows\System32` só porque o nome pareceu estranho.

## Onde o Mole entra

A página Status do Mole lista os processos agrupados pelo app a que pertencem, com CPU e memória somadas em cada grupo, então processos auxiliares repetidos viram uma linha só. Escolher Por que está em execução? no menu de uma linha mostra o caminho do executável e, nas linhas de Host de Serviço, os serviços do Windows que ela hospeda, do mais ocupado para o menos; Mostrar no Explorador de Arquivos abre a pasta do arquivo para a verificação de local descrita acima. O Mole não oferece Encerrar nem Forçar encerramento para serviços do Windows, para nada que rode a partir da pasta do Windows nem para o próprio processo System, e marca essas linhas como Sistema. Como diz a [página de ajuda](/pt-br/windows/help), mantenha os processos do sistema e os processos compartilhados com outros apps.

O Mole não altera drivers, serviços nem configurações do Defender, e não detecta malware. Para CPU alta causada por apps comuns, veja [Uso alto de CPU no Windows](/pt-br/windows/blog/windows-high-cpu-usage).

## Perguntas frequentes

### Por que o svchost.exe está usando tanta CPU?

O Host de Serviço só abriga serviços; um deles está ocupado. Expanda a linha no Gerenciador de Tarefas ou rode `tasklist /svc` para identificar o serviço e depois cuide desse serviço, como o Windows Update ou a instalação de um app da Store.

### O que é Interrupções do sistema e dá para desativar?

É o tempo que o Windows gasta atendendo interrupções de hardware e o trabalho adiado que elas geram, não um programa, então não há nada para desativar. Uso alto e constante aponta para um driver ou dispositivo; atualize ou reverta os drivers, ou grave um rastreamento para ver qual módulo de driver está ocupado.

### O que é o Runtime Broker e é seguro finalizá-lo?

Ele gerencia as permissões dos apps da Microsoft Store. A Microsoft diz que, se ele usar mais de 15% da memória, você pode finalizar a tarefa no Gerenciador de Tarefas e reiniciar o PC.

### Como saber se um processo do Windows é vírus?

Verifique onde o arquivo está e quem o assinou: os processos centrais legítimos rodam a partir de `C:\Windows` ou `C:\Windows\System32` e têm uma assinatura válida da Microsoft, muitas vezes uma assinatura de catálogo. Se o local ou a assinatura estiverem errados, faça uma verificação offline do Microsoft Defender.


Canonical: https://mole.fit/pt-br/windows/blog/windows-processes-explained