Эта статья является частью нашей текущей серии, объясняющей различные процессы, обнаруженные в диспетчере задач, такие как svchost.exe, dwm.exe, ctfmon.exe, mDNSResponder.exe, rundll32.exe, Adobe_Updater.exe и многие другие. Не знаете, что это за услуги? Лучше начните читать!
Итак, что такое хост-процесс окна консоли?
Понимание процесса консоли Windows Window требует немного истории. В дни Windows XP Командная строка обрабатывалась процессом с именем ClientServer Runtime System Service (CSRSS). Как следует из названия, CSRSS был сервисом на системном уровне. Это создало пару проблем. Во-первых, сбой в CSRSS может привести к сбою всей системы, которая выявила не только проблемы с безопасностью, но и возможные уязвимости безопасности. Вторая проблема заключалась в том, что CSRSS не может быть тематикой, потому что разработчики не хотели подвергать риску код темы для запуска в системном процессе. Таким образом, командная строка всегда имела классический вид, а не использовала новые элементы интерфейса.
Обратите внимание на скриншот Windows XP ниже, что командная строка не получает тот же стиль, что и приложение, например «Блокнот».
Тем не менее, эта тематика только зашла так далеко. Если вы посмотрите на консоль в Windows Vista, похоже, что она использует ту же тему, что и все остальное, но вы заметите, что полосы прокрутки по-прежнему используют старый стиль. Это связано с тем, что диспетчер окон рабочего стола обрабатывает чертежи и рамки заголовков, но старое окно CSRSS все еще находится внутри.
Несмотря на то, что диспетчер задач представляет консольный Window Host как отдельный объект, он все еще тесно связан с CSRSS. Если вы проверите процесс conhost.exe в Process Explorer, вы увидите, что он действительно работает под процессом csrss.ese.
Почему существует несколько экземпляров процесса?
Многие фоновые приложения работают таким образом, поэтому нередко можно увидеть несколько экземпляров процесса консоли Windows Window в любой момент времени. Это нормальное поведение. По большей части каждый процесс должен занимать очень мало памяти (обычно менее 10 МБ) и почти нулевой ЦП, если процесс не активен.
Тем не менее, если вы заметили, что конкретный экземпляр Console Window Host или связанный с ним сервис вызывает проблемы, такие как постоянное чрезмерное использование ЦП или ОЗУ, вы можете проверить конкретные приложения, которые задействованы. Это может по крайней мере дать вам представление о том, где начать поиск и устранение неисправностей. К сожалению, сам диспетчер задач не предоставляет хорошую информацию об этом. Хорошей новостью является то, что Microsoft предоставляет отличный передовой инструмент для работы с процессами в составе линейки Sysinternals. Просто загрузите Process Explorer и запустите его - это портативное приложение, поэтому нет необходимости его устанавливать. Process Explorer предоставляет всевозможные расширенные функции, и мы настоятельно рекомендуем прочитать наше руководство для понимания Process Explorer, чтобы узнать больше.
Самый простой способ отслеживать эти процессы в Process Explorer - сначала нажать Ctrl + F, чтобы начать поиск. Найдите «conhost», а затем щелкните результаты. Как и вы, вы увидите изменение основного окна, чтобы показать вам приложение (или службу), связанное с этим конкретным экземпляром консоли Window Window.
Может ли этот процесс быть вирусом?
Сам процесс является официальным компонентом Windows. Хотя возможно, что вирус заменил реальный консольный Window Host собственным исполняемым файлом, это маловероятно.Если вы хотите быть уверенным, вы можете проверить базовое расположение файла процесса. В диспетчере задач щелкните правой кнопкой мыши любой процесс Host Host и выберите опцию «Open File Location».
WindowsSystem32
то вы можете быть уверены, что не имеете дело с вирусом.
%userprofile%AppDataRoamingMicrosoft
папке, а не
WindowsSystem32
папка. Троян на самом деле используется для захвата вашего ПК для биткойнов, поэтому другое поведение, которое вы заметите, если оно установлено в вашей системе, заключается в том, что использование памяти выше, чем вы могли ожидать, а использование ЦП поддерживается на очень высоких уровнях (часто выше 80%).
Конечно, использование хорошего антивирусного сканера - лучший способ предотвратить (и удалить) вредоносное ПО, например, Conhost Miner, и это то, что вы должны делать в любом случае. Береженого Бог бережет!
