10のWindowsプロセスを解説：安全、怪しい、無駄遣いのどれ

どのパソコンでタスクマネージャーを開いても、RAMを奪い合う顔のない名前が百個並んでいます。そして一番恐ろしげなものほど、ほぼ例外なくWindows自身のものです。中核プロセスの実際の仕事を知れば、システムの作業者と、メーカーのお相伴がかりと、成りすましの境界線は数秒で見えてきます。

名前ではなくファイルを裁く

マルウェアはシステムの名前を着るのが大好きですが、システムの場所を着ることはできません。本物のsvchost.exeはC:\Windows\System32に住み、C:\Users\...\AppData\Roamingに隠れている偽物は自ら名乗りを上げています。つまり誠実な方法は常に同じ3点チェック — ファイルがどこにいるか、誰が署名したか、そして今何をしているか。タスクマネージャーは追加ソフトなしで全部こなします。プロセスを右クリックして「ファイルの場所を開く」を選び、「詳細」タブに切り替えて「発行元」と「コマンドライン」の列を有効にする。この2列との2分間で、「これはウイルス？」という質問の9割は決着します。

ログオン時に一瞬跳ねて落ち着くプロセスは正常です。何の成果もないまま何時間もコア1つ分を握り続けるプロセスには、場所のチェックの価値があります。同じ右クリックメニューの「オンラインで検索する」も本当に便利です。本物のシステムプロセスなら検索結果にMicrosoftのドキュメントやベンダーのページが返ってきます。PCブースターを宣伝する怪しいフォーラムは、それ自体が判決文です。

ファイルの場所を開く：本物のシステムプロセスはC:\Windows\System32にいる
発行元の列：システムならMicrosoft、その他は見覚えのあるベンダー
コマンドライン：本物のsvchost.exeは必ず-kパラメーター付きで起動する
オンラインで検索する：Microsoft文書とベンダーページは好サイン、ブースター系フォーラムは違う
挙動：ログオン時のスパイクは正常、説明のつかないCPU時間は違う

誠実な中核：10プロセスの仕事

Systemはプログラムではなくカーネルスレッドの入れ物で、System Idle Processはさらにそれ以下 — CPUがどれだけ暇をしているかを示すカウンターです。健康なマシンで99%と表示されるのはそのためです。csrss.exe、winlogon.exe、lsass.exeはセッションの背骨をなし、ログオン、セキュリティ、ローカルセキュリティ機関を担当します。lsassが特に成りすましの御用達なのは、これを殺すと再起動を強制されるから — 触る前にパスを確認しましょう。services.exeは、バックグラウンドの全サービスが報告する先のサービスコントロールマネージャーです。

シェルの見える半分はexplorer.exeです。タスクバー、スタートメニュー、デスクトップ、すべてのファイルウィンドウを所有するたった1つのプロセス — だから質の悪いシェル拡張が4つを同時に凍らせられるのです。svchost.exeのコピーはWindowsサービスを分離されたグループごとにホストするので、何十ものインスタンスは設計どおりの動作であって感染ではありません。RuntimeBroker.exeはUWPアプリとシステムの間の権限交渉役で、dllhost.exeはサムネイル生成などのCOMオブジェクトをExplorerの外で実行します。壊れたコーデックがシェルを道連れにできないようにするためです。

本物の無駄遣いが棲む場所

上の10プロセスのどれも無駄遣いではなく、これらを「最適化」するのは無意味から悲惨までの間です。本物のただ食いはベンダーの名を冠しています。アップデートエージェント、テレメトリーヘルパー、トレイアイコン、クラウド同期ランチャー — 各メーカーが必要になる前に読み込ませようと、あなたのスタートアップに駐車する連中です。典型的なOEM機はこの類の客を半ダース抱えて始動し、各自がログオン時間とメモリとあなたの注意の一切れで使用料を徴収します。

解決策は、マシンが遅く感じられるたびにパニックでタスクを殺すことではなく、タスクマネージャーのスタートアップリストです。無効化したヘルパーは無効のままですが、終了させたタスクは次のログオンで蘇ります。何かを無効化する前に、正直な人事考課を — 毎日使うソフトのヘルパーは残してよく、昨年アンインストールした体験版のアップデータは残せません。そして、名前はシステムプロセス然としているのにコマンドラインがtempフォルダーを指しているなら、それこそ疑念が正しい反応である唯一の場面です。