Что такое svchost.exe: один процесс, внутри которого живут службы

Хост, а не программа

Службы Windows — это DLL, а DLL сама себя не запустит: ей нужен процесс-хост, чтобы в нём жить. svchost.exe — этот самый хост: один экземпляр загружает одну или несколько библиотек служб и исполняет их, поэтому убийство svchost наугад убивает и всех постояльцев внутри. Исторически службы объединяли в общие хосты по уровню привилегий, чтобы экономить память в те времена, когда её было мало; расплатой было то, что одна упавшая служба утягивала за собой соседей.

Начиная с Windows 10 Creators Update на машинах с объёмом памяти больше 3,5 ГБ службы разнесли по разным процессам: каждая получила собственный экземпляр svchost. Поэтому современный ПК показывает десятки таких процессов, и само их количество ничего не значит — много экземпляров означает изоляцию, а не разрастание. Упавшая служба теперь валит только себя, и видно, какая именно заслуживает выговора.

Как узнать, где какая служба

Быстрее всего — в самом диспетчере задач: разверните запись svchost на вкладке процессов, и под ней появятся имена служб. Из командной строки обзор шире — tasklist /svc печатает каждый svchost с его PID и списком служб внутри; эту команду стоит запомнить. Process Explorer добавляет командную строку хоста, где имя группы после -k (например, svchost.exe -k netsvcs) подсказывает, для какой группы запуска создавался процесс.

• Диспетчер задач → «Процессы»: разверните svchost и читайте имена служб прямо под ним
• Диспетчер задач → вкладки «Подробности» и «Службы»: сверьте столбец PID, чтобы связать хост и службу
• tasklist /svc в терминале: каждый svchost с PID и службами внутри, одним блоком на хост
• Process Explorer: столбец Command line покажет группу -k, например svchost.exe -k netsvcs
• Панель Services в Process Explorer: чем занят каждый хост, в живом обновлении

Когда нагрузка svchost — реальная работа, а когда подделка

Высокая загрузка ЦП или диска внутри svchost почти всегда означает службу, которая громко делает свою работу: Центр обновления (wuauserv) вместе с оркестратором (UsoSvc), Delivery Optimization (DoSvc), SysMain, пополняющий резервную память после входа, или служба диагностики (DPS) после смены сети. Определите службу — и станет ясно, переждать, притормозить обновления или разбираться с первопричиной; для застрявшего механизма обновлений честный первый шаг — перезагрузка. Нагрузка от Центра обновления к тому же самопроходит: час-другой после установки патчей — и она исчезает до следующего раунда.

Настоящий svchost.exe живёт в C:\Windows\System32 и подписан Microsoft; всё, что называется svchost.exe, но запущено из профиля пользователя, Temp или AppData, — это малварь в знакомой маске. Проверяйте, прежде чем подозревать сам Windows: правый клик по процессу → «Открыть расположение файла» или столбец «Путь к образу» на вкладке «Подробности». Путь и подпись закрывают вопрос за десять секунд.

Вопросы и ответы

Читайте также