ניתוח תהליכי svchost.exe
- קטגוריה: חלונות
לא פעם שאלתי את עצמי מדוע היו לי כל כך הרבה תהליכים svchost.exe שרצים בעת פתיחת מנהל המשימות שלא הראה מידע נוסף מלבד שם ומידע בסיסי.
הייתי זקוק לתוכנה אחרת שתעזור לי לנתח את תהליכי svchost.exe ולקבוע אם הם באמת היו נחוצים או אפילו זדוניים.
השלב הראשון היה להוריד את המצוין סייר התהליך מבית Sysinternals. תוכנית זו נותנת מידע מפורט על כל התהליכים הפועלים כעת במערכת כולל שירותים וקבצים התלויים בהם וכן את הנתיב לקובץ במערכת ההפעלה.
כל התהליכים הפועלים במערכת מוצגים ב- Explorer Explorer לאחר הפעלת היישום. לחץ על CTRL + L כדי להציג חלונית בתחתית המציגה מידע נרחב על התהליך שנבחר. העברת העכבר בתהליך מציגה מידע גם כן אך לא לעומק כמו בחלונית התחתונה.
בואו נבדוק במהירות מה ויקיפדיה יש לומר על svchost.exe
בתוכנה Svchost.exe הוא שם תהליך מארח גנרי לשירותים הפועלים מספריות קישור דינאמי (קבצי DLL) בגירסאות מודרניות של מערכת ההפעלה Microsoft Windows.
בעת ההפעלה, Svchost.exe בודק את חלק השירותים ברישום כדי לבנות רשימת שירותים שעליה לטעון. מופעים מרובים של Svchost.exe יכולים לפעול בו זמנית. כל מפגש Svchost.exe יכול להכיל קיבוץ שירותים. לפיכך, שירותים נפרדים יכולים לפעול, תלוי כיצד ואיפה מתחיל Svchost.exe. קיבוץ שירותים זה מאפשר שליטה טובה יותר וניפוי באגים קלים יותר, אך זה גם גורם קושי מסוים עבור משתמשי הקצה המבקשים לראות את השימוש בזיכרון או את הלגיטימיות של הספק של שירותים ותהליכים אישיים.
המשפט האחרון מסביר לא מעט את הדילמה שאנו המשתמשים בה. כיצד נוכל להבין אם תהליך svchost.exe הוא לגיטימי ונחוץ או בזבוז של זיכרון, עיבוד כוח או אפילו זדוני?
אני הולך להסביר כיצד תוכלו לוודא בוודאות טובה אם יש צורך בתהליך או לא. בחזרה לסייר התהליכים.
רחף עם העכבר על התהליך הראשון של svchost והסתכל במה שהוא אומר. עליו להציג את הנתיב בתוספת השירותים שהתחילו בתהליך svchost זה.
השירות הראשון שלי היה שירות HTTP SSL שרץ במערכת שלי. שירות שאינו נחוץ כלל במערכת שלי. חשבתי לראשונה שזה קשור ליכולת לפתוח אתרי https אבל זה לא המקרה. חסר תועלת לחלוטין עבור משתמשי הקצה. פתחתי services.msc והפסקתי את השירות והגדרתי אותו לנכים.
תהליך svchost נעלם ב- Explorer Explorer. כדי לבדוק שהכל עדיין עובד, פתחתי כתובת אתר https בפיירפוקס שעבדה מצוין.
התהליך הבא svchost.exe פעל בגלל שירות רכישת התמונות של Windows. יש לי מצלמה שמשתמשת בשירות זה אך לעיתים רחוקות אני מעבירה תמונות מהמצלמה למערכת שלי. החלטתי להשבית ולהפסיק גם שירות זה ולהפעיל אותו בכל פעם שאני רוצה להעביר תמונות. והנשיפה שם נעלמה מתהליך ה- svchost השני.
עברתי את כל תהליך svchost באותה מתודולוגיה: רחף עם העכבר מעליו, הקלד את השירות המדובר במנוע חיפוש, קרא עליו וקבל החלטה אם אני באמת זקוק לו. משתמשים שרוצים להיות בצד הבטוח מפסיקים את השירות ובודקים אם הכל עדיין עובד כרגיל. הם יכולים לחלופין להגדיר את השירות כידני אם הבדיקות הראשונות מצליחות ואחר כך לביטול.
משאב טוב למידע על השירות הוא צפע שחור .