Co je conhost.exe a proč to běží?

Nepochybuji o čtení tohoto článku, protože jste narazili na proces Host Console Window (conhost.exe) v Správci úloh a přemýšlíte, co to je. Máme pro vás odpověď.

Tento článek je součástí naší probíhající série vysvětlující různé procesy, které se nacházejí v nástroji Správce úloh, například příkazy svchost.exe, dwm.exe, ctfmon.exe, mDNSResponder.exe, rundll32.exe, Adobe_Updater.exe a mnoho dalších. Nevíte, jaké jsou tyto služby? Lepší čtení!

Takže co je proces hostského okna konzoly?

Porozumění procesu hostování okna konzoly vyžaduje trochu historie. V systémech Windows XP byl příkazový řádek zpracován procesem nazvaný ClientServer Runtime System Service (CSRSS). Jak název naznačuje, služba CSRSS byla služba na úrovni systému. To způsobilo několik problémů. Zaprvé, havárie v CSRSS by mohlo snížit celkový systém, který by odhalil nejen otázky spolehlivosti, ale i možné bezpečnostní zranitelnosti. Druhým problémem bylo, že CSRSS nemohl být tématem, protože vývojáři nechtěli riskovat, že kód tematického systému bude fungovat v systémovém procesu. Příkazový řádek měl vždy spíše klasický vzhled než použití nových prvků rozhraní.

Všimněte si na obrazovce systému Windows XP, že příkazový řádek neobsahuje stejný styl jako aplikace jako Notepad.

Systém Windows Vista představil nástroj Desktop Window Manager - službu, která "kreslí" kompozitní pohledy na okna na pracovní plochu, místo aby nechala jednotlivé aplikace zpracovávat samostatně. Příkazový řádek z toho získal nějaké povrchní témata (jako skleněný rámeček, který se nachází v ostatních oknech), ale přišlo to na úkor možnosti přetahovat soubory, text a tak dále do okna Příkazový řádek.

Přesto, že tematická práce probíhala jen tak daleko. Pokud se podíváte na konzolu v systému Windows Vista, vypadá to, že používá stejné téma jako všechno ostatní, ale všimnete si, že posuvníky stále používají starý styl. Důvodem je, že Správce oken plochy zpracovává kreslení záhlaví a rámečku, ale staromódní okno CSRSS stále sedí uvnitř.

Zadejte Windows 7 a proces hostitelského okna aplikace Console. Jak naznačuje název, jeho hostitelský proces pro okno konzoly. Procesní třída sedí uprostřed mezi CSRSS a Command Prompt (cmd.exe), což umožňuje systému Windows opravit oba předchozí prvky rozhraní, jako jsou scrollbars, správně kreslit a můžete opět přetáhnout do příkazového řádku. A to je metoda, která se stále používá v systémech Windows 8 a 10 a dovoluje všechny nové prvky rozhraní a styl, které přišli od Windows 7.

Přestože Správce úloh představuje Host Console Window jako samostatnou entitu, je stále úzce spojen s CSRSS. Pokud zkontrolujete proces conhost.exe v Process Explorer, uvidíte, že skutečně běží pod procesem csrss.ese.

Konfigurační okno Konzola je nakonec něco jako shell, který udržuje sílu běžící na úrovni systémové služby, jako je CSRSS, zatímco bezpečně a spolehlivě poskytuje schopnost integrovat moderní prvky rozhraní.

Proč existuje několik instancí procesu?

Budete často vidět několik instancí procesu Host Console Window, které jsou spuštěny v Správci úloh. Každá instance spuštění příkazového řádku vytvoří vlastní proces hostského okna konzoly. Navíc ostatní aplikace, které využívají příkazový řádek, rozmnoží svůj vlastní proces konzoly systému Windows - dokonce i když pro ně nevidíte aktivní okno. Dobrým příkladem je aplikace Plex Media Server, která běží jako aplikace na pozadí a používá příkazový řádek k tomu, aby byl k dispozici ostatním zařízením ve vaší síti.

Mnoho aplikací na pozadí pracuje tímto způsobem, takže není neobvyklé, že se v několika okamžicích zobrazuje více instancí procesu Host Console Window Host. Toto je normální chování. Většina procesů by měla zabrat velmi malou paměť (obvykle pod 10 MB) a téměř nulovou CPU, pokud proces není aktivní.

To znamená, že pokud zjistíte, že určitá instance Konzole okna hostitele nebo související služby způsobuje potíže, jako je nepřetržité nadměrné využívání procesoru nebo paměti RAM, můžete zkontrolovat konkrétní aplikace, které se to týkají. To by mohlo přinejmenším poskytnout vám představu, kde začít odstraňovat problémy. Bohužel Správce úloh sám o tom neposkytuje dobré informace. Dobrou zprávou je, že společnost Microsoft poskytuje vynikající pokročilý nástroj pro práci s procesy jako součást řady Sysinternals. Stačí stahovat Process Explorer a spustit jej - je to přenosná aplikace, takže není třeba jej instalovat. Process Explorer poskytuje všechny druhy pokročilých funkcí - a velmi doporučujeme přečíst si náš průvodce pro pochopení Process Explorer, abyste se dozvěděli více.

Nejjednodušší způsob, jak tyto procesy sledovat v aplikaci Process Explorer, je nejprve stisknout klávesu Ctrl + F a spustit vyhledávání. Vyhledejte "conhost" a pak klikněte na výsledky. Stejně jako vy, uvidíte změnu hlavního okna a zobrazí vám aplikaci (nebo službu) přidruženou k konkrétní instanci Host Console Window.

Pokud používáte procesor nebo paměť RAM, znamená to, že se jedná o instanci, která způsobuje potíže, alespoň jste ji zúžili na určitou aplikaci.

Mohl by tento proces být virem?

Samotný proces je oficiální součástí systému Windows. Zatímco je možné, že virus nahradil skutečný Host Console Window s vlastním spustitelným, je to nepravděpodobné. Pokud si přejete být jisti, můžete si prohlédnout základní umístění souboru procesu. Ve Správci úloh klepněte pravým tlačítkem myši na libovolný servisní proces a vyberte možnost "Otevřít umístění souboru".

Pokud je soubor uložen ve vašem souboru Windows \ System32 složka, pak můžete být docela jisti, že nemáte s virem.

Ve skutečnosti existuje trojan, který se jmenuje Conhost Miner, který se maskuje jako hostitelský proces konzoly. V nástroji Správce úloh se to objevuje jako skutečný proces, ale trochu kopání odhalí, že je skutečně uložen v souboru % userprofile% \ AppData \ Roaming \ Microsoft spíše než Windows \ System32 složky. Trójsky kůň se skutečně používá k únosu vašeho PC do mých Bitcoinů, takže jiné chování, které si všimnete, pokud je instalováno ve vašem systému, je, že využití paměti je vyšší, než byste očekávali, a udržování CPU na velmi vysokých úrovních (často výše 80%).

Použití dobrého antivirového skeneru je samozřejmě nejlepší způsob, jak zabránit (a odstranit) škodlivý software, jako je Conhost Miner, a je to něco, co byste měli dělat stejně. Jistota je jistota!