Layer8 Blog

「svchost.exe」とは

svchost.exe は、ダイナミック リンク ライブラリ (DLL) から実行されるサービスに対して付けられる汎用のホスト プロセス名です。

Windows XP Professional Edition の Svchost.exe の詳細

svchost.exeは、OS内の各種サービスを起動するための親となるプロセスである。OS起動時には、svchost.exeを経由して、各種のネットワーク・サービスが起動するようになっている。svchost.exeが起動するサービスは、レジストリの以下のキーに記述されている。

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost

svchost.exeプロセスとは？ － ＠IT

概要としてはsvchost.exeはPC起動時に組み込まれたシステムの１つなのですが、詳細については下記の内容を表面的に見ても不明確です。またウィルスとして「svchost.exe」と偽って名乗るソフトもあるようで、詳細を知っていて損はないと思われます。
とりあえず自分のPCでsvchost として実行しているサービスの一覧を表示してみました。
コマンドプロンプトで「tasklist /SVC」と入力し実行してみると･･･

イメージ名                     PID サービス
========================= ======== ===========================================
System Idle Process              0 N/A
System                           4 N/A
smss.exe                       316 N/A
csrss.exe                      424 N/A
wininit.exe                    484 N/A
csrss.exe                      504 N/A
services.exe                   540 N/A
lsass.exe                      568 KeyIso, SamSs
lsm.exe                        576 N/A
svchost.exe                    680 DcomLaunch, PlugPlay, Power
svchost.exe                    756 RpcEptMapper, RpcSs
svchost.exe                    816 AudioSrv, Dhcp, eventlog, lmhosts, wscsvc
svchost.exe                    848 AudioEndpointBuilder, Netman, PcaSvc,
SysMain, TrkWks, UxSms, Wlansvc, wudfsvc
svchost.exe                    892 Appinfo, BITS, EapHost, gpsvc, IKEEXT,
iphlpsvc, LanmanServer, ProfSvc, Schedule,
SENS, ShellHWDetection, Themes, Winmgmt,
wuauserv
svchost.exe                   1000 EventSystem, netprofm, nsi, WdiServiceHost
svchost.exe                    440 CryptSvc, Dnscache, LanmanWorkstation,
NlaSvc
winlogon.exe                   372 N/A
svchost.exe                   1100 BFE, DPS, MpsSvc
coreServiceShell.exe          1220 Amsp
uiWatchDog.exe                1300 N/A
conhost.exe                   1384 N/A
LMS.exe                       1428 LMS
coreFrameworkHost.exe         1456 N/A
conhost.exe                   1464 N/A
NitroPDFReaderDriverServi     1540 NitroReaderDriverReadSpool
SeaPort.exe                   1592 SeaPort
taskhost.exe                  1728 N/A
dwm.exe                       2060 N/A
explorer.exe                  2084 N/A
igfxtray.exe                  2420 N/A
hkcmd.exe                     2432 N/A
igfxpers.exe                  2444 N/A
cAudioFilterAgent64.exe       2456 N/A
ETDCtrl.exe                   2464 N/A
OnekeyStudio.exe              2492 N/A
utility.exe                   2500 N/A
Energy Management.exe         2532 N/A
igfxsrvc.exe                  2560 N/A
uiSeAgnt.exe                  2588 N/A
SugarSyncManager.exe          2652 N/A
GoogleUpdate.exe              2660 N/A
IAStorIcon.exe                2912 N/A
OnekeySupport.exe             2928 N/A
soffice.exe                   2936 N/A
svchost.exe                   2992 FontCache, SSDPSRV, upnphost
soffice.bin                   3000 N/A
PManage.exe                   2080 N/A
YouCamTray.exe                2296 N/A
jusched.exe                   2332 N/A
SearchIndexer.exe             2856 WSearch
IAStorDataMgrSvc.exe          3820 IAStorDataMgrSvc
UNS.exe                       3300 UNS
wmpnetwk.exe                  2844 WMPNetworkSvc
wuauclt.exe                   4580 N/A
notepad.exe                   3304 N/A
firefox.exe                   4248 N/A
plugin-container.exe          5100 N/A
notepad.exe                   3500 N/A
taskmgr.exe                   4548 N/A
cmd.exe                       2376 N/A
conhost.exe                   2356 N/A
tasklist.exe                  4348 N/A
WmiPrvSE.exe                  4392 N/A

tasklistの実行結果では私が使用しているPCではsvchost.exe のインスタンスが 9 つ実行していました。

（ちなみにsvchost.exeに限定してピックアップしたい場合には･･･

コマンドプロンクトにて「tasklist /fi "imagename eq svchost.exe" /svc」と入力すると

イメージ名                     PID サービス
========================= ======== ===========================================
svchost.exe                    680 DcomLaunch, PlugPlay, Power
svchost.exe                    756 RpcEptMapper, RpcSs
svchost.exe                    816 AudioSrv, Dhcp, eventlog, lmhosts, wscsvc
svchost.exe                    848 AudioEndpointBuilder, Netman, PcaSvc,
SysMain, TrkWks, UxSms, Wlansvc, wudfsvc
svchost.exe                    892 Appinfo, BITS, EapHost, gpsvc, IKEEXT,
iphlpsvc, LanmanServer, MMCSS, ProfSvc,
Schedule, SENS, ShellHWDetection, Themes,
Winmgmt, wuauserv
svchost.exe                   1000 EventSystem, netprofm, nsi, WdiServiceHost
svchost.exe                    440 CryptSvc, Dnscache, LanmanWorkstation,
NlaSvc
svchost.exe                   1100 BFE, DPS, MpsSvc
svchost.exe                   2992 FontCache, SSDPSRV, upnphost

と絞ることができました。）

ここでsvchost.exeに関して調べてみると「Process Explorer」というフリーソフトを利用できるらしいのでインストールして使ってみました。

今回はこのソフトに基づいて様々なsvchost.exeに関するトラブルシューティングについて考えてみました。

svcshotに関するトラブルシューティング

svchost.exeに関するトラブルとして挙げられるのは大まかに分けて２つ。

Ⅰ．svchost.exeがメモリやCPUを大量に利用して重い、場合によってはフリーズしてしまう
Ⅱ．svchost.exeがウイルス対策などのセキュリティツールで検知されてしまう

があります。まずは１．に関する考察。

Ⅰ．svchost.exeがメモリやCPUを大量に利用して重い、場合によってはフリーズしてしまう

WindowsのPCを利用していく上で頻繁にアップデートをするようにMicrosoftなどから送信されてくる場合があります。
その際にアップデートが一向に終わらない、もしくはPCを普段使い続けていくと徐々にレスポンスなどが遅れてくるなどといった現象をほとんどの人が体験していると思われます。

その原因の一つとして「あるsvchost.exeがCPUを使い切っている」といった現象があるようです。

この対策としてProcess Explorerを使った解決策が以下になります。

１．Process Explorerを開き、気になるsvchost.exeを選択する
※例えば他のシステムに比べて「Private Bytes」や「Working Set」の容量が大きいものはチェックする価値があると思われます。

２．右クリック〉Properties を選択するとsvchost.exe の詳細を見ることが可能。

３．Services のタブをクリックするとファイルのサービス名がわかる。

※ここで、不審なサービスがあると思った場合は、サービスをクリック>Stopをクリックを行い、様子見を行うことでPCの挙動が遅くなるといった現象が軽減、もしくは解消されると思われます。

ちなみに私のPCの場合にはアップデートの自動更新がかなりの割合を占めていましたので、対策としては自動更新を停止（手動）に切り替えることでCPUの割合が軽減されました。

（切り替え方法についてはhttp://www.kisc.meiji.ac.jp/~ksd/nsd/support/lan/auto_winxp_update.htmlなどを参照）

Ⅱ．svchost.exeがウイルス対策などのセキュリティツールで検知されてしまう

svchost.exeはWindowsが起動・動作する上で重要なプログラムであり、下手にStopさせてしまうと不安定になってしまう恐れがあります。それを逆手にとり、「svchost.exe」と名乗ったウィルスが多数報告もされています。

そこで今回は「svcshot.exe」と名乗ったプログラムでもウィルスなのか、そうでないのか、その見極め方についてProcess Explorerを用いた方法を紹介します。

１．まずはNortonなどのセキュリティソフトを使わず自分でProcess Explorerを用いて調べてみる。
（上記のように「svcshot.exe」と名乗ったウィルスが多数報告されているので、セキュリティソフト会社も「svcshot.exe」に対しては十分な対策がされている（していてほしい）と思います。それによって正常なプログラムもウィルスとして検知されてしまう可能性が十分に有り得るので、まずは自分で調べてみましょう。）

２．Ⅰと同じようにServices のタブをクリックし、サービス名をチェックしてみる。

３．不審と思ったサービス名をGoogleなどの検索エンジンで検索し、調べてみる。

これで、不審なサービスがある場合には、Nortonやウィルスバスターのオンラインセキュリティチェックが無償で行われているのでチェックしてもらったほうが賢明であると思います。

以上になりますが、「Process Explorer」はフリーソフトですので、ダウンロードする価値は十二分にあると思います。製作者はMicrosoftのSysinternals という部門なので、ソフトの信頼性も確かです。まずは「Process Explorer」をインストールして自分のPCのウィルス対策に使ってみてはいかがでしょうか。