Cos'è Conhost.exe e Perché è in esecuzione?

Stai senza dubbio leggendo questo articolo perché ti sei imbattuto nel processo Host (Window Host) della console (conhost.exe) in Task Manager e ti stai chiedendo di cosa si tratta. Abbiamo la risposta per te.

Questo articolo fa parte delle nostre serie in corso che illustrano vari processi trovati in Task Manager, come svchost.exe, dwm.exe, ctfmon.exe, mDNSResponder.exe, rundll32.exe, Adobe_Updater.exe e molti altri. Non so quali siano questi servizi? Meglio iniziare a leggere!

Quindi, qual è il processo host della finestra della console?

Capire il processo Host della finestra della console richiede un po 'di storia. Nei giorni di Windows XP, il prompt dei comandi è stato gestito da un processo denominato Servizio server di runtime di ClientServer (CSRSS). Come suggerisce il nome, CSRSS era un servizio a livello di sistema. Questo ha creato un paio di problemi. In primo luogo, un arresto anomalo in CSRSS potrebbe far cadere un intero sistema, che espone non solo problemi di affidabilità, ma anche possibili vulnerabilità di sicurezza. Il secondo problema era che CSRSS non poteva essere tematizzato, perché gli sviluppatori non volevano rischiare che il codice del tema venisse eseguito in un processo di sistema. Quindi, il Prompt dei comandi aveva sempre l'aspetto classico piuttosto che usare i nuovi elementi dell'interfaccia.

Si noti nello screenshot di Windows XP in basso che il Prompt dei comandi non ha lo stesso stile di un'app come Blocco note.

Windows Vista ha introdotto Desktop Window Manager, un servizio che "disegna" viste composite di Windows sul desktop piuttosto che lasciare che ogni singola app gestisca da sola. Il Prompt dei comandi ha ottenuto alcune considerazioni superficiali da questo (come il frame vetroso presente in altre finestre), ma è venuto a discapito di essere in grado di trascinare e rilasciare file, testo e così via nella finestra del prompt dei comandi.

Ciò nonostante, il tema è andato solo lontano. Se dai un'occhiata alla console in Windows Vista, sembra che usi lo stesso tema di tutto il resto, ma noterai che le barre di scorrimento stanno ancora utilizzando il vecchio stile. Questo perché Desktop Manager Manager gestisce il disegno delle barre del titolo e del frame, ma una finestra CSRSS vecchio stile rimane ancora all'interno.

Immettere Windows 7 e il processo Host finestra della console. Come suggerisce il nome, è un processo host per la finestra della console. Il processo si svolge a metà tra CSRSS e il prompt dei comandi (cmd.exe), consentendo a Windows di risolvere entrambi i problemi precedenti: elementi dell'interfaccia come le barre di scorrimento si disegnano correttamente e puoi nuovamente trascinarli nel Prompt dei comandi. E questo è il metodo ancora utilizzato in Windows 8 e 10, che consente tutti i nuovi elementi dell'interfaccia e lo stile che sono venuti insieme da Windows 7.

Anche se il Task Manager presenta l'host della finestra della console come entità separata, è ancora strettamente associato a CSRSS. Se si controlla il processo conhost.exe in Process Explorer, è possibile vedere che viene effettivamente eseguito sotto il processo csrss.ese.

Alla fine, l'host della finestra della console è qualcosa di simile a una shell che mantiene la potenza di eseguire un servizio a livello di sistema come CSRSS, pur garantendo in modo sicuro e affidabile la possibilità di integrare elementi di interfaccia moderni.

Perché ci sono diverse istanze del processo in esecuzione?

Vedrai spesso diverse istanze del processo Host della finestra della console in esecuzione in Task Manager. Ogni istanza di Command Prompt in esecuzione genererà il proprio processo Host Window della console. Inoltre, altre app che utilizzano la riga di comando genereranno il proprio processo di Host di Windows della console, anche se per esse non viene visualizzata una finestra attiva. Un buon esempio di ciò è l'app Plex Media Server, che viene eseguita come app in background e utilizza la riga di comando per rendersi disponibile ad altri dispositivi sulla rete.

Molte app in background funzionano in questo modo, quindi non è raro vedere più istanze del processo Host della finestra della console in esecuzione in un dato momento. Questo è un comportamento normale. Per la maggior parte, ogni processo dovrebbe occupare pochissima memoria (in genere meno di 10 MB) e quasi zero CPU a meno che il processo non sia attivo.

Detto questo, se si nota che una particolare istanza di Console Window Host - o di un servizio correlato - sta causando problemi, come un utilizzo eccessivo della CPU o della RAM, è possibile controllare le app specifiche coinvolte. Questo potrebbe almeno darti un'idea di dove iniziare la risoluzione dei problemi. Sfortunatamente, Task Manager stesso non fornisce buone informazioni a riguardo. La buona notizia è che Microsoft fornisce uno strumento avanzato eccellente per lavorare con i processi come parte della sua linea Sysinternals. Basta scaricare Process Explorer ed eseguirlo: è un'app portatile, quindi non è necessario installarlo. Process Explorer offre tutti i tipi di funzionalità avanzate e consigliamo vivamente di leggere la nostra guida per comprendere Process Explorer per saperne di più.

Il modo più semplice per tenere traccia di questi processi in Process Explorer è premere Ctrl + F per iniziare una ricerca. Cerca "conhost" e poi fai clic sui risultati. Mentre lo fai, vedrai la finestra principale cambiare per mostrare l'app (o servizio) associata a quella particolare istanza di Console Window Host.

Se l'utilizzo della CPU o della RAM indica che questa è l'istanza che causa problemi, allora almeno lo hai ridotto a un'app specifica.

Potrebbe questo processo essere un virus?

Il processo stesso è un componente Windows ufficiale. Mentre è possibile che un virus abbia sostituito il vero host della finestra della console con un suo eseguibile, è improbabile. Se vuoi essere sicuro, puoi controllare il percorso del file sottostante del processo. In Task Manager, fare clic con il tasto destro del mouse su qualsiasi processo di Host di servizio e scegliere l'opzione "Apri posizione file".

Se il file è memorizzato nel tuo Windows \ System32 cartella, quindi puoi essere abbastanza sicuro di non avere a che fare con un virus.

Esiste, infatti, un trojan chiamato Conhost Miner che si maschera come il processo host della finestra della console. In Task Manager, appare proprio come il vero processo, ma un piccolo scavo rivelerà che è effettivamente memorizzato nel % Userprofile% \ AppData \ Roaming \ Microsoft cartella piuttosto che il Windows \ System32 cartella. Il trojan è in realtà utilizzato per attaccare il tuo PC ai miei Bitcoin, quindi l'altro comportamento che noterai se è installato sul tuo sistema è che l'utilizzo della memoria è più alto di quanto potresti aspettarti e l'utilizzo della CPU mantiene a livelli molto alti (spesso sopra 80%).

Ovviamente, usare un buon antivirus è il modo migliore per prevenire (e rimuovere) malware come Conhost Miner, ed è qualcosa che dovresti fare comunque. Meglio prevenire che curare!