Что такое процесс «Хост окна консоли» и откуда берутся его экземпляры

Нередко бывает, что какой-то появившийся в Диспетчере задач процесс вызывает у пользователя беспокойство, растущее по мере того, как увеличивается количество экземпляров этого процесса. Как в примере с процессом «Хост окна консоли», указывающим на исполняемый файл conhost.exe в папке System32. Наличие большого количества экземпляров процесса conhost.exe само по себе не является признаком проблемы.

Но если какой-то из них начинает грузить ЦП или ОЗУ, к нему стоит присмотреться повнимательней.

Что такое «Хост окна консоли»

Чтобы понять, откуда взялся conhost.exe и для чего он нужен в современных версиях Windows, нужно обратиться к истории развития ОС семейства Windows, а именно к XP. Командная строка в этой версии управлялась одним из ключевых системных процессов csrss.exe, что создавало ряд проблем, например, сбой консоли мог привести к сбою conhost.exe, а значит и всей системы. Кроме того, непосредственное управление csrss.exe командной строкой исключало возможность ее тематической настройки.

Поэтому было принято решение отделить процесс cmd от csrss промежуточным процессом, что и было сделано в Windows 7. Как вы уже догадались, этот промежуточный процесс получил название «Хост окна консоли». Внесенное разработчиками улучшение увеличило стабильность и безопасность системы, а заодно позволило использовать в окне командной строки цветовые темы и другие элементы оформления внутреннего содержимого окна.

Почему процессов conhost.exe может быть много

Как следует из сказанного выше, процесс «Хост окна консоли» не является самостоятельным. Это дочерний процесс того же csrss.exe, в чем вы сами можете убедиться, воспользовавшись утилитой Process Explorer. Впрочем, запускаться conhost.exe может не только CSRSS, но и любой другой консольной либо использующей консоль программой, причем совсем необязательно, чтобы окно консоли отображалось на рабочем столе.

Что будет, если завершить conhost.exe

В большинстве случаев ничего хорошего для родительского процесса. В одних случаях система не позволит его завершить, в других его закрытие приведет к принудительному завершению связанной с ним программы.

Может ли conhost.exe оказаться вирусом

Может, если исполняемый файл располагается не в %windir%\System32 или %windir%\WinSxS. А еще если у conhost.exe нет родительского процесса. В этом случае его параметры командной строки будут отличаться от положенных \??\C:\WINDOWS\system32\conhost.exe 0x4 – получить их можно в Process Explorer, кликнув по процессу дважды и просмотрев содержимое поля «Command Line» на вкладке «Image».

Также вы можете проверить средствами того же Process Explorer conhost.exe и его родителя на предмет заражения, кликнув по нему ПКМ и выбрав опцию «Check VirusTotal».

Результат сканирования появится в колонке «VirusTotal». Сам файл на сервер при этом не загружается, а сравнивается лишь его контрольная сумма.

Это главное, что нужно знать о процессе conhost.exe.

То, что временами он может нагружать систему – это нормально, если же загрузка наблюдается постоянно, нужно разбираться с той программой, из-под которой он работает.