Tak, conhost.exe jest legalnym procesem systemu Windows. Console Window Host obsługuje okna konsoli, między innymi Wiersz polecenia i PowerShell. Jego obecność w Menedżerze zadań jest normalna, a kilka instancji może działać równocześnie. Zagrożeniem może być dopiero złośliwy plik, który podszywa się pod ten proces i znajduje się poza folderem systemowym.
Do czego służy Console Window Host?
Proces conhost.exe pośredniczy między aplikacją konsolową a systemem Windows. Odpowiada za wyświetlanie i obsługę okna terminala, w którym działa na przykład cmd.exe albo PowerShell.
Console Window Host zarządza między innymi wyglądem okna, czcionką, kolorami, zaznaczaniem i kopiowaniem tekstu oraz schowkiem. Dzięki temu program konsolowy może działać niezależnie od interfejsu odpowiedzialnego za wyświetlanie jego okna.
Oddzielenie obsługi konsoli od procesu csrss.exe poprawiło izolację i stabilność systemu. Problem dotyczący samego okna terminala nie powinien dzięki temu wpływać bezpośrednio na cały podsystem systemowy.
Każde uruchomione środowisko konsolowe może mieć własną instancję conhost.exe. Dlatego kilka kopii tego procesu jest normalne, zwłaszcza gdy korzystasz z PowerShella, Wiersza polecenia, Git Bash albo zintegrowanego terminala w VS Code, Visual Studio czy IntelliJ IDEA.
Jak odróżnić legalny conhost.exe od malware?
Sama nazwa procesu nie wystarcza do oceny bezpieczeństwa. Złośliwe programy mogą używać nazwy Console Window Host, aby wyglądać jak element Windows. Najważniejsze są lokalizacja pliku, podpis cyfrowy, proces nadrzędny i zachowanie programu.
| Cecha | Legalny conhost.exe | Podejrzany proces |
|---|---|---|
| Lokalizacja | C:\Windows\System32\conhost.exe |
Pulpit, folder Temp, AppData, Downloads lub inny nietypowy katalog |
| Proces nadrzędny | cmd.exe, PowerShell albo inne narzędzie uruchamiające terminal |
Brak powiązania z konsolą lub nieznany proces nadrzędny |
| Zużycie zasobów | Zwykle niewielkie, szczególnie gdy terminal jest bezczynny | Stałe, wysokie użycie procesora lub pamięci bez wyraźnej przyczyny |
| Podpis cyfrowy | Podpis wystawiony dla Microsoft Corporation | Brak podpisu, nieważny podpis albo podpis nieznanej firmy |
Legalny plik znajduje się w katalogu C:\Windows\System32\. Plik o tej samej nazwie uruchomiony z folderu użytkownika nie jest automatycznie dowodem infekcji, ale wymaga dokładnego sprawdzenia. Szczególną ostrożność zachowaj wobec plików z katalogów AppData, Temp i Downloads.
Ważny jest także proces nadrzędny. Prawidłowy conhost.exe zwykle działa jako element drzewa powiązanego z cmd.exe, PowerShellem lub aplikacją korzystającą z terminala. Brak takiego powiązania, zwłaszcza przy jednoczesnym wysokim użyciu CPU, jest sygnałem ostrzegawczym.
Niepokój może budzić również stałe obciążenie procesora, gdy nie korzystasz z terminala. Sam wzrost użycia CPU nie przesądza jednak o infekcji, ponieważ obciążenie może powodować program działający w konsoli. Traktuj je jako powód do weryfikacji, a nie jako samodzielny dowód zagrożenia.
Jak sprawdzić conhost.exe w Menedżerze zadań?
Podstawową weryfikację wykonasz bez instalowania dodatkowych programów:
- Otwórz Menedżer zadań skrótem Ctrl+Shift+Esc.
- Na karcie procesów znajdź conhost.exe, kliknij go prawym przyciskiem myszy i wybierz opcję otwarcia lokalizacji pliku.
- Sprawdź, czy plik znajduje się w katalogu
C:\Windows\System32\. - W folderze kliknij plik prawym przyciskiem, wybierz „Właściwości”, a następnie otwórz kartę dotyczącą podpisów cyfrowych. Podpis powinien wskazywać Microsoft Corporation.
- Wróć do Menedżera zadań i sprawdź, czy proces jest powiązany z cmd.exe, PowerShellem albo aplikacją, która otworzyła terminal.
Jeżeli Menedżer zadań nie pokazuje wystarczających informacji, możesz użyć narzędzia Process Explorer z pakietu Microsoft Sysinternals. Pozwala ono dokładniej prześledzić drzewo procesów, pełną ścieżkę pliku i weryfikację podpisu.
Co zrobić, gdy proces wygląda podejrzanie?
Nie usuwaj ręcznie pliku z folderu System32. Prawidłowy conhost.exe jest potrzebny Windows, a jego usunięcie może spowodować problemy z działaniem systemu. Jeśli lokalizacja, podpis lub zachowanie procesu budzą wątpliwości, wykonaj następujące działania:
- Uruchom pełne skanowanie za pomocą Microsoft Defender.
- Przy poważnych podejrzeniach użyj skanowania offline Microsoft Defender, które sprawdza system przed pełnym uruchomieniem Windows.
- Uruchom wiersz polecenia jako administrator i wykonaj polecenie
sfc /scannow, aby sprawdzić integralność plików systemowych. - Jeśli skaner wykryje zagrożenie, zastosuj jego zalecenia i nie przywracaj pliku do systemu bez potwierdzenia, że jest bezpieczny.
Złośliwy program podszywający się pod conhost.exe może wykorzystywać procesor, na przykład do kopania kryptowaluty, dlatego stałe wysokie użycie CPU, spowolnienie komputera i proces działający z nietypowej lokalizacji wymagają reakcji. Gdy skanowanie nie potrafi usunąć wykrytego zagrożenia, skorzystaj z pomocy specjalisty zamiast kasować przypadkowe pliki systemowe.
W skrócie: conhost.exe z folderu C:\Windows\System32\, podpisany przez Microsoft i powiązany z cmd.exe lub PowerShellem, jest prawidłowym składnikiem Windows. Kilka jego instancji również nie jest powodem do obaw. Podejrzana staje się dopiero kombinacja nietypowej lokalizacji, braku procesu nadrzędnego, nieważnego podpisu i wysokiego zużycia zasobów.
