Setelah Windows 10 Fall Creators Update, instance svchost.exe selalu menggunakan waktu CPU

Sejak menginstal Pembaruan Windows 10 Fall Creators, saya memiliki svchost.exeproses yang terus-menerus menggunakan sekitar 14% dari waktu CPU:

Mesin svchost.exevirtual ini bertanggung jawab untuk meng-hosting tiga layanan:

Waktu CPU digunakan oleh utas di dalam proses itu yang tidak dapat dikaitkan oleh Peretas Proses dengan salah satu dari tiga layanan ini:

Mengingat ketiga layanan ini dianggap sebagai layanan sistem kritis, sulit untuk melakukan apa pun tentang mereka. Layanan ini tidak dapat dihentikan atau dinonaktifkan oleh services.msc, dan menghentikan proses memicu bugcheck ( CRITICAL_PROCESS_DIED). Menonaktifkan Windows Defender Firewall melalui pengaturan UI tidak mengurangi penggunaan CPU.

Saya kehabisan ide. Apa yang menyebabkan ini? Bagaimana saya bisa men-debug ini lebih lanjut? Apakah ada solusi untuk menghentikan layanan ini?

Pembaruan: Setelah beberapa debug dengan @HelpingHand , kami telah mengisolasi ini ke layanan Windows Defender Firewall. Monitor Proses memperlihatkan bahwa ia secara konstan mengakses registri:

Ekspor CSV dari tangkapan Monitor Proses, yang difilter ke proses itu, tersedia di sini .

Saya masih mencari cara untuk menghentikan perilaku itu.

Pembaruan 2: Analisis dengan Windows Performance Analyzer menunjukkan bahwa sebagian besar waktu CPU dikonsumsi oleh kode dari rpcrt4.dll:

Ternyata, ini terkait dengan Internet Connection Sharing (ICS).

Berikut ini, saya ingin menggambarkan bagaimana saya sampai pada kesimpulan ini dengan harapan itu membantu orang lain dengan masalah yang sama.

Langkah pertama adalah mengidentifikasi layanan yang menyebabkan masalah. Sementara Task Manager Windows sendiri juga telah belajar untuk melakukan ini baru-baru ini, saya menggunakan Process Hacker yang juga dapat mengedit konfigurasi layanan.

Mengklik dua kali svchost.exeinstance yang menyinggung dan memilih tab Layanan menunjukkan layanan mana yang berjalan di dalam proses itu:

svchost.exedapat meng-host banyak layanan Windows secara bersamaan, sehingga sulit untuk mengidentifikasi layanan mana yang menyebabkan masalah. Sementara versi terbaru dari Windows 10 biasanya mengisolasi layanan ketika RAM yang cukup tersedia , beberapa layanan masih berbagi proses.

Ini adalah kasus yang demikian, dan cara termudah untuk mengidentifikasi layanan mana yang menyebabkan masalah adalah dengan memisahkannya.

Peretas Proses dapat melakukan ini. Di tab Layanan windows utamanya , kami dapat mengonfigurasi apakah suatu layanan dapat berbagi proses:

Setidaknya dua dari tiga layanan yang dicurigai perlu dikonfigurasi sebagai Proses Sendiri untuk memastikan mereka terpisah di masa depan.

Rupanya, Windows Defender tidak suka pengguna ikut campur dengan konfigurasi layanannya, jadi untuk berhasil mengubah pengaturan ini, saya perlu

• beri grup Administrators Akses Penuh pada layanan itu,
• nonaktifkan layanan,
• reboot agar layanan dihentikan (tidak dapat dihentikan secara terpisah),
• ubah jenis layanan menjadi Proses Sendiri dan aktifkan kembali layanan (setel ke Mulai Otomatis ) dan
• reboot untuk terakhir kalinya untuk menerapkan perubahan ini.

Setelah itu, pelaku svchost.exehanya meng-host layanan tunggal, jadi kami memiliki tersangka:

Untuk menganalisis apa yang terjadi di dalam layanan firewall, kami akan menggunakan alat Windows Performance Recorder dan Windows Performance Analyzer, bagian dari Windows ADK .

Kami akan mulai dengan merekam beberapa data. Sementara tersangka svchost.exemembuang di latar belakang, unduh file ini , tambahkan sebagai profil, atur Windows Performance Recorder seperti ini dan mulai rekaman:

Biarkan rekaman berjalan sekitar 30 detik, kemudian simpan rekaman. Setelah menyimpan, klik Buka di WPA untuk segera membukanya untuk analisis.

Di sinilah segalanya mulai menjadi rumit. Dalam kasus saya, saya memerlukan petunjuk dari @ magicandre1981 untuk mencari di tempat yang tepat, di bawah System Activity → Generic Events . Di sana, jumlah acara RPC tampak sangat mencurigakan:

Mengebor ke bawah, Firewall Pembela Windows svchost.exebanyak muncul di sisi Serverwin:Start dan win:Stopacara:

Langkah selanjutnya adalah mencari tahu siapa yang mengirim panggilan RPC ini. Dengan melihat di sisi klien, svchost.execontoh lain tampak mencurigakan:

Memang, Process Hacker tidak dapat mendeteksi layanan yang berjalan di dalam proses itu, yang juga secara konsisten menyebabkan beban CPU:

Dalam kasus ini, Task Manager Windows berhasil mengidentifikasi layanan:

Memang, layanan macet di negara Memulai . Saya telah menonaktifkannya karena saya tidak membutuhkannya, dan beban CPU telah kembali normal setelah reboot berikutnya.

Saya ingin mengucapkan terima kasih kepada @HelpingHand dan @ magicandre1981 yang membantu dalam komentar membuat ini mungkin.

Seperti yang kemudian ditemukan di posting TenForums , mengatur ulang Windows Defender Firewall memperbaiki masalah ini.

Ini lebih sederhana, saya telah sukses dengan mengatur ulang pengaturan Windows Firewall mereka (terutama jika ada lonjakan terkait dalam beban CPU) menggunakan instruksi ini: -

Mengatur ulang Windows Defender Firewall ke pengaturan standar menyelesaikan masalah.

Untuk melakukan ini buka Pengaturan -> Perbarui dan Keamanan -> Windows Defender -> Buka Windows Defender Security Center -> Firewall dan Perlindungan Jaringan -> Kembalikan pengaturan default Firewall

Semoga ini bisa membantu dan bekerja untuk orang lain ... Sepertinya masalah yang cukup luas.

Dalam kasus saya, setelah mencoba berbagai perbaikan yang tidak berhasil (termasuk beberapa saran di atas, misalnya mengatur ulang Windows Firewall), saya menonaktifkan "Layanan Kebijakan Diagnostik", dan CPU hogging akhirnya berhenti. Ini mungkin bukan solusi yang ideal, tetapi sepertinya ini bukan layanan yang kritis. Berikut cara menonaktifkannya:

1. Buka "Konfigurasi Sistem" ('msconfig.exe') sebagai admin
2. Tab Umum: pilih "Startup selektif"
3. Tab Layanan: hapus centang "Layanan Kebijakan Diagnostik"
4. Mulai ulang Windows

Terima kasih kepada saluran YouTube Ranga Rajesh Kumar karena mengarahkan saya ke solusi ini.