Görev yöneticisinde sürekli gördüğümüz svchost dosyası ne işe yarar?
Görev yöneticisini her açtığınızda karşınıza bir düzine olarak çıkan svchost.exe dosyası, yıllar içinde pek çok şehir efsanesine konu oldu. Ne olduğu ve ne işe yaradığı çoğu kullanıcı tarafından bilinmeyen bu dosya, çoğunluk için dokunulmaması gereken sistem dosyası olarak görülüyor. Bu tanımlama kısmen doğru olsa da yüzeysel kalıyor.
Microsoft’un resmi tanımına göre svchost, dinamik bağlantı kütüphanelerinden çalışan işlemler için kullanılan genel bir isim. Peki bu tanımlama tam olarak ne anlama geliyor?
Microsoft, yıllar önce Windows hizmetlerini .exe dosyalarından .dll dosyalarına taşımaya başladı. Programlama açısından baktığımızda bu değişiklik, hizmetlerin tekrar tekrar kullanılabilmesi için faydalı bir adımdı. Ancak Windows, varsayılan olarak .dll dosyalarını çalıştıramadığı için Microsoft bu hizmetlerin yüklenebileceği bir .exe dosyası oluşturmak zorunda kaldı ve svchost.exe dosyası bu şekilde doğdu.
Eğer görev yöneticisini sıkça kullanıyorsanız, işlem listesinde aynı anda birden fazla svchost.exe dosyasının sürekli çalıştığını göreceksiniz. Eğer bir svchost.exe dosyası tüm Windows hizmetlerini çalıştırabiliyorsa neden aynı dosyadan birden fazla kullanılıyor?
Microsoft’un böyle bir yolu tercih etmesinin sebebi, svchost dosyasında yaşanabilecek bir sorunun tüm sistem fonksiyonlarını geçersiz kılmasının önüne geçmek. Windows, içinde barındırdığı hizmetleri mantıksal gruplara ayırıyor ve her bir grup için bir svchost dosyası yaratıyor. Bu sayede bir svchost dosyası hata verse dahi, sistemin diğer fonksiyonları zarar görmeden çalışmaya devam edebiliyor.
Kapatılabilir mi?
Svchost hakkında en çok merak edilen konu, görev yöneticisinde gördüğümüz bu işlemlerin kapatılıp kapatılmayacağı olsa gerek. Her bir svchost dosyası farklı hizmet setlerini içinde barındırdığı için, devre dışı bırakacağınız zaman söz konusu olan hizmetlerin o anda kullanılmıyor olması gerekir. Diğer türlü bir svchost dosyasını devre dışı bırakmak sistemin çalışma fonksiyonlarına zarar verebilir.
Ancak yoğun CPU kullanan bir svchost işlemini yeniden başlatmak, yoğun kullanım sorununu giderebilir. Bu aşamada hangi svchost dosyasının hangi Windows hizmetlerini sakladığını tespit etmek gerekiyor. Bunu yapmanın birden fazla yolu var.
Windows 8 veya 10 kullanıyorsanız, görev yöneticisinin Ayrıntılar sekmesi altında aktif svchost dosyalarını görebilirsiniz.
Bu ekranda herhangi bir svchost dosyasına sağ tıklayıp Hizmetlere git seçeneğine tıklayarak, seçtiğiniz svchost dosyasına bağlı olan ve Hizmetler sekmesi altında bulunan Windows hizmetini bulabilirsiniz. Bu ekrandaki Açıklama kutucuğunun altında ise seçili hizmetin ne işe yaradığını görebilirsiniz.
Benzer bir sonuca, komut istemine tasklist /SVC komutunu girerek ulaşabilirsiniz. Ancak karşınıza çıkan sonuçları anlamakta zoruluk çekebilirsiniz.
Son alternatifimiz ise oldukça faydalı Microsoft/Sysinternals ürünü olan Process Explorer. Bu ufak ama kullanışlı program, sisteminizde çalışan bütün işlemleri kolayca ayıklayabileceğiniz bir şekilde sıralıyor. İmlecinizi istediğiniz işlemin üzerine getirerek işleme bağlı hizmetleri görmenizi sağlıyor.
Ayrıca aktif işlemlere sağ tıklayıp, ardından açılan penceredeki Services sekmesine girip, işleme bağlı hizmetleri teker teker devre dışı bırakabilirsiniz.
Hizmetleri devre dışı bırakma
Önemsiz bulduğunuz servislerin bilgisayar açıldığında otomatik olarak çalışmasını engelleyebilirsiniz. Bunun için öncelikle başlat menüsüne hizmetler yazıp Hizmetler sistem aracını başlatın.
Açılan pencerede devre dışı bırakmak istediğiniz hizmeti bulun ve sağ tıklayıp Özellikler seçeneğine tıklayın.
Açılan penceredeki Başlangıç türü kutucuğunu açın ve Devre dışı seçeneğini işaretleyin. Bu işlem, seçtiğiniz hizmetin otomatik çalıştırılmasını engelleyecektir.
Virüs olabilir mi?
Yazımızın başında svchost dosyasının pek çok şehir efsanesine konu olduğundan bahsetmiştik. Bunlardan şüphesiz en popüleri, bu dosyanın bir virüs olduğu yönündeki iddialardır.
Eğer bir svchost dosyası, Windows\System32 klasörü içindeyse, endişe etmenize gerek yok demektir. Zira bu konumdaki bir sistem dosyasının virüs olma ihtimali oldukça düşüktür.
Başka platformlardan biliyorum RAT Remote Administarion Tool yani virüs oluşturucusu bunu bir kişinin bilgisayarına yerleştirirse o bilgisayara her istediğini yapabilir işlemci kullanımını boştayken bile %100’e çıkartıp sizi kanser edebilir bilgisayarın disklerini biçimlendirebilir işletim sisteminin önemli dosyalarını değiştirebilir bilgisayarınızdan dosya çalabilir, bir dosya gönderebilir (Eğer CS:GO, TF2 gibi oyunları oynuyorsanız çok dikkatli olun arka planda 3. parti bir dosyayı yollayıp onu çalıştırıp size sıkıntı olabilirler dediğim platformlarda bunu yapan az sayıda olsa da var bunu biliyorum.) neyse şimdi bunu neden söyledim çünkü bu hileler çok sayıda olduğu için Svchost.exe olarak oluşturuluyor ve görev yöneticisinde öyle çalışıyorlar ki siz onu kapatmayın ama isterseniz kapatırsınız kapattığınızda kişinin size bağlantısı gider eğer bu RAT profesyonelce yapıldıysa kendisini görev yöneticisinden bile gizler.
Faydalı olmuş, ama geç kalındı.
Win 7 işletim sistemi için leptopta svchost.exe ram kullanımı olarak çok fazla bilglisayarı kullanıyordu. Araştırdıktan sonra windows update ile alakalı olduğunu öğrendim, kapatınca schost ram kullanımı 2 gb lardan 20 30 mb lere düştü. Böylece o gıcık fan sesinden kurtulmuş oldum(hiç işlem yapılmıyorken bile resmen baş ağrıtıyordu ve donmalara sebep oluyordu).
Güzel bir anlatım olmuş, win10 un son güncellemesi çok iyi geldi. Artık sistem stabil çalışıyor.
bazı virüslerin de kendini scvhost.exe şeklinde kamufle ettiğini de bilmek faydalı olur.
Artık virüsler svchost.exe uzantısını taklit etmiyor,svchost.exe dosyasını kullanarak işlem yapıyorlar,bulunmasını dahada zorlaştırıyor ve svchost’un kendisini tehlikeli hale getiriyorlar.Bunu engellemek için windows da tam root yetkisine sahip olmamız gerekiyor ama sanırım bu tam olarak mümkün değil.
Elinize sağlık, güzel bir makale.. Lakin bir ek yapmak isterim, bu işleri bilmeyen kişilerin arka plan servislerine dokunmamasını öneririm.. Zaten bazılarını kapatma şansları yok ama gerekliliği ya da bağlılığı olan bir servisi kapatmaları, o ana kadar yaptıkları herhangi bir rutini yapamamalarına sebep olabilir.. İşi bilen birine gitsinler.. 17 update’i ve üstü Win10’da bu iş faciaya döndü.. Ev kullanıcısının hiç bir işine yaramayacak yığınla servis arka planda aktif.. Bu arada bilgi olsun, kapatılamaz servis diye bir şey yoktur, hepsini regedit’ten deaktive edebilirsiniz ama dediğim gibi bu işleri çok iyi bilen birileri bunu yapmalı.. Misal, win10’daki üç servis disable edildiği zaman sisteminiz çalışmaz, hatta açılmaz hale geliyor. (Time Broker, Tile Data model server ve Core Messaging)