¿Qué es conhost.exe y por qué funciona?

Sin duda, está leyendo esto porque se topó con el proceso Console Window Host (conhost.exe) en el Administrador de tareas y se preguntó qué es. Tenemos la respuesta para usted.

Esta publicación es parte de nuestra serie en curso que explica varios procesos en el Administrador de tareas, como svchost.exe, dwm.exe, ctfmon.exe, mDNSResponder.exe, rundll32.exe, Adob​ ​e_Updater.exe y muchos otros procesos. ¿No está seguro de cuáles son esos servicios?¡Mejor empieza a leer!

Entonces, ¿cuál es el proceso de host de la ventana de la consola?

Comprender el proceso de host de la ventana de la consola requiere un poco de historia. En los días de Windows XP, el símbolo del sistema era manejado por un proceso llamado ClientServer Runtime System Service (CSRSS). Como sugiere el nombre, CSRSS es un servicio de nivel de sistema. Esto causó algunos problemas. En primer lugar, un bloqueo de CSRSS podría provocar la caída de todo el sistema, exponiendo no solo problemas de confiabilidad, sino también posibles agujeros de seguridad. El segundo problema es que CSRSS no puede tener un tema, porque los desarrolladores no quieren correr el riesgo de ejecutar el código del tema en el proceso del sistema. Por lo tanto, el símbolo del sistema siempre tiene un aspecto clásico en lugar de utilizar nuevos elementos de interfaz.

Tenga en cuenta que en la captura de pantalla de Windows XP a continuación, el Símbolo del sistema tiene un estilo diferente al de aplicaciones como el Bloc de notas.

Windows Vista presentó Desktop Window Manager, un servicio que «dibuja» una vista compuesta de ventanas en el escritorio, en lugar de permitir que cada aplicación individual lo maneje sola. El símbolo del sistema obtiene un tema superficial (como marcos de vidrio en otras ventanas), pero tiene el costo de poder arrastrar y soltar archivos, texto, etc. en la ventana del símbolo del sistema.

Aún así, el tema solo va tan lejos. Si observa la consola en Windows Vista, parece que está usando el mismo tema que todo lo demás, pero notará que las barras de desplazamiento todavía usan el estilo antiguo. Esto se debe a que el administrador de ventanas del escritorio maneja el dibujo de la barra de título y el marco, pero la ventana CSRSS de estilo antiguo aún se encuentra dentro.

Ingrese a los procesos de Windows 7 y Console Window Host. Como sugiere el nombre, es el proceso host para la ventana de la consola. Este proceso es entre CSRSS y el símbolo del sistema (cmd.exe), lo que permite que Windows solucione los dos problemas anteriores: los elementos de la interfaz, como las barras de desplazamiento, se dibujan correctamente y puede arrastrarlos y soltarlos en el símbolo del sistema nuevamente. Este es el método que todavía se usa en Windows 8 y 10, lo que permite todos los nuevos elementos y estilos de la interfaz que han aparecido desde Windows 7.

Aunque el Administrador de tareas muestra el host de la ventana de la consola como una entidad separada, todavía está estrechamente relacionado con CSRSS. Si comprueba el proceso conhost.exe navegador de procesos, puede ver que en realidad se ejecuta bajo el proceso csrss.ese.

Finalmente, Console Window Host es como un shell que mantiene la capacidad de ejecutar servicios a nivel de sistema como CSRSS, al mismo tiempo que otorga de manera segura la capacidad de integrar elementos de interfaz modernos.

¿Por qué hay varias instancias de un proceso en ejecución?

A menudo verá varias instancias del proceso de host de la ventana de la consola ejecutándose en el Administrador de tareas. Cada instancia del símbolo del sistema que se ejecuta genera su propio proceso de host de ventana de consola. Además, otras aplicaciones que utilizan la línea de comandos generarán sus propios procesos de host de Windows en la consola, incluso si no ve sus ventanas activas. Un buen ejemplo es la aplicación Plex Media Server, que se ejecuta como una aplicación en segundo plano y usa la línea de comandos para que esté disponible para otros dispositivos en la red.

Muchas aplicaciones en segundo plano funcionan de esta manera, por lo que no es raro ver varias instancias del proceso de host de la ventana de la consola en un momento dado. Este es un comportamiento normal. En la mayoría de los casos, cada proceso debería consumir muy poca memoria (generalmente menos de 10 MB) y casi cero CPU a menos que el proceso esté activo.

Dicho esto, si nota que una instancia específica de Console WindowHost o servicios relacionados está causando problemas, como un uso excesivo persistente de CPU o RAM, puede verificar la aplicación específica involucrada. Esto al menos le da una idea de por dónde empezar a solucionar problemas. Desafortunadamente, el Administrador de tareas en sí mismo no proporciona información útil sobre esto. La buena noticia es que Microsoft ofrece una excelente herramienta de alto nivel para trabajar con procesos como parte de su línea Sysinternals.solo descarga navegador de procesos y ejecútelo: es una aplicación portátil, por lo que no se requiere instalación. Process Explorer ofrece una variedad de funciones avanzadas; le recomendamos encarecidamente que lea nuestra guía sobre cómo comprender Process Explorer para obtener más información.

La forma más fácil de rastrear estos procesos en Process Explorer es iniciar la búsqueda presionando Ctrl+F. Busque «conhost» y haga clic en el resultado. Cuando haga esto, verá que la ventana principal cambia para mostrarle la aplicación (o servicio) asociada con esa instancia particular del host de la ventana de la consola.

Si el uso de la CPU o la RAM indica que esta es la instancia que le está dando problemas, al menos la ha reducido a una aplicación específica.

¿Podría este proceso ser un virus?

El proceso en sí es un componente oficial de Windows. Si bien es posible que un virus haya reemplazado el host de la ventana de la consola real con su propio ejecutable, es muy poco probable. Si quiere estar seguro, puede verificar la ubicación del archivo subyacente del proceso. En el Administrador de tareas, haga clic con el botón derecho en cualquier proceso de host de servicio y seleccione la opción «Abrir ubicación de archivo».

Si el archivo está almacenado en suWindowsSystem32carpeta, entonces puede estar bastante seguro de que no se trata de un virus.

De hecho, hay un troyano llamado Conhost Miner que se hace pasar por un proceso de host de ventana de consola. En el administrador de tareas, se parece al proceso real, pero una pequeña excavación revela que en realidad está almacenado en%userprofile%AppDataRoamingMicrosoftcarpeta en lugar deWindowsSystem32carpeta. Este troyano en realidad se usa para secuestrar su PC para extraer bitcoins, por lo que si lo tiene instalado en su sistema, otro comportamiento que notará es que el uso de la memoria es más alto de lo esperado y el uso de la CPU permanece en niveles muy altos (generalmente por encima de 80 %).

Por supuesto, usar un buen escáner de virus es la mejor manera de prevenir (y eliminar) malware como Conhost Miner, y deberías hacerlo de todos modos.¡Mejor prevenir que lamentar!