Windows 10 es un sistema operativo basado en servicios y procesos. En realidad si accedes a los servicios locales del sistema te toparás con una gran variedad de servicios algunos de los cuales son muy claros y aunque otros no tanto. Justamente allí debemos ser precavidos ya que si finalizamos algún proceso o servicio que no comprendemos podemos estar incurriendo en fallos generales que darán como resultado la inestabilidad del sistema o de alguno de sus componentes.
El proceso de conhost.exe se inicia cuando ejecutamos la terminal de comandos incluyendo tanto la ventana activa como inactiva. En este complejo mundo de servicios y procesos encontraremos con seguridad en algún momento un archivo llamado “conhost.exe” y aunque no sea claro su nombre y misión debemos analizarlo en detalle antes de tomar alguna acción sobre él. Algunas acciones para comprobar que no estamos infectados por una copia infecciosa de este servicio son:
- Intentar cerrar todas las ventanas de CMD o consola de comandos con el proceso cmd.exe
- Revisar las tareas programadas y ver si hay alguna ejecutando tareas.
- Revisar si alguna aplicación está recurriendo a la consola de comandos para realizar actividades
- Ejecutar un analizador de virus y malware en el equipo
- Utilizar la aplicación de detección de fallos y reparación del sistema
Por todo ello Solvetic está aquí para ayudarte con tus dudas acerca del malware.
1. Qué es el archivo conhost.exe
Lo primero que debemos comprender y dejar muy en claro es que al tratarse de un archivo ejecutable (.exe) estamos hablando de un archivo genuino, el cual está firmado por Microsoft y cuya ubicación por defecto está en la carpeta system32. La razón de hablar de ello es simple, muchos ejecutables son configurados con códigos maliciosos cuyo fin es atacar el sistema y a los archivos locales, por lo tanto su ubicación no será una carpeta del sistema como lo es la carpeta System32.
Existe un proceso activo desde las ediciones XP que se llama ClientServer Runtime System Service (CSRSS). Este proceso es un servicio de nivel de sistema. Pues bien, Microsoft desarrolló el proceso conhost.exe con el fin de que su ejecución sea bajo el proceso csrss.exe. Pero no todo es tan sencillo como parece ya que al ejecutarse de este modo se presentaban dos problemas que eran:
- Cualquier fallo por mínimo que sea en CSRSS bloqueaba todo el sistema afectando lógicamente la productividad y rendimiento.
- En segundo lugar, CSRSS no estaba en la capacidad de contar con nuevos temas lo cual limitaba al desarrollador a modificar los aspectos de la ventana.
Por naturaleza de Windows, es normal observar diferentes instancias del proceso del Host de la ventana de la consola (conhost.exe) siendo ejecutado en el Administrador de tareas. Esto se debe a que cada orden que realicemos creará de forma independiente un proceso conhost, por ejemplo, al abrir el símbolo del sistema en Windows 10 y usando la utilidad Process Explorer, podemos observar que conhost.exe está asociada a esa consola ejecutada:
- Error de aplicación Conhost.exe
- Conhost.exe no es una aplicación Win32 válida
- Conhost.exe no está en ejecución
- Conhost.exe ha encontrado un problema y necesita cerrarse. Lamentamos los inconvenientes
- No se encuentra conhost.exe
- Conhost.exe no encontrado
- Ruta de acceso de la aplicación con errores: conhost.exe
- Error al iniciar el programa: conhost.exe
- Conhost.exe erróneo
Para este tipo de situaciones Solvetic te recomienda hacer uso de la utilidad Process Explorer ya que esta dará la ruta específica donde está asociado Conhost.exe y a partir de allí podremos tomar las decisiones administrativas respectivas.
2. Saber si el archivo conhost.exe es un virus
La respuesta contundente y clara es “No”, como hemos mencionado, es un proceso firmado por Microsoft el cual está en el directorio System32, pero como todo en este mundo tiene su copia o imitación, es posible que algún atacante simule un archivo conhost.exe para realizar sus acciones.
Esto lo consiguen modificando alguna letra o su orden, pero para salir de cualquier duda, podemos ir al Administrador de tareas y allí detectar la línea “Host de ventana de consola”, dar clic derecho sobre ella y seleccionar la opción “Abrir ubicación del archivo”:
Al realizar esto, seremos redireccionados a la ubicación original del archivo conhost.exe la cual, si es original, debe ser en la ruta.
C:\Windows\System32
Para que comprobemos como este archivo puede ser reemplazado, en la actualidad existe un troyano cuyo nombre es Conhost Miner el cual es un proceso que actúa como un minero de Bitcoin y sabemos claramente que esto implica un consumo excesivo de los recursos del sistema como CPU, memoria, etc, afectando el rendimiento óptimo del mismo, este troyano puede ser encontrado en la siguiente ruta.
Vemos que a nivel de apariencia simula ser conhost.exe pero su finalidad no es para nada propia de Microsoft afectando así la seguridad y rendimiento de nuestro equipo.
%userprofile%\AppData\Roaming\Microsoft
Podemos echar mano de las utilidades de antivirus o antimalware para descartar cualquier amenaza de este tipo y así saber que el archivo conhost.exe ejecutado es válido.
Hemos aprendido que antes de eliminar un archivo de Windows debemos documentarnos sobre su origen y funcionamiento para evitar desestabilizar el sistema en general.
