Wbem что это за папка

WBEM — что это за папка?

Приветствую друзья! Сегодня постараемся узнать что это за папка WBEM, зачем она нужна, может ее вообще можно удалить? Постараюсь все узнать и написать простыми словами.

WBEM — что это такое?

Папка компонента WMI Provider Host, который необходим для работы некоторого ПО.

WBEM расшифровывается как Web-Based Enterprise Management (управление предприятием через интернет). Представляет из себя инструментарий управления, предназначенный для просмотра и изменения классов, экземпляров и методов CIM (Common Information Model — общая модель данных) при разработке поставщиков и программ WMI (Windows Management Instrumentation — инструментарий управления Windows).

Расположена по такому пути:

Внутри есть файл wmiprvse.exe:

Это компонент WMI Provider Host — позволяет получать программам информацию о системе (состояние ее и характеристики). Вообще WMI нужно для работы некоторых программ.

WBEM — как уменьшить размер?

Внимание! Способ уменьшить размер WBEM почти безопасный, но есть низкая вероятность, что будут глюки после удаления данных, и что даже точка восстановления не поможет.

Важно! Провел эксперимент. В Windows 10 в обычном режиме, не останавливая службу, при помощи утилиты Unlocker удалил папку repository. Для удаления нужна была перезагрузка. После — полет нормальный, папка repository создалась заново с нулевым размером, глюков не заметил.

Сперва обязательно создайте точку восстановления:

Зажмите Win + R, укажите команду control или control panel, нажмите ОК.
Откроется панель управления, здесь найдите значок Система, запустите.
Далее слева нажмите Защита системы.
Выберите системный диск (С) и нажмите кнопку Создать.
Укажите название точки, например До очистки папки WBEM. Нажмите Создать.

Такая страховка поможет сэкономить время и нервы.

Возможности настройки привилегии и безопасности интерфейса WMI

Давным-давно, когда трава была зеленее, а интернет безопаснее, в ИТ родилась инициатива Web Based Enterprise Management (WBEM). Первоначально спонсируемая в 1996 году такими компаниями как Cisco Systems, Intel и Microsoft, она получила широкое распространение и реализацию на различных платформах: от MAC OS до Redhat. WBEM четко документирован, основан на стандартах Интернета и представляет собой иной подход к управлению системами, отличный, например, от SNMP протокола.

Адаптация WBEM для Windows получила название WMI (Windows management interface) и впервые была представлена в Windows XP. Нам известно, что системы обновляются быстрее, чем их компоненты и многие уязвимости, бывшие ранее удобным инструментом управления, кочуют из версии в версию. В этой статье я хочу описать как выполняются задачи WMI и как избежать потенциальных рисков.

В силу своей мощности, WMI позволяет с помощью специальных утилит или сценариев производить различные потенциально опасные действия на ПК, в том числе, остановку критичных для работы служб и даже выключение компьютера. Например, так:

(Get-WmiObject Win32_OperatingSystem -EnableAllPrivileges).Win32Shutdown(5)

(GWMI -Class Win32_Service -Filter «name=’WinRM’» -ComputerName Server).StopService()

Кроме того, на удаленной машине эти действия выполнить так же просто, как на локальной — достаточно написать имя нужной машины в пути к WMI-объекту.

Пространство имен WMI – это раздел репозитория WMI, который призван группировать классы и объекты WMI по назначению, плюс, определять атрибуты безопасности при доступе к классам и объектам в каждом таком контейнере. Все пространства имен начинаются с корня, который в WMI обозначается ключевым словом root. После имени корня через косую черту указывается пространство имен. Пространства имен могут быть вложенными. Большинство интересных классов и объектов размещается в пространстве имен root/CIMv2.

Одно из существующих в Windows пространств имен WMI может быть выбрано по умолчанию. Это означает, что если вы попытаетесь подключиться к этому хосту, не указав пространство имен, то вы автоматически будете подключены к выбранному по умолчанию. В стандартной инсталляции Windows по умолчанию выбрано пространство root\cimv2.

Технология WMI предназначена для администраторов Windows, и вся система безопасности в WMI устроена так, чтобы с помощью сценариев WMI пользователь мог на заданном ПК выполнить лишь те действия, на которые ему даны разрешения/привилегии. Это так называемые привилегии по умолчанию. Так реализуется безопасность WMI на уровне операционной системы: если пользователю на уровне операционной системы не дана привилегия перезагружать компьютер, то и с помощью WMI он и не сможет этого сделать.

Дополнительные политики безопасности в WMI реализованы на уровне пространств имен протокола Distributed СОМ (DCOM) – распределенной объектной модели компонентов. Чтобы более подробно рассмотреть эти типы безопасности WMI, кратко напомню основные общие понятия, связанные с безопасностью в Windows. А основана эта безопасность на именах пользователей и их паролях.

О разрешениях WMI

Когда в Windows создается пользователь, его системной учетной записи присваивается уникальный идентификатор безопасности (Security IDentifier или SID). На основе SID для пользователя формируется маркер доступа (Access Token), в который также добавляется список групп, членом которых является пользователь и список привилегий, которыми он обладает (например, остановка служб или выключение компьютера). Этот маркер доступа присваивается также всем процессам, которые запускает пользователь. В это время каждый объект операционной системы, доступ к которому определяет система безопасности – файл, либо процесс, либо служба или что-то ещё, имеет дескриптор безопасности (Security Descriptor, SD). В этом дескрипторе, в свою очередь, хранится список контроля доступа (Access Control List, ACL) для этого объекта.

Итак, при обращении пользователя или запущенного им процесса к объекту происходит сравнение маркера доступа данного пользователя со списком контроля доступа. В зависимости от результатов выдается или отклоняется разрешение/привилегия на выполнение запрашиваемых действий над объектом.

На уровне пространств имен механизм безопасности WMI соответствует общей модели безопасности Windows. Каждое пространство имен может иметь собственный дескриптор безопасности, на котором хранится список контроля доступа (ACL).

Каждая запись списка контроля доступа (Access Control Entry, АСE) содержит информацию о том, какие разрешения имеет определенный пользователь при выполнении различных операций в этом пространстве имен.

А вот и список разрешений при работе с пространством имен:

Выполнение методов (Execute Methods). Позволяет вызывать методы классов из определенного пространства имен. Будет ли метод выполнен или произойдет отказ, зависит от того, имеет ли пользователь разрешение на выполнение этой операции в системе.

Полная запись (Full Write). Разрешает создавать и модифицировать подпространства имен, системные классы и экземпляры классов.

Частичная запись (Partial Write). Открывает возможность создавать и модифицировать любые статические классы и экземпляры несистемных классов.

Запись поставщика (Provider Write). Позволяет записывать в репозиторий CIM классы провайдеров WMI и экземпляры этих классов.

Включить учетную запись (Enable Account). Предоставляет право чтения пространства имен WMI. Пользователи с этим разрешением, могут запускать на локальном компьютере сценарии, которые читают данные WMI.

Включить удаленно (Remote Enable). Разрешает пользователям получить доступ к пространству имен WMI на удаленном компьютере. По умолчанию этим разрешением обладают только администраторы, обычные пользователи не могут получать данные WMI с удаленных машин.

Прочесть безопасность (Read Security). Дает право читать дескриптор безопасности для пространства имен WMI без возможности его модификации.

Изменение правил безопасности (Edit Security). Позволяет изменять дескриптор безопасности для пространства имен WMI.

Все эти записи списка контроля доступа хранятся в репозитории WMI. Разрешения WMI для конкретного пространства имен применяются ко всем подпространствам имен и классам, которые определены в этом пространстве (наследуются ими). Собственные же разрешения безопасности для отдельного класса WMI определить нельзя.

О настройке по умолчанию

В Windows группа администраторов обладает всеми разрешениями из таблицы выше, а для остальных пользователей включена учетная запись (Enable Account), разрешено вызывать методы (Execute Methods) и записывать в CIM экземпляры классов провайдеров (Provider Write).

Администратор может изменить разрешения для определенных пользователей с помощью утилиты для настройки параметров WMI (оснастка wmimgmt.msc консоли управления ММС).

Скриншот 1.

Для доступа к инфраструктуре WMI на удаленном компьютере используется вышеуказанный протокол DCOM. Пользователь запускает сценарий или подключается к WMI с помощью специальных утилит и выступает в качестве клиента, а объект WMI, к которому идет обращение, является сервером. Чтобы определить, какой маркер доступа будет применяться при работе с WMI на удаленном компьютере, используются стандартные уровни имперсонации протокола DCOM.

Об имперсонации или Impersonation Levels

По-русски звучит несколько коряво. Что такое имперсонация и зачем она нужна? Это метод, при котором для подключения к ресурсу процесс или система должны использовать не свой контекст безопасности, а учетные данные другого субъекта безопасности.

Представьте – некая служба, запущенная в контексте безопасности LocalSystem, должна выполнить действие от лица другой учетной записи (например, от лица текущего зарегистрированного на компьютере пользователя). В этом случае службе необходимо создать специальный маркер доступа (Access Token), описывающий контекст безопасности той учетной записи, под которой мы хотим выполнить указанное действие.

Для того чтобы создать такой маркер доступа, службе необходимо знать учетные данные этого пользователя, а если этот процесс происходит на локальной машине, получить копию маркера доступа ранее зарегистрированного локально пользователя.

Еще для этого контекст безопасности службы должен обладать привилегией создания маркеров доступа.

Бывает более сложный вариант имперсонации – делегирование. Этот вариант необходим тогда, когда подключение к конечному ресурсу выполняется не самим субъектом безопасности (в примере выше – службой от лица пользователя), а через посредника (например, промежуточный сервер).

Представьте: пользователь подключается не напрямую к базе данных, а через веб-приложение на третьем сервере. Для осуществления такого подключения веб-приложение должно получить от субъекта безопасности (нашей службы) маркер доступа с правом делегирования – это позволит веб-приложению использовать маркер доступа субъекта безопасности уже при подключении к базе данных.

В случае с WMI делегирование может выглядеть так: мы, работая на станции администратора, подключаемся по WMI к некому серверу и запускаем на нем процесс с помощью метода Execute класса Win32_Process. Этот процесс не что иное, как другой скрипт WMI, который подключается к ещё одному хосту в сети для того, чтобы совершить какие-то действия. Если мы не воспользуемся делегированием, то на конечной машине скрипт будет запущен в контексте безопасности учетной записи промежуточного сервера, что далеко не всегда желаемо. С другой стороны, подобная ситуация с делегированием в реальной жизни случается достаточно редко.

Об уровнях Impersonation Levels

Анонимный доступ (Anonymous). Объект-сервер не имеет права получить информацию о пользователе или процессе, который обращается к данному объекту (иными словами, объект не может олицетворить клиента). Этот уровень олицетворения в WMI не используется.

Идентификация (Identify). Объект-сервер может запросить маркер доступа, связанный с клиентом, но не может произвести олицетворение.

В сценариях WMI этот уровень олицетворения используется редко, в этом случае нельзя запускать сценарии WMI на удаленных машинах.

Олицетворение (Impersonate). Объект-сервер может пользоваться всеми правами и привилегиями, которыми обладает клиент. В сценариях WMI рекомендуется использовать именно этот уровень олицетворения, ибо в таком случае сценарий WMI на удаленной машине сможет выполнять все действия, которые разрешено осуществлять пользователю, запустившему этот сценарий.

Делегирование (Delegate). Объект на сервере, к которому обращается клиент, может обратиться от имени клиента к другому объекту на другом сервере. Делегирование позволяет сценарию использовать на удаленной машине маркер доступа запустившего его пользователя. Тот же маркер используется для доступа к объектам WMI на других рабочих станциях. Применение данного уровня олицетворения связано с потенциальным риском, делегирование в сценариях WMI следует применять только в случае особой необходимости.

Выбираемый по умолчанию уровень олицетворения зависит от версии WMI на целевом компьютере. В версиях WMI ниже 1.5 по умолчанию используется уровень Идентификация (Identify), в версии WMI 1.5 и выше —Олицетворение (Impersonate). При необходимости можно изменить уровень олицетворения по умолчанию — для этого необходимо записать наименование нужного уровня (например, impersonate или Delegate) в ключ реестра
HKEY_LOCAL_MACHINE\Software\Microsoft\Wbem\Scripting\Default Impersonation Level.

Скриншот 2.

Протокол DCOM также предоставляет возможность запросить для соединения WMI определенный уровень аутентификации (проверки подлинности) и конфиденциальности:

Отсутствует (None). Проверка подлинности отсутствует.

По умолчанию (Default). Для выбора уровня проверки подлинности используются стандартные настройки безопасности. Рекомендуется использовать именно этот уровень, так как к клиенту будет применен уровень проверки подлинности, который задается сервером.

Подключений (Connect). Клиент проходит проверку подлинности только во время подключения к серверу. После того как соединение установлено, никаких дополнительных проверок не производится.

Вызовов(Call). Клиент проходит проверку подлинности в начале каждого вызова, во время приема запросов сервером. При этом заголовки пакетов подписываются, однако сами данные (содержимое пакетов), передаваемые между клиентом и сервером, не подписываются и не шифруются.

Пакет (Pkt). Проверке подлинности подвергаются все пакеты данных, которые поступают серверу от клиентов. Как и при проверке подлинности на уровне вызовов, заголовки пакетов подписываются, но не шифруются. Сами пакеты не подписываются и не шифруются.

Целостности пакетов (Pktlntegrity). Все пакеты данных проходят проверку подлинности и целостности. Проверяется, что содержимое пакета не было изменено во время передачи от клиента серверу. При этом данные подписываются, но не шифруются.

Привилегии (PktPrivacy). Все пакеты данных проходят проверку подлинности и целостности, при этом данные подписываются и шифруются, что обеспечивает конфиденциальность передаваемых данных.

Администраторам Windows хорошо известны настройки безопасности системы, доступные в консоли безопасности системы и групповых политиках домена и раздел «User Right Assignments» (привилегии пользователей). Ряд действий с операционной системой можно проделать только при наличии у пользователя или группы, куда он входит, той или иной привилегии. К таким действиям, например, относятся: перезагрузка системы (завершение её работы), восстановление состояния системы из резервной копии или смена системного времени.

Поскольку с использованием WMI можно выполнить все эти действия, разработчики WMI заложили дополнительный механизм защиты: даже если учетная запись пользователя обладает привилегиями, необходимыми для действия с системой, он все равно не сможет выполнить это действие, пока явно не активирует привилегию перед выполнением действия. В частности, если администратор запустит скрипт WMI, запрашивающий перезагрузку системы, этого все равно не произойдет, пока в скрипте не будет явно активирована эта привилегия.

Резюме

Что предлагается сделать для обеспечения безопасности WMI-подключений:

Изменить уровень имперсонации для критичных сервисов (Скриншот 2).
Настроить разрешения wmimgmt.msc (Скриншот 1).
Изменить репозиторий по умолчанию. Это может нарушить сценарий шаблонных атак.

4. Изменить группы лиц с возможностями удаленного запуска и активации WMI через утилиту DCOMCNFG

5. Чтобы запустить WMI пользователь должен быть членом группы administrators либо DCOM users. Также должна быть доступна служба remote registry.

6. Настроить файервол – входящие подключения к DCOM идут по 135 TCP-порту и (имеют?) динамический диапазон RPC.

В заключение хочу сказать следующее: WMI дает скорость, мощь и легкость запуска команд на удаленных хостах, а SQL based-семантика команд делает его легким для освоения.

В интернете очень много информации о взломах и WMI-атаках, ведь они вписываются в нынешний атакующий тренд – использование нативных инструментов взлома системы – наряду с telnet NTP и DNS. Наша задача — этот тренд уловить и найти методы противодействия уже заложенные в систему.

WMI Provider Host грузит процессор в Windows 7/10 – как решить проблему?

Процесс VMI Provider Host (WmiPrvSE.exe) создает высокую загрузку процессора в Windows 10? На самом деле WmiPrvSE указывает на службу поставщика инструментария управления Windows, которая иногда постоянно использует ресурсы вашей системы. Необычное поведение процесса делает ПК медленным. Проблема WmiPrvSE.exe в основном возникает, когда служба не соответствует шаблонам, для которых она предназначена. Однако эта конкретная служба WmiPrvSE, используется разработчиками для целей мониторинга и в большинстве случаев сталкивается с производственной средой после обновления с Windows 7 до 10. Обычно пользователи часто открывают диспетчер задач и пытаются выяснить, в чем заключается проблема. Первое, что они делают, это проверяют запущенные процессы в диспетчере задач и пытаются найти причину проблемы. Итак, давайте разберем способы, как исправить высокую загрузку ЦП.

WMI Provider Host – что это за процесс и для чего нужен в Windows 7/10

Начнем с того, что WMI Provider Host – это никакой ни сторонний компонент, а штатный системный процесс Windows, управляющий подключениями оборудования. В список такого оборудования входят внешние жесткие диски, принтеры и сканеры, флеш-накопители, мыши и клавиатуры и т.п., но не встроенные элементы, как то видео- и аудиокарты. Процесс также участвует в получении информации о работе Windows различным программным обеспечением и административными скриптами.

Источником процесса WMI Provider Host является исполняемый файл wmiprvse.exe, расположенный в папке C:/Windows/System32/wbem или C:/Windows/SysWOW64/wbem в 64-битных системах.

Процесс не является критическим, поэтому его можно завершить принудительно через Диспетчер задач. Однако подобное отключение на постоянной основе нежелательно, так как может нарушить работу подсоединяемых устройств вплоть до того, что компьютер перестанет их распознавать.

Что это за файл

WmiPrvSE.exe – это исполняемый файл утилиты поставщика инструментария управления WMI Provider Host для Windows. Он является одним из компонентов управления веб-сервером Microsoft (WBEM) и Microsoft Operations Manager (MIM). С помощью утилиты, программы и скрипты могут получить данные о внутреннем состоянии операционной системы. В Windows также внедрены WMI-провайдеры, которые позволяют выполнить соединение с интернетом, получить настройки DNS, а также отслеживать функции и сообщать о критических ошибках.

Исполняемый файл лежит в директории «\system32\wbem\», запускается из-под svchost.exe, имеет права «NETWORK SERVICE».

Папка system32

Подведем итог — WmiPrvSE.exe является безопасным системным процессом, который необходим для нормального функционирования операционной системы. Приостановка его работы или отключение нежелательно, но критических сбоев не будет.

Как видно на скриншоте, стандартно системной активности процесс WmiPrvSE.exe практически не вызывает.

Служба в процессах

Если файл не является вирусом, то грузить процессор он может в случае обращения к нему какого-либо софта, который использует функции WMI. Например, подобная ситуация возникает, когда загруженность ЦПУ обусловлена работой «NB Probe Application» — это утилита Asus для получение температурных данных ядер процессора, оборотов кулера и состоянии других аппаратных компонентов.

Почему WMIPrvSE.exe начинает сильно грузить процессор и как выявить источник

Что это за процесс wmiprvse.exe выяснили, теперь рассмотрим примеры, когда он может начать нагружать процессор. В обычном состоянии WMI Provider Host если и грузит ЦП, то длится это недолго и по завершении сбора данных он либо завершает работу, либо продолжает оставаться активным, потребляя совсем немного ресурсов. Но при определенных обстоятельствах процесс может начать грузить ЦП основательно и постоянно. Такое возможно при:

Подключении нового оборудования, драйвера которого работают некорректно;
Установке программного обеспечения, не оптимизированного должным образом под используемую версию ОС или работающего неправильно;
Активной процедуре обновления Windows;
Обновлении сторонних программ или установленных ими в систему драйверов;
Работе любых программ, создающих повышенную нагрузку на видеокарту;
Вирусной активности.

Что это и для чего

Итак, «WMI Provider Host» – это процесс, запускаемый исполняемым файлом «WmiPrvSE.exe», предназначенный для централизованного управления подключаемого внешнего оборудования. Присутствует он во всех версиях Windows, носит практически одно и то же название и является важнейшей составляющей для корректного функционирования компьютера, а, следовательно, его завершение или удаление крайне нежелательно и может привести к негативным последствиям. При нормальной/штатной работе операционной системе «WMI Provider Host» не оказывает никакого влияния на быстродействие системы, и порой действительно на небольшой промежуток времени при определённых запросах он может активироваться, но при этом его влияние на «ЦП» равняется или приближается к нулю.

Следовательно, если «WMI Provider Host» длительное время «висит в лидерах» по нагрузке «ЦП», то уже указывает на возникновение неполадок в штатной работе операционной системы Windows, которые и требуется решить для минимизирования зависаний. А принимая во внимание смысл существования и работы «WMI Provider Host», можно выделить следующие «безобидные» причины возникновения рассматриваемой проблемы:

подключено новое устройство/оборудование;
активирован процесс автоматической установки или обновления драйверов программного обеспечения подключенного устройства;
одновременная установка программного обеспечения, связанного с работой какого-либо устройства;
скрытое обновление операционной системы;
чрезмерная нагрузка на видеоадаптер в результате активации различных визуальных эффектов.

Месторасположение исполняемого файла

Проверка стороннего ПО и периферии

Универсального способа, позволяющего устранить неполадку, не существует, а потому проблема решается методом исключения возможных причин. Если процесс WMI Provider Host сильно грузит процессор после установки какого-нибудь приложения, попробуйте запустить его в режиме совместимости с более ранней версией системы или удалить. Деинсталлируйте накопительное обновление или выполните откат системы, если процесс стал вести себя некорректно.

Если полагаете, что источником проблемы стало устройство, отключите его и проверьте работу системы. Можно также обновить/откатить драйвера устройства, так как чаще всего неполадки возникают именно при некорректной работе ПО. Не знаете, какое устройство стало причиной загрузки процессора WMI Provider Host? Откройте Диспетчер устройств и попробуйте последовательно отключить мышь, USB-устройства ввода, принтер, сканер, веб-камеру и прочие внешние девайсы, каждый раз проверяя поведение wmiprvse.exe.

В случае обнаружения проблемного устройства пробуем откатить или, напротив, обновить его драйвера.

Откат обновлений системы

Сбои при установке обновлений могут стать причиной нестабильной работы wmiprvse.exe. Для решения проблемы потребуется выполнить откат обновлений в хронологическом порядке, пока не будет найден тот элемент, который вызывает нарушения в работе ОС.

Выполняем откат обновлений для Windows (способ актуален для версий ОС Windows 7 и выше):

Программы и компоненты

Исключение служб

Обязательно проверьте влияние сторонних служб. Откройте командой msconfig утилиту «Конфигурация системы», перейдите на вкладку «Службы», установите галочку в чекбоксе «Не отображать службы Microsoft», а затем отключите все оставшиеся службы и перезагрузитесь.

Если проблема исчезла, значит, очевидна вина одной из фоновых служб. Включайте их одну за другой и проверяйте по ходу дела корректность работы процесса wmiprvse.exe. Те же самые действия рекомендуется проделать с автозагрузкой в Диспетчере задач.

Проверяем компьютер на вирусы

Если никакие способы не привели к снижению нагрузки процесса WMI Provider, то в этом случае можно подозревать вирусную активность. Одноименный вирус «wmiprvse.exe» вносит изменения в настройки DNS, а также изменяет файл Hosts. В этом случае пользователь не только сталкивается с нестабильным функционированием ОС, но и с проблемами доступа к интернету.

Необходимо убедиться, что перед нами действительно вредоносная программа:

переходим в «Диспетчер задач» запустив его сочетанием клавиш «Ctrl+Shift+Esc»;
выбираем процесс «WmiPrvSE» и щелкаем по нему ПКМ, в контекстном меню кликаем «Открыть расположение файлов»;

Открыть расположение

Файл в системной папке

Авторские права

Не изменяется язык на компьютере или ноутбуке

Очистку системы от вирусов производим с помощью антивирусного программного обеспечения установленного на ПК. Для эффективного обнаружения потребуется запустить глубокую проверку системы.

Проверка на вирусы

Если антивируса нет, можно скачать утилиту Dr.Web Cureit или Kaspersky Virus Removal Tool.

Отслеживание проблемного процесса

Знать что такое WMI Provider Host недостаточно, нужно еще уметь идентифицировать обращающиеся к нему прочие процессы. Это важно, поскольку при запрашивании сторонним процессом большого объема информации у WMI-поставщика, в данном случае у wmiprvse.exe, последний станет создавать повышенную нагрузку. Откройте командой eventvwr.msc Журнал событий Windows, в меню «Вид» включите «Отобразить аналитический и отладочный журналы», а потом перейдите слева к настройке Журналы приложений и служб – Microsoft – Windows – WMI-Activity. Кликните ПКМ по элементу «Trace» и выберите «Включить журнал».

После сохранения настроек и обновления логов через некоторое время в средней колонке Журнала событий появятся записи, среди которых вам нужно найти строки с параметром ClientProcessId. Значение этого параметра как раз и будет идентификатором того процесса, который обращается к wmiprvse.exe. Зная ID, вы легко сможете определить исполняемый файл процесса в Диспетчере задач, переключившись на вкладку «Подробности».

Есть также другой очень похожий способ поискать обращающийся к WMI-поставщику процесс. Вместо элемента «Trace» в разделе WMI-Activity выберите «Operational» и изучите последние записи с уровнем «Ошибка». На вкладке «Общие» также ищем параметр ClientProcessId, смотрим его идентификатор и определяем по нему процесс в Диспетчере задач.

Определили и что делать дальше? Это уже совсем другой вопрос. Причины некорректной работы процессов могут быть самые разные, и если они принадлежат сторонним приложениям, попробуйте для начала их переустановить. В том случае, если вы имеете дело с некритичным системным процессом, можно попробовать отключить его автозагрузку в реестре.

Отображение свойств Отображать аналитику Диспетчер задач Отключить приложение ИД процесса

Что в этом случае можно сделать?

Самое главное, человеку нужно найти настоящий источник поломки. Вначале рекомендуется просканировать систему антивирусом, чтобы убрать вариант вирусной атаки. Можно применить два следующих антивируса. Вначале Malwarebytes, затем DrWeb Curelt.

Правда, программа Malwarebytes стала платной. Но, у неё есть бесплатная Демо версия, которой достаточно, чтобы исправить положение. DrWeb Curelt утилита бесплатная. Скачайте данные программы и запускайте (по одной). Затем, начинаете тщательное сканирование. После этого, вам нужно перезагрузить ПК и узнать, сохранилась ли сложность с работой этого процесса, или она исчезла?

Кроме этого, желательно активировать диспетчер задач нажав Alt+Ctrl+Del и в перечне элементов поискать самый ресурсоёмкий. Затем, нажимаем на него правой клавишей мыши. В ниспадающем меню нужно нажать «Открыть расположение файла».

открыть расположение файла

В случае, если открывшейся элемент будет расположен не в папочке Windows / System32 (System), то это значит, что данном файле есть встроенный вирус. Тогда начинаем тщательное сканирование нашими двумя антивирусами.

Как полностью отключить службу, и какие последствия могут быть

Итак, теперь вы в курсе, что это wmiprvse.exe, для чего нужен этот процесс и что может вызвать его повышенную активность. Знаете также, какие действия следует предпринять с целью выяснения причин подобной активности. Но это еще не всё. Если WMI Provider Host грузит процессор по-прежнему, допустимо принять радикальную меру – остановить его службу. Для этого запустите командой services.msc оснастку управления службами, найдите в списке службу «Инструментарий управления Windows», откройте ее свойства, в диалоговом окошке тип запуска выберите «Отключена», а затем нажмите «Остановить» и «Применить».

При этом Windows сообщит, что будут также остановлены Центр безопасности и Вспомогательная служба IP. Как следствие, уровень безопасности системы будет снижен, и она станет более подверженной внешним угрозам, впрочем, если вы используете сторонний антивирус, предупреждением можно пренебречь.

Возникнут ли после этого проблемы с внешними устройствами? Возможно, но это необязательно должно случиться. В любом случае вы всегда можете включить соответствующую службу точно так же, как и отключили ее.

2поделились
0Facebook
2Twitter
0VKontakte
0Odnoklassniki

Инструментарий управления Windows Проверка наличия обновлений windows 10

Как понять, если WmiPrvSE.exe вызывает высокую загрузку процессора?

В Windows 10, процесс WmiPrvSE.exe потребляет высокую загрузку ЦП (почти 100%) в течение нескольких минут в период времени 15-20 минут. Чтобы проверить, является ли высокая загрузка ЦП из-за WmiPrvSE.exe, вам нужно воспользоваться помощью диспетчера задач. Диспетчер задач можно открыть сочетанием кнопок Ctrl + Shift + Esc. Во вкладке «Процессы» вы увидите описание VMI Provider Host – это и есть WmiPrvSE.exe. Перейдите во вкладку подробности и найдете WmiPrvSE.exe и запомните ИД.

Далее откройте командную строку от имени администратора и введите команду tasklist /m wmiperfclass.dll . Вы увидите список процессов WmiPrvSE.exe с этим модулем. В основном индекс содержит один отдельный процесс, но если у вас есть как 32-разрядные, так и 64-разрядные клиенты, вам могут быть видны два процесса. Однако, если ИД перечисленных процессов аналогичен ИД диспетчера задач, существует высокая вероятность того, что вы столкнулись с проблемой высокой загрузки ЦП службы VMI Provider Host (WmiPrvSE.exe).

(РЕШЕНО) WmiPrvSE.exe грузит систему на 100%

Сегодня столкнулся со следующей проблемой. В офисе начала тормозить одна из машин (Windows Vista SP2). Конечно для висты это не считается аномальным, но тормозить она стала уж очень сильно — приходится ждать отклика на каждое действие по несколько секунд, работать невозможно.

Смотрим диспетчер задач: систему на 100% грузит процесс WmiPrvSE.exe

Убийство этого процесса не помогает, он заново появляется и продолжает грузить систему.

Далее идет необязательный (как позже выяснилось) шаг, который я сделал для диагностики проблемы: чтобы понять что делает этот процесс, скачиваем Process Monitor из набора Microsoft SysInternals

Оказалось, что этот процесс в цикле обращается к файлу tzres.dll, по много сотен раз в секунду, естественно из-за этого все подвисает. Поиск в гугле ничего полезного не дал. В основном люди советуют удалить Windows System Resource Manager, однако его на компьютере не было.

(РЕШЕНО) WmiPrvSE.exe грузит систему на 100% : 45 комментариев

Ты просто молодец что такую статью насписал. Спасибо!

Те кто в HP пишут драйвера — мудаки полные.

Огромное спасибо за статью. Помогло.

Все сделал как написано, однако в описании ClientProcessId=0, соответственно Пид — 0, а ноль это бездействие сиситемы

Там их много, рекомендую смотреть внимательней. (лично у меня их было 12)Спасибо за статью ОЧЕНЬ помогла.

Некропостер детектед! Дмитрий 04.09.2013 в 19:26 Михаил 26.06.2015 в 22:16 Почему бы не поддержать) 02.08.2018

Та же проблема, что и у Дмитрия. ПИД =0. Что делать?

Спасибо очень помогло.

Спасибо! Статья помогла

Тоже ПИД = 0 Кто-нибудь поможет?

alex
Автор записи 28.02.2014 в 14:34

Я бы в этом случае делал так: по очереди отключал бы все службы (внешних программ). Когда нагрузка на процессор упадет — значит дело в этой программе. Так же можно постепенно убивать процессы через ProcessExplorer (он позволяет раскрывать системные процессы и смотреть что именно через них запущено). Подозреваю что PID=0 это что-то из системных процессов. У меня был случай когда System Idle Process грузил процессор на 100% и все подвисало. Помогло отключение в биосе какой-то опции, ACPI чтоли, не помню уже.

alex
Автор записи 01.03.2014 в 14:26

Где-то прочитал что такую проблему с PID=0 вызывает Microsoft Digital Media Keyboard — лечится заменой клавиатуры. Еще можно попробовать остановить службу winmgmt и после этого переименовать библиотеку к которой обращается wmiprvse. Если кто-нибудь справится с проблемой, напишите об этом! А то я смотрю многие с этим мучаются, а решения нет…

Слушай скриншоты приложи. Что за «правая область» ?

Да. Скнриншоты в студию пожалуйста

я конечно добавил скриншоты, но по-моему и без них все достаточно понятно

Аналогичная проблема была из-за LG SmartShare — программки для женитьбы телика и компа по сети — а вообще софтописатели от корпораций производящих железо еще те))))

Спасибо, автор, за статью. Как и у некоторых комментаторов, у меня PID оказался равен 0. Начал по очереди убивать все процессы из диспетчера задач. Процесс teamviewer_service.exe оказался живучим, появлялся снова через пару секунд после отключения. В services.msc пришлось отключить сервис TeamViewer. И Алилуйя, Wmipsrv угомонился.

Самое простое и верное (с точке зрения заморочества) это просто отключить всякую фигню из АВТОЗАГРУЗКИ… Там столько всякого барахла загружаетя…Всякие там асистенты и тому подобного гомна ))) Благо программ для этого много, удачи!

спасибо за данную статью, но столкнулся с небольшими трудностями, процесс грузит систему на 8 — 15% постоянно, бывает на несколько секунд поднимает до 90 и снова 8 — 15… PID всегда разный и диспетчер его не отслеживает как и сам процесс, вижу его только в гаджете на раб столе (( подскажите что делать ??

В моём случае загрузка процессом WmiPrvSE.exe было на 12% и виновником оказался гаджет для рабочего стола в Windows 7.

А я просто добавил к заблокированным (карантин) в AnVir Task Manager. В работе системы к худшему ничего не изменилось. Если что-то пойдёт не так, верну из карантина, вот и всё.

Спасибо автору за наводку. У меня Win 7 x64. wmiprvse.exe постоянно дергал диск. Мне помог вот такой алгоритм: Все делаем, как описано выше. Доходим до WMI-Activity. Включаем журналы. У меня кривизна была в ключе реестра HKEY_CLASSES_ROOTWow6432NodeCLSID . Его надо удалить. Сказано об этом здесь: https://social.technet.microsoft.com/Forums/windows/en-US/2f85b084-f204-43a5-b08e-33fbf21333dc/wmi-provider-registered-in-syswow64-but-cimwin32dll-is-not-there-x64?forum=w7itprogeneral Для того, чтобы удалить, нужно запустить regedit с правами администратора и сделать себя владельцем ветки D63A5850-8F16-11CF-9F47-00AA00BF345C, дать полные права. После чего делаем ребут системы.

Спасибо за ценный совет

Это еб*н*я фигня жаловалась на скайп

Автор, Oleg, спасибо за ценный совет

Спасибо огромное автору, что не поленился написать статью. Давно пользуемся этими принтерами, а с проблемой столкнулся в первый раз. Статья помогла!

Прошу помочь подсказкой. В «Просмотре событий» WMI-Activity/Trace выдает окно «ошибка запроса». Предлагается выключить «активизированный прямой канал». — В журнале пусто.

Что за «канал» и как его отключить?

Специально зайду, чтобы поблагодарить — отличный подход в решение проблемы

У меня вредоносным оказался SWMAgent — гулпая система обновления от Samsung

Спасибо за статью, но у меня вот какая проблема c WmiPrvSE.exe. Система грузится на 4-5%. Операционная система win 10. ClientProcessId = 672 — это служба Appinfo, которая обеспечивает выполнение интерактивных приложений с дополнительными административными привилегиями. Группа netsvcs. И куда копать дальше?

У меня эту службу все время дергал (вызывал) антивирус AVG .

Дякую. стаття супер! в мене будоражив ліннововський GameConfig.exe

Спасибо! Везде пишут массу бесполезных слов, а тут все четко и осмысленно. У меня WmiPrvSE вызывал небольшую постоянную нагрузку (5-15%) из-за того, что использовалось быстрое переключение между пользователями в Windows 10. Закрыл ненужный фоновый сеанс — проблема ушла.

Статья то полезная,но увы я в половине не разобралась.У меня WINDOWS 7 Максимальная,где искать Event Viewer так и не нашла,В итоге запустила его с командной строки.Я хоть и чайник в таких делах,Но 5 лет в браке с программистом делают свое дело.Итак…Зашла я в программку Event Viewer,выполнила все пункты,НО у меня никаких событий в журнале не появилось!а процесс так и грузится..Расскажу с чего все началось,авось поможет кто умненький=)) Дело было так… Включаю комп,у меня черный экран и что то выдает…из всего что я поняла это как зайти в биос.Благо у меня биос на русском,полазила,вышла…думаю ну все не будет комп работать…=(((В биосе я НИЧЕГО НЕ МЕНЯЛА. Винда кое как загрузилась,звезда в шоке.Загрузилась….и наала жестко тупить и тормозить.Еле как открыла Диспечер задач,увидела что все бездействие съедает процесс WmiPrvSE.После трех попыток убить его,поняла что это бесполезно,и полезла на сайт.Что делать то мне. З.Ы перед включением компа поменяла клавиатуру.

З.З.Ы Если не сложно ответьте на почту

А что делать если параметр ClientProssed не появоляется вообще?

Что то не работает этот способ всё делаю как надо , службу нахожу которая нужна отрубаю но ничиго не происходит , он только меняет PID при обновлении и снова нагружает систему ! Отрубать все службы поочерёдно мне как то не хочеться боюсь что что то сломаю….. Задолбал меня этот проццесс уже помогите!

млять, что за Евент Вивер хз… у меня ХР. где искать этот ваш вивер ХУЙ ЕГО ЗНАЕТ. АААааааааааааааа.