wmiprvse.exe ใน Windows คืออะไร และปลอดภัยไหม?

WMIPrvSe.exe หรือตามคำอธิบายใน Task Manager ระบุว่าเป็น WMI Provider Host ซึ่งเป็นกระบวนการพื้นหลังที่ถูกต้องซึ่งรันทันทีหลังจากบูท Windows 10 แต่มันก็พบใน Windows 7 และ 8 เช่นกัน มันมาจาก Windows Management Instrumentation Provider Host Service และนามสกุล .exe เป็นการบ่งชี้ของไฟล์ executable

ด้วยคุณสมบัตินี้ Windows จัดเตรียมวิธีมาตรฐานสำหรับสคริปต์การบริหารและซอฟต์แวร์ในการขอข้อมูลเกี่ยวกับสถานะของ Windows OS และข้อมูลบนมัน “WMI Providers” จะจัดเตรียมข้อมูลนี้เมื่อถูกขอ ตัวอย่างเช่น ซอฟต์แวร์หรือคำสั่งสามารถค้นหาข้อมูลเกี่ยวกับสถานะของการเข้ารหัสไดรฟ์ BitLocker ดูรายการจาก event log หรือขอข้อมูลจากแอปพลิเคชันที่ติดตั้งซึ่งรวม WMI provider

มันมีประโยชน์อย่างยิ่งสำหรับองค์กรที่จัดการ PC แบบรวมศูนย์ โดยเฉพาะอย่างยิ่งเมื่อข้อมูลสามารถขอได้ผ่านสคริปต์และแสดงในวิธีมาตรฐานในคอนโซลการบริหาร ด้วย WMI Provider Host ไฟล์แมนเนจเจอร์บนระบบองค์กรสามารถกำหนดค่าและค้นหาข้อมูลระบบ เครือข่าย และข้อมูลแอปพลิเคชันในเครือข่าย แม้บนระบบบ้าน บางซอฟต์แวร์ที่ติดตั้งอาจขอข้อมูลเกี่ยวกับ PC ผ่าน WMI Provider Host บางแอปบุคคลที่สามใช้บริการนี้เพื่อเชื่อมต่อกับบริการการตรวจสอบและการจัดการใน Windows มันตั้งอยู่ที่ C:\Windows\System32 โดยค่าเริ่มต้น

นักพัฒนาสามารถใช้ WMI Provider Host เพื่อสร้างแอปการตรวจสอบเหตุการณ์ที่สามารถแจ้งเตือนผู้ใช้เมื่อเหตุการณ์สำคัญเกิดขึ้น โปรแกรมเหล่านี้ยังสามารถแจ้งเตือนผู้ใช้เกี่ยวกับเหตุการณ์สำคัญที่เกี่ยวข้องกับการจัดการไฟล์ เครือข่าย หรือแอปพลิเคชันทันทีหลังจากเกิดเหตุการณ์แต่ละครั้ง

ใน Windows เวอร์ชันก่อนหน้า providers ถูกโหลดแบบ in-process กับ Windows Management service (WinMgmt.exe) รันภายใต้บัญชีความปลอดภัย LocalSystem ความล้มเหลวของ provider ทำให้ WMI service ล้มเหลว และเมื่อคำขอถัดไปไปที่ WMI เซอร์วิสจะรีสตาร์ท แต่ตั้งแต่ Windows XP WMI เป็นส่วนหนึ่งของ shared service host พร้อมบริการอื่นๆ ที่แตกต่างกัน เพื่อหลีกเลี่ยงการหยุดทำงานของทุกบริการเมื่อ provider เดียวล้มเหลว และ providers เป็นส่วนหนึ่งของกระบวนการโฮสต์แยกที่ชื่อ Wmiprvse.exe หลายอินสแตนซ์ ของ Wmiprvse.exe สามารถรันพร้อมกันภายใต้บัญชีที่ต่างกัน: LocalSystem, NetworkService หรือ LocalService แก่นของ WMI คือ WinMgmt.exe ถูกโหลดเข้าไปใน Svchost.exe ซึ่งเป็น shared Local Service host เมื่อเราดูผ่าน process trees ใน Process Explorer จะเปิดเผยว่า WmiPrvSE เป็นส่วนหนึ่งของ Microsoft’s Web-Based Enterprise Management (WBEM), Common Information Model (CIM) & Microsoft Operations Manager (MOM, ซึ่งตอนนี้เรียกว่า SCOM [System Center Operations Manager.])

MOM (SCOM) เป็นผู้จัดระเบียบและส่งเหตุการณ์และการวิเคราะห์ มันจัดการสิทธิ์ความปลอดภัย ความน่าเชื่อถือของเครือข่าย การวินิจฉัย สุขภาพข้อมูล การเขียนรายงาน และการตรวจสอบประสิทธิภาพ

CIM เป็นชุดมาตรฐานที่อนุญาตให้ปฏิบัติตามระหว่างองค์ประกอบที่จัดการโดยโครงสร้างพื้นฐาน IT

WBEM เป็นโปรโตคอลเทคโนโลยีการจัดการระบบแบบเว็บที่อิงตามมาตรฐานอินเทอร์เน็ต ที่เชื่อมต่อกับอินเทอร์เฟซของวิธีที่แอปพลิเคชันหรือระบบปฏิบัติการถูกจัดการ WMI เป็นประมาณวิธีของ Microsoft ในการใช้ WBEM

Web-Based Enterprise Management (WBEM) เป็นมาตรฐานของ Distributed Management Task Force (DMTF) ซึ่งนำไปใช้ใน Windows เป็น WMI (ชุดส่วนขยายของ Windows Driver Model) เพื่อให้ Windows servers และ workstations สามารถเป็นส่วนหนึ่งของเครือข่ายองค์กรซึ่งใช้แอปพลิเคชันการตรวจสอบและควบคุมโครงสร้างพื้นฐานระยะไกลที่สอดคล้องกับ WBEM และ Common Information Model (CIM) WMI “provider” routine รวบรวมและส่งข้อมูลไปยังแอปพลิเคชันการตรวจสอบเกี่ยวกับประสิทธิภาพของกระบวนการหรือระบบย่อย

เรายังสามารถพูดได้ว่า ถ้าไม่มี WmiPrvSE แอปพลิเคชัน Windows จะไม่สามารถจัดการได้ง่าย เพราะกระบวนการโฮสต์ที่อนุญาตให้การจัดการบริการที่จำเป็นทำงานไม่ได้ ผู้ใช้และผู้ดูแลระบบจะไม่น่าจะได้รับการแจ้งเตือนเมื่อเกิดข้อผิดพลาด ใน Process Explorer เราสามารถเห็นได้ว่า WmiPrvSE เป็น child ของ svchost.exe

มันอยู่ใน subdirectory “WBEM” ของ “C:\Windows\System32” มันเป็นไฟล์ระบบหลักของ Windows และ ไม่สามารถถอนการติดตั้งได้ หลายอินสแตนซ์ของมันสามารถรันพร้อมกันได้ แต่ละอันเป็น “host” ใช้งาน WMI “provider” routine

งานผ่านภาษาการเขียนโปรแกรมหรือสคริปติ้งผ่าน WMI การจัดการรายวันสามารถทำได้ เช่น ความสามารถในการรีบูทคอมพิวเตอร์จากระยะไกล เริ่มกระบวนการด้วยตนเองบนระบบระยะไกล นอกจากนี้ WMI ยังสามารถทำ views, querying, event creation, และ remoting ได้

คุณยังสามารถใช้ WMI เองเพื่อค้นหาชิ้นส่วนข้อมูลที่มีประโยชน์หลายอย่างที่ไม่ได้เปิดเผยในอินเทอร์เฟซ Windows ปกติบน PC ของคุณ สำหรับรายละเอียดสมบูรณ์ เยี่ยมชม Microsoft WMI command-line tools เช่น ในภาพด้านล่าง คำสั่ง WMIC ถูกใช้เพื่อทราบรายละเอียดของ PC

Microsoft ยังมีรายการ WMI providers ที่รวมอยู่ในเว็บไซต์ของพวกเขา

ตำแหน่ง Registry และไฟล์ระบบสำหรับ WmiPrvSE

ตำแหน่ง Registry และไฟล์ระบบสำหรับ Wmiprvse.exe คือดังต่อไปนี้:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wbem\CIMOM\CompatibleHostProviders HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wbem\CIMOM\SecuredHostProviders HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Classes\CLSID\{1F87137D-0E7C-44d5-8C73-4EFFB68962F2}\LocalServer32 C:\Windows\System32\wbem\WmiPrvSE.exe 

WmiPrvSE.exe ไม่ได้ใช้ทรัพยากรระบบมากนักปกติ แต่หากกระบวนการอื่นบนระบบของคุณทำงานผิดปกติ WmiPrvSE.exe จะใช้ CPU มาก

WmiPrvSE.exe ปลอดภัยหรือไม่

WmiPrvSE.exe จำเป็นสำหรับ Windows ทำงานอย่างถูกต้อง และเป็นกระบวนการที่ปลอดภัยโดย Microsoft คุณไม่ควรปิดมันหรือทำอะไรกับมัน แต่การทำเช่นนั้นจะไม่ทำให้ระบบล้มเหลวอย่างรุนแรง

ภายใต้เงื่อนไขปกติ WmiPrvSE มีลักษณะระบบเล็ก และรันเฉพาะเมื่อคุณเปิด Windows ครั้งแรก หากกระบวนการทำให้เกิดปัญหา อาจเป็นซอฟต์แวร์ที่เขียนไม่ดีหรือไวรัสอาจทำให้บริการผลักดันการใช้ CPU ไปสู่ระดับสูงผิดปกติที่สามารถทำให้ Windows ตอบสนองไม่ได้ในบางครั้ง การลบแอปที่ผิดปกติหรือไวรัสคือคำตอบในการแก้ไขข้อผิดพลาดที่เกี่ยวข้องกับ Wmiprvse.exe จำไว้ว่าก่อนซ่อมแซมปัญหา ผู้ใช้จะต้องปิดใช้งานหรือหยุดกระบวนการและบริการ WMI ก่อน

แฮกเกอร์สร้างไฟล์พร้อมสคริปต์ไวรัส และตั้งชื่อไฟล์/สคริปต์เหล่านั้นตาม wmiprvse.exe เพื่อเผยแพร่ไวรัสบนอินเทอร์เน็ต

wmiprvse.exe ตั้งอยู่ในไดเรกทอรี C:\WINDOWS\System32\Wbem และในกรณีอื่นๆ ทั้งหมด wmiprvse.exe เป็นไวรัส สปายแวร์ โทรจัน หรือเวิร์ม ตรวจสอบด้วยโปรแกรม Anti-Virus ของคุณ

ตรวจสอบว่า PC ติดเชื้อ wmiprvse.exe malware หรือไม่

ระวังอาการต่อไปนี้เพื่อดูว่ามีความสงสัยว่า PC อาจติดเชื้อ wmiprvse.exe malware:

• การผันผวนของการเชื่อมต่ออินเทอร์เน็ต
• CPU ถูกใช้มากเกินไปโดย wmiprvse.exe
• PC ช้ามาก
• เบราว์เซอร์ถูกเปลี่ยนทางไปเว็บไซต์ที่ไม่เกี่ยวข้องโดยอัตโนมัติ
• โฆษณาและป๊อปอัปที่ไม่ได้ขอมาปรากฏ
• หน้าจอค้างตลอดเวลา

ปฏิบัติตามขั้นตอนด้านล่างเพื่อวินิจฉัย PC สำหรับการโจมตีมัลแวร์/ไวรัสที่เป็นไปได้บน wmiprvse.exe:

1. กด CTRL+ALT+DEL เพื่อเปิด Task Manager
2. หากไฟล์ wmiprvse.exe ไม่อยู่ใน C:\Windows\System32 ให้รันการสแกนเต็มของโปรแกรมแอนติไวรัสเพื่อกำจัดไวรัส/มัลแวร์

มีข้อผิดพลาดอื่นๆ เมื่อพยายามติดตั้งซอฟต์แวร์อื่น

• Exe Application Error.
• exe is not a valid Win32 application.
• exe has encountered a problem and needs to close. We are sorry for the inconvenience.
• Cannot find wmiprvse.exe.
• exe not found.
• Error starting program: wmiprvse.exe.
• exe is not running.
• exe failed.
• Faulting Application Path: wmiprvse.exe.

จากนั้นรันการสแกนเต็มของโปรแกรมแอนติไวรัสเพื่อกำจัดไวรัส/มัลแวร์ ต่อไปนี้เป็นตัวอย่างมัลแวร์บางอย่างที่แฝงตัวเป็น Wmiprvse.exe

1. Virus: Win32/Virut.BO ซึ่งตรวจจับโดย Microsoft
2. 25CU14/TROJ_SPNR.25D514 ซึ่งตรวจจับโดย TrendMicro

ดังนั้น จึงเป็นความคิดที่ดีเสมอที่จะตรวจสอบกระบวนการ WmiPrvSE.exe บน PC หากมันเป็นภัยคุกคามหรือไม่

แนวทางปฏิบัติที่ดีที่สุดสำหรับการแก้ไขปัญหา WmiPrvSE

PC ที่สะอาดและเรียบร้อยเป็นข้อกำหนดพื้นฐานเพื่อหลีกเลี่ยงปัญหากับ WmiPrvSE ปฏิบัติตามขั้นตอนที่กล่าวมาด้านล่างเพื่อให้แน่ใจว่าคุณปลอดภัย:

1. รัน cleanmgr
   
   
2. จากนั้นรัน sfc /scannow,
3. ถอนการติดตั้งโปรแกรมที่ไม่จำเป็นแล้ว
4. ตรวจสอบแอป Autostart โดยใช้ msconfig
   
   
5. เปิดใช้งาน Windows’ Automatic Update.
6. ทำการสำรองข้อมูลเป็นระยะ หรือตั้ง restore points และหากคุณประสบปัญหา ลองจำได้ว่าการกระทำล่าสุดที่คุณทำ หรือแอปพลิเคชันล่าสุดที่ติดตั้งก่อนที่ปัญหาจะปรากฏครั้งแรก
7. ใช้คำสั่ง resmon เพื่อระบุกระบวนการที่ก่อให้เกิดปัญหา
8. แม้สำหรับปัญหาที่รุนแรง ลองซ่อมแซมแทนการติดตั้ง Windows ใหม่ สำหรับ Windows 8 & 10 ให้รัน

   DISM.exe /Online /Cleanup-image /Restorehealth

   คำสั่ง ซึ่งจะซ่อมแซมระบบปฏิบัติการโดยไม่สูญเสียข้อมูลใดๆ