บางผู้ใช้สงสัยว่า shellexperiencehost.exe เป็นกระบวนการระบบที่ถูกต้องหรือไม่ หลังจากเห็นใน Task Manager ว่ากระบวนการนี้ใช้ทรัพยากรระบบ (โดยเฉพาะ CPU) อย่างต่อเนื่อง แม้กระบวนการนี้น่าจะเป็น Windows Shell Experience Host ที่แท้จริง แต่ก็อาจเป็นไฟล์ nำออกไปร้ายแรงจากกลุ่มทrojans ที่ใช้ CPU ของเหยื่อขุด Monero หรือสกุลเงินดิจิทัลอื่นๆ
บทความนี้เป็นคู่มืออธิบายเพื่อช่วยให้ผู้ใช้เข้าใจหน้าที่ของ shellexperiencehost.exe และช่วยแยกแยะระหว่างไฟล์ nำออกไปที่แท้จริงและการติดเชื้อทrojans
ShellExperienceHost.exe คืออะไร?
Windows Shell Experience Host เป็นกระบวนการ Windows ที่แท้จริง ให้ฟังก์ชันแสดงแอป Universal ในอินเทอร์เฟซแบบหน้าต่าง โดยปกติกระบวนการนี้จัดการองค์ประกอบกราฟิกหลายอย่างของอินเทอร์เฟซแอป: ความโปร่งใสของแถบงานและเมนู Start, ปฏิทิน, นาฬิกา, พฤติกรรมพื้นหลัง, ภาพการแจ้งเตือน ฯลฯ
เมื่อ Windows Shell Experience Host ถูกนำมาใช้ครั้งแรกกับ Windows 10 เวอร์ชันแรกๆ มีบั๊กและใช้ CPU/RAM มาก แต่หลังอัปเดตล่าสุด ฟังก์ชันของกระบวนการนี้ปรับปรุงมาก
พฤติกรรมปกติของ shellexperiencehost.exe คือใช้ CPU น้อยเกือบศูนย์ แต่ถ้าติดตามใกล้ชิดจะเห็น CPU สูงขึ้นบ้างเมื่อมีการเปลี่ยนแปลงองค์ประกอบกราฟิกใหม่ แล้วกลับมาที่ศูนย์ การใช้หน่วยความจำไม่ควรเกิน 300 MB แม้มีหลายแอปที่ใช้ Windows Shell Experience Host
ภัยคุกคามด้านความปลอดภัย?
หากสงสัยว่า shellexperiencehost.exe ไม่แท้จริง สามารถสืบสวนเพื่อยืนยันหรือปฏิบัติได้ เริ่มจากการตรวจสอบการใช้ทรัพยากรของ shellexperiencehost.exe หากพบว่ากระบวนการนี้ใช้ CPU เกิน 20% อย่างสม่ำเสมอ และ RAM หลายร้อย MB อาจเป็นไฟล์ nำออกไปร้ายแรง
หลังสืบสวน พบทrojans ขุดเหรียญ 2 ตัว (ShellExperienceHost.exe & MicrosoftShellHost.exe) ที่ใช้ CPU ของเหยื่อขุดสกุลเงินดิจิทัล กลุ่มทrojans ที่แฝงตัวเป็นกระบวนการ shellexperiencehost.exe ใช้ขุด Monero
หากสงสัยว่าติดทrojans ตำแหน่งของไฟล์จะเป็นหลักฐานสำคัญ เปิด Task Manager (Ctrl + Shift + Esc) หา shellexperiencehost.exe (Windows Shell Experience Host) ในแท็บ Processes คลิกขวาที่ Windows Shell Experience Host เลือก Open File Location
หมายเหตุ: อาจต้องขยายเมนูแบบเลื่อนลงเพื่อเข้าถึงตำแหน่งของ ShellExperienceHost.exe
ถ้าตำแหน่งที่แสดงอยู่ใน C:\ Windows \ SystemApps \ ShellExperienceHost_cw5n1h2txyewy ไฟล์ nำออกไปไม่ใช่มัลแวร์
ถ้าไฟล์ nำออกไปอยู่ตำแหน่งอื่น และสังเกตเห็นการใช้ทรัพยากรสูงคงที่ โอกาสสูงที่ติดทrojans ขุดเหรียญ วิธียืนยันเร็วคืออัปโหลดไฟล์ nำออกไปไป VirusTotal วิเคราะห์ หากผลบอกว่าเป็นมัลแวร์ ต้องดำเนินการลบออก
หากไม่มีสแกนเนอร์พร้อม แนะนำใช้ Malwarebytes กำจัดเชื้อ
ควรลบ ShellExperienceHost.exe หรือไม่?
หากพบว่า ShellExperienceHost.exe เป็นกระบวนการแท้จริง มีเหตุผลน้อยมากที่จะต้องการปิดหรือลบไฟล์ nำออกไป การปิด ShellExperienceHost.exe จะจำกัดความสามารถของระบบปฏิบัติการในการแสดงภาพร้ายแรง แม้จะลบไฟล์ nำออกไป Windows จะสร้างใหม่ครั้งต่อไปที่รีบูต
ส่วนใหญ่ปัญหา "Shell Experience Host has stopped" ใน Windows 10 ได้รับการแก้ไขโดยอัปเดตล่าสุดแล้ว
