애드소프트 기술블로그
애드소프트 박재호입니다. IIS·ASP.NET 웹 서비스와 메일서버를 직접 운영하고, Unity 게임과 데스크톱 앱을 만들며 겪은 문제와 해결 과정을 기록합니다.
lsass.exe 는 Windows 로그인과 자격 증명을 맡는 로컬 보안 기관 프로세스이고, 정상이라면 PC 에 딱 하나만 있다. 실제 PC 에서 부모 wininit.exe, 보호 수준 4로 시작된 기록, 옆에 붙은 LsaIso.exe 와 Credential Guard 구성을 확인하고, CPU·메모리가 높을 때 볼 곳과 가짜를 구별하는 기준을 정리했다.
WmiPrvSE.exe 는 WMI 질의에 답하는 공급자를 담는 Windows 프로세스다. CPU 가 높을 때 범인은 대개 이 프로세스가 아니라 WMI 에 계속 묻는 다른 프로그램이다. 실제 PC 에서 세 개의 WmiPrvSE 와 부모, WMI-Activity 로그 4일치 1,527건을 열어 공급자와 질의한 프로세스를 찾는 방법을 정리하고 연재를 마무리한다.
Memory Compression, Secure System, Registry, System, System Idle Process, 시스템 인터럽트는 작업 관리자에 이름은 있지만 실행 파일이 없다. 실제 PC 에서 부모 프로세스와 메모리, VBS 상태, 인터럽트 비율을 확인하고 각각이 무엇을 담고 있는지, 숫자가 클 때 어디를 봐야 하는지 정리했다.
작업 관리자에 늘 떠 있는 CTF 로더(ctfmon.exe)는 한글 입력기 같은 텍스트 입력 서비스를 앱에 이어 주는 Windows 프로세스다. 실제 PC 에서 파일 서명과 메모리, 이것을 띄운 Text Input Management Service 와 예약 작업 MsCtfMonitor, 한글 IME 등록 위치를 확인하고, 한글이 안 써질 때 먼저 볼 것을 정리했다.
모니터 네 대를 쓰는 PC 에서 Desktop Window Manager(dwm.exe)는 작업 집합 226MB, 개인 메모리 510MB, 전용 GPU 메모리 약 1.3GB 를 쓰고 있었다. 화면의 모든 창을 한 장으로 합성하는 구조, 모니터 수·해상도·HDR 과 메모리의 관계, 끌 수 없는 이유, 메모리가 계속 늘 때 그래픽 드라이버부터 보는 법을 정리했다.
작업 관리자의 COM Surrogate 는 dllhost.exe 다. 내 PC 에서 10개가 떠 있었고, 명령줄의 /Processid:{...} 를 레지스트리에서 찾아보니 WSL 파일 공유, 압축 프로그램·OneDrive·메모장의 오른쪽 클릭 메뉴 같은 것들이었다. DLL 을 대신 실행해 주는 구조와 썸네일·코덱 문제, 정체를 찾는 명령을 정리했다.
작업 관리자 세부 정보 탭에 conhost.exe 가 49개 떠 있었다. 모두 System32 의 같은 파일이고 Microsoft 서명이 유효했다. 콘솔 프로그램 하나마다 하나씩 붙는 구조, --headless 로 뜨는 의사 콘솔, Windows Terminal 과의 관계, 부모 프로세스로 누가 띄웠는지 찾는 법과 가짜를 구별하는 기준을 정리했다.
Edge 를 열지 않았는데 작업 관리자에 msedgewebview2.exe 가 18개 떠 있었다. Windows 검색, 위젯, 카카오톡이 각각 여섯 개씩 띄운 WebView2 런타임이었다. 명령줄의 --embedded-browser-webview 와 --webview-exe-name 으로 어떤 앱이 띄웠는지 찾는 법, 한 앱에 여섯 개가 붙는 구조, 지우면 안 되는 이유를 정리했다.
작업 관리자의 Antimalware Service Executable 은 Microsoft Defender 바이러스 백신의 엔진 MsMpEng.exe 다. 실제 PC 에서 메모리 377MB, 평소 CPU 1% 미만, 새벽 2시 45분의 2분 16초짜리 빠른 검사 기록을 확인했다. CPU 를 먹는 때가 언제인지, 끄지 않고 검사 시간과 제외 항목으로 다루는 법과 제외 항목의 위험을 정리했다.
작업 관리자의 세부 정보 탭에 svchost.exe 가 101개 있었다. 모두 System32 의 같은 파일이고 Microsoft 서명이 유효했다. 서비스 호스트가 무엇인지, 메모리 3.5GB 를 넘는 PC 에서 서비스가 하나씩 따로 뜨는 이유, tasklist /svc 로 어떤 서비스인지 찾는 법과 CPU 를 먹는 svchost 의 범인을 찾는 순서를 정리했다.