Antimalware Service Executable : CPU élevé
Réponse courte : Antimalware Service Executable (MsMpEng.exe) est la protection en temps réel de Windows Defender, et au repos il devrait utiliser 1 à 5 % du CPU. Une utilisation élevée et durable signifie presque toujours qu'une analyse est bloquée, qu'un second antivirus entre en conflit avec lui, ou que Defender ré-analyse un énorme dossier qui change sans arrêt. Limitez l'analyse avec Set-MpPreference -ScanAvgCPULoadFactor, déplacez l'analyse planifiée aux heures creuses et excluez les dossiers de synchronisation ou de compilation bruyants ; ne désactivez pas Defender.
Antimalware Service Executable est le processus de protection en temps réel de Windows Defender, MsMpEng.exe. Au repos, il devrait tourner autour de 1 à 5 pour cent. Quand il grimpe et y reste, c’est presque toujours l’une de trois choses : une analyse bloquée, Defender qui se bagarre avec un second antivirus, ou qui mouline un énorme dossier encore et encore. Parcourez-les dans cet ordre.
La raison pour laquelle je dis « dans cet ordre », c’est que les gens sautent direct à l’option nucléaire — couper la protection en temps réel — et c’est à la fois la pire solution et rarement le vrai problème. Une analyse est censée être temporaire. Si MsMpEng monte à 40 pour cent pendant dix minutes lors d’une analyse planifiée puis redescend, tout va bien. Ce que vous traquez, c’est la version qui ne redescend pas.
Est-ce vraiment un problème ?
Regardez l’heure avant de changer quoi que ce soit. Vous venez d’installer des mises à jour ? C’est l’heure de votre analyse planifiée ? Alors un pic de CPU, c’est le processus qui fait son travail, et ça passera. AV-Comparatives réalise un test de performance chaque année, et la protection en temps réel de Defender bouge à peine l’aiguille sur le quotidien — copier des fichiers, ouvrir des applis, naviguer. La protection n’est pas ce qui rend une machine saine lente. Donc la version qui vous concerne est étroite : bloqué à 50 pour cent pendant que vous lisez juste vos e-mails, ou encore en train de mouliner quinze minutes après qu’une analyse aurait dû se terminer. Celle-là est réelle.
Un détail qui piège les gens : le chiffre que vous voyez est partagé. Sur un portable quadricœur, MsMpEng affichant 25 pour cent au total peut vouloir dire qu’il sature un cœur complètement pendant que les autres sont au repos. Triez le Gestionnaire des tâches par la colonne CPU et observez-le une minute avec la vitesse de mise à jour sur Faible, pour qu’un sursaut d’une seconde ne vous lance pas sur la mauvaise piste.
Trouvez sur quoi il s’étrangle
Avant de commencer à changer des réglages, trouvez sur quoi Defender travaille réellement, car la solution dépend de la réponse.
Ouvrez Sécurité Windows, allez dans Protection contre les virus et menaces et regardez l’Historique de la protection. Ce que vous cherchez, c’est une analyse qui a démarré et n’a jamais signalé sa fin. Le dossier sur lequel elle est bloquée se trouve plus en profondeur, dans l’Observateur d’événements : Journaux des applications et des services, puis Microsoft, Windows, Windows Defender, Operational. Faites défiler les dernières heures. Un événement d’analyse démarrée sans analyse terminée correspondante, voilà votre réponse.
Neuf fois sur dix, le coupable est un seul dossier géant rempli de fichiers qui changent sans arrêt. Un dossier Téléchargements avec des torrents à moitié finis. Un dossier d’images disque de machines virtuelles. Une bibliothèque Steam. L’arborescence node_modules d’un développeur avec cent mille fichiers minuscules. Defender les ré-analyse à chaque changement à l’intérieur, et si quelque chose les change en permanence, il ne s’arrête jamais.
Il y a un second schéma à connaître. Si l’utilisation élevée apparaît à la même heure chaque jour plutôt qu’en continu, elle n’est pas bloquée du tout : c’est l’analyse planifiée qui tombe pendant que vous utilisez la machine. Celle-là a une solution totalement différente d’une analyse réellement coincée.
Réglez-le selon la vraie cause
Je vais les passer en revue dans l’ordre où je les aborde, qui n’est pas l’ordre de la plupart des guides, parce que la plupart commencent par la dangereuse.
Plafonnez le CPU qu’une analyse a le droit de prendre. C’est le réglage que presque personne ne mentionne et c’est la solution la plus propre quand les analyses sont le problème. Ouvrez PowerShell en administrateur et lancez Set-MpPreference -ScanAvgCPULoadFactor 30. Cela dit à Defender de tenir ses analyses à une moyenne de 30 pour cent de CPU au lieu des 50 par défaut ; la valeur accepte n’importe quel nombre de 5 à 100, selon la propre documentation de Microsoft. Tant que vous y êtes, Set-MpPreference -EnableLowCpuPriority $true pousse les analyses planifiées en basse priorité pour qu’elles cèdent le pas à ce que vous faites. Lancez Get-MpPreference | Select ScanAvgCPULoadFactor, EnableLowCpuPriority ensuite pour confirmer que ça a pris. Cela n’affaiblit en rien la protection ; ça empêche juste les analyses de dévorer la machine.
Déplacez l’analyse planifiée à une heure où personne n’utilise l’ordinateur. Si votre CPU élevé est du type tous-les-jours-à-la-même-heure, c’est la bonne. Ouvrez le Planificateur de tâches, dépliez Bibliothèque du Planificateur de tâches, Microsoft, Windows, Windows Defender, et ouvrez Windows Defender Scheduled Scan. Dans l’onglet Conditions, vous pouvez lui dire de ne démarrer que lorsque l’ordinateur est inactif, et dans Déclencheurs vous pouvez le déplacer au milieu de la nuit. La planification par défaut a la fâcheuse habitude de se déclencher dès que votre machine se réveille, c’est-à-dire pile quand vous voulez vous en servir.
Excluez les dossiers réécrits en permanence, pas Defender lui-même. Les dossiers de synchronisation cloud sont les pires ici, parce qu’OneDrive, Google Drive et Dropbox téléchargent et réécrivent des fichiers toute la journée, et chaque écriture déclenche une ré-analyse. Dans Sécurité Windows, Protection contre les virus et menaces, Gérer les paramètres, Exclusions, ajoutez le dossier de synchronisation ou le répertoire de sortie de compilation précis qui cause l’agitation. Soyez précis là-dessus. Exclure tout le disque C vide de son sens le fait d’avoir Defender, et exclure MsMpEng.exe de lui-même — ce que plusieurs guides suggèrent — ne sert à rien, parce que la liste d’exclusions concerne ce qui est analysé, pas l’analyseur.
Assurez-vous de ne pas faire tourner deux moteurs antivirus. Deux analyseurs en temps réel finissent par s’analyser mutuellement, en boucle, et c’est toute la machine qui paie. Ça arrive plus souvent qu’on ne croit. La raison, c’est que les vieux antivirus ne se désinstallent presque jamais proprement — Norton, McAfee, Avast, ils laissent tous des morceaux qui continuent de se charger au démarrage. Les retirer via Ajouter ou supprimer des programmes ne suffit pas. Chaque éditeur a son propre outil de suppression dédié ; prenez celui-là, lancez-le, redémarrez.
Il existe une version de la boucle que Defender crée tout seul. Il analyse sa propre quarantaine et son cache. Il analyse le dossier Téléchargements — le même dossier où il dépose sans cesse de nouvelles mises à jour de définitions. Et ça tourne en rond, et de l’extérieur ça ressemble à un processus emballé. J’ai vidé un dossier Téléchargements engorgé et vu le problème disparaître sans toucher au moindre réglage.
Quand c’est la mémoire, pas le CPU
Beaucoup de gens arrivent ici parce que MsMpEng dévore la RAM plutôt que le CPU, et les deux ont des seuils de « normal » différents. Quelques centaines de mégaoctets, c’est bien : c’est le moteur et ses définitions chargés en mémoire pour vérifier les fichiers rapidement. Cela ne mérite un second regard que lorsqu’il enfle jusqu’aux gigaoctets et y reste.
Une mémoire élevée signifie presque toujours que Defender lit quelque chose de gros et le garde pendant qu’il travaille. S’il tombe sur un dossier d’archives de plusieurs gigaoctets ou d’images disque de machines virtuelles, il en charge des morceaux en RAM ; le chiffre suit la taille de ce qu’il mâche. La solution est donc la même que pour le CPU : les exclusions l’empêchent de charger ces fichiers encore et encore. La planification aux heures creuses aide aussi. La mémoire retombe à la seconde où l’analyse se termine.
Ce que je ne ferais pas, c’est courir après un chiffre de mémoire qui ne dérange en rien. Si MsMpEng utilise un gigaoctet pendant une analyse et que votre machine en a 16 et tourne bien, laissez : c’est le processus qui utilise la mémoire disponible parce qu’elle est là, et c’est à ça que sert la mémoire. Le cas qui compte, c’est la RAM qui grimpe et ne se libère jamais même sans analyse en cours, sur une machine qui rame et fait du swap. C’est un autre diagnostic, et c’est rarement la faute de Defender seul.
Pourquoi « couper Defender, point » n’est pas la solution
Désactiver la protection en temps réel fera baisser le chiffre, c’est certain. Cela laisse aussi la machine sans rien pour la surveiller, et sur Windows actuel elle se réactivera de toute façon après un redémarrage, sauf à aller plus loin que vous ne le devriez. La bonne forme de la solution, c’est brider l’analyse, la replanifier et exclure les dossiers bruyants : vous gardez la protection et perdez le ralentissement. Si vous avez vraiment besoin de la couper pour une tâche précise, il existe un ordre d’opérations correct impliquant la Protection contre les falsifications plutôt que de simplement actionner l’interrupteur.
Si MsMpEng reste bloqué après tout ça, sans aucune analyse en cours et sans second antivirus installé, traitez-le comme un symptôme et non comme la maladie. Un processus qui porte le nom de Defender mais vit dans un dossier temporaire au lieu de System32 est un logiciel malveillant déguisé, et que le vrai soit bloqué à ce point peut pointer vers des définitions corrompues ou un disque qui lâche en dessous. Passé les réglages ci-dessus, vous entrez dans le territoire des journaux de l’Observateur d’événements et du traçage au niveau processus : le genre de travail qui prend quelques heures à éplucher à la main, et où faire vérifier à distance par quelqu’un règle souvent l’affaire plus vite qu’un autre après-midi d’essais et d’erreurs.
Questions Fréquentes
Est-il normal qu'Antimalware Service Executable utilise autant de CPU ?
Au repos, MsMpEng.exe devrait être entre 1 et 5 % de CPU. Un pic bref pendant une analyse planifiée ou juste après une mise à jour est normal et passe tout seul. Ce qui n'est pas normal, c'est une utilisation élevée durable pendant des tâches légères, ou une analyse qui tourne encore quinze minutes après qu'elle aurait dû finir. Les tests indépendants d'AV-Comparatives montrent que la protection en temps réel de Defender affecte à peine les tâches quotidiennes, donc une machine saine ne devrait pas ramer à cause de lui : une utilisation élevée durable signifie que quelque chose est bloqué, pas que le processus travaille dur.
Puis-je désactiver Antimalware Service Executable définitivement et sans risque ?
Vous pouvez couper la protection en temps réel, mais c'est la mauvaise solution et cela laisse votre PC sans protection. Sur Windows actuel, la Protection contre les falsifications la réactive aussi après un redémarrage, sauf si vous la désactivez d'abord, ce qu'il ne faut pas faire à la légère. La bonne approche est de brider le CPU de l'analyse avec Set-MpPreference -ScanAvgCPULoadFactor, de replanifier les analyses aux heures creuses et d'exclure les dossiers qui provoquent des ré-analyses constantes. Vous gardez la protection et supprimez le ralentissement.
Pourquoi Antimalware Service Executable utilise-t-il autant de mémoire (RAM) ?
Quelques centaines de mégaoctets, c'est normal : c'est le moteur et ses définitions chargés en mémoire pour vérifier les fichiers rapidement. Cela ne compte que lorsqu'il grimpe à plusieurs gigaoctets et y reste, ce qui signifie en général que Defender analyse quelque chose de gros (archives de plusieurs gigaoctets, images disque de machines virtuelles) et le garde en mémoire. Les mêmes exclusions de dossiers qui règlent le CPU élevé règlent ceci, car elles empêchent Defender de recharger ces énormes fichiers encore et encore. La RAM qui ne se libère jamais même sans analyse en cours est un autre problème, et c'est rarement la faute de Defender.
Pourquoi utilise-t-il beaucoup de CPU alors que je ne lance aucune analyse ?
La protection en temps réel analyse chaque fichier dès qu'on y accède, donc un dossier qui change sans arrêt — un dossier de synchronisation cloud, un dossier de sortie de compilation, un dossier Téléchargements actif — le maintient au travail même sans analyse manuelle. Une analyse planifiée qui se lance pendant que vous utilisez le PC ressemble à la même chose. Vérifiez l'historique de protection dans Sécurité Windows et le journal Operational de Windows Defender dans l'Observateur d'événements pour voir ce qu'il analyse réellement.
L'ajouter à la liste d'exclusions corrige-t-il l'utilisation CPU élevée ?
Ajouter MsMpEng.exe à sa propre liste d'exclusions ne sert à rien : la liste d'exclusions contrôle ce qui est analysé, pas l'analyseur lui-même. Ce qui marche, c'est d'exclure les dossiers de données précis qui sont réécrits sans arrêt (dossiers de synchronisation cloud, sorties de compilation, grandes bibliothèques de jeux), pour que Defender cesse de les ré-analyser à chaque changement. Soyez précis : exclure tout le disque viderait de son sens le fait d'avoir Defender.