Resolver o uso alto de CPU do Antimalware Service Executable
Resposta curta: Antimalware Service Executable (MsMpEng.exe) é a proteção em tempo real do Windows Defender e, em repouso, deve usar de 1 a 5% da CPU. Um uso alto sustentado quase sempre significa que uma verificação travou, que um segundo antivírus está em conflito com ele, ou que o Defender está revarrendo uma pasta enorme que muda o tempo todo. Limite a verificação com Set-MpPreference -ScanAvgCPULoadFactor, mova a verificação agendada para horas ociosas e exclua as pastas de sincronização ou de compilação ruidosas; não desative o Defender.
Antimalware Service Executable é o processo de proteção em tempo real do Windows Defender, o MsMpEng.exe. Em repouso, deve ficar em torno de 1 a 5 por cento. Quando sobe e fica lá, é quase sempre uma de três coisas: uma verificação que travou, o Defender brigando com um segundo antivírus, ou moendo uma pasta enorme repetidas vezes. Percorra-as nessa ordem.
A razão de eu dizer “nessa ordem” é que as pessoas pulam direto para a opção nuclear — desligar a proteção em tempo real — e essa é ao mesmo tempo a pior solução e raramente o problema real. Uma verificação deveria ser temporária. Se o MsMpEng sobe para 40 por cento por dez minutos durante uma verificação agendada e depois cai, não há nada de errado. O que você caça é a versão que não volta a cair.
Isso é realmente um problema?
Olhe o relógio antes de mudar qualquer coisa. Você acabou de instalar atualizações? É a hora em que sua verificação agendada roda? Então um pico de CPU é o processo fazendo seu trabalho, e vai passar. A AV-Comparatives faz um teste de desempenho todo ano, e a proteção em tempo real do Defender mal mexe o ponteiro no dia a dia — copiar arquivos, abrir aplicativos, navegar. A proteção não é o que deixa uma máquina saudável lenta. Então a versão que importa é estreita: travado em 50 por cento enquanto você só lê e-mails, ou ainda moendo quinze minutos depois de uma verificação que deveria ter terminado. Essa é real.
Um detalhe que pega as pessoas: o número que você vê é compartilhado. Num notebook de quatro núcleos, o MsMpEng mostrando 25 por cento no total pode significar que está saturando um núcleo por completo enquanto os outros estão ociosos. Ordene o Gerenciador de Tarefas pela coluna CPU e observe por um minuto com a velocidade de atualização em Baixa, para que um piscar de um segundo não o faça perseguir o problema errado.
Descubra com o que ele está engasgando
Antes de começar a mudar configurações, descubra em que o Defender está realmente trabalhando, porque a solução depende da resposta.
Abra a Segurança do Windows, vá em Proteção contra vírus e ameaças e veja o Histórico de proteção. O que você quer é uma verificação que começou e nunca informou que terminou. A pasta em que ele travou fica mais fundo, no Visualizador de Eventos: Logs de Aplicativos e Serviços, depois Microsoft, Windows, Windows Defender, Operational. Role as últimas horas. Um evento de verificação iniciada sem uma verificação concluída correspondente é a sua resposta.
Nove em cada dez vezes o culpado é um único diretório gigante cheio de arquivos que mudam o tempo todo. Uma pasta de Downloads com torrents pela metade. Uma pasta de imagens de disco de máquinas virtuais. Uma biblioteca da Steam. A árvore node_modules de um desenvolvedor com cem mil arquivos minúsculos. O Defender os revarre toda vez que algo muda lá dentro, e se algo os muda constantemente, ele nunca para.
Há um segundo padrão que vale conhecer. Se o uso alto aparece à mesma hora todo dia em vez de continuamente, ele não está travado: é a verificação agendada caindo enquanto você usa a máquina. Essa tem uma solução completamente diferente da de uma verificação realmente emperrada.
Resolva pela causa real
Vou passar por elas na ordem em que eu as ataco, que não é a ordem que a maioria dos guias usa, porque a maioria começa pela perigosa.
Limite quanta CPU uma verificação pode tomar. Esta é a configuração que quase ninguém menciona e é a solução mais limpa quando as verificações são o problema. Abra o PowerShell como administrador e execute Set-MpPreference -ScanAvgCPULoadFactor 30. Isso diz ao Defender para manter suas verificações numa média de 30 por cento de CPU em vez dos 50 padrão; o valor aceita qualquer número de 5 a 100, conforme a própria documentação da Microsoft. Já que está aí, Set-MpPreference -EnableLowCpuPriority $true empurra as verificações agendadas para baixa prioridade, para cederem ao que você estiver fazendo. Execute Get-MpPreference | Select ScanAvgCPULoadFactor, EnableLowCpuPriority depois para confirmar que pegou. Isso não enfraquece a proteção em nada; só impede que as verificações comam a máquina.
Mova a verificação agendada para uma hora em que ninguém usa o computador. Se a sua CPU alta é do tipo todo-dia-na-mesma-hora, é esta. Abra o Agendador de Tarefas, expanda Biblioteca do Agendador de Tarefas, Microsoft, Windows, Windows Defender, e abra Windows Defender Scheduled Scan. Na aba Condições você pode dizer para começar só quando o computador estiver ocioso, e em Disparadores você pode movê-la para o meio da noite. O agendamento padrão tem o hábito de disparar assim que sua máquina acorda, que é justo quando você quer usá-la.
Exclua as pastas que são reescritas o tempo todo — não o Defender em si. As pastas de sincronização na nuvem são as piores aqui, porque OneDrive, Google Drive e Dropbox baixam e reescrevem arquivos o dia inteiro, e cada escrita dispara uma revarredura. Na Segurança do Windows, Proteção contra vírus e ameaças, Gerenciar configurações, Exclusões, adicione a pasta de sincronização ou o diretório de saída de compilação específico que causa o vaivém. Seja preciso nisso. Excluir o disco C inteiro anula o sentido de ter o Defender, e excluir o MsMpEng.exe de si mesmo — o que vários guias sugerem — não adianta nada, porque a lista de exclusões é para o que é verificado, não para o verificador.
Garanta que você não está rodando dois mecanismos de antivírus. Dois verificadores em tempo real acabam verificando um ao outro, em loop, e a máquina inteira paga por isso. Acontece mais do que se imagina. O motivo é que antivírus antigo quase nunca se desinstala direito — Norton, McAfee, Avast, todos deixam pedaços para trás que continuam carregando na inicialização. Removê-los por Adicionar ou remover programas não basta. Cada fabricante tem sua própria ferramenta de remoção dedicada; pegue essa, execute, reinicie.
Há uma versão do loop que o Defender cria sozinho. Ele verifica a própria quarentena e o cache. Ele verifica a pasta de Downloads — a mesma pasta onde fica jogando novas atualizações de definições. Roda e roda, e de fora parece um processo descontrolado. Já esvaziei uma pasta de Downloads entupida e vi o problema sumir sem tocar em uma única configuração.
Quando é a memória, não a CPU
Muita gente chega aqui porque o MsMpEng está comendo RAM em vez de CPU, e os dois têm limiares diferentes de “normal”. Algumas centenas de megabytes está tudo bem: é o mecanismo e suas definições carregados na memória para verificar arquivos rápido. Só merece um segundo olhar quando dispara para os gigabytes e fica lá.
Memória alta quase sempre significa que o Defender está lendo algo grande e o mantém enquanto trabalha. Se ele bate numa pasta de arquivos compactados de vários gigabytes ou imagens de disco de máquinas virtuais, ele puxa pedaços para a RAM; o número acompanha o tamanho do que ele está mastigando. Então a solução é a mesma da CPU: as exclusões impedem que ele carregue esses arquivos repetidas vezes. Agendar para horas ociosas também ajuda. A memória cai no segundo em que a verificação termina.
O que eu não faria é perseguir um número de memória que não está incomodando de verdade. Se o MsMpEng usa um gigabyte durante uma verificação e sua máquina tem 16 e vai bem, deixe: é o processo usando memória disponível porque ela está ali, que é para isso que serve a memória. O caso que importa é RAM que sobe e nunca é liberada mesmo sem nenhuma verificação rodando, numa máquina que agora está travando e usando paginação. Esse é outro diagnóstico, e raramente é culpa do Defender sozinho.
Por que “só desligar o Defender” não é a resposta
Desativar a proteção em tempo real vai fazer o número cair, com certeza. Também deixa a máquina sem nada vigiando, e no Windows atual ela se reativa após reiniciar de qualquer jeito, a menos que você vá mais longe do que deveria. A forma certa da solução é limitar a verificação, reagendá-la e excluir as pastas ruidosas: você mantém a proteção e perde a lentidão. Se você realmente precisa desligá-la para uma tarefa específica, há uma ordem de operações correta envolvendo a Proteção contra Adulteração em vez de simplesmente acionar o interruptor.
Se o MsMpEng continua travado depois de tudo isso, sem nenhuma verificação rodando e sem um segundo antivírus instalado, trate-o como sintoma e não como a doença. Um processo que carrega o nome do Defender mas vive numa pasta temporária em vez de System32 é malware disfarçado, e o verdadeiro estar travado a esse ponto pode apontar para definições corrompidas ou um disco falhando por baixo. Passadas as configurações acima, você entra no território dos logs do Visualizador de Eventos e do rastreamento em nível de processo: o tipo de trabalho que leva algumas horas para pentear à mão, e onde ter alguém verificando remotamente costuma resolver mais rápido do que outra tarde de tentativa e erro.
Perguntas Frequentes
É normal o Antimalware Service Executable usar tanta CPU?
Em repouso, o MsMpEng.exe deve ficar entre 1 e 5% de CPU. Um pico breve durante uma verificação agendada ou logo após uma atualização é normal e passa sozinho. O que não é normal é uso alto sustentado em tarefas leves, ou uma verificação que ainda roda quinze minutos depois de quando deveria ter terminado. Testes independentes da AV-Comparatives mostram que a proteção em tempo real do Defender mal afeta as tarefas do dia a dia, então uma máquina saudável não deveria ficar lenta por causa dele: uso alto sustentado significa que algo travou, não que o processo está trabalhando duro.
Posso desativar o Antimalware Service Executable de forma permanente e segura?
Você pode desligar a proteção em tempo real, mas é a solução errada e deixa o PC desprotegido. No Windows atual, a Proteção contra Adulteração também a reativa após reiniciar, a menos que você a desative primeiro, o que não deve ser feito sem pensar. A abordagem segura é limitar a CPU da verificação com Set-MpPreference -ScanAvgCPULoadFactor, reagendar as verificações para horas ociosas e excluir as pastas que provocam revarreduras constantes. Assim você mantém a proteção e elimina a lentidão.
Por que o Antimalware Service Executable usa tanta memória (RAM)?
Algumas centenas de megabytes é normal: é o mecanismo e suas definições carregados na memória para verificar arquivos rápido. Só importa quando sobe para vários gigabytes e fica lá, o que costuma significar que o Defender está verificando algo grande (arquivos compactados de vários gigabytes, imagens de disco de máquinas virtuais) e o mantém na memória. As mesmas exclusões de pastas que resolvem a CPU alta resolvem isso, porque impedem o Defender de carregar esses arquivos enormes repetidamente. RAM que nunca é liberada mesmo sem nenhuma verificação em andamento é outro problema e raramente é culpa do Defender.
Por que ele usa muita CPU se não estou executando nenhuma verificação?
A proteção em tempo real verifica cada arquivo quando ele é acessado, então uma pasta que muda o tempo todo — uma pasta de sincronização na nuvem, uma pasta de saída de compilação, uma pasta de Downloads ativa — o mantém trabalhando mesmo sem verificação manual. Uma verificação agendada que dispara enquanto você usa o PC parece a mesma coisa. Confira o histórico de proteção na Segurança do Windows e o log Operational do Windows Defender no Visualizador de Eventos para ver o que ele está verificando de fato.
Adicioná-lo à lista de exclusões resolve o uso alto de CPU?
Adicionar o MsMpEng.exe à própria lista de exclusões não adianta nada: a lista de exclusões controla o que é verificado, não o verificador em si. O que funciona é excluir as pastas de dados específicas que são reescritas o tempo todo (pastas de sincronização na nuvem, saídas de compilação, bibliotecas de jogos grandes), para o Defender parar de revarrê-las a cada mudança. Seja preciso: excluir o disco inteiro anularia o sentido de ter o Defender.