svchost.exe คืออะไร? ทำไมมีเยอะ และตัวไหนคือไวรัสแอบอ้าง

ถ้าคุณเคยเปิด Task Manager แล้วเห็น svchost.exe โผล่มาเป็นโหล แล้วถามตัวเองว่า 'นี่มันไวรัสหรือเปล่า?' — คุณไม่ได้คิดผิดที่จะตั้งคำถาม แต่ความจริงคือ svchost.exe แทบทั้งหมดที่เห็นนั้นคือ 'ตัวดี' ที่ Windows ต้องใช้ทำงานทุกวัน ปัญหาคือไวรัสบางตัวฉลาดพอที่จะแอบใช้ชื่อเดียวกันนี้มาหลอก และบทความนี้จะสอนคุณแยกให้ออกด้วยตาเปล่า

svchost.exe คืออะไรกันแน่?

svchost.exe ย่อมาจาก Service Host ทำหน้าที่เป็น 'ตัวกลาง' ในการรัน Windows Services ต่างๆ ที่ไม่มี UI ให้เห็น เช่น Windows Update, Bluetooth, Audio หรือ Network

เหตุผลที่มันโผล่หลายตัวพร้อมกันคือ Windows จงใจออกแบบให้แต่ละ svchost.exe รับผิดชอบ Service กลุ่มหนึ่งแยกจากกัน เพื่อให้ถ้า Service ไหนพังก็ไม่ลากทุกอย่างล่มพร้อมกัน ถือว่าเป็น Architecture ที่ฉลาดมาก

จุดเริ่มต้นของมันอยู่ใน Windows 2000 และยังคงอยู่มาจนถึง Windows 11 ปัจจุบัน ถือเป็น Process ที่อยู่คู่ Windows มานานกว่า 25 ปีแล้ว

—

ทำไม Task Manager ถึงมี svchost.exe เต็มไปหมด?

ใน Windows 10 และ 11 คุณอาจเห็น svchost.exe มากกว่า 10–20 ตัวพร้อมกัน นั่นเป็นเรื่องปกติทั้งหมด เพราะ Microsoft เปลี่ยน Policy ใน Windows 10 ให้แต่ละ Service แยกออกมารัน svchost.exe ของตัวเองเลย

ข้อดีคือ:

• ระบบเสถียรขึ้น — Service พังตัวเดียวไม่กระทบตัวอื่น
• ตรวจสอบง่ายขึ้น — รู้ชัดว่า Service ไหนกิน RAM/CPU เท่าไหร่
• ความปลอดภัยสูงขึ้น — แต่ละ Service มีสิทธิ์ถูกจำกัดแยกกัน

ถ้าอยากรู้ว่า svchost.exe แต่ละตัวทำอะไร ให้คลิกขวาที่มันใน Task Manager แล้วเลือก 'Go to Services' จะเห็นทันทีว่ามันดูแล Service อะไรอยู่

—

วิธีแยก svchost.exe ตัวจริง กับ ไวรัสแอบอ้าง

นี่คือส่วนสำคัญที่สุด ไวรัสและ Malware หลายตัวจงใจตั้งชื่อตัวเองว่า svchost.exe เพราะรู้ว่าคนส่วนใหญ่ไม่กล้าลบอะไรที่ดูเหมือนของระบบ

1. เช็ก Location ของ File

svchost.exe ตัวจริงจะอยู่ที่เดียวเท่านั้น:

C:\Windows\System32\svchost.exe

วิธีเช็ก: คลิกขวาที่ svchost.exe ใน Task Manager → 'Open file location'

ถ้า Path มันอยู่ที่อื่น เช่น Desktop, AppData หรือโฟลเดอร์แปลกๆ — อันนั้นน่าสงสัยมาก

2. ดู Parent Process

ใน Task Manager (มุมมอง Details) สังเกตว่า svchost.exe ตัวนั้นถูกเรียกโดย Process อะไร

• svchost.exe ตัวจริง จะถูกเรียกโดย `services.exe` เสมอ
• ถ้าถูกเรียกโดย Process แปลกๆ ที่ไม่ใช่ `services.exe` — ให้สงสัยไว้ก่อน

ดูได้ง่ายขึ้นด้วยโปรแกรมฟรีอย่าง Process Explorer จาก Microsoft Sysinternals ซึ่งแสดง Process Tree ให้เห็นชัดเจนกว่า Task Manager มาก

3. สังเกตชื่อที่ผิดเพี้ยน

ไวรัสบางตัวขี้เกียจ ตั้งชื่อใกล้เคียงแต่ไม่เหมือนกัน เช่น:

• `svch0st.exe` (ใช้เลข 0 แทนตัว o)
• `svchost32.exe`
• `svhost.exe` (ขาดตัว c)
• `svchos.exe` (ขาดตัว t)

ชื่อพวกนี้ไม่ใช่ของระบบ Windows แน่นอน

4. เช็ก Digital Signature

คลิกขวาที่ไฟล์ → Properties → แท็บ Digital Signatures

svchost.exe ตัวจริงจะมีลายเซ็น Microsoft ที่ถูกต้อง ถ้าไม่มีลายเซ็นหรือลายเซ็นผิดปกติ ให้ระวังไว้

5. ดู CPU/RAM ที่ใช้

ถ้า svchost.exe ตัวใดตัวหนึ่งกิน CPU สูงผิดปกติตลอดเวลา (เช่น 80–100% นานๆ) อาจมีสาเหตุจาก:

• Windows Update กำลังทำงาน — ปกติชั่วคราว
• Malware แอบซ่อน — ต้องตรวจสอบ Location และ Signature เพิ่ม

—

ทำอย่างไรถ้าเจอ svchost.exe ต้องสงสัย?

1. อย่าเพิ่งลบ — ถ้าเป็นตัวจริง ระบบอาจพังได้

2. Scan ด้วย Windows Defender หรือโปรแกรม Antivirus ที่อัปเดตแล้ว

3. ใช้ Malwarebytes (มี Free Version) สแกนเพิ่มเติม

4. ใช้ Process Explorer ของ Sysinternals เพื่อดูข้อมูลเชิงลึก

5. ถ้ายังไม่แน่ใจ ให้โพสต์ถามในกลุ่มหรือ Community ก่อนทำอะไร

—

สรุปแบบจำง่าย: 3 ข้อที่ต้องจำ

• Path ถูกต้อง = `C:\Windows\System32\svchost.exe`
• Parent Process ถูก = ถูกเรียกโดย `services.exe`
• มี Microsoft Signature = ลายเซ็นดิจิทัลครบ

ถ้าครบสามข้อ — มันคือตัวดี ไม่ต้องกลัว

svchost.exe ไม่ใช่ศัตรู แต่เป็นหนึ่งในฟันเฟืองสำคัญที่ทำให้ Windows ทำงานได้อย่างเสถียร การเข้าใจว่ามันคืออะไรและรู้วิธีตรวจสอบ ทำให้คุณไม่ต้องกลัวทุกครั้งที่เปิด Task Manager อีกต่อไป และที่สำคัญกว่านั้นคือคุณจะแยกออกได้ทันทีเมื่อมีตัวปลอมแอบซ่อนอยู่

รู้จัก svchost.exe มากขึ้นแล้วใช่ไหม? แชร์บทความนี้ให้เพื่อนที่เคยกลัว Task Manager ได้อ่านกันด้วย และถ้าอยากรู้เรื่อง Windows Process ตัวไหนอีก คอมเมนต์บอกเราได้เลย! ติดตาม The Tower Computer เพื่อไม่พลาดความรู้ดีๆ แบบนี้ทุกวัน