Was ist „COM Surrogate“ (dllhost.exe) und warum läuft es auf meinem PC?

Wenn Sie in Ihrem Task-Manager herumstöbern, besteht eine gute Chance, dass ein oder mehrere „COM Surrogate“-Prozesse auf einem Windows-PC ausgeführt werden. Diese Prozesse haben den Dateinamen „dllhost.exe“ und sind Teil des Windows-Betriebssystems. Sie werden sie unter Windows 10, Windows 8, Windows 7 und sogar früheren Versionen von Windows sehen.

Dieser Artikel ist Teil unserer fortlaufenden Serie, in der verschiedene Prozesse im Task-Manager erläutert werden, wie Runtime Broker, svchost.exe, dwm.exe, ctfmon.exe, rundll32.exe, Adobe_Updater.exe und viele andere. Sie wissen nicht, was diese Dienste sind? Fangen Sie besser an zu lesen!

Was ist COM-Ersatz (dllhost.exe)?

COM steht für Komponentenobjektmodell. Dies ist eine Schnittstelle, die Microsoft bereits 1993 eingeführt hat und die es Entwicklern ermöglicht, „COM-Objekte“ mit einer Vielzahl verschiedener Programmiersprachen zu erstellen. Im Wesentlichen fügen sich diese COM-Objekte in andere Anwendungen ein und erweitern sie.

Der Windows-Dateimanager verwendet beispielsweise COM-Objekte, um Miniaturansichten von Bildern und anderen Dateien zu erstellen, wenn er einen Ordner öffnet. Das COM-Objekt verarbeitet die Verarbeitung von Bildern, Videos und anderen Dateien, um die Miniaturansichten zu generieren. Dadurch kann der Datei-Explorer beispielsweise um die Unterstützung neuer Video-Codecs erweitert werden.

Dies kann jedoch zu Problemen führen. Wenn ein COM-Objekt abstürzt, wird es seinen Hostprozess beenden. An einem Punkt war es üblich, dass diese Miniaturansichten generierenden COM-Objekte abstürzten und den gesamten Windows Explorer-Prozess mit ihnen beendeten.

Um diese Art von Problem zu beheben, hat Microsoft den COM Surrogate-Prozess entwickelt. Der COM-Ersatzprozess führt ein COM-Objekt außerhalb des ursprünglichen Prozesses aus, der es angefordert hat. Wenn das COM-Objekt abstürzt, wird nur der COM-Surrogate-Prozess beendet und der ursprüngliche Hostprozess stürzt nicht ab. Beispielsweise startet Windows Explorer (jetzt bekannt als Datei-Explorer) einen COM-Ersatzprozess, wenn Miniaturbilder generiert werden müssen. Der COM-Surrogate-Prozess hostet das COM-Objekt, das die Arbeit erledigt. Wenn das COM-Objekt abstürzt, stürzt nur das COM-Surrogate ab und der ursprüngliche Datei-Explorer-Prozess wird weiterlaufen.

„Mit anderen Worten“, als offizieller Microsoft-Blog Das alte neue Ding formuliert es so: „Das COM Surrogate ist das Ich habe kein gutes Gefühl bei diesem Code, also werde ich COM bitten, ihn in einem anderen Prozess zu hosten. Wenn es auf diese Weise abstürzt, stürzt der Opferprozess von COM Surrogate anstelle von mir ab Prozess.»

Und wie Sie vielleicht schon vermutet haben, heißt COM Surrogate „dllhost.exe“, da die von ihm gehosteten COM-Objekte .dll-Dateien sind.

Wie kann ich feststellen, welches COM-Objekt ein COM-Surrogate hostet?

Der Standard-Windows-Task-Manager gibt Ihnen keine weiteren Informationen darüber, welches COM-Objekt oder welche DLL-Datei ein COM-Surrogate-Prozess hostet. Wenn Sie diese Informationen sehen möchten, empfehlen wir Microsofts Process Explorer Werkzeug. Laden Sie es herunter und Sie können im Process Explorer einfach mit der Maus über einen dllhost.exe-Prozess fahren, um zu sehen, welches COM-Objekt oder welche DLL-Datei es hostet.

Wie wir im Screenshot unten sehen können, hostet dieser spezielle dllhost.exe-Prozess das CortanaMapiHelper.dll-Objekt.

Kann ich es deaktivieren?

Sie können den COM Surrogate-Prozess nicht deaktivieren, da er ein notwendiger Teil von Windows ist. Es ist wirklich nur ein Containerprozess, der verwendet wird, um COM-Objekte auszuführen, die andere Prozesse ausführen möchten. Beispielsweise erstellt Windows Explorer (oder Datei-Explorer) regelmäßig einen COM-Ersatzprozess, um Miniaturansichten zu generieren, wenn Sie einen Ordner öffnen. Andere von Ihnen verwendete Programme können ebenfalls ihre eigenen COM Surrogate-Prozesse erstellen. Alle dllhost.exe-Prozesse auf Ihrem System wurden von einem anderen Programm gestartet, um etwas zu tun, das das Programm ausführen möchte.

Ist es ein Virus?

Der COM Surrogate-Prozess selbst ist kein Virus und ein normaler Bestandteil von Windows. Es kann jedoch von Malware verwendet werden. Zum Beispiel die Trojan.Poweliks Malware verwendet dllhost.exe-Prozesse, um ihre schmutzige Arbeit zu erledigen. Wenn Sie sehen, dass eine große Anzahl von dllhost.exe-Prozessen ausgeführt wird und diese eine merkliche Menge an CPU verbrauchen, könnte dies darauf hinweisen, dass der COM Surrogate-Prozess von einem Virus oder einer anderen bösartigen Anwendung missbraucht wird.

Wenn Sie befürchten, dass Malware den Prozess dllhost.exe oder COM Surrogate missbraucht, sollten Sie einen Scan mit Ihrem bevorzugten Antivirenprogramm durchführen, um auf Ihrem System vorhandene Malware zu finden und zu entfernen. Wenn Ihr Antivirenprogramm Ihrer Wahl sagt, dass alles in Ordnung ist, Sie aber misstrauisch sind, führen Sie einen Scan mit einem anderen Antivirenprogramm durch, um eine zweite Meinung einzuholen.