Antimalware Core Service — служба Windows¶

Antimalware Core Service (внутреннее имя — MsSecCore.exe, полное имя службы — «Antimalware Core Service») — системный процесс в операционных системах Windows 10 и Windows 11, отвечающий за ядро антивирусной платформы Microsoft Defender. Служба выполняет роль посредника между пользовательским интерфейсом безопасности Windows и драйверами защиты, обеспечивая запуск сканирования, обновление сигнатур и применение политик безопасности.

¶Назначение и роль в системе

Antimalware Core Service является частью архитектуры Microsoft Defender (ранее известного как Windows Defender), встроенного антивируса Windows. Она была введена в Windows 10 как компонент платформы «Windows Defender Security Center» (в русской локализации — «Безопасность Windows») и продолжает использоваться в Windows 11.

Основные функции службы:

• запуск и координация сканирования файлов, памяти и загруженных процессов;
• взаимодействие с драйвером защиты WdFilter.sys, который перехватывает операции доступа к файлам;
• обработка запросов от приложений и браузеров через API Windows Defender;
• обеспечение работы функции «Облачная защита» (Cloud Protection) — отправки сведений о подозрительных файлах в службы Microsoft для анализа;
• координация работы расширений браузера Microsoft Defender SmartScreen.

Служба запускается автоматически при старте операционной системы и работает в фоновом режиме, потребляя относительно небольшие ресурсы процессора и оперативной памяти.

¶Взаимодействие с другими компонентами

Antimalware Core Service не работает изолированно. Она входит в связку процессов платформы Microsoft Defender:

При попытке запуска сканирования через приложение «Безопасность Windows» запрос передаётся в Antimalware Core Service, которая активирует MsMpEng.exe для выполнения операции. При обновлении сигнатур служба координирует загрузку обновлений через Windows Update и передаёт их движку сканирования.

¶Расположение в файловой системе

Исполняемый файл службы находится по пути:

`` C:\ProgramData\Microsoft\Windows Defender\Platform\<версия>\MsSecCore.exe ``

Папка <версия> содержит номер сборки платформы Defender, которая обновляется чаще, чем сама операционная система — примерно несколько раз в месяц. Это позволяет Microsoft оперативно обновлять компоненты защиты без выпуска полноценных обновлений Windows.

¶Почему процесс может нагружать систему

В ряде случаев пользователи отмечают повышенную нагрузку со стороны Antimalware Core Service и связанных процессов Defender:

• Полное сканирование системы — при первом запуске или по расписанию служба активирует глубокое сканирование всех разделов, что может занять от нескольких минут до нескольких часов в зависимости от объёма данных.
• Конфликт с сторонним антивирусом — если на системе установлено несколько антивирусных решений, они могут конкурировать за доступ к файловой системе, вызывая рост нагрузки.
• Активная облачная защита — отправка хешей и метаданных файлов в облачные службы Microsoft создаёт дополнительную нагрузку на сеть и процессор.
• Индексация и постоянный мониторинг — в режиме реального времени WdFilter.sys перехватывает каждую операцию доступа к файлам, что на устройствах со слабым накопителем (HDD) может ощущаться как подвисание.

Для диагностики нагрузки используется встроенный в Windows монитор ресурсов (Resource Monitor) и диспетчер задач, где процессы Defender отображаются с именами, указанными в таблице выше.

¶Управление службой

Antimalware Core Service зарегистрирована в диспетчере служб Windows (services.msc) и управляется системой автоматически. Ручное отключение службы не рекомендуется: Windows защищает компоненты Defender от удаления или отключения средствами групповой политики, если на устройстве не установлено стороннее антивирусное решение. При установке совместимого стороннего антивируса встроенная защита Windows Defender автоматически переходит в режим пассивного мониторинга, а нагрузка на Antimalware Core Service снижается.

Для проверки состояния службы используется PowerShell-команда Get-MpComputerStatus, а для просмотра журнала событий — оснастка «Просмотр событий» (eventvwr.msc), где записи службы Defender помечаются источником Microsoft-Windows-Windows Defender.

¶Безопасность и типичные проблемы

В редких случаях вредоносное ПО целенаправленно пытается завершить Antimalware Core Service и связанные процессы, чтобы обезвредить защиту системы. Windows Defender реализует механизм самозащиты: попытки завершения процессов со стороны неавторизованных приложений блокируются, а событие фиксируется в журнале безопасности.

Типичные сообщения об ошибках, связанные со службой:

• «Защита в реальном времени отключена» — обычно возникает после конфликта с другим антивирусом или после ручного вмешательства в реестр;
• «Не удалось запустить сканирование» — как правило, связано с повреждением файлов платформы Defender; устраняется переустановкой компонентов через PowerShell (Reset-MpPreference) или средством DISM;
• высокое потребление памяти — часто вызвано утечкой в конкретной сборке платформы; устраняется обновлением Defender через Windows Update.

¶См. также

• Microsoft Defender
• Windows Security Center
• WdFilter

Источники:

• Документация Microsoft Learn: «Microsoft Defender Antivirus»
• Документация Microsoft Learn: «Windows Defender Security Center»
• Техническая документация Windows Internals (M. Russinovich, D. Solomon, A. Ionescu)