Windows 10のCOMサロゲートとは？ウイルスかどうかの見分け方を解説

タスクマネージャーを開いたとき、「COMサロゲート」というプロセスを目にしたことはありませんか？プロセス一覧を眺めていたら、自分のPCでも2つ動作していることに気づいたという人も多いはずです。

タスクマネージャーに並ぶ各プロセスが何をしているのかを理解するのは、意外と難しいものです。たとえばsvchost.exeは複数のWindowsサービスをホストするプロセスで、常時10〜15個ほど起動していることも珍しくありません。

この記事では、Windows 10におけるCOMサロゲートの正体と、心配する必要があるのかどうかをわかりやすく解説します。

COMサロゲートとは何か？

COMサロゲートは、名前だけでは何をしているのかまったく想像がつかないプロセスの一つです。独自のアイコンもなく、詳細な情報もほとんど表示されません。

また、複数のCOMサロゲートが同時に実行されていることもあります。タスクマネージャーを開くと、通常は2つ程度確認できるでしょう。

いずれかを右クリックして「詳細へ移動」を選択すると、実際のプロセス名がdllhost.exeであることがわかります。さらに、このプロセスは「System」「ローカルサービス」「ネットワークサービス」などのシステムアカウントではなく、自分のユーザー名で動作している点にも注目してください。

幸いなことに、COMサロゲートは（ほとんどの場合）ウイルスではありません。バックグラウンドで動作する正規のWindows 10プロセスです。「dllhost」という名前なのは、DLLファイルをホストしているためです。これだけではピンとこないと思うので、もう少し詳しく説明しましょう。

Microsoftは、開発者がプログラムに拡張機能を追加できるよう「COMオブジェクト」と呼ばれるインターフェースを用意しています。これはWindows 10本体の一部機能にも使われています。たとえばエクスプローラーには、フォルダー内の画像や動画のサムネイルを生成するためのCOMオブジェクトが組み込まれています。

しかし、このCOMオブジェクトには大きな問題がありました。クラッシュすると、それを呼び出したエクスプローラーごと巻き込んで落ちてしまうのです。つまり、COMオブジェクトが何らかの理由で失敗すると、システム全体が不安定になる恐れがありました。

この問題を解決するために、MicrosoftはCOMサロゲートという仕組みを導入しました。COMオブジェクトを、要求元とは別の独立したプロセス上で実行するようにしたのです。エクスプローラーの例で言えば、COMオブジェクトはexplorer.exe内ではなく、新しく作られたCOMサロゲートのプロセス上で動きます。

こうすることで、仮にCOMオブジェクトがクラッシュしても、被害はCOMサロゲートだけで済み、エクスプローラーはそのまま動き続けられます。なかなか賢い仕組みですね。

ちなみに、Process Explorerを使えば、ここで説明したCOMオブジェクトを実際に確認できます。

dllhost.exeのエントリにマウスカーソルを合わせると、COMクラスが「Microsoft Thumbnail Cache」になっているのがわかります。これはエクスプローラーでサムネイルを生成するために使われる拡張機能です。

COMサロゲートがウイルスである可能性はある？

過去には、トロイの木馬やウイルスがCOMサロゲートなどのWindowsプロセスになりすましてOSに潜むケースがありました。

確認するには、タスクマネージャーで該当プロセスを右クリックし、「ファイルの場所を開く」を選択します。

COMサロゲートの実体がC:\Windows\System32フォルダー内の「dllhost」ファイルであれば、ウイルスである可能性は低いと言えます。逆に別の場所を指していた場合は、すぐにウイルススキャンを実行してください。

通常、COMサロゲートのメモリやCPU使用量はごくわずかで、同時に動作しているインスタンスも1〜2個程度です。もしdllhost.exeが大量に起動していたり、CPU使用率が1〜2%を超えて高止まりしたりする場合は、オフラインウイルススキャンの実行をおすすめします。オフラインスキャンなら、隠れた巧妙なウイルスもより確実に検出できます。

この記事を読んで、COMサロゲートやWindows 10のバックグラウンドプロセスについて少し理解が深まったなら幸いです。今後は、こうしたプロセスが裏で動いていても、あまり心配しなくて大丈夫でしょう。

まだ疑問が残る場合は、コメント欄からお気軽にお問い合わせください。