Windowsのshellexperiencehost.exeとは？正規プロセスとウイルスの見分け方を解説

タスクマネージャーを開いたときにshellexperiencehost.exeが常にシステムリソース（特にCPU）を消費していることに気づき、「これは正規のシステムプロセスなのか？」と疑問に思ったことはありませんか？このプロセスは本来、正規のWindows シェル エクスペリエンス ホストですが、まれに被害者のCPUを使ってMonero（モネロ）などの暗号通貨を採掘するトロイの木馬が、このプロセスに擬態しているケースもあります。

本記事では、shellexperiencehost.exeの役割や正しい挙動について解説するとともに、正規のファイルとウイルス（トロイの木馬）を見分けるための具体的な方法をご紹介します。

ShellExperienceHost.exeとは？

Windows シェル エクスペリエンス ホストは、ユニバーサルアプリをウィンドウ形式のインターフェースで表示する機能を担う、正規のWindowsプロセスです。具体的には、以下のようなインターフェース上のさまざまなグラフィック要素を処理しています。

• タスクバーおよびスタートメニューの透明化エフェクト
• カレンダーや時計の表示
• デスクトップ背景の動作
• 通知のビジュアル表示

このプロセスはWindows 10で初めて導入されましたが、初期のバージョンには不具合が多く、CPUやメモリを大量に消費する問題がありました。しかし、最新のアップデートを適用することで、その動作パフォーマンスは大幅に改善されています。

正常な状態では、shellexperiencehost.exeが消費するCPUリソースはごくわずかです。ただし、詳細に監視してみると、新しいグラフィック要素が切り替わるタイミングで一時的にCPU使用率が跳ね上がることがあります。それでも、すぐに使用率はゼロ近くまで戻るはずです。また、多くのアプリケーションがWindows シェル エクスペリエンス ホストを利用している場合でも、メモリ消費量は300MBを超えないのが一般的です。

セキュリティ上の脅威になる可能性は？

shellexperiencehost.exeが正規のものでないと疑われる場合は、いくつかの調査を行うことで真偽を確かめられます。まずは、このプロセスのリソース消費状況を監視することから始めましょう。もしプロセスが常時CPU使用率20%以上や数百MBのメモリを消費し続けているようであれば、偽装された悪意ある実行ファイルである可能性があります。

実際に調査を行ったところ、被害者のCPUを使って暗号通貨を採掘する2種類のトロイの木馬マイナー（ShellExperienceHost.exeおよびMicrosoftShellHost.exe）が存在することが確認されています。shellexperiencehost.exeに擬態することで知られるこのトロイの木馬ファミリーは、Monero（モネロ）と呼ばれる暗号通貨の不正採掘に利用されています。

ファイルの場所を確認する方法

トロイの木馬の感染を疑う場合、最も分かりやすい判断材料となるのが「ファイルの保存場所」です。確認手順は以下の通りです。

1. タスクマネージャーを開きます（ショートカットキー：Ctrl + Shift + Esc）。
2. 「プロセス」タブでshellexperiencehost.exe（Windows シェル エクスペリエンス ホスト）を探します。
3. 「Windows シェル エクスペリエンス ホスト」を右クリックし、「ファイルの場所を開く」を選択します。

補足：ShellExperienceHost.exeの場所にアクセスするには、ドロップダウンメニューを展開する必要がある場合がある点にご注意ください。

表示された保存先がC:\Windows\SystemApps\ShellExperienceHost_cw5n1h2txyewyフォルダ内であれば、その実行ファイルは悪意のあるものではないため、安心して問題ありません。

一方、実行ファイルが別の場所にあり、かつ継続的に高いリソース消費が観察される場合は、暗号通貨を採掘するトロイの木馬に感染している可能性が非常に高いといえます。この疑いを素早く裏付ける方法として、該当する実行ファイルをVirusTotalにアップロードして解析してもらうのが有効です。解析結果で悪性が確認された場合は、速やかに駆除作業を行う必要があります。

セキュリティ対策ソフトをまだ導入していない場合は、Malwarebytesを使って感染を除去することをおすすめします。

ShellExperienceHost.exeは削除すべき？

前述の方法でShellExperienceHost.exeが正規のプロセスであると確認できたなら、無効化や削除をする理由はほとんどありません。むしろ、このプロセスを無効化してしまうと、OSが画面上のビジュアル要素を適切に描画する能力が著しく損なわれてしまいます。

さらに、たとえShellExperienceHostの実行ファイルを手動で削除したとしても、次回PCを再起動した時点でWindowsが自動的に再作成する仕組みになっています。つまり、正規ファイルの削除は無意味であり、推奨されません。

なお、「シェル エクスペリエンス ホストが動作を停止しました」というエラーメッセージが表示されるWindows 10の不具合については、最新のアップデートによって大部分が解決済みです。同様の症状に悩まされている場合は、Windows Updateを実行して最新の状態に保つことをおすすめします。