Tipo: GUI · procexp64.exe · Cliente Win10/11, Server 2016+

FINALIDADE

Gerenciador de processos avançado (substituto "turbinado" do Gerenciador de Tarefas). Mostra a árvore de processos (pai/filho), DLLs e handles abertos por cada processo, uso de CPU/RAM/GPU/IO/rede por processo, integridade, assinatura digital, linha de comando, usuário, threads e suas stacks. Permite matar/suspender processos, alterar prioridade/afinidade, verificar reputação no VirusTotal e localizar qual processo mantém um arquivo/pasta aberto.

QUANDO UTILIZAR

Investigar alto uso de CPU, RAM, disco ou GPU por processo.
Descobrir qual processo trava o sistema ou consome recursos.
Identificar processos suspeitos (sem assinatura, em pastas anômalas).
Descobrir qual processo mantém um arquivo/DLL/pasta bloqueado.
Ver a árvore de parentesco de processos (quem iniciou o quê).
Analisar threads e stacks de um processo travado/em loop.
Checar reputação de binários via integração com VirusTotal.

QUANDO NÃO UTILIZAR

Para captura de eventos de I/O/registro/arquivo ao longo do tempo: use Process Monitor (Process Explorer é um snapshot ao vivo, não um log histórico).
Para telemetria persistente/forense entre reboots: use Sysmon.
Para gerar dump em lote/automatizado: prefira ProcDump.
Em servidores de produção sob carga extrema, cuidado com a sobrecarga de atualização em tempo real (ajuste o "Update Speed").

PRÉ-REQUISITOS / PERMISSÕES

Binário procexp64.exe extraído ou via Sysinternals Live.
Para stacks com nomes de função: symbols configurados (ver 0.5).
Para checagem VirusTotal: conexão com a internet e aceite dos termos do VT.
Execução básica: usuário comum vê apenas processos do próprio usuário com detalhe limitado.
Recomendado executar como administrador: vê todos os processos, integridade, stacks de kernel parciais e permite matar processos de outros usuários.
Processos protegidos (PPL) e do sistema têm limitações impostas pelo Windows mesmo elevado.

INTERFACE — MENUS PRINCIPAIS

File: Run / Run as Administrator / Run as Limited User; Show Details for All Processes (reinicia elevado); Save / Save As (snapshot em texto); Exit.
View: System Information (gráficos de CPU/GPU/Memory/IO/commit/handles); Show Processes From All Users; Show Process Tree; Select Columns; Lower Pane View > DLLs/Handles; Show Lower Pane (CTRL+L); Update Speed (Paused/Slow/Normal/Fast); Difference Highlight Duration; Opacity; Always On Top; Tray Icons; Organize Column Sets.
Process: Window (Bring to Front/Restore/Minimize/Maximize/Close); Set Affinity; Set Priority; Kill Process (DEL); Kill Process Tree (SHIFT+DEL); Restart; Suspend/Resume; Create Dump (Minidump/Full); Debug; Check VirusTotal; Properties; Search Online.
Find: Find Handle or DLL (CTRL+F) — localiza qual processo tem um arquivo, pasta, chave ou DLL aberto.
Handle: Close Handle (fecha à força um handle — perigoso).
Users: em terminal/RDS, lista sessões; Disconnect/Logoff/mensagem/conectar.
Options: Replace Task Manager; Configure Symbols; Configure Colors; VirusTotal (Check / Submit Unknown); Confirm Kill; Font; Tray Icons.

JANELA PROPERTIES (DUPLO CLIQUE) — ABAS

Image (caminho, versão, empresa, início, usuário, integridade, DEP/ASLR/CFG, Verify).
Performance / Performance Graph / GPU Graph / Disk and Network.
Threads (lista, %CPU, start address, botão Stack).
TCP/IP (conexões do processo), Security (token/grupos/privilégios), Environment, Job, Strings (imagem em disco vs. memória — útil p/ packers).

BOTÕES (TOOLBAR)

Save, Refresh, System Information, Show Process Tree, Show Lower Pane, DLLs/Handles view, Properties, Kill Process, Find (binóculos).
Find Window's Process (alvo/mira): ARRASTE esse ícone sobre uma janela na tela para selecionar o processo dono dela (ótimo para identificar "quem é essa janela travada").
Mini-gráficos: CPU History, Commit History, I/O, GPU — clicáveis para abrir o System Information.

COLUNAS (Select Columns...)

Process, PID/PPID, CPU (Interrupts e DPCs aparecem como pseudo-processos para tempo de kernel).
Private Bytes (bom indicador de vazamento), Working Set (RAM em uso).
Description / Company Name, Verified Signer, Image Type, Integrity Level, Virtualized, Start Time, Command Line, User Name, Session.
Handles / Threads (crescimento contínuo de handles = possível handle leak).
GPU / GPU Memory, I/O Reads/Writes/Other (Bytes e Delta), Context Switches/Cycles.
DEP / ASLR / CFG, Window Title / Window Status, Autostart Location, VirusTotal (ex.: 0/72).

FILTROS

O Process Explorer não tem um motor de filtros como o Process Monitor, mas: "Show Processes From All Users" filtra por escopo; ordenar por coluna funciona como triagem (ex.: ordenar por CPU desc.); "Find Handle or DLL" filtra processos pelo recurso aberto; e o código de cores funciona como filtro visual.

FLUXO BÁSICO

Executar procexp64.exe como administrador (UAC > Sim).
Aceitar o EULA (na primeira vez).
Observar a árvore de processos no painel superior.
Clicar na coluna "CPU" para ordenar por uso de CPU.
Identificar o processo no topo.
Passar o mouse sobre ele para ver caminho e linha de comando.
Duplo clique para abrir Properties e investigar.

FLUXO INTERMEDIÁRIO

Abrir elevado.
View > Lower Pane View > Handles (CTRL+L para mostrar o painel).
Selecionar um processo suspeito e ler os handles (arquivos, chaves, mutexes) que mantém abertos.
Options > Verify Image Signatures (verificar assinaturas em massa).
Habilitar a coluna VirusTotal e checar detecções.
Usar Find > Find Handle or DLL para descobrir quem trava um arquivo.

FLUXO AVANÇADO

Configurar symbols (Options > Configure Symbols).
Selecionar um processo "Not Responding".
Properties > aba Threads.
Selecionar a thread de maior CPU e clicar "Stack".
Ler a stack para identificar em qual função/DLL o processo está preso.
Se necessário, Process > Create Dump > Full Dump para WinDbg.
Correlacionar com Process Monitor (mesma janela de tempo) e Sysmon.

CENÁRIOS (SUPORTE / CORPORATIVO / FORENSE / TROUBLESHOOTING)

Suporte: "PC lento" (ordenar por CPU/Private Bytes); "não consigo deletar este arquivo" (Find Handle or DLL); janela congelada (arrastar o ícone-mira sobre ela).
Corporativo: padronizar como substituto do Task Manager; auditar processos sem assinatura; investigar svchost.exe com alto consumo identificando o serviço hospedado.
Forense: capturar linha de comando e processo-pai (cadeia de execução); suspender o malicioso, gerar Full Dump, coletar Strings (disco vs. memória — denuncia packers); checar VirusTotal por hash sem submeter.
Troubleshooting: handle leak (ordenar por Handles); memory leak (Private Bytes subindo); GPU hog (colunas GPU); processo órfão (árvore com pai morto).

INTERPRETAÇÃO — CÓDIGO DE CORES PADRÃO

Azul claro: processos do próprio usuário.
Rosa/Magenta: serviços (processos que hospedam serviços).
Roxo (packed): imagens comprimidas — SINAL DE ATENÇÃO (malware usa packers; instaladores legítimos também).
Verde / Vermelho: processo recém-iniciado / recém-encerrado (destaque temporário).
Cinza claro: processos suspensos. Amarelo escuro: .NET/CLR. Marrom/ocre: Jobs.
Cores configuráveis em Options > Configure Colors.

RESULTADOS ANORMAIS

svchost.exe cujo pai NÃO é services.exe.
Processos do sistema rodando de pasta errada (ex.: lsass.exe em %TEMP%).
Processo sem assinatura, roxo (packed), com nome imitando o do sistema (ex.: "scvhost.exe").
Crescimento contínuo de handles/Private Bytes; alto VirusTotal hit count.

LIMITAÇÕES / ERROS COMUNS

É um snapshot ao vivo: não registra histórico de eventos (use Procmon/Sysmon).
Mesmo elevado, há limites com processos protegidos (PPL/PsProtected); stacks de kernel completas exigem LiveKd/WinDbg.
Matar o processo errado por confundir nomes semelhantes.
Confundir "roxo (packed)" com "certamente malware" (instaladores também são).
Interpretar 100% de CPU em "Interrupts/DPCs" como app, quando é driver.

BOAS PRÁTICAS / COMO EVITAR ERROS

Executar elevado e com symbols configurados; habilitar Verify Image Signatures e VirusTotal em triagem.
Usar Update Speed "Slow" em servidores; "Pause" para ler com calma.
Suspender (não matar) processos suspeitos quando for coletar evidência.
Confirmar PID, caminho completo e assinatura antes de matar; usar "Check VirusTotal" (hash) em vez de "Submit" quando houver sigilo.

VALIDAÇÃO RÁPIDA

Executado como administradorSymbols configurados (se for ler stacks)Ordenação por CPU/RAM/Handles aplicada conforme o sintomaAssinatura e VirusTotal verificados nos suspeitosLinha de comando e processo-pai anotadosEvidência preservada (suspend + dump) antes de encerrar, se forensePersistência checada no Autoruns se for malware

VER TAMBÉM

Cenários que usam esta ferramenta: 2.1, 2.2, 2.3, 2.4, 2.5, 2.6, 2.8, 2.9, 2.10, 2.11, 2.12, 2.13, 2.14, 2.15, 2.19, 2.23, 2.25. Correlações: 4.1, 4.5. Roteiros: 5.2, 5.3.

As ferramentas que expõem o que o Windows esconde: processos, handles, rede, registro e kernel.