Mi maquina virtual comienza a consumir excesivamente el CPU con la ejecución de Antimalware Service Executable en un horario determinado

Question

Mi maquina virtual comienza a consumir excesivamente el CPU con la ejecución de Antimalware Service Executable en un horario determinado

Román Ramírez 5

Ya hemos tenido por varios dias esta situación, todos los días aproximadamente a las 5 de la tarde se produce un uso excesivo del CPU provocado por el servicio antimalware de windows Defender, se han revisado las tareas programadas, sin embargo este esta programando para ejecutarse a las 11 de la noche.

Esto esta provocando que los clientes no puedan tener acceso a los sitios hospedados en esl servidor o estos tarden demasiado tiempo en responder.

Prasad Chaganti 785 Puntos de reputación Personal externo de Microsoft Moderador

2026-08-14T19:48:45.5366667+00:00

Hola Roman Ramirez,

Gracias por compartir los detalles.

Antimalware Service Executable corresponde al proceso de Microsoft Defender Antivirus, MsMpEng.exe. Un consumo alto de CPU puede ocurrir durante análisis programados, actividad de protección en tiempo real, actualizaciones de inteligencia de seguridad o cuando Defender está analizando archivos grandes o que cambian con frecuencia.

Dado que el problema ocurre todos los días aproximadamente a la misma hora, le recomiendo validar primero la configuración efectiva de Microsoft Defender en la máquina virtual y confirmar si alguna directiva de Defender, Group Policy, Intune o configuración local está sobrescribiendo el horario configurado.

Por favor, ejecute el siguiente comando desde una ventana de PowerShell elevada dentro de la VM:

Get-MpPreference | Select-Object ScanScheduleDay, ScanScheduleTime, ScanAvgCPULoadFactor, ScanOnlyIfIdleEnabled, DisableCpuThrottleOnIdleScans, SchedulerRandomizationTime, CheckForSignaturesBeforeRunningScan

También puede revisar los eventos operativos de Microsoft Defender durante el horario en que ocurre el alto consumo de CPU:

Event Viewer > Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational

Si se confirma que el pico de CPU está relacionado con los análisis programados, puede reducir el impacto configurando el análisis para que se ejecute durante una ventana de mantenimiento y limitando el uso promedio de CPU durante los análisis. Por ejemplo:

Set-MpPreference -ScanAvgCPULoadFactor 30

Tenga en cuenta que este valor funciona como una guía para el motor de análisis y no como un límite estricto de CPU. Además, si los análisis están configurados para ejecutarse solo cuando el servidor está inactivo, Defender puede usar más recursos disponibles para completar el análisis más rápido.

Si el problema continúa después de ajustar el horario del análisis y la configuración de CPU, se recomienda recopilar una traza de rendimiento durante el pico de CPU para revisar exactamente qué actividad de Defender está causando el consumo. Puede recopilar datos de PerfMon, WPR o Microsoft Defender Client Analyzer durante el horario afectado.

Para servidores de producción que alojan sitios críticos, no se recomienda deshabilitar Microsoft Defender como primera mitigación. En su lugar, valide el horario de análisis, la configuración de CPU, las exclusiones para rutas confiables de la aplicación si aplica, y recopile trazas si el comportamiento persiste.
Román Ramírez 5 Puntos de reputación

2026-08-14T20:12:06.77+00:00
Gracias.

Entre a revisar en Event Viewer y me aparecen varias leyendas de posibles cambios hechos en el registro, como este:

Microsoft Defender Antivirus Configuration has changed. If this is an unexpected event you should review the settings as this may be the result of malware.

Old value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeMiscConfigLibrary New value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeGlobalConfig

¿Pudiera ser que tengamos alguna intrusión?
Román Ramírez 5 Puntos de reputación

2026-08-14T20:14:27.2+00:00
Gracias.

Entre a revisar en Event Viewer y me aparecen varias leyendas de posibles cambios hechos en el registro, como este:

Microsoft Defender Antivirus Configuration has changed. If this is an unexpected event you should review the settings as this may be the result of malware.

Old value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeMiscConfigLibrary New value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeGlobalConfig

¿Pudiera ser que tengamos alguna intrusión?

1 respuesta

Su respuesta

Román Ramírez 5 Puntos de reputación

2026-08-14T20:12:06.77+00:00

Gracias.

Entre a revisar en Event Viewer y me aparecen varias leyendas de posibles cambios hechos en el registro, como este:

Microsoft Defender Antivirus Configuration has changed. If this is an unexpected event you should review the settings as this may be the result of malware.

Old value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeMiscConfigLibrary New value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeGlobalConfig

¿Pudiera ser que tengamos alguna intrusión?
Román Ramírez 5 Puntos de reputación

2026-08-14T20:14:27.2+00:00

Gracias.

Entre a revisar en Event Viewer y me aparecen varias leyendas de posibles cambios hechos en el registro, como este:

Microsoft Defender Antivirus Configuration has changed. If this is an unexpected event you should review the settings as this may be the result of malware.

Old value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeMiscConfigLibrary New value: HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress = InitializeGlobalConfig

¿Pudiera ser que tengamos alguna intrusión?

Answer 1

Hola Román Ramírez,

Gracias por compartir los detalles del evento.

El mensaje “La configuración de Microsoft Defender Antivirus ha cambiado”, normalmente asociado con el evento 5007, indica que Microsoft Defender registró un cambio en su configuración. Sin embargo, este evento por sí solo no confirma que haya ocurrido una intrusión o una infección de malware.

En el ejemplo que compartió, el cambio corresponde a la siguiente ruta de diagnóstico del registro:

HKLM\SOFTWARE\Microsoft\Windows Defender\Diagnostics\InitializingComponentProgress

Los valores InitializeMiscConfigLibrary e InitializeGlobalConfig parecen representar diferentes etapas de la inicialización interna de los componentes de Microsoft Defender. Por lo tanto, este cambio aislado no constituye evidencia suficiente de actividad maliciosa.

No obstante, recomendamos comprobar si el evento se produjo al mismo tiempo que alguna de las siguientes actividades:

Inicialización del servicio de Microsoft Defender
Actualización de la inteligencia de seguridad
Ejecución de un análisis antivirus programado
Incremento de CPU reportado

Por favor, ejecute los siguientes comandos desde una ventana de PowerShell con permisos de administrador:

Get-MpComputerStatus
Get-MpThreatDetection
Get-MpPreference | Select-Object ScanScheduleDay, ScanScheduleTime, ScanAvgCPULoadFactor, ScanOnlyIfIdleEnabled, DisableCpuThrottleOnIdleScans, SchedulerRandomizationTime, CheckForSignaturesBeforeRunningScan

También puede actualizar la inteligencia de seguridad de Microsoft Defender y ejecutar un análisis completo:

Update-MpSignature
Start-MpScan -ScanType FullScan

En el registro Microsoft-Windows-Windows Defender/Operational, revise lo siguiente:

Los eventos 1000, 1001 y 1002, para comprobar cuándo comenzó, finalizó o se interrumpió un análisis.
Los eventos de detección de amenazas, como el evento 1006.
Si el evento 5007 aparece inmediatamente antes del incremento de CPU.
Cualquier alerta relacionada en Microsoft Defender for Endpoint o Microsoft Defender for Cloud, si estos servicios están habilitados.

Si Get-MpThreatDetection no muestra ninguna detección, el análisis completo finaliza sin encontrar amenazas y no existen alertas de seguridad adicionales, el evento compartido no indicaría por sí solo que se haya producido una intrusión.

Sin embargo, si identifica cambios inesperados en configuraciones de seguridad importantes, como la desactivación de la protección en tiempo real, la incorporación de exclusiones desconocidas o cambios realizados por un proceso no reconocido, recomendamos involucrar al equipo de seguridad para realizar una investigación más detallada.

Prasad Chaganti 785 Puntos de reputación Personal externo de Microsoft Moderador

2026-08-25T19:43:22.8733333+00:00

Hello Román Ramírez,

Could you please let me know if you have any further queries.