MoUSO Core Worker Process – co to jest i jak działa?

MoUSO Core Worker Process to oficjalny komponent systemowy Windows (plik mousocoreworker.exe), który odpowiada za koordynację, pobieranie i instalację aktualizacji w tle. Działa jako część mechanizmu Update Session Orchestrator, zastępując starsze procesy i dbając o to, by łatki bezpieczeństwa trafiały na dysk we właściwej kolejności. Zwykle pracuje cicho, ale gdy system wykryje dużą paczkę danych z serwerów Microsoftu, proces ten przejmuje pełną kontrolę nad harmonogramem restartów komputera.

Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek. Wchodzisz do Menedżera zadań, a tam mousocoreworker.exe pożera połowę zasobów procesora. Sprawa jest prosta. Microsoft przepisał architekturę aktualizacji. Wcześniej mieliśmy stary, wysłużony plik wuauclt.exe, który po prostu pytał serwer o pliki. Teraz mamy Update Session Orchestrator (USO). To cały system decyzyjny. MoUSO Core Worker Process analizuje stan baterii, obciążenie sieci i godziny aktywnego użytkowania sprzętu, zanim w ogóle zacznie mielić dyskiem.

Prawda jest zresztą absolutnie taka, że większość użytkowników zauważa ten proces tylko wtedy, gdy coś idzie nie tak. Zrobiliśmy na wdrożeniu aktualizację floty laptopów, potem zawiesiło się pobieranie w tle, więc wprowadzono poprawkę przez Group Policy przed poniedziałkiem. Właśnie wtedy MoUSO potrafi utknąć w pętli. Próbuje wznowić sesję aktualizacji, serwer odrzuca żądanie, a procesor grzeje się do czerwoności.

Dlaczego proces MoUSO Core Worker Process tak mocno obciąża procesor i pamięć RAM?

Wysokie zużycie CPU przez ten proces to chleb powszedni administratorów. System Windows próbuje w tle pobrać definicje wirusów dla Defendera lub dużą aktualizację funkcji. MoUSO Core Worker Process musi to wszystko rozpakować, zweryfikować sumy kontrolne i zaplanować instalację. Jeżeli masz tradycyjny dysk HDD lub wolny nośnik SSD, operacje wejścia/wyjścia zapychają kolejkę. Procesor czeka na dane. Wtedy wskaźniki w Menedżerze zadań pokazują wartości rzędu bez mała prawie pięćdziesiąt procent na plusie uderzając do przodu u wyników.

W zdecydowanej większości przypadków problem ten rozwiązuje się sam. Zostawiasz komputer na godzinę, proces kończy weryfikację i zasoby wracają do normy. Ale czasami usługa Windows Update po prostu głupieje. Pamięć podręczna aktualizacji w folderze SoftwareDistribution ulega uszkodzeniu. MoUSO Core Worker Process czyta uszkodzony plik XML z manifestem aktualizacji, nie potrafi go sparsować i wpada w nieskończoną pętlę. To błąd logiczny. Wymaga twardego resetu usług.

Janek z działu wdrożeń rzucił wczoraj: to jest bez mała najgorsza opcja z wszystkich, bo Microsoft wymusza te procesy z poziomu jądra. Nie zamkniesz tego zwykłym “Zakończ zadanie”. Znaczy, zamkniesz, ale system podniesie to z powrotem w ciągu pięciu sekund za pomocą usługi harmonogramu. Musisz ubić źródło problemu, czyli zablokowaną usługę wuauserv.

Czy mousocoreworker.exe to wirus lub złośliwe oprogramowanie?

Nie. Prawdziwy MoUSO Core Worker Process to w pełni bezpieczny plik podpisany certyfikatem Microsoftu. Znajduje się zawsze w jednym, ściśle określonym miejscu na dysku systemowym. Złośliwe oprogramowanie często maskuje się pod nazwami systemowymi. Zwykły trojan kopiący kryptowaluty może nazywać się identycznie, żeby zmylić niedoświadczonego użytkownika i ukryć się na liście aktywnych zadań.

Siedzimy kiedyś w biurze na warszawskim Mokotowie, stary sprzęt wyje wentylatorami. Klient zgłasza, że system pożera zasoby. Wchodzimy w procesy, jest MoUSO. Ale ścieżka pliku wskazywała na folder w AppData. Od razu wiedzieliśmy, że to infekcja. Prawdziwy plik nigdy tam nie rezyduje.

Jak zweryfikować oryginalność pliku MoUSO?

Weryfikacja autentyczności tego procesu wymaga kilku kliknięć. System Windows daje nam wbudowane narzędzia do sprawdzania podpisów cyfrowych.

• Otwórz Menedżer zadań skrótem CTRL+SHIFT+ESC. Przejdź do zakładki Szczegóły i odszukaj na liście mousocoreworker.exe.
• Kliknij na niego prawym przyciskiem myszy i wybierz “Otwórz lokalizację pliku”. Zostaniesz przeniesiony do folderu. Jeśli to nie jest C:\Windows\System32, masz poważny problem z wirusem.
• Kliknij prawym przyciskiem myszy na zaznaczony plik w folderze, wejdź we Właściwości.
• Sprawdź zakładkę Podpisy cyfrowe. Powinna tam widnieć pozycja Microsoft Windows.

Jeżeli brakuje zakładki z podpisem lub ścieżka jest inna, natychmiast odpal skanowanie offline za pomocą Windows Defender lub zewnętrznego oprogramowania antywirusowego. Nie ma tu miejsca na zgadywanie.

Co dokładnie robi Update Session Orchestrator w systemie Windows 10 i 11?

Architektura USO to mózg operacyjny. Starsze wersje Windows polegały na prostym kliencie, który ślepo pobierał pliki. Update Session Orchestrator zarządza całymi sesjami. Dzieli proces na skanowanie, pobieranie, instalację i oczekiwanie na restart. MoUSO Core Worker Process jest fizycznym robotnikiem, który wykonuje te polecenia na warstwie sprzętowej.

Kiedy klikasz przycisk “Sprawdź aktualizacje”, interfejs graficzny komunikuje się z usługą Orchestratora przez obiekty COM. Usługa ta budzi MoUSO. Ten z kolei łączy się z serwerami telemetrycznymi i repozytoriami WU. Pobiera listę brakujących KB (Knowledge Base), sprawdza zależności między nimi i ustala kolejność pobierania. Gdyby instalować łatki losowo, system mógłby się nie uruchomić. Zależności są tu twarde.

Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc wydaje się to tylko jedną z możliwych hipotez na najbliższy kwartał przed spowolnieniem rynku poprawek, Microsoft planuje wdrożyć kolejne procesy pomocnicze do USO. Widzieliśmy już usocoreworker.exe, który działa równolegle. Różnica polega na uprawnieniach. MoUSO operuje wyżej w hierarchii uprawnień użytkownika, często w kontekście sesji aktywnej, żeby móc wyświetlić powiadomienie o wymaganym restarcie.

Jak naprawić błąd wybudzania komputera z uśpienia przez MoUSO Core Worker Process?

To jest usterka, która doprowadza ludzi do białej gorączki. Zamykasz laptopa, kładziesz go na biurku, a o 3 w nocy wentylatory zaczynają wyć. Komputer wybudził się ze stanu uśpienia. Wpisujesz w wierszu poleceń `powercfg /lastwake` i widzisz winowajcę: Update Orchestrator Service i MoUSO Core Worker Process. System uznał, że noc to idealny moment na pobranie małej łatki do antywirusa.

Piszemy tę dokumentację o 3 nad ranem na szybkiego, zrezygnowani przez awarie na wdrożeniu po potyczkach u siebie w oddziale IT na produkcję we wtorek. Zmęczenie materiału. Zostawiliśmy maszyny w trybie uśpienia na noc. Rano połowa miała wyczerpane baterie, bo MoUSO wybudził je do instalacji sterowników ekranu i nie pozwolił im ponownie zasnąć. Taki błąd w logice zarządzania zasilaniem występuje w Windowsie od lat.

Więc jak to zablokować? Musisz odebrać usłudze Orchestratora prawo do manipulowania stanami zasilania ACPI komputera. Standardowe wyłączenie timerów wybudzania w Panelu sterowania często nie działa, bo USO ma wyższy priorytet systemowy.

Kroki do zablokowania wybudzania przez aktualizacje

Dobrym pomysłem jest ingerencja w Harmonogram zadań. To tam kryją się triggery, które budzą maszynę.

• Wciśnij WIN + R, wpisz taskschd.msc i wciśnij Enter.
• Przeklikaj się przez drzewo po lewej stronie: Biblioteka harmonogramu zadań -> Microsoft -> Windows -> UpdateOrchestrator.
• Na środkowej liście znajdź zadanie o nazwie Schedule Scan lub Universal Orchestrator Start. Kliknij na nie prawym przyciskiem myszy i wejdź we Właściwości. Przejdź do zakładki Warunki. Odznacz pole “Wznów pracę komputera, aby uruchomić to zadanie”. Zapisz zmiany.

Niestety, Windows ma brzydki nawyk przywracania tych ustawień po większej aktualizacji funkcji. Microsoft uważa, że bezpieczeństwo systemu jest ważniejsze niż twój stan uśpienia. Dlatego wielu inżynierów ucieka się do narzędzi typu PsExec, żeby odebrać uprawnienia systemowi do modyfikacji tego konkretnego zadania w harmonogramie. Zmieniliśmy te zasady na robocie, odbierając uprawnienia zapisu na pliku zadania dla konta SYSTEM. Brutalne, ale działa.

Skuteczne metody na wysokie użycie dysku i CPU przez procesy aktualizacji

Gdy MoUSO Core Worker Process zablokuje zasoby, musisz wyczyścić bufor aktualizacji. To najszybsza i najbardziej brutalna metoda na przywrócenie sprawności systemu. Nie bawimy się w miękkie restarty. Zatrzymujemy usługi odpowiedzialne za kryptografię i aktualizacje, usuwamy tymczasowe pliki i uruchamiamy mechanizm ponownie.

Otwórz wiersz poleceń z uprawnieniami administratora. Rzuć w konsolę te cztery komendy, jedna po drugiej, zatwierdzając każdą Enterem:

net stop wuauserv
net stop cryptSvc
net stop bits
net stop msiserver

Te komendy zabijają usługi. MoUSO straci grunt pod nogami i samoczynnie się zamknie. Teraz musisz zmienić nazwy folderów, w których Windows trzyma uszkodzone pliki z aktualizacjami. To foldery SoftwareDistribution oraz Catroot2. Wykonaj te dwie komendy:

ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 catroot2.old

System utworzy nowe, czyste foldery przy kolejnym uruchomieniu usług. Uszkodzony manifest, który powodował zapętlenie procesu MoUSO, został odizolowany. Zostało nam tylko podniesienie ubitych wcześniej usług. Wpisz:

net start wuauserv
net start cryptSvc
net start bits
net start msiserver

Zrób restart komputera. Po ponownym uruchomieniu wejdź w ustawienia Windows Update i ręcznie wymuś sprawdzenie aktualizacji. MoUSO Core Worker Process uruchomi się na nowo, zbuduje czystą bazę danych i pobierze pliki bez pożerania 100% procesora.

Narzędzie do rozwiązywania problemów i skanowanie SFC

Jeśli ręczne czyszczenie bufora to dla kogoś za dużo dłubania w konsoli, Windows posiada wbudowane narzędzie diagnostyczne. Wchodzisz w Ustawienia, potem Aktualizacja i zabezpieczenia, a następnie Rozwiązywanie problemów. Wybierasz dodatkowe narzędzia i klikasz Windows Update. System sam wykona skrypt podobny do tego, który opisałem wyżej. Z naszego doświadczenia wynika jednak, że automat ten często pomija uszkodzone pliki w Catroot2, skupiając się tylko na restarcie samej usługi.

Inną przyczyną wariowania MoUSO są uszkodzenia samych plików systemowych. Jeżeli plik wykonywalny mousocoreworker.exe uległ korupcji na poziomie sektorów dysku, system będzie generował błędy przy każdej próbie jego wywołania. Odpalamy wtedy narzędzie System File Checker.

W wierszu poleceń wpisujemy `sfc /scannow`. Narzędzie to weryfikuje integralność wszystkich chronionych plików systemowych. Jeżeli znajdzie uszkodzony binariusz MoUSO, podmieni go na czystą kopię z magazynu komponentów (WinSxS). Jeżeli sam magazyn jest uszkodzony, musimy rzucić cięższe działo: DISM. Komenda `DISM /Online /Cleanup-Image /RestoreHealth` połączy się z serwerami Microsoftu i pobierze brakujące paczki dla lokalnego repozytorium.

Czy można bezpiecznie wyłączyć i usunąć MoUSO Core Worker Process?

Krótka odpowiedź: nie. Próba fizycznego usunięcia pliku mousocoreworker.exe z folderu System32 skończy się natychmiastowym błędem integralności systemu. Mechanizm Windows Resource Protection zablokuje tę operację. Nawet jeśli przejmiesz uprawnienia do pliku za pomocą komendy takeown i zmusisz system do jego skasowania, Windows pobierze go ponownie przy najbliższej okazji lub całkowicie zablokuje możliwość pobierania jakichkolwiek łatek bezpieczeństwa.

Wyłączenie samej usługi Update Orchestrator w rejestrze systemowym (zmieniając wartość Start na 4 w kluczu HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc) zatrzyma MoUSO. Ale cena jest wysoka. Odcinasz system od aktualizacji definicji Windows Defender, ryzykujesz brak poprawek na krytyczne luki zero-day i psujesz integrację ze sklepem Microsoft Store, który współdzieli część architektury pobierania.

Zostawcie te usługi w spokoju, dopóki system oddycha. Spróbujcie sami wyłączyć USO na tydzień i zobaczcie, jak szybko sypią się logi z błędami poświadczeń w Podglądzie Zdarzeń. Jeśli MoUSO dławi wam procesor, naprawcie komponenty Windows Update metodami opisanymi wyżej, zamiast ucinać systemowi głowę.

Najczęściej zadawane pytania (FAQ)

• Czym dokładnie jest proces MoUSO Core Worker Process?
  To oficjalny komponent systemu Windows (mousocoreworker.exe) należący do usługi Update Session Orchestrator. Jego zadaniem jest zarządzanie, pobieranie i instalowanie aktualizacji systemu operacyjnego w tle.
• Dlaczego mousocoreworker.exe zużywa tak dużo procesora?
  Wysokie zużycie zasobów występuje najczęściej podczas weryfikacji dużych paczek aktualizacji w tle lub gdy usługa zablokuje się w pętli z powodu uszkodzonych plików w folderze SoftwareDistribution.
• Czy MoUSO Core Worker Process to wirus?
  Oryginalny plik nie jest wirusem. Jednak złośliwe oprogramowanie może używać tej samej nazwy. Autentyczny plik znajduje się zawsze w folderze C:\Windows\System32 i posiada podpis cyfrowy Microsoftu.
• Jak powstrzymać MoUSO przed wybudzaniem komputera ze snu?
  Należy edytować ustawienia w Harmonogramie Zadań (Task Scheduler). W ścieżce Microsoft -> Windows -> UpdateOrchestrator trzeba odznaczyć opcję wybudzania komputera w warunkach poszczególnych zadań.
• Jak naprawić błąd zapętlonego procesu MoUSO?
  Najlepszą metodą jest zatrzymanie usługi Windows Update, zmiana nazwy folderu SoftwareDistribution na starą kopię i ponowne uruchomienie usług. Wymusi to na systemie pobranie czystej listy aktualizacji.
• Czy mogę na stałe usunąć plik mousocoreworker.exe?
  Nie. Fizyczne usunięcie tego pliku zniszczy mechanizm aktualizacji Windows, zablokuje pobieranie łatek bezpieczeństwa i definicji antywirusowych, a system i tak spróbuje go przywrócić.

Bibliografia

1. Microsoft Learn – https://learn.microsoft.com
2. Niebezpiecznik – https://niebezpiecznik.pl
3. Zaufana Trzecia Strona – https://zaufanatrzeciastrona.pl
4. Bleeping Computer – https://www.bleepingcomputer.com
5. Sekurak – https://sekurak.pl
6. CERT Polska – https://cert.pl