Entenda por que o Windows não permite remover o pendrive com segurança

Você terminou de copiar seus arquivos para um pendrive, fechou todas as pastas e tentou removê-lo com segurança. Entretanto, o Windows 11 informa que o dispositivo ainda está em uso. Você confere o Explorador de Arquivos, fecha os programas e tenta novamente, mas a mensagem continua aparecendo.

Esse problema costuma gerar dúvidas: será que algum programa está acessando o pendrive sem aparecer na tela? O antivírus está verificando os arquivos? O Windows está gravando informações em segundo plano? Ou existe algum processo que mantém arquivos abertos sem o conhecimento do usuário?

A resposta depende do comportamento do sistema.

O Windows 11 pode impedir a remoção segura de um pendrive mesmo quando nenhuma janela aparentemente utiliza o dispositivo. Isso acontece porque aplicativos, serviços e componentes do sistema podem manter referências a arquivos, pastas ou volumes de armazenamento.

Em determinadas situações, o bloqueio dura apenas alguns segundos. Em outras, persiste até que um processo encerre suas operações ou libere os recursos associados à unidade.

O problema também pode afetar HDs externos, SSDs USB, leitores de cartões e outros dispositivos de armazenamento removíveis.

Neste guia técnico da VMIA – Manutenção e Configuração, vamos investigar por que o Windows 11 informa que um pendrive está em uso, como identificar processos responsáveis pelo bloqueio e quais procedimentos permitem remover o dispositivo sem colocar os arquivos em risco.

O artigo utiliza recursos nativos do Windows, além de ferramentas de diagnóstico conhecidas, como Monitor de Recursos e Process Explorer.

Nosso objetivo é resolver o problema sem recorrer a desligamentos forçados, alterações desnecessárias no Registro ou programas que prometem desbloquear dispositivos sem explicar o que realmente fazem.

1. O que significa a mensagem “Este dispositivo está sendo usado” no Windows 11?

Quando você conecta um pendrive ao computador, o Windows reconhece o dispositivo e disponibiliza seus volumes de armazenamento.

Dependendo da configuração, o sistema atribui uma letra à unidade, como E:, F: ou G:.

A partir desse momento, aplicativos e serviços podem acessar os arquivos armazenados no dispositivo.

Quando você solicita a remoção segura, o Windows tenta verificar se consegue interromper o uso do volume e preparar o dispositivo para desconexão.

Se algum componente ainda mantém recursos que impedem essa operação, o sistema pode apresentar uma mensagem semelhante a:

Este dispositivo está sendo usado no momento. Feche todos os programas ou janelas que possam estar usando o dispositivo e tente novamente.

A redação exata varia conforme a versão do Windows e o dispositivo.

Essa mensagem não significa necessariamente que o pendrive está defeituoso.

Ela indica que o Windows não conseguiu concluir a operação de remoção segura naquele momento.

1.1. O Windows pode estar usando o pendrive sem mostrar uma janela?

Sim.

Nem todas as operações aparecem em uma janela visível.

Um programa pode continuar trabalhando em segundo plano depois que o usuário fecha sua interface.

Um serviço pode consultar arquivos armazenados na unidade.

O próprio Explorador de Arquivos pode manter referências a determinadas pastas durante operações específicas.

Além disso, processos de segurança, indexação e sincronização podem acessar dados sem exigir interação direta do usuário.

Entretanto, não devemos presumir que qualquer um desses componentes é responsável pela falha.

Precisamos identificar o processo ou a condição que impede a remoção.

1.2. O pendrive pode estar em uso mesmo sem copiar arquivos?

Sim.

Copiar ou mover arquivos representa apenas uma das operações possíveis.

Um aplicativo pode abrir um arquivo para leitura, manter um identificador associado a ele ou consultar informações do sistema de arquivos.

Também podem existir operações de gravação pendentes.

Por isso, a ausência de uma barra de progresso não comprova que o dispositivo está completamente ocioso.

2. Como funciona a remoção segura de dispositivos USB?

A remoção segura envolve mais do que verificar se existe uma transferência visível.

O Windows precisa considerar as operações pendentes e as condições necessárias para retirar o dispositivo sem interromper atividades importantes.

2.1. O que acontece quando você clica em “Ejetar”?

Ao solicitar a ejeção de um dispositivo de armazenamento, o Windows tenta coordenar a interrupção do uso da unidade.

Dependendo do dispositivo e da configuração, esse processo pode envolver:

• Verificação de referências abertas.
• Conclusão de operações pendentes.
• Preparação do volume para remoção.
• Comunicação com a pilha de armazenamento.
• Solicitação de remoção do dispositivo.

Se alguma condição impedir a operação, o Windows pode recusar a ejeção.

2.2. Remover com segurança é o mesmo que desligar o pendrive?

Não necessariamente.

O comportamento depende do dispositivo, da interface USB e da implementação do controlador.

A remoção segura prepara o dispositivo para desconexão lógica.

Ela não garante que todas as portas USB interrompam imediatamente a alimentação elétrica.

Por isso, o LED do pendrive pode continuar aceso mesmo depois de o Windows informar que a remoção foi concluída.

2.3. O que acontece se retirar o pendrive sem ejetar?

O risco depende do estado do dispositivo e das operações em andamento.

Se houver gravações pendentes, a desconexão pode interromper operações e provocar perda de dados ou inconsistências no sistema de arquivos.

Em algumas configurações, o Windows utiliza políticas que reduzem a dependência da remoção segura.

Entretanto, isso não elimina todos os riscos.

Nunca desconecte um dispositivo durante uma gravação, atualização de firmware, formatação ou operação de manutenção do sistema de arquivos.

3. Remoção rápida e melhor desempenho: qual é a diferença?

O Windows oferece políticas de remoção para determinados dispositivos de armazenamento externos.

As opções mais conhecidas são Remoção rápida e Melhor desempenho.

A disponibilidade depende do dispositivo, do driver e da configuração do sistema.

3.1. Política de remoção rápida

A política de remoção rápida reduz a utilização de cache de gravação do Windows para o dispositivo.

Isso pode diminuir a necessidade de executar a remoção segura em determinadas condições.

Entretanto, a política não torna segura a desconexão durante operações ativas.

Também não garante que o Windows conseguirá ejetar o dispositivo enquanto aplicativos mantêm arquivos abertos.

3.2. Política de melhor desempenho

A política de melhor desempenho pode permitir maior utilização de cache de gravação.

Dependendo da configuração, isso pode melhorar determinadas operações.

Entretanto, aumenta a importância de concluir corretamente as gravações e utilizar a remoção segura.

3.3. Como verificar a política do dispositivo?

Abra o Gerenciador de Dispositivos.

Expanda:

Unidades de disco

Localize o dispositivo USB.

Clique com o botão direito e selecione Propriedades.

Procure a guia Políticas, quando disponível.

Verifique a configuração apresentada.

Não altere a política apenas porque o Windows informa que o pendrive está em uso.

A escolha da política não substitui a identificação do processo responsável pelo bloqueio.

4. Principais causas de pendrive em uso no Windows 11

O problema pode envolver diferentes componentes.

A tabela abaixo apresenta hipóteses frequentes e seus sintomas.

Possível causa	Comportamento observado
Explorador de Arquivos	Pasta do pendrive permanece aberta ou referenciada
Antivírus	Verificação de arquivos continua em segundo plano
Aplicativo aberto	Programa mantém um documento ou arquivo em uso
Indexação	Serviço consulta conteúdo ou metadados da unidade
Sincronização	Aplicativo acompanha arquivos armazenados no dispositivo
Cópia pendente	Sistema ainda conclui operações de gravação
Terminal	Processo utiliza uma pasta do pendrive como diretório atual
Arquivo de banco de dados	Aplicativo mantém conexões ou arquivos abertos
Software de backup	Ferramenta utiliza a unidade como origem ou destino
Serviço do Windows	Componente mantém referências ao volume

Essas possibilidades não possuem a mesma probabilidade em todos os computadores.

A investigação deve considerar os programas instalados e as atividades recentes.

5. Explorador de Arquivos pode impedir a remoção do pendrive?

Sim, em determinadas situações.

O Explorador de Arquivos permite navegar pelas pastas e visualizar o conteúdo do dispositivo.

Embora fechar uma janela normalmente encerre aquela interação, processos associados ao Explorer podem continuar ativos.

5.1. Pastas abertas

Imagine que o usuário abriu:

E:\Documentos

Depois, tentou remover o pendrive enquanto a janela ainda estava aberta.

O Windows pode encontrar referências relacionadas ao volume.

O primeiro procedimento é fechar as janelas que utilizam a unidade.

5.2. Painel de visualização

O Explorador pode utilizar recursos de visualização para mostrar o conteúdo de determinados arquivos.

Dependendo do tipo de arquivo e do componente responsável pela pré-visualização, pode existir uma referência temporária ao documento.

Se o problema acontece depois de selecionar arquivos PDF, imagens ou documentos, observe se o comportamento muda ao desativar temporariamente o painel de visualização.

Isso não significa que o painel seja sempre responsável.

5.3. Miniaturas de arquivos

O Windows pode gerar miniaturas de imagens e vídeos.

Esse processo pode envolver a leitura de arquivos armazenados no pendrive.

Normalmente, essas operações terminam rapidamente.

Entretanto, arquivos problemáticos ou extensões de terceiros podem prolongar determinadas atividades.

5.4. Reiniciar o Explorador resolve?

Em alguns casos, reiniciar o processo Explorer pode liberar referências mantidas por ele.

Entretanto, não recomendamos utilizar esse procedimento antes de verificar se existem transferências ou outras operações importantes.

Na segunda parte, veremos como identificar se o Explorer realmente participa do bloqueio.

6. Antivírus pode manter o pendrive ocupado?

Sim.

Soluções de segurança podem examinar arquivos quando o usuário conecta um dispositivo USB, abre documentos ou executa programas.

O Microsoft Defender e outros antivírus podem realizar verificações conforme suas configurações e mecanismos de proteção.

6.1. Por que o antivírus verifica pendrives?

Dispositivos removíveis podem transportar arquivos potencialmente maliciosos.

Por isso, programas de segurança podem analisar arquivos durante determinadas operações.

Essa proteção ajuda a reduzir riscos.

6.2. O antivírus bloqueia sempre a remoção?

Não.

A presença de um antivírus não significa que ele mantém o pendrive permanentemente ocupado.

Muitas verificações acontecem rapidamente e não impedem a ejeção.

Entretanto, uma operação ativa pode coincidir com a tentativa de remoção.

6.3. Como investigar sem desativar a proteção?

Observe se existe uma verificação em andamento.

Consulte o histórico ou a interface do antivírus.

Aguarde a conclusão de operações legítimas.

Depois, tente novamente a remoção segura.

Não recomendamos desativar a proteção em tempo real apenas para conseguir ejetar um pendrive.

Se houver evidência de um problema recorrente com o antivírus, investigue a versão, os registros e as recomendações oficiais do fabricante.

7. O Windows Search pode manter arquivos do pendrive em uso?

O Windows Search oferece recursos de pesquisa e indexação.

Dependendo das configurações e do tipo de unidade, determinados arquivos podem participar de operações relacionadas à pesquisa.

Entretanto, não devemos assumir que todo pendrive é indexado automaticamente.

7.1. O que é indexação?

A indexação permite organizar informações sobre arquivos para facilitar determinadas pesquisas.

O Windows pode manter índices de conteúdo e metadados conforme as configurações aplicáveis.

7.2. Como identificar possível relação?

Observe se o problema ocorre logo depois de copiar muitos arquivos para o dispositivo.

Verifique se a unidade participa de algum local indexado.

Entretanto, a coincidência temporal não comprova que o serviço de pesquisa está impedindo a remoção.

7.3. Devemos desativar o Windows Search?

Não como primeira medida.

Desativar serviços do sistema pode prejudicar outras funcionalidades e não necessariamente resolver o bloqueio.

Primeiro, identifique qual processo mantém referências ao dispositivo.

8. Programas abertos podem bloquear o pendrive mesmo minimizados

Um aplicativo não precisa estar visível para utilizar arquivos.

Considere um documento aberto diretamente do pendrive.

O usuário minimiza o programa e tenta remover a unidade.

Embora nenhuma janela do pendrive esteja aberta, o aplicativo pode continuar mantendo o arquivo em uso.

8.1. Microsoft Word e Excel

Se o usuário abre um documento diretamente de um pendrive, o programa pode manter referências ao arquivo durante a edição.

O mesmo vale para planilhas.

Fechar apenas a janela do Explorador não encerra o uso do documento.

8.2. Editores de imagens e vídeos

Aplicativos de edição podem manter arquivos de mídia abertos enquanto trabalham.

Também podem gerar arquivos temporários ou executar operações de leitura e gravação.

8.3. Reprodutores de mídia

Um programa pode continuar utilizando arquivos de áudio ou vídeo mesmo quando a reprodução está pausada.

8.4. Programas de backup

Ferramentas de backup podem utilizar o pendrive como origem ou destino.

Nesse cenário, interromper uma operação sem verificar seu estado pode comprometer o backup.

8.5. Como proceder?

Feche os documentos e aplicativos que utilizam a unidade.

Confirme que as operações terminaram.

Aguarde alguns segundos e tente novamente.

Se o bloqueio persistir, utilize ferramentas de diagnóstico para identificar o processo responsável.

9. Terminal e PowerShell podem impedir a ejeção?

Sim, dependendo das referências mantidas pelo processo.

Imagine que o usuário abriu um Terminal e acessou a unidade:

Set-Location E:\

O processo passa a utilizar aquela unidade como diretório atual.

Em determinadas situações, isso pode impedir operações de desmontagem ou remoção.

9.1. Como resolver?

Se você possui um Terminal aberto na unidade USB, altere o diretório atual para uma pasta localizada no disco interno:

Set-Location C:\

Depois, tente ejetar o dispositivo novamente.

Esse procedimento não apaga arquivos.

9.2. Outros programas podem fazer o mesmo?

Sim.

Ferramentas de desenvolvimento, gerenciadores de arquivos e utilitários de linha de comando podem manter diretórios ou arquivos abertos.

Por isso, o diagnóstico não deve considerar apenas aplicativos com interface gráfica.

10. Cópias de arquivos podem continuar após o desaparecimento da janela?

O Windows utiliza mecanismos de armazenamento e cache para executar operações de leitura e gravação.

Em determinadas situações, o encerramento de uma interface visual não significa que todas as atividades relacionadas ao dispositivo terminaram exatamente naquele instante.

Entretanto, não devemos afirmar que toda operação de cópia permanece ativa após a janela desaparecer.

10.1. Como identificar atividade de gravação?

Alguns pendrives possuem LEDs que indicam atividade.

Entretanto, o comportamento desses indicadores varia entre fabricantes.

Um LED aceso continuamente não comprova gravação ativa.

Da mesma forma, um LED apagado não garante que todas as operações foram concluídas.

10.2. Como agir com segurança?

Aguarde a conclusão das transferências.

Verifique se existem aplicativos trabalhando com arquivos da unidade.

Depois, solicite a remoção segura.

Se o Windows continuar recusando a operação, não desconecte o dispositivo precipitadamente.

11. O pendrive pode estar ocupado por um processo invisível?

Sim.

No Windows, processos podem manter identificadores associados a arquivos, diretórios e outros objetos do sistema.

Esses identificadores são conhecidos como handles.

11.1. O que é um handle?

Um handle representa uma referência utilizada por um processo para acessar determinado recurso.

Quando um aplicativo abre um arquivo, ele pode receber um identificador que permite realizar operações sobre esse arquivo.

Enquanto o identificador permanece aberto, determinadas operações sobre o arquivo ou o volume podem encontrar restrições.

Entretanto, nem todo handle aberto impede automaticamente a ejeção.

O resultado depende do tipo de recurso, do modo de abertura e das condições do sistema.

11.2. Por que isso importa?

Porque um processo pode continuar utilizando um arquivo mesmo sem apresentar uma janela aberta.

O Gerenciador de Tarefas mostra processos, mas não oferece uma visão completa de todos os identificadores associados a arquivos.

Para aprofundar a investigação, precisamos de ferramentas específicas.

11.3. Como descobrir qual processo está utilizando o pendrive?

Na próxima parte, utilizaremos o Monitor de Recursos e o Process Explorer para localizar referências abertas.

Também veremos como interpretar os resultados sem encerrar processos importantes indiscriminadamente.

12. Monitor de Recursos: primeira ferramenta para investigar o bloqueio

O Windows inclui o Monitor de Recursos, uma ferramenta que apresenta informações sobre processos e utilização de recursos.

Ela pode ajudar a localizar arquivos associados a determinados processos.

12.1. Como abrir?

Pressione:

Win + R

Digite:

resmon

Pressione Enter.

12.2. Onde procurar?

Abra a guia CPU.

Localize a seção Identificadores Associados.

Utilize o campo de pesquisa para procurar referências relacionadas à unidade USB.

Por exemplo, se o pendrive utiliza a letra E:, você pode pesquisar por:

E:\

A pesquisa pode retornar processos que possuem identificadores associados a caminhos correspondentes.

12.3. O que significa encontrar um processo?

O resultado indica que o processo mantém uma referência correspondente ao termo pesquisado.

Entretanto, isso não comprova automaticamente que ele é o único responsável pela falha de ejeção.

É necessário analisar o contexto.

12.4. E se a pesquisa não mostrar resultados?

A ausência de resultados não comprova que o pendrive está completamente livre.

Alguns bloqueios podem envolver referências que não aparecem como caminhos simples, componentes de armazenamento ou situações que exigem investigação adicional.

Por isso, o Monitor de Recursos representa uma etapa do diagnóstico, não uma garantia absoluta.

13. Quando não devemos forçar a remoção do dispositivo?

Existem situações em que interromper o acesso ao armazenamento pode provocar perda de dados.

Evite forçar a remoção durante:

• Cópias ou movimentações de arquivos.
• Formatação.
• Reparação do sistema de arquivos.
• Operações de backup.
• Atualizações de firmware.
• Gravação de imagens de disco.
• Criação de mídias de instalação.
• Processos que modificam arquivos importantes.

Se não conseguir identificar o bloqueio, uma alternativa conservadora consiste em concluir os trabalhos, desligar o Windows normalmente e desconectar o dispositivo depois que o computador estiver completamente desligado, desde que não exista uma operação de manutenção que exija sua conclusão antes do desligamento.

Como descobrir qual processo impede a remoção segura do pendrive

Na primeira parte deste guia, explicamos por que o Windows 11 pode informar que um pendrive está em uso mesmo quando o usuário fecha todas as janelas e não encontra nenhuma transferência de arquivos em andamento.

Também abordamos o funcionamento da remoção segura, as diferenças entre as políticas de Remoção rápida e Melhor desempenho, a participação de aplicativos em segundo plano e o conceito de handles, identificadores que permitem aos processos acessar recursos do sistema.

Agora, vamos avançar para uma investigação técnica mais detalhada.

Imagine que você terminou de copiar documentos para um pendrive, fechou o Explorador de Arquivos e tentou ejetar a unidade. O Windows apresenta novamente a mensagem de dispositivo em uso.

Você aguarda alguns minutos e tenta outra vez. O erro continua.

Nesse cenário, repetir a tentativa sem investigar a causa dificilmente fornecerá informações novas.

Precisamos descobrir qual processo mantém uma referência ao pendrive, qual recurso está aberto e se existe uma operação que realmente impede sua remoção.

Para isso, o Windows 11 oferece ferramentas de diagnóstico, enquanto o conjunto Microsoft Sysinternals disponibiliza recursos adicionais para examinar identificadores de arquivos e processos.

Nesta segunda parte do artigo da VMIA – Manutenção e Configuração, vamos utilizar Monitor de Recursos, Process Explorer, PowerShell e Visualizador de Eventos para investigar o bloqueio de dispositivos USB.

Todos os procedimentos priorizam a leitura de informações e a preservação dos dados.

16. O que realmente impede o Windows 11 de ejetar um pendrive?

Quando o usuário solicita a remoção segura, o Windows precisa verificar se o dispositivo pode deixar de operar sem interromper atividades que dependem dele.

A existência de uma janela aberta no Explorador de Arquivos representa apenas uma das possibilidades.

O bloqueio também pode envolver um processo que mantém um arquivo aberto, um diretório utilizado por um aplicativo ou uma operação pendente no sistema de armazenamento.

16.1. O que são handles no Windows?

Um handle é um identificador que um processo utiliza para acessar um objeto do sistema operacional.

Esses objetos podem representar arquivos, diretórios, processos, eventos e outros recursos.

Quando um programa abre um documento, por exemplo, o Windows pode fornecer um handle que permite realizar operações sobre esse arquivo.

Enquanto o processo mantém essa referência, determinadas operações podem encontrar restrições.

Entretanto, é importante compreender uma diferença:

Nem todo handle aberto impede automaticamente a remoção de um pendrive.

O comportamento depende do tipo de objeto, dos modos de compartilhamento, das operações em andamento e das condições de remoção do volume.

16.2. Handle aberto significa arquivo sendo gravado?

Não.

Um aplicativo pode manter um arquivo aberto somente para leitura.

Também pode existir um handle associado a um diretório, sem transferência de dados naquele momento.

Portanto, encontrar um identificador não comprova que existe uma gravação ativa.

O diagnóstico deve determinar o processo responsável e a natureza da referência.

16.3. O que acontece quando um processo não libera o arquivo?

O Windows pode recusar determinadas operações enquanto o recurso permanece em uso.

Isso pode afetar a exclusão, a renomeação ou a desmontagem de um volume, dependendo das condições.

No caso de dispositivos removíveis, a presença de referências incompatíveis com a operação pode impedir a ejeção.

17. Monitor de Recursos: como encontrar processos que utilizam o pendrive

O Monitor de Recursos é uma ferramenta nativa do Windows.

Ele permite consultar informações sobre CPU, memória, disco e rede, além de pesquisar identificadores associados a processos.

É um bom ponto de partida porque não exige instalar programas adicionais.

17.1. Como abrir o Monitor de Recursos?

Pressione:

Win + R

Digite:

resmon

Pressione Enter.

Outra opção é pesquisar por Monitor de Recursos no menu Iniciar.

17.2. Onde ficam os identificadores associados?

Abra a guia CPU.

Localize a seção Identificadores Associados.

Expanda essa seção, se necessário.

Você encontrará um campo de pesquisa.

17.3. Como pesquisar o pendrive?

Primeiro, identifique a letra da unidade no Explorador de Arquivos.

Imagine que o pendrive utiliza a letra E:.

No campo de pesquisa dos identificadores, digite:

E:\

O Monitor de Recursos tentará localizar identificadores cujos nomes correspondam ao termo pesquisado.

EXEMPLO ILUSTRATIVO — RESULTADO DA PESQUISA

Processo	PID	Identificador
EXCEL.EXE	6420	E:\Relatorios\Vendas.xlsx
explorer.exe	3184	E:\Fotos

Os nomes, caminhos e PIDs acima são exemplos fictícios para demonstrar a interpretação.

Nesse exemplo, o Excel mantém uma referência a uma planilha armazenada no pendrive.

O Explorador também apresenta uma referência relacionada à pasta de fotos.

Entretanto, o resultado não comprova automaticamente qual deles impede a ejeção.

17.4. Como interpretar o PID?

PID significa Process Identifier.

O Windows atribui esse identificador a um processo em execução.

Ele permite relacionar o resultado do Monitor de Recursos com o processo correspondente no Gerenciador de Tarefas.

O PID pode mudar quando o processo é encerrado e iniciado novamente.

Portanto, não representa um identificador permanente do aplicativo.

17.5. Como localizar o processo no Gerenciador de Tarefas?

Pressione:

Ctrl + Shift + Esc

Abra a guia Detalhes.

Localize o PID apresentado no Monitor de Recursos.

Observe o nome do processo.

Se necessário, utilize a opção para abrir a localização do arquivo executável.

Isso ajuda a identificar a origem de um processo desconhecido.

Não encerre processos apenas porque seus nomes parecem estranhos.

18. O Monitor de Recursos não encontra nada: o que significa?

Essa situação é relativamente comum durante diagnósticos de dispositivos removíveis.

O usuário pesquisa E:\, mas a ferramenta não apresenta nenhum resultado.

Mesmo assim, o Windows continua recusando a remoção segura.

18.1. A ausência de resultados comprova que não existe bloqueio?

Não.

O Monitor de Recursos apresenta informações dentro das capacidades de consulta da ferramenta.

Algumas referências podem utilizar nomes que não correspondem diretamente à letra da unidade.

Outras situações podem envolver componentes de armazenamento, filtros de sistema de arquivos ou operações que não aparecem como caminhos convencionais.

18.2. A letra da unidade pode mudar?

Sim.

O Windows pode atribuir letras diferentes conforme os dispositivos conectados e a configuração do sistema.

Por isso, confirme a letra atual antes de pesquisar.

18.3. Como continuar a investigação?

Se o Monitor de Recursos não encontrar uma referência útil, utilize o Process Explorer.

Essa ferramenta oferece uma visão mais detalhada dos processos e handles.

19. Process Explorer: diagnóstico avançado com Microsoft Sysinternals

O Process Explorer faz parte do conjunto Microsoft Sysinternals.

Ele permite examinar processos, módulos e identificadores de objetos do Windows.

Para investigar um pendrive que permanece em uso, sua função de pesquisa de handles pode ser especialmente útil.

19.1. Onde obter o Process Explorer?

Utilize a página oficial da Microsoft:Microsoft Sysinternals — Process Explorer

Evite baixar cópias modificadas ou distribuídas por sites desconhecidos.

19.2. O Process Explorer precisa ser instalado?

A distribuição oficial pode ser executada diretamente, conforme o pacote disponibilizado.

Algumas funcionalidades podem exigir permissões administrativas.

Execute a ferramenta com as permissões apropriadas para o diagnóstico.

19.3. Como pesquisar handles relacionados ao pendrive?

Abra o Process Explorer.

Pressione:

Ctrl + F

Ou utilize:

Find → Find Handle or DLL

Digite o caminho relacionado à unidade.

Por exemplo:

E:\

Inicie a pesquisa.

A ferramenta procurará identificadores e módulos cujos nomes correspondam ao termo informado.

19.4. Como interpretar o resultado?

O Process Explorer pode apresentar informações como:

• Nome do processo.
• PID.
• Tipo de objeto.
• Nome do recurso.
• Caminho relacionado ao arquivo ou diretório.

Se a pesquisa encontrar um documento aberto no pendrive, investigue o aplicativo correspondente.

Entretanto, não conclua automaticamente que qualquer resultado é responsável pela recusa de ejeção.

20. Como interpretar os tipos de handles encontrados?

O tipo do objeto ajuda a compreender o resultado.

20.1. Handle associado a arquivo

Imagine que o Process Explorer encontre:

E:\Documentos\Relatorio.docx

O processo correspondente pode manter o documento aberto.

Se o arquivo pertence ao Word, verifique se existe uma edição ou operação de salvamento em andamento.

Feche o documento normalmente.

Depois, tente ejetar novamente.

20.2. Handle associado a diretório

O resultado pode apontar para:

E:\Projetos

Isso indica uma referência ao diretório.

Alguns programas utilizam pastas como diretório atual de trabalho.

Fechar a aplicação ou alterar o diretório pode liberar a referência.

20.3. Handle associado ao volume

Em determinadas situações, a ferramenta pode apresentar nomes de objetos que representam volumes ou dispositivos em formatos diferentes de E:\.

O Windows também utiliza caminhos internos para identificar dispositivos.

Esses nomes podem não corresponder diretamente à letra exibida no Explorador.

Por isso, uma pesquisa somente pela letra da unidade pode não encontrar todos os recursos relacionados.

20.4. DLL carregada a partir do pendrive

O Process Explorer também permite localizar módulos carregados.

Se um aplicativo executa componentes diretamente do pendrive, ele pode continuar utilizando arquivos armazenados na unidade.

Nesse cenário, encerrar normalmente o aplicativo pode ser necessário antes da ejeção.

21. Devemos fechar handles manualmente no Process Explorer?

O Process Explorer possui recursos avançados que permitem manipular identificadores de objetos.

Entretanto, fechar um handle à força pode provocar comportamento inesperado no aplicativo que o utiliza.

Se o processo estiver gravando dados, a intervenção pode causar perda de informações.

21.1. Qual é o procedimento mais seguro?

Depois de identificar o processo:

1. Descubra qual aplicativo ele representa.
2. Verifique se existem documentos ou tarefas em andamento.
3. Salve os arquivos importantes.
4. Feche o aplicativo normalmente.
5. Aguarde a liberação dos recursos.
6. Tente novamente a remoção segura.

Não utilize o fechamento forçado de handles como solução rotineira.

21.2. E se o processo não responder?

Investigue o motivo.

Se for um aplicativo comum, confirme que não existe uma operação importante em andamento antes de considerar encerrá-lo pelo Gerenciador de Tarefas.

Se for um processo do sistema, serviço de armazenamento, antivírus ou componente desconhecido, evite encerrá-lo sem compreender sua função.

22. Process Explorer ou Monitor de Recursos: qual utilizar?

As duas ferramentas são úteis, mas oferecem níveis diferentes de investigação.

Característica	Monitor de Recursos	Process Explorer
Incluído no Windows	Sim	Não
Desenvolvedor	Microsoft	Microsoft Sysinternals
Pesquisa de identificadores	Sim	Sim
Informações detalhadas de processos	Básicas	Avançadas
Pesquisa de DLLs	Não é o foco	Sim
Diagnóstico inicial	Recomendado	Complementar
Manipulação avançada de handles	Não é o objetivo	Disponível, com riscos

Para usuários domésticos, recomendamos começar pelo Monitor de Recursos.

Se o resultado não identificar a origem, o Process Explorer permite aprofundar a investigação.

23. PowerShell: como identificar o pendrive corretamente

Antes de analisar eventos e processos, precisamos confirmar qual dispositivo físico corresponde à unidade apresentada no Explorador.

O PowerShell oferece comandos para consultar discos, partições e volumes.

23.1. Listar discos reconhecidos

Abra o PowerShell e execute:

Get-Disk |
Format-Table Number,FriendlyName,BusType,OperationalStatus,Size -AutoSize

O comando apresenta os discos reconhecidos pelo Windows.

A coluna BusType pode indicar USB em dispositivos compatíveis.

Entretanto, determinadas pontes USB ou drivers podem apresentar informações diferentes.

Não utilize somente o número do disco para concluir que ele corresponde ao pendrive.

23.2. Listar volumes

Execute:

Get-Volume |
Format-Table DriveLetter,FileSystemLabel,FileSystem,HealthStatus,Size -AutoSize

O resultado pode apresentar:

• Letra da unidade.
• Nome do volume.
• Sistema de arquivos.
• Estado de integridade informado.
• Capacidade.

Essas informações ajudam a identificar o volume relacionado ao pendrive.

23.3. Relacionar disco, partição e letra

Execute:

Get-Disk |
Where-Object BusType -eq 'USB' |
ForEach-Object {
    $disco = $_

    Get-Partition -DiskNumber $disco.Number |
    Select-Object @{
        Name='Disco'
        Expression={$disco.Number}
    },PartitionNumber,DriveLetter,Size
}

Esse comando consulta partições de discos que o Windows identifica com tipo de barramento USB.

Ele não modifica partições nem formata dispositivos.

Se o pendrive não aparecer, verifique se o driver ou a ponte USB apresenta outro tipo de barramento.

23.4. Por que identificar corretamente o dispositivo?

Porque computadores podem possuir vários discos conectados.

Confundir a unidade USB com o disco interno pode comprometer o diagnóstico.

Em procedimentos futuros, especialmente aqueles que envolvem operações de armazenamento, identificar corretamente o dispositivo é essencial.

24. Get-Disk e Get-Volume mostram qual programa bloqueia a ejeção?

Não.

Esses comandos apresentam informações sobre discos e volumes.

Eles não fornecem uma lista completa de processos que mantêm handles abertos.

Para localizar referências de arquivos, utilize ferramentas específicas, como Monitor de Recursos e Process Explorer.

O PowerShell complementa a investigação ao identificar corretamente o dispositivo e seu estado.

24.1. O volume está saudável: isso significa que pode ser removido?

Não necessariamente.

O estado de integridade informado pelo Windows não equivale à ausência de arquivos abertos.

Um pendrive pode apresentar um volume aparentemente saudável e ainda estar em uso por um aplicativo.

24.2. O volume aparece sem letra?

Determinados volumes podem não possuir letra atribuída.

Isso depende do tipo de dispositivo e de sua configuração.

A ausência de letra não significa automaticamente defeito.

Nesses casos, a identificação exige informações adicionais sobre disco, partição e volume.

25. Como identificar atividade de disco no Monitor de Recursos

Além da pesquisa de handles, o Monitor de Recursos permite observar atividades relacionadas ao armazenamento.

Abra:

resmon

Selecione a guia Disco.

25.1. O que observar?

A ferramenta pode apresentar processos com atividade de leitura ou gravação.

Também pode mostrar arquivos envolvidos nessas operações.

Procure caminhos relacionados ao pendrive.

25.2. Existe atividade constante?

Se um processo continua lendo ou gravando arquivos da unidade, investigue sua função.

Pode ser uma cópia, verificação de segurança, backup ou outra atividade legítima.

25.3. Não existe atividade: o pendrive está livre?

Não necessariamente.

Um processo pode manter um arquivo aberto sem realizar leituras ou gravações naquele instante.

Portanto, ausência de atividade de disco não significa ausência de handles.

Atividade de I/O e existência de identificadores abertos são informações diferentes.

26. Visualizador de Eventos: como investigar problemas de remoção USB

O Visualizador de Eventos permite consultar registros do sistema relacionados a dispositivos, armazenamento e operações de Plug and Play.

Ele pode ajudar a identificar falhas que ocorreram durante a tentativa de remoção.

26.1. Como abrir?

Pressione:

Win + R

Digite:

eventvwr.msc

Pressione Enter.

26.2. Onde procurar?

Comece em:

Logs do Windows → Sistema

Observe eventos próximos ao horário em que o Windows recusou a ejeção.

Entre as fontes que podem aparecer em investigações de armazenamento estão:

• Kernel-PnP.
• Disk.
• Ntfs.
• PartMgr.
• StorPort, conforme o driver e o dispositivo.

A presença dessas fontes depende da configuração do computador e dos eventos registrados.

26.3. Todo bloqueio gera um evento?

Não.

O Windows não necessariamente registra uma mensagem detalhada para cada tentativa de remoção recusada.

Portanto, a ausência de eventos não comprova que não existe um processo utilizando o dispositivo.

27. Evento 225 do Kernel-PnP: um registro importante

Em determinadas versões e condições do Windows, o evento 225 do provedor Kernel-PnP pode indicar que um processo impediu a remoção de um dispositivo.

Esse registro é especialmente interessante para o diagnóstico.

27.1. O que o evento pode informar?

Dependendo do caso, a mensagem pode identificar um processo e o dispositivo relacionado à tentativa de remoção.

O texto exato varia conforme a versão do Windows e as circunstâncias.

27.2. Como pesquisar o evento?

No Visualizador de Eventos, abra o log Sistema.

Utilize a opção Filtrar Log Atual.

Informe o identificador:

225

Depois, examine os eventos próximos ao horário da falha.

27.3. Como interpretar?

Se o evento identifica um processo, investigue sua função.

Por exemplo, um aplicativo de edição pode manter arquivos abertos no pendrive.

Entretanto, a presença de um evento 225 não significa que o processo identificado continua bloqueando a unidade naquele momento.

O registro representa uma condição observada no horário do evento.

28. Como consultar eventos 225 com PowerShell

O PowerShell permite consultar registros sem navegar manualmente pelo Visualizador de Eventos.

Execute:

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    ProviderName = 'Microsoft-Windows-Kernel-PnP'
    Id = 225
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated,Id,ProviderName,Message |
Format-List

Esse comando procura eventos 225 do provedor Kernel-PnP registrados nos últimos sete dias.

Ele não altera configurações.

28.1. Como interpretar o resultado vazio?

Se nenhum evento aparecer, pode não existir um registro correspondente no período consultado.

Também podem ocorrer diferenças na disponibilidade e no registro de eventos.

Não conclua que o pendrive está livre apenas porque a consulta não encontrou resultados.

28.2. Como exportar o diagnóstico?

Para salvar os eventos encontrados em um arquivo de texto:

$destino = Join-Path $env:USERPROFILE 'Desktop\eventos-usb-vmia.txt'

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    ProviderName = 'Microsoft-Windows-Kernel-PnP'
    Id = 225
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue |
Select-Object TimeCreated,Id,Message |
Format-List |
Out-String |
Set-Content -Path $destino -Encoding UTF8

Esse exemplo considera que a pasta Área de Trabalho está disponível no caminho convencional do perfil.

Se o computador utiliza redirecionamento de pastas ou OneDrive, ajuste o destino conforme necessário.

Revise o relatório antes de compartilhá-lo, pois os eventos podem incluir caminhos e identificadores do computador.

29. Como relacionar o evento 225 ao processo encontrado?

Imagine que o Windows recusa a ejeção às 14h30.

O Visualizador de Eventos registra uma ocorrência relacionada à remoção naquele horário.

A mensagem identifica um processo.

Você abre o Process Explorer e encontra referências desse processo a arquivos armazenados no pendrive.

Nesse cenário, existe uma evidência mais consistente de que o aplicativo participa do bloqueio.

Entretanto, ainda é necessário verificar se o processo continua utilizando o recurso.

29.1. Procedimento recomendado

Primeiro, registre o horário da falha.

Depois, consulte o evento correspondente.

Identifique o processo informado, quando disponível.

Em seguida, procure seus handles no Process Explorer.

Se encontrar arquivos associados ao pendrive, verifique se o aplicativo pode ser encerrado normalmente.

Após liberar os recursos, tente ejetar novamente.

Essa sequência evita encerrar processos por tentativa e erro.

30. Como diferenciar bloqueio de software de falha física do pendrive?

Nem toda dificuldade de remoção segura envolve um aplicativo.

Problemas de comunicação USB ou falhas no dispositivo também podem produzir comportamentos anormais.

Entretanto, a mensagem de dispositivo em uso, isoladamente, não comprova defeito físico.

30.1. Indícios de bloqueio por software

• O pendrive funciona normalmente.
• Os arquivos abrem sem erros.
• O dispositivo permanece conectado.
• O Process Explorer encontra arquivos abertos.
• O problema desaparece após fechar determinado aplicativo.

30.2. Indícios que justificam investigar o hardware

• O pendrive desconecta sozinho.
• O Windows apresenta erros de leitura ou gravação.
• A unidade desaparece durante o uso.
• O dispositivo falha em diferentes portas ou computadores.
• Existem registros recorrentes de erros de armazenamento.
• O sistema solicita reparação do volume repetidamente.

Esses sinais não confirmam, individualmente, uma falha física.

Entretanto, justificam investigar o dispositivo, a porta USB e o sistema de arquivos.

30.3. O que fazer quando existem erros de armazenamento?

Priorize a preservação dos arquivos importantes.

Se o dispositivo apresenta falhas recorrentes de leitura, evite executar operações de escrita ou reparações indiscriminadas antes de avaliar os dados.

Um problema físico exige abordagem diferente daquela aplicada a um arquivo mantido aberto por um programa.

31. O antivírus pode aparecer como processo responsável?

Sim.

Soluções de segurança podem acessar arquivos de dispositivos removíveis durante verificações.

Entretanto, encontrar um processo de antivírus associado ao pendrive não comprova automaticamente que ele está impedindo a ejeção.

31.1. Como investigar?

Observe se existe uma verificação ativa.

Consulte os registros da solução de segurança.

Verifique se o processo mantém referências aos arquivos da unidade.

Se houver uma operação legítima em andamento, aguarde sua conclusão.

31.2. Devemos encerrar o processo do antivírus?

Não.

Encerrar processos de segurança pode comprometer a proteção do computador e provocar comportamentos inesperados.

Se houver um problema persistente e comprovado, consulte as orientações oficiais do fabricante.

32. O Explorer.exe aparece no Process Explorer: como proceder?

O processo explorer.exe gerencia diferentes elementos da interface do Windows, incluindo o Explorador de Arquivos.

Ele pode aparecer em pesquisas relacionadas ao pendrive.

32.1. Primeiro procedimento

Feche todas as janelas do Explorador que utilizam a unidade.

Aguarde alguns segundos.

Tente ejetar novamente.

32.2. Verifique visualizações e extensões

Se o problema ocorre ao selecionar determinados arquivos, considere a participação de componentes de visualização ou extensões instaladas.

Entretanto, não desinstale programas sem identificar uma relação concreta.

32.3. Reiniciar o Explorador

Se houver evidência de que o Explorer mantém uma referência problemática e não existem operações importantes em andamento, reiniciá-lo pelo Gerenciador de Tarefas pode ser um teste reversível.

O procedimento pode fechar janelas do Explorador e reiniciar elementos da interface.

Ele não deve ser confundido com reiniciar o computador inteiro.

33. Programas de sincronização e backup podem bloquear a unidade

Ferramentas de backup e sincronização podem manter arquivos abertos durante suas operações.

Isso pode acontecer quando o pendrive funciona como origem ou destino.

33.1. Como identificar?

Verifique se existe uma tarefa em andamento.

Consulte a interface do programa.

Observe os processos e os arquivos acessados.

33.2. O que fazer?

Aguarde a conclusão da tarefa.

Se necessário, utilize a função oficial do aplicativo para pausar ou encerrar a operação de maneira controlada.

Não interrompa processos de backup sem compreender o estado da tarefa.

34. Como organizar as evidências do diagnóstico?

Um diagnóstico técnico confiável combina diferentes informações.

A tabela abaixo ajuda a interpretar os resultados.

Evidência	O que indica	Próxima ação
Monitor de Recursos encontra arquivo aberto	Processo mantém referência	Identificar aplicativo
Process Explorer encontra handle	Recurso permanece aberto	Avaliar tipo e processo
Evento 225 identifica processo	Remoção foi impedida naquele momento	Correlacionar com handles
Atividade de gravação no disco	Operação de I/O em andamento	Aguardar e investigar
Nenhum handle encontrado	Pesquisa não identificou referência	Ampliar diagnóstico
Erros de leitura no sistema	Possível problema de armazenamento	Priorizar dados
Pendrive desconecta sozinho	Possível problema USB ou hardware	Investigar conexão
Bloqueio desaparece ao fechar aplicativo	Forte relação com o processo	Confirmar recorrência

35. Estudo de caso: Excel impede a remoção do pendrive

Considere o seguinte cenário ilustrativo.

Um usuário trabalha em uma planilha armazenada diretamente no pendrive.

Depois de salvar o arquivo, minimiza o Excel e fecha a janela do Explorador.

Ao tentar remover o dispositivo, o Windows informa que ele está em uso.

O usuário abre o Monitor de Recursos e pesquisa pela letra da unidade.

A ferramenta encontra uma referência associada ao processo EXCEL.EXE.

O usuário retorna ao Excel, confirma que salvou o trabalho e fecha o aplicativo normalmente.

Depois, solicita novamente a remoção segura.

O Windows conclui a operação.

Nesse caso, o diagnóstico identifica uma relação direta entre o aplicativo e o bloqueio.

Não foi necessário formatar o pendrive, alterar o Registro ou desativar serviços.

36. Estudo de caso: nenhum processo aparece na pesquisa

Agora imagine outro cenário ilustrativo.

O usuário tenta ejetar um pendrive, mas o Windows recusa a operação.

O Monitor de Recursos não apresenta resultados para a letra da unidade.

O Process Explorer também não identifica uma referência evidente.

Nesse caso, não podemos afirmar que o dispositivo está livre.

O próximo passo consiste em verificar os eventos do sistema, observar atividades de armazenamento e investigar o comportamento do dispositivo.

Se não houver operações importantes em andamento e a causa continuar desconhecida, o usuário pode concluir seus trabalhos, desligar o computador normalmente e desconectar o dispositivo após o desligamento completo.

Essa alternativa evita forçar a remoção durante uma condição não esclarecida.

Diagnóstico profundo dos componentes que podem impedir a remoção segura

Você fecha todos os programas, encerra as janelas do Explorador de Arquivos e aguarda alguns minutos. Mesmo assim, quando tenta ejetar o pendrive, o Windows 11 informa que o dispositivo continua em uso.

Na primeira parte deste guia, explicamos como funciona a remoção segura de dispositivos USB e por que aplicativos aparentemente fechados ainda podem manter referências a arquivos e pastas.

Na segunda parte, utilizamos o Monitor de Recursos, o Process Explorer, o PowerShell e o Visualizador de Eventos para identificar processos, handles e registros relacionados às tentativas de remoção.

Entretanto, existe uma camada adicional que merece atenção.

Nem todo bloqueio de um pendrive envolve um aplicativo convencional. Serviços do Windows, filtros de sistema de arquivos, componentes de segurança, mecanismos de cache e drivers de armazenamento também participam das operações de leitura, gravação e desmontagem de volumes.

Por isso, um computador pode apresentar dificuldades para ejetar um pendrive mesmo quando o usuário não encontra nenhum documento aberto.

Nesta terceira parte do artigo da VMIA – Manutenção e Configuração, vamos investigar o funcionamento do Windows Search, Microsoft Defender, filtros Minifilter, Explorador de Arquivos, serviços de backup, sistemas de arquivos FAT32, exFAT e NTFS, políticas de remoção e drivers USB.

Também apresentaremos comandos para consultar o estado do armazenamento e procedimentos seguros para identificar a origem do problema sem colocar os arquivos em risco.

39. Por que serviços do Windows podem manter um pendrive ocupado?

O Windows utiliza serviços e drivers para executar diferentes atividades em segundo plano.

Esses componentes podem acessar dispositivos de armazenamento mesmo quando o usuário não mantém nenhuma janela aberta.

Entre as atividades possíveis estão:

• Consulta de metadados.
• Verificação de segurança.
• Pesquisa de arquivos.
• Operações de backup.
• Monitoramento de alterações.
• Leitura de propriedades do volume.
• Processamento de arquivos temporários.
• Operações de manutenção do sistema de arquivos.

Entretanto, a existência dessas atividades não significa que todas impedem a ejeção.

A maioria dos componentes modernos foi desenvolvida para lidar com dispositivos removíveis.

O problema aparece quando determinada operação, referência ou condição impede que o Windows conclua a remoção naquele momento.

39.1. Serviço em execução significa pendrive bloqueado?

Não.

Um serviço pode permanecer ativo durante toda a sessão do Windows sem acessar o pendrive.

Por exemplo, o serviço Windows Search pode estar em execução, mas não realizar nenhuma operação relacionada à unidade USB.

Da mesma forma, o Microsoft Defender pode proteger o computador sem manter arquivos específicos do pendrive abertos continuamente.

Por isso, não devemos encerrar serviços apenas porque eles aparecem no Gerenciador de Tarefas.

39.2. Como identificar uma relação real?

Procure evidências:

1. O serviço ou processo acessa arquivos do pendrive?
2. Existe atividade de leitura ou gravação?
3. O Process Explorer encontra referências relacionadas ao volume?
4. O bloqueio coincide com uma tarefa específica?
5. A ejeção funciona depois que a operação termina?

A combinação dessas informações permite formular um diagnóstico mais confiável.

40. Windows Search: a indexação pode impedir a remoção segura?

O Windows Search oferece recursos para localizar arquivos, aplicativos e informações armazenadas no computador.

Dependendo das configurações, ele utiliza mecanismos de indexação para acelerar determinadas pesquisas.

40.1. O Windows indexa automaticamente todos os pendrives?

Não.

O comportamento depende do tipo de dispositivo, do sistema de arquivos e das configurações de pesquisa.

Determinados locais podem participar da indexação, enquanto outros não.

Portanto, não é correto afirmar que todo pendrive conectado ao Windows 11 recebe automaticamente uma indexação completa.

40.2. Como a indexação pode influenciar o dispositivo?

Quando o Windows Search processa arquivos de um local incluído na indexação, ele pode consultar informações e conteúdo.

Essas operações envolvem acesso ao armazenamento.

Em condições normais, o serviço deve liberar os recursos utilizados.

Entretanto, problemas específicos podem prolongar determinadas atividades.

40.3. Como verificar as opções de indexação?

Abra o menu Iniciar e pesquise:

Opções de Indexação

Na janela apresentada, consulte os locais incluídos.

Verifique se algum caminho relacionado ao dispositivo removível participa da indexação.

A interface pode variar conforme a edição e a versão do Windows.

40.4. Devemos desativar o Windows Search?

Não como primeira medida.

Desativar o serviço pode prejudicar funcionalidades de pesquisa e não garante a liberação do pendrive.

Primeiro, confirme se existe atividade relacionada ao dispositivo.

Se o problema envolver um local indexado, avalie as configurações desse local antes de modificar o serviço inteiro.

41. Microsoft Defender: por que o antivírus pode acessar arquivos USB?

O Microsoft Defender Antivirus utiliza mecanismos de proteção que podem examinar arquivos durante diferentes operações.

Quando um usuário abre, copia ou executa arquivos armazenados em um pendrive, o sistema de segurança pode analisar o conteúdo conforme suas políticas.

Esse comportamento faz parte da proteção contra ameaças.

41.1. O processo MsMpEng.exe pode aparecer no diagnóstico?

Sim.

O processo MsMpEng.exe está associado ao serviço Microsoft Defender Antivirus.

Ele pode aparecer em ferramentas de monitoramento quando realiza atividades de segurança.

Entretanto, encontrar esse processo não significa automaticamente que ele impede a remoção do dispositivo.

41.2. Como verificar se existe uma verificação em andamento?

Abra:

Segurança do Windows → Proteção contra vírus e ameaças

Observe as informações disponíveis sobre verificações e histórico de proteção.

Dependendo da atividade, o Windows pode apresentar informações sobre verificações recentes ou em andamento.

41.3. O que fazer quando o Defender utiliza o pendrive?

Se existir uma verificação legítima em andamento, aguarde sua conclusão.

Depois, tente ejetar novamente.

Se o problema ocorrer repetidamente, registre os horários e investigue os processos e eventos associados.

41.4. Desativar a proteção em tempo real resolve?

Desativar a proteção pode modificar temporariamente o comportamento do sistema, mas também reduz a segurança.

Não recomendamos utilizar essa medida como solução rotineira.

Além disso, a ausência de bloqueio após desativar um recurso não identifica necessariamente o mecanismo exato responsável.

O diagnóstico deve preservar a proteção do computador.

42. O que são filtros Minifilter no Windows?

O Windows utiliza uma arquitetura de filtros de sistema de arquivos que permite a determinados drivers observar ou participar de operações de armazenamento.

Um tipo importante é o file system minifilter driver.

Esses drivers trabalham em conjunto com o Filter Manager do Windows.

42.1. Para que servem os Minifilters?

Eles podem participar de funcionalidades como:

• Proteção antivírus.
• Backup.
• Criptografia.
• Monitoramento de arquivos.
• Controle de acesso.
• Auditoria.
• Sincronização.
• Recursos de segurança empresarial.

Um filtro pode examinar ou modificar determinadas operações de entrada e saída conforme sua função.

42.2. Minifilter é vírus?

Não.

Minifilter representa uma arquitetura legítima do Windows.

Diversos componentes do sistema e programas de segurança utilizam esse mecanismo.

Entretanto, drivers de terceiros também podem apresentar problemas de compatibilidade ou implementação.

42.3. Um Minifilter pode impedir a ejeção?

Em determinadas condições, problemas relacionados a filtros e operações de sistema de arquivos podem influenciar a desmontagem ou a remoção de um volume.

Entretanto, a presença de um Minifilter não comprova que ele está bloqueando o pendrive.

É necessário investigar seu comportamento e relacioná-lo aos sintomas observados.

43. Como listar os Minifilters com o comando fltmc

O Windows oferece a ferramenta fltmc, que permite consultar informações relacionadas ao Filter Manager.

Abra o Terminal como administrador.

Execute:

fltmc filters

O comando apresenta os filtros registrados no sistema.

Exemplo ilustrativo:

Filter Name        Num Instances    Altitude
----------------   -------------    --------
WdFilter           8                328010
FileInfo           6                45000

Os nomes e valores acima são exemplos de apresentação, não representam o resultado de um computador específico.

43.1. O que significa Filter Name?

É o nome do filtro.

Ele pode corresponder a um componente do Windows ou a um driver instalado por outro programa.

43.2. O que significa Altitude?

O Filter Manager utiliza altitudes para organizar a posição relativa dos filtros na pilha.

A altitude não representa velocidade, consumo de memória ou nível de perigo.

Também não significa que um filtro com valor maior seja mais problemático.

43.3. O que significa Num Instances?

Esse campo apresenta a quantidade de instâncias associadas ao filtro no momento da consulta.

O número isolado não indica erro.

43.4. Como consultar instâncias?

Execute:

fltmc instances

O resultado pode ajudar a identificar instâncias de filtros associadas a volumes.

A interpretação exige conhecimento da arquitetura de filtros e dos nomes utilizados pelo sistema.

Não utilize esses resultados para desativar drivers indiscriminadamente.

44. Por que não devemos descarregar filtros manualmente?

O fltmc possui funcionalidades administrativas avançadas.

Entretanto, remover ou descarregar filtros sem compreender sua função pode prejudicar serviços importantes.

Alguns filtros participam da segurança, da integridade ou do funcionamento do armazenamento.

Interrompê-los inadequadamente pode provocar falhas de aplicativos ou problemas de acesso a arquivos.

44.1. Qual é a alternativa segura?

Se o diagnóstico indicar relação consistente com um filtro de terceiros:

• Identifique o programa responsável.
• Consulte os registros e a documentação do fabricante.
• Verifique atualizações oficiais.
• Avalie procedimentos de correção recomendados pelo fornecedor.
• Evite modificar componentes essenciais do Windows.

O objetivo é corrigir a causa, não desativar mecanismos importantes do sistema.

45. Explorador de Arquivos: miniaturas, visualização e extensões

O processo explorer.exe gerencia o Explorador de Arquivos e diferentes componentes da interface do Windows.

Em determinadas situações, o Explorer pode manter referências a arquivos ou diretórios.

45.1. Painel de visualização

O painel de visualização permite examinar o conteúdo de determinados arquivos sem abrir o aplicativo principal.

Dependendo do tipo de arquivo, o Windows pode utilizar componentes específicos para gerar essa visualização.

Se um componente permanece utilizando um arquivo do pendrive, ele pode aparecer durante o diagnóstico.

45.2. Miniaturas

O Windows pode gerar miniaturas de imagens e vídeos.

Essas operações envolvem leitura de arquivos.

Normalmente, terminam rapidamente.

Entretanto, determinados arquivos ou componentes de terceiros podem apresentar problemas.

45.3. Extensões de shell

Programas podem instalar extensões que adicionam funcionalidades ao Explorador.

Entre os exemplos estão componentes de visualização, menus de contexto e integrações com serviços.

Uma extensão problemática pode afetar o comportamento do Explorer.

Entretanto, não devemos atribuir automaticamente o bloqueio a uma extensão apenas porque ela está instalada.

45.4. Como investigar?

Primeiro, feche as janelas relacionadas ao pendrive.

Depois, verifique os handles do Explorer no Process Explorer.

Se o problema ocorrer somente ao selecionar determinado tipo de arquivo, observe a relação com componentes de visualização.

Registre os resultados antes de modificar configurações.

46. Como reiniciar o Explorer.exe com segurança

Quando existem evidências de que o Explorador mantém uma referência problemática, reiniciá-lo pode ajudar.

Entretanto, esse procedimento deve ocorrer somente depois de confirmar que não existem operações importantes em andamento.

46.1. Método pelo Gerenciador de Tarefas

Pressione:

Ctrl + Shift + Esc

Localize Windows Explorer ou Explorador do Windows.

Selecione Reiniciar.

A barra de tarefas e determinadas partes da interface podem desaparecer brevemente e retornar.

46.2. O procedimento apaga arquivos?

Reiniciar o Explorer normalmente não apaga arquivos.

Entretanto, pode interromper operações que dependem daquele processo.

Por isso, não execute o procedimento durante cópias ou movimentações importantes.

46.3. Como confirmar se resolveu?

Após a reinicialização do Explorer, aguarde a interface retornar.

Depois, tente ejetar novamente o pendrive.

Se a operação funcionar, isso sugere uma relação com o processo reiniciado, mas não identifica necessariamente qual extensão ou recurso mantinha a referência.

47. Programas de backup podem impedir a ejeção?

Sim.

Ferramentas de backup podem utilizar dispositivos USB como origem ou destino.

Durante uma tarefa, o aplicativo pode manter arquivos abertos e realizar operações de leitura ou gravação.

47.1. Backup em andamento

Se o pendrive recebe uma cópia de segurança, não tente removê-lo enquanto a tarefa estiver ativa.

A interrupção pode comprometer a consistência dos dados.

47.2. Backup aparentemente concluído

Alguns aplicativos executam etapas adicionais depois de concluir a transferência principal.

Essas etapas podem envolver verificação, atualização de catálogos ou finalização de arquivos.

O comportamento depende do software.

47.3. Como investigar?

Consulte o histórico do programa.

Verifique se existe uma tarefa ativa.

Observe os processos e os arquivos acessados.

Utilize a função oficial do aplicativo para concluir ou interromper operações quando apropriado.

Não encerre processos de backup à força.

48. Sincronização de arquivos e dispositivos removíveis

Programas de sincronização podem acompanhar alterações em pastas específicas.

Dependendo da configuração, essas pastas podem estar localizadas em dispositivos removíveis.

48.1. Como a sincronização pode influenciar a ejeção?

O aplicativo pode manter referências a arquivos enquanto compara versões, verifica alterações ou transfere dados.

Essas atividades podem coincidir com a tentativa de remoção.

48.2. Como resolver?

Identifique se o pendrive participa de uma tarefa de sincronização.

Aguarde a conclusão das operações.

Se necessário, utilize os controles oficiais do programa para pausar a tarefa de maneira segura.

Depois, tente ejetar novamente.

49. Cache de gravação: por que o Windows pode continuar utilizando o pendrive?

O cache de gravação permite organizar determinadas operações de armazenamento.

Dependendo da política configurada, o Windows pode utilizar mecanismos de cache para melhorar o desempenho.

Entretanto, a utilização de cache exige cuidados para preservar a integridade dos dados.

49.1. O que acontece durante uma gravação?

Quando um aplicativo solicita a gravação de dados, diferentes componentes participam da operação.

O Windows, o sistema de arquivos, os drivers e o próprio dispositivo podem utilizar mecanismos internos para processar os dados.

A conclusão de uma operação em determinado nível não significa necessariamente que todos os componentes físicos utilizem exatamente o mesmo comportamento.

49.2. O pendrive possui cache próprio?

Alguns dispositivos de armazenamento utilizam mecanismos internos de cache e gerenciamento de gravações.

O comportamento depende do controlador e da tecnologia utilizada.

Isso significa que o cache do Windows e os mecanismos internos do dispositivo não são a mesma coisa.

49.3. Como evitar perda de dados?

Aguarde a conclusão das operações.

Utilize a remoção segura quando apropriado.

Evite desconectar o dispositivo durante gravações.

Mantenha cópias de segurança dos arquivos importantes.

50. Remoção rápida e Melhor desempenho: qual política utilizar?

O Windows pode disponibilizar diferentes políticas de remoção para dispositivos externos.

50.1. Remoção rápida

Essa política reduz a dependência do cache de gravação do Windows.

Em determinadas condições, permite desconectar o dispositivo sem utilizar explicitamente a opção de remoção segura, desde que não existam operações em andamento.

Entretanto, isso não elimina todos os riscos.

50.2. Melhor desempenho

Essa política pode permitir maior utilização de cache de gravação.

Dependendo do dispositivo, isso pode beneficiar determinadas operações.

Entretanto, torna especialmente importante utilizar a remoção segura antes da desconexão.

50.3. A política corrige a mensagem de dispositivo em uso?

Não necessariamente.

Se um aplicativo mantém um arquivo aberto, alterar a política não garante que o Windows conseguirá ejetar o pendrive.

Portanto, não recomendamos modificar essa configuração como primeira tentativa.

51. FAT32, exFAT e NTFS: o sistema de arquivos influencia a remoção?

O sistema de arquivos organiza os dados armazenados no dispositivo.

Pendrives podem utilizar FAT32, exFAT ou NTFS, entre outros formatos.

Cada sistema possui características próprias.

Entretanto, nenhum deles garante que um pendrive nunca ficará ocupado por processos.

51.1. FAT32

O FAT32 oferece ampla compatibilidade com diferentes equipamentos.

Entretanto, possui limitações, incluindo tamanho máximo de arquivo de aproximadamente 4 GiB.

Ele não utiliza o mesmo modelo de recursos do NTFS.

51.2. exFAT

O exFAT foi desenvolvido para atender necessidades de armazenamento removível e arquivos maiores.

Ele oferece ampla compatibilidade com diferentes sistemas e dispositivos modernos.

Entretanto, não possui todos os mecanismos de recuperação e recursos presentes no NTFS.

51.3. NTFS

O NTFS oferece recursos como permissões, registro de alterações estruturais do sistema de arquivos e diferentes funcionalidades avançadas.

Ele aparece frequentemente em discos utilizados com Windows.

Entretanto, esses recursos não significam que o NTFS bloqueia automaticamente a remoção segura.

51.4. Qual sistema de arquivos provoca mais bloqueios?

Não existe uma regra universal que permita afirmar que FAT32, exFAT ou NTFS sempre provoque mais bloqueios de ejeção.

O comportamento depende das operações executadas, dos aplicativos, dos drivers e das condições do volume.

Formatar o pendrive em outro sistema de arquivos não representa uma solução adequada para um bloqueio causado por processo aberto.

52. Como identificar o sistema de arquivos do pendrive

Abra o PowerShell.

Execute:

Get-Volume |
Format-Table DriveLetter,FileSystemLabel,FileSystem,HealthStatus -AutoSize

Localize a letra do pendrive.

O comando pode informar se o volume utiliza FAT32, exFAT ou NTFS.

52.1. O comando modifica arquivos?

Não.

Get-Volume consulta informações dos volumes reconhecidos pelo Windows.

52.2. O estado Healthy garante que posso remover?

Não.

O estado de integridade informado pelo Windows não representa uma verificação de todos os handles abertos.

Um volume pode apresentar estado saudável e continuar em uso por um aplicativo.

53. Como identificar erros de sistema de arquivos sem formatar

Se o pendrive apresenta mensagens de erro, arquivos inacessíveis ou comportamento anormal, investigue a integridade do volume.

Entretanto, não execute reparações automaticamente.

53.1. Consulta inicial

O comando abaixo consulta informações do volume:

Get-Volume -DriveLetter E

Substitua E pela letra correta.

53.2. Verificação somente de leitura com CHKDSK

Quando apropriado, você pode executar:

chkdsk E:

Sem parâmetros de reparação, o comando realiza uma verificação e apresenta informações sobre o sistema de arquivos.

O comportamento e as verificações disponíveis dependem do formato do volume.

53.3. Por que evitar reparações indiscriminadas?

Se o dispositivo apresenta falhas físicas ou arquivos importantes sem backup, operações de reparação podem modificar estruturas do sistema de arquivos e dificultar determinadas tentativas de recuperação.

Por isso, priorize a preservação dos dados antes de realizar alterações.

54. Drivers USB: como participam da remoção segura?

A comunicação com dispositivos USB depende de diferentes componentes.

Entre eles estão controladores USB, hubs, drivers de armazenamento e drivers específicos do dispositivo.

54.1. USBSTOR

O Windows utiliza componentes relacionados ao armazenamento USB para determinados dispositivos que operam com protocolos compatíveis.

O driver USBSTOR participa do funcionamento de dispositivos de armazenamento USB que utilizam a pilha correspondente.

54.2. UASPStor

Determinados dispositivos USB utilizam o protocolo USB Attached SCSI, conhecido como UASP.

No Windows, o driver UASPStor participa do suporte a dispositivos compatíveis.

A utilização de UASP depende das capacidades do dispositivo, do controlador e da configuração.

54.3. Drivers USB podem causar problemas de ejeção?

Problemas de driver ou comunicação podem afetar operações relacionadas ao dispositivo.

Entretanto, a mensagem de pendrive em uso não comprova defeito no controlador USB.

Primeiro, investigue os processos e as operações de armazenamento.

55. Como identificar drivers e controladores USB

Abra o Gerenciador de Dispositivos.

Expanda:

Controladores USB (barramento serial universal)

Você poderá encontrar componentes relacionados a:

• Controladores de host USB.
• Hubs USB.
• Dispositivos de armazenamento.
• Controladores xHCI.
• Outros dispositivos compatíveis.

A nomenclatura depende do computador.

55.1. Devemos desinstalar os controladores USB?

Não como primeira medida.

Remover controladores pode interromper temporariamente o funcionamento de periféricos.

Em alguns computadores, teclado e mouse também dependem das portas USB.

A reinstalação indiscriminada não corrige necessariamente um arquivo mantido aberto por um aplicativo.

55.2. Quando investigar o driver?

A hipótese ganha relevância quando:

• O pendrive desconecta sozinho.
• O dispositivo apresenta falhas em diferentes portas.
• O Windows registra erros de comunicação.
• O problema começou após atualização de driver.
• Outros dispositivos USB apresentam comportamento semelhante.

56. Visualizador de Eventos: registros relacionados ao armazenamento

O Visualizador de Eventos permite consultar registros que podem ajudar a diferenciar bloqueios de software de problemas de armazenamento.

Abra:

eventvwr.msc

Depois, acesse:

Logs do Windows → Sistema

56.1. Kernel-PnP

Eventos relacionados ao Plug and Play podem fornecer informações sobre dispositivos e operações de remoção.

O evento 225 merece atenção quando aparece próximo ao horário de uma tentativa de ejeção recusada.

56.2. Disk

Eventos da fonte Disk podem indicar problemas relacionados a operações de armazenamento.

Entretanto, o significado depende do identificador e da mensagem completa.

56.3. Ntfs

Eventos relacionados ao NTFS podem fornecer informações sobre problemas específicos de volumes que utilizam esse sistema de arquivos.

Eles não devem ser utilizados para diagnosticar diretamente volumes exFAT ou FAT32 como se todos utilizassem a mesma implementação.

56.4. Como interpretar?

Compare os horários dos eventos com o momento da falha.

Observe se existem erros recorrentes.

Não conclua que qualquer evento de armazenamento representa defeito físico.

57. Como diferenciar um bloqueio legítimo de um problema persistente?

Nem toda recusa de ejeção representa defeito.

Se um aplicativo está gravando um arquivo, o bloqueio pode ser esperado.

O problema merece investigação adicional quando o dispositivo permanece ocupado sem uma operação identificável.

57.1. Bloqueio legítimo

Exemplos:

• Cópia de arquivos em andamento.
• Backup ativo.
• Documento aberto.
• Verificação de segurança em execução.
• Aplicativo utilizando arquivos da unidade.

Nesses casos, a solução normalmente consiste em concluir a operação e liberar os recursos.

57.2. Bloqueio persistente

Ocorre quando o Windows continua recusando a ejeção mesmo depois de o usuário concluir as tarefas conhecidas.

Nesse cenário, investigue:

• Handles remanescentes.
• Processos em segundo plano.
• Extensões do Explorer.
• Filtros de sistema de arquivos.
• Drivers.
• Eventos de armazenamento.
• Problemas de comunicação USB.

58. Matriz de diagnóstico técnico

Evidência	Possível origem	Próxima verificação
explorer.exe mantém referência	Explorador ou extensão	Fechar janelas e investigar visualização
MsMpEng.exe acessa arquivos	Microsoft Defender	Verificar atividade de segurança
Serviço de backup utiliza a unidade	Backup em andamento	Consultar estado da tarefa
fltmc lista filtros	Filtros carregados	Identificar função, sem presumir bloqueio
Atividade de gravação contínua	Operação de I/O	Identificar processo
Evento Kernel-PnP 225	Remoção impedida naquele momento	Correlacionar processo e horário
Erros recorrentes da fonte Disk	Possível falha de armazenamento	Priorizar preservação dos dados
Pendrive desconecta sozinho	Comunicação USB ou dispositivo	Investigar hardware e drivers
Volume saudável, mas não ejeta	Possível recurso em uso	Pesquisar handles
Problema após abrir determinado arquivo	Aplicativo ou extensão	Reproduzir e observar o processo

59. Procedimento seguro para liberar o pendrive

A sequência abaixo prioriza ações de baixo risco.

Checklist VMIA — Diagnóstico avançado

Etapas concluídas

0/9Confirmei que nenhuma gravação está em andamentoFechei documentos e aplicativos que utilizam a unidadeVerifiquei handles no Monitor de RecursosConsultei o Process Explorer quando necessárioVerifiquei tarefas de backup e sincronizaçãoObservei possíveis verificações de segurançaConsultei os eventos próximos à tentativa de ejeçãoConfirmei o sistema de arquivos e o estado do volumeTentei novamente a remoção segura

Reiniciar checklist

Se o Windows continuar recusando a ejeção e você não conseguir identificar a causa, evite forçar a desconexão.

Depois de concluir as operações importantes, uma alternativa conservadora consiste em desligar o computador normalmente e desconectar o pendrive após o desligamento completo.

60. O que não fazer quando o Windows informa que o pendrive está em uso

Algumas intervenções podem agravar o problema ou comprometer os dados.

Evite:

• Desativar o Microsoft Defender sem justificativa.
• Encerrar processos do sistema indiscriminadamente.
• Fechar handles manualmente sem compreender sua função.
• Descarregar filtros Minifilter aleatoriamente.
• Alterar políticas de cache como tentativa universal.
• Formatar o pendrive para corrigir um bloqueio de aplicativo.
• Executar reparações em dispositivos com sinais de falha física sem avaliar os dados.
• Remover controladores USB sem diagnóstico.
• Desconectar o dispositivo durante gravações.
• Utilizar programas desconhecidos que prometem liberar pendrives automaticamente.

O objetivo é identificar a causa e preservar a integridade dos arquivos.

Você terminou de copiar os arquivos, fechou todos os programas e tentou remover o pendrive. Entretanto, o Windows 11 continua apresentando a mensagem de que o dispositivo está em uso.

Esse problema pode parecer simples, mas envolve diferentes componentes do sistema operacional. Um aplicativo pode manter um arquivo aberto, o Explorador de Arquivos pode conservar referências ao volume, um antivírus pode executar verificações ou uma ferramenta de backup pode continuar trabalhando em segundo plano.

Em situações mais complexas, drivers, filtros de sistema de arquivos e operações de armazenamento também podem interferir na remoção segura.

Nas três primeiras partes deste guia, investigamos o funcionamento dos handles, Monitor de Recursos, Process Explorer, PowerShell, Visualizador de Eventos, Microsoft Defender, Windows Search, filtros Minifilter e políticas de cache.

Agora, vamos transformar esse conhecimento em soluções práticas.

O objetivo não é apenas fazer a mensagem desaparecer. Precisamos identificar o motivo do bloqueio, liberar o dispositivo corretamente e evitar a perda de arquivos.

Nesta quarta e última parte do artigo da VMIA – Manutenção e Configuração, apresentamos soluções conforme a causa, uma tabela de diagnóstico, recomendações preventivas e respostas para as dúvidas mais frequentes.

62. Como resolver definitivamente a mensagem “Este dispositivo está sendo usado”?

Não existe um único procedimento capaz de corrigir todos os casos.

A solução depende do componente responsável pelo bloqueio.

Se o problema envolve um documento aberto, basta concluir o trabalho e fechar o aplicativo.

Se o Explorador de Arquivos mantém uma referência, pode ser necessário encerrar a navegação ou reiniciar o Explorer de maneira controlada.

Quando existe uma tarefa de backup, o procedimento correto consiste em aguardar sua conclusão.

Se o Windows apresenta erros de armazenamento, a prioridade muda: precisamos proteger os dados e investigar a integridade do dispositivo.

62.1. Primeira tentativa: liberar a unidade sem modificar o sistema

Antes de utilizar comandos avançados:

1. Aguarde a conclusão de todas as transferências.
2. Salve e feche documentos armazenados no pendrive.
3. Feche as janelas do Explorador relacionadas à unidade.
4. Verifique programas minimizados.
5. Confirme que não existem backups ou sincronizações em andamento.
6. Verifique se algum Terminal utiliza a unidade como diretório atual.
7. Aguarde alguns instantes e tente ejetar novamente.

Se o Windows liberar o dispositivo, não será necessário modificar drivers, serviços ou políticas de armazenamento.

Se a mensagem continuar, avance para o diagnóstico por causa.

63. Solução 1 — Aplicativo mantém um arquivo do pendrive aberto

Essa é uma das situações mais diretas de resolver.

Imagine que você abriu uma planilha do Excel diretamente de um pendrive e deixou o programa minimizado.

Mesmo depois de fechar o Explorador de Arquivos, o Excel pode continuar mantendo uma referência à planilha.

Como corrigir

Abra o Monitor de Recursos:

resmon

Na guia CPU, expanda Identificadores Associados.

Pesquise a letra do pendrive, por exemplo:

E:\

Se encontrar um processo relacionado a um arquivo da unidade, identifique o aplicativo.

Salve o trabalho e feche o programa normalmente.

Depois, tente ejetar o pendrive.

Não encerre o processo à força enquanto ele estiver salvando ou modificando arquivos.

Como confirmar a solução

Repita o procedimento durante o uso normal.

Se o problema ocorrer sempre que determinado aplicativo mantém arquivos abertos, a relação entre o programa e o bloqueio estará mais bem fundamentada.

64. Solução 2 — Explorador de Arquivos impede a remoção

O explorer.exe pode manter referências relacionadas a arquivos e diretórios.

Isso pode acontecer durante determinadas operações de navegação, visualização e processamento de arquivos.

64.1. Feche as janelas do pendrive

Primeiro, feche todas as janelas que mostram o conteúdo da unidade USB.

Aguarde alguns segundos.

Tente ejetar novamente.

64.2. Verifique o painel de visualização

Se o problema ocorre depois de selecionar arquivos PDF, imagens ou vídeos, investigue os componentes de visualização.

No Explorador, acesse o menu Exibir → Mostrar e verifique a opção Painel de visualização, conforme a versão do Windows.

Desative temporariamente o painel para testar.

64.3. Reinicie o Explorer quando houver evidência

Se o Process Explorer indicar que o Explorer mantém referências problemáticas e não houver operações importantes em andamento:

Pressione Ctrl + Shift + Esc.

Localize Windows Explorer ou Explorador do Windows.

Selecione Reiniciar.

A interface pode desaparecer brevemente e retornar.

Depois, tente a remoção segura.

Reiniciar o Explorer não identifica automaticamente a extensão ou funcionalidade responsável. Se o problema voltar, continue investigando.

65. Solução 3 — Microsoft Defender ou outro antivírus utiliza o pendrive

O antivírus pode examinar arquivos armazenados em dispositivos removíveis.

Normalmente, essas verificações terminam sem impedir a ejeção por períodos prolongados.

Entretanto, uma operação ativa pode coincidir com a tentativa de remoção.

Como corrigir

Abra Segurança do Windows → Proteção contra vírus e ameaças.

Verifique se existe uma análise em andamento.

Se houver, aguarde sua conclusão.

Depois, tente ejetar novamente.

Em antivírus de terceiros, consulte a interface e os registros do próprio programa.

O que evitar

Não desative a proteção em tempo real como primeira tentativa.

Também não encerre processos de segurança indiscriminadamente.

Se houver uma incompatibilidade recorrente e documentada, procure atualizações oficiais ou orientações do fabricante.

66. Solução 4 — Backup ou sincronização mantém a unidade ocupada

Aplicativos de backup podem utilizar o pendrive como origem ou destino.

Mesmo depois da transferência principal, algumas ferramentas executam etapas de verificação ou finalização.

Como corrigir

Abra o programa responsável.

Consulte o estado da tarefa.

Aguarde a conclusão do backup.

Se precisar interromper uma tarefa, utilize os controles oficiais do aplicativo e confirme que a operação terminou de maneira segura.

Depois, tente ejetar novamente.

Não force o encerramento do programa enquanto ele modifica arquivos importantes.

67. Solução 5 — Terminal ou PowerShell utiliza a unidade USB

Um Terminal pode manter uma pasta do pendrive como diretório atual.

Por exemplo:

Set-Location E:\

Nesse cenário, altere o diretório para uma pasta do disco interno:

Set-Location C:\

Feche outros terminais que estejam utilizando a unidade.

Depois, tente ejetar novamente.

Esse procedimento não altera os arquivos armazenados.

68. Solução 6 — Um processo desconhecido mantém handles abertos

Quando o Monitor de Recursos não identifica claramente o bloqueio, o Process Explorer pode ajudar.

Utilize a ferramenta oficial da Microsoft Sysinternals:Baixar Process Explorer — Microsoft

Abra o programa e pressione Ctrl + F.

Pesquise pela letra do pendrive, como E:\.

Analise os resultados.

Se encontrar um aplicativo conhecido, verifique se ele utiliza arquivos da unidade.

Feche-o normalmente quando for seguro.

E se o processo for desconhecido?

Não o encerre imediatamente.

Identifique o executável, seu fornecedor e sua função.

Alguns processos pertencem a componentes essenciais do Windows ou a soluções de segurança.

Fechar handles manualmente ou encerrar processos desconhecidos pode causar falhas e perda de dados.

69. Solução 7 — Windows Search ou filtro de sistema de arquivos

Se o diagnóstico apontar atividades de indexação ou filtros de armazenamento, investigue a configuração correspondente.

69.1. Windows Search

Abra Opções de Indexação e verifique se algum local do pendrive participa da indexação.

Se existir uma configuração desnecessária, avalie sua alteração.

Não desative o serviço Windows Search inteiro sem justificativa.

69.2. Filtros Minifilter

Para consultar os filtros registrados:

fltmc filters

Para consultar instâncias:

fltmc instances

Esses comandos são informativos.

A presença de um filtro não comprova que ele está impedindo a ejeção.

Se houver evidência de incompatibilidade com um software de terceiros, consulte as atualizações e recomendações oficiais do fornecedor.

Não descarregue filtros aleatoriamente.

70. Solução 8 — Cache de gravação e política de remoção

O Windows oferece políticas de remoção para determinados dispositivos de armazenamento.

As opções podem incluir Remoção rápida e Melhor desempenho.

Como verificar

Abra o Gerenciador de Dispositivos.

Expanda Unidades de disco.

Localize o dispositivo USB.

Abra suas propriedades e procure a guia Políticas, quando disponível.

Qual configuração utilizar?

A política de Remoção rápida reduz a dependência do cache de gravação do Windows.

A política de Melhor desempenho pode permitir maior utilização de cache, dependendo do dispositivo e da configuração.

Entretanto, alterar a política não libera automaticamente um arquivo aberto por um aplicativo.

Não utilize essa mudança como solução universal.

Mesmo com Remoção rápida, nunca desconecte o dispositivo durante operações ativas.

71. Solução 9 — Erros de sistema de arquivos ou armazenamento

Se o pendrive apresenta erros de leitura, arquivos inacessíveis ou desconexões inesperadas, o problema pode ser diferente de um simples bloqueio por aplicativo.

Nesse cenário, priorize a preservação dos dados.

71.1. Identifique o volume

No PowerShell:

Get-Volume |
Format-Table DriveLetter,FileSystemLabel,FileSystem,HealthStatus -AutoSize

71.2. Consulte o estado do disco

Get-Disk |
Format-Table Number,FriendlyName,BusType,OperationalStatus -AutoSize

Esses comandos não alteram os arquivos.

71.3. Verifique os eventos

Abra:

eventvwr.msc

Consulte Logs do Windows → Sistema.

Observe eventos relacionados a armazenamento próximos ao horário da falha.

Se houver erros recorrentes, investigue antes de executar reparações.

71.4. Devemos executar CHKDSK?

Uma verificação pode ser útil em determinadas situações.

Entretanto, não execute reparações indiscriminadas em dispositivos que apresentam sinais de falha física ou contêm dados importantes sem backup.

Se houver risco de perda de dados, preserve as informações antes de modificar o sistema de arquivos.

72. Solução 10 — Driver USB ou controlador apresenta problemas

Se o pendrive desconecta sozinho, desaparece do Explorador ou apresenta erros em diferentes portas, investigue a comunicação USB.

Como proceder

Abra o Gerenciador de Dispositivos.

Verifique se existem alertas relacionados ao dispositivo.

Consulte a versão dos drivers e o histórico de alterações recentes.

Se houver uma atualização oficial relacionada ao problema, avalie sua instalação.

Também pode ser útil testar outra porta USB funcional.

Entretanto, não desinstale todos os controladores USB indiscriminadamente.

Isso pode interromper o funcionamento de teclado, mouse e outros periféricos.

73. E se nenhum processo aparecer, mas o Windows continuar recusando a ejeção?

Essa situação exige uma abordagem conservadora.

A ausência de resultados no Monitor de Recursos ou Process Explorer não comprova que o dispositivo está livre.

Algumas condições podem envolver referências que não aparecem como caminhos convencionais, componentes de armazenamento ou operações transitórias.

Procedimento recomendado

Primeiro, confirme que nenhuma transferência está em andamento.

Depois, verifique aplicativos, backups, sincronizações e tarefas de segurança.

Consulte os eventos próximos à tentativa de remoção.

Se não identificar a causa, evite forçar a desconexão.

Uma alternativa segura consiste em concluir os trabalhos e desligar o computador normalmente.

Após o desligamento completo, desconecte o pendrive.

Isso evita retirar o dispositivo enquanto o Windows ainda executa operações desconhecidas.

74. Como ejetar um pendrive corretamente no Windows 11

O Windows oferece diferentes caminhos para solicitar a remoção segura.

Método 1 — Área de notificação

Localize o ícone de remoção de hardware na área de notificação.

Selecione o dispositivo.

Escolha a opção de ejeção ou remoção segura, quando disponível.

Aguarde a confirmação do Windows.

Método 2 — Explorador de Arquivos

Abra Este Computador.

Localize o pendrive.

Clique com o botão direito na unidade.

Selecione Ejetar, quando a opção estiver disponível.

Aguarde a conclusão da operação.

Método 3 — Desligamento normal

Se o Windows continuar recusando a ejeção, conclua os trabalhos e desligue o computador normalmente.

Depois que o sistema estiver completamente desligado, desconecte o dispositivo.

Esse procedimento é preferível a interromper processos desconhecidos ou retirar a unidade durante operações ativas.

75. Pendrive, HD externo e SSD USB: o diagnóstico é igual?

Os princípios gerais são semelhantes, mas existem diferenças importantes.

Característica	Pendrive	HD externo	SSD externo
Armazenamento	Memória flash	Disco magnético	Memória flash
Partes mecânicas	Não	Sim	Não
Interface USB	Comum	Comum	Comum
Pode apresentar handles abertos	Sim	Sim	Sim
Pode utilizar cache	Sim	Sim	Sim
Pode sofrer perda de dados por desconexão inadequada	Sim	Sim	Sim
Exige atenção a falhas físicas	Sim	Sim	Sim

Em HDs externos, problemas de alimentação, cabo ou ponte USB-SATA também podem provocar falhas de comunicação.

Em SSDs externos, firmware, controladores e gerenciamento de energia podem influenciar o comportamento.

Entretanto, a mensagem de dispositivo em uso não comprova defeito físico em nenhum desses equipamentos.

76. Tabela definitiva de diagnóstico

Sintoma	Possível causa	Solução recomendada
Pendrive não ejeta com Word aberto	Documento em uso	Salvar e fechar o Word
Não ejeta com Excel minimizado	Planilha aberta	Fechar o Excel
Explorer mantém referência	Navegação ou visualização	Fechar janelas e investigar
Antivírus acessa arquivos	Verificação ativa	Aguardar conclusão
Backup utiliza o pendrive	Tarefa em andamento	Finalizar backup
Terminal está em E:\	Diretório atual na unidade	Alterar diretório
Process Explorer encontra handle	Recurso aberto	Identificar aplicativo
Evento 225 identifica processo	Remoção impedida naquele momento	Correlacionar com a tentativa
Nenhum processo aparece	Causa não identificada	Ampliar diagnóstico
Erros de leitura e gravação	Possível falha de armazenamento	Preservar dados
Pendrive desconecta sozinho	Possível problema USB	Investigar hardware
Problema após atualização	Possível incompatibilidade	Verificar drivers e histórico
Pendrive não ejeta após backup	Operação ainda ativa	Consultar aplicativo
Volume está saudável, mas não ejeta	Possível referência aberta	Pesquisar handles
Ejeção funciona após fechar programa	Relação com aplicativo	Confirmar recorrência

A tabela apresenta hipóteses de diagnóstico. A solução definitiva depende da identificação da causa real.

77. Como evitar que o pendrive fique em uso novamente?

Algumas práticas ajudam a reduzir bloqueios recorrentes.

77.1. Feche documentos antes de remover

Evite manter arquivos do pendrive abertos em aplicativos.

Salve o trabalho e feche os documentos antes de solicitar a ejeção.

77.2. Aguarde a conclusão das transferências

Não retire o dispositivo enquanto copia, move ou modifica arquivos.

77.3. Verifique programas de backup

Se o pendrive participa de uma tarefa de backup, confirme que o aplicativo concluiu a operação.

77.4. Evite executar aplicativos diretamente do pendrive

Programas executados diretamente da unidade podem manter arquivos e módulos carregados.

Quando apropriado, instale aplicativos no armazenamento interno.

77.5. Mantenha o Windows e os drivers compatíveis

Consulte atualizações oficiais e correções documentadas.

Não instale drivers de fontes desconhecidas.

77.6. Utilize dispositivos confiáveis

Pendrives de procedência duvidosa podem apresentar problemas de capacidade, desempenho ou confiabilidade.

Mantenha cópias de segurança dos arquivos importantes.

77.7. Evite ferramentas desconhecidas de desbloqueio

Alguns programas prometem liberar arquivos e dispositivos automaticamente.

Entretanto, ferramentas que encerram processos ou fecham handles sem explicar as consequências podem provocar perda de dados.

Prefira ferramentas oficiais e procedimentos verificáveis.

78. Checklist final: o pendrive está pronto para remoção?

Checklist VMIA — Remoção segura

Marque as etapas verificadas. A confirmação do Windows continua sendo a referência para a ejeção.

Etapas concluídas

0/6Todas as transferências terminaramDocumentos abertos no pendrive foram salvos e fechadosAplicativos de backup ou sincronização concluíram suas tarefasNão existem verificações conhecidas em andamentoJanelas do Explorador relacionadas à unidade foram fechadasO Windows confirmou a ejeção segura

Reiniciar checklist

79. FAQ — Perguntas frequentes sobre pendrive em uso no Windows 11

1. Por que o Windows 11 diz que o pendrive está em uso mesmo com tudo fechado?

O Windows pode encontrar referências abertas por aplicativos, serviços ou componentes do sistema. Mesmo sem janelas visíveis, um processo pode continuar utilizando arquivos ou diretórios da unidade.

2. Como descobrir qual programa está usando o pendrive?

Abra o Monitor de Recursos com resmon, entre na guia CPU e pesquise a letra da unidade em Identificadores Associados. Se necessário, utilize o Process Explorer da Microsoft.

3. O Process Explorer consegue identificar arquivos abertos no pendrive?

Sim. A ferramenta permite pesquisar handles relacionados a arquivos e diretórios. Entretanto, encontrar um handle não comprova automaticamente que ele é o único responsável pelo bloqueio.

4. Posso retirar o pendrive sem clicar em Ejetar?

A política de Remoção rápida reduz a dependência da ejeção em determinadas condições, mas não elimina riscos durante operações ativas. O procedimento mais prudente consiste em concluir as tarefas e utilizar a remoção segura quando disponível.

5. O que acontece se eu retirar o pendrive durante uma gravação?

A desconexão pode interromper a operação e provocar perda de dados ou inconsistências no sistema de arquivos.

6. O antivírus pode impedir a remoção?

Pode, em determinadas situações, quando realiza operações sobre arquivos da unidade. Entretanto, a presença do antivírus não significa que ele esteja bloqueando o dispositivo.

7. O Microsoft Defender precisa ser desativado?

Não. Desativar a proteção não representa uma solução recomendada. Primeiro, verifique se existe uma análise em andamento e aguarde sua conclusão.

8. O Windows Search pode bloquear um pendrive?

Dependendo da configuração e das operações executadas, componentes de pesquisa podem acessar arquivos. Entretanto, nem todo pendrive participa da indexação.

9. O Explorer.exe pode manter o pendrive ocupado?

Sim. O Explorador pode manter referências relacionadas a arquivos ou diretórios. Fechar as janelas correspondentes pode resolver determinadas situações.

10. Reiniciar o Explorador de Arquivos é seguro?

Normalmente, é um procedimento reversível. Entretanto, pode interromper operações que dependem do Explorer. Não reinicie durante transferências importantes.

11. O que significa o evento Kernel-PnP 225?

Em determinadas condições, esse evento indica que um processo impediu a remoção de um dispositivo. Sua mensagem pode ajudar a identificar o processo envolvido.

12. Como consultar o evento 225?

Abra o Visualizador de Eventos, acesse Logs do Windows → Sistema e filtre pelo identificador 225. Analise o horário e a mensagem completa.

13. O PowerShell consegue liberar o pendrive?

O PowerShell oferece comandos para consultar discos, volumes e eventos. Entretanto, não existe um comando universal e seguro que elimine todos os bloqueios de ejeção.

14. Get-Disk mostra qual programa está usando o pendrive?

Não. Get-Disk apresenta informações sobre discos. Para investigar processos e handles, utilize ferramentas específicas.

15. Get-Volume informa se o pendrive pode ser removido?

Não diretamente. O comando apresenta informações sobre volumes, mas não garante ausência de processos utilizando arquivos.

16. O NTFS pode causar a mensagem de pendrive em uso?

Um volume NTFS pode permanecer ocupado por aplicativos e serviços, assim como volumes FAT32 e exFAT. O sistema de arquivos, isoladamente, não comprova a causa.

17. Formatar o pendrive resolve?

Não necessariamente. Se o bloqueio ocorre porque um aplicativo mantém arquivos abertos, formatar a unidade não corrige a causa e ainda apaga os dados.

18. Devo executar CHKDSK?

Somente quando houver justificativa para investigar a integridade do sistema de arquivos. Em dispositivos com sinais de falha física ou dados importantes sem backup, avalie os riscos antes de realizar reparações.

19. O pendrive pode estar com defeito?

Sim, mas a mensagem de dispositivo em uso não comprova defeito. Falhas de leitura, desconexões inesperadas e erros recorrentes justificam investigação adicional.

20. O que fazer quando nenhum processo aparece?

Verifique atividades de armazenamento, eventos e aplicativos em segundo plano. Se a causa continuar desconhecida, conclua os trabalhos e desligue o computador normalmente antes de desconectar o dispositivo.

21. Posso encerrar o processo que aparece no Process Explorer?

Prefira fechar o aplicativo normalmente. Encerrar processos à força pode interromper gravações e causar perda de dados.

22. O que é um handle?

É um identificador utilizado por um processo para acessar recursos do Windows, como arquivos e diretórios.

23. Todo handle impede a ejeção?

Não. O efeito depende do tipo de recurso, do modo de abertura e das condições da operação.

24. O pendrive pode continuar ocupado depois de fechar um programa?

Sim, se algum processo relacionado continuar ativo ou se existirem outras operações em andamento. Entretanto, isso precisa ser confirmado por diagnóstico.

25. Qual é a solução mais segura quando nada funciona?

Depois de concluir todas as tarefas importantes, desligue o Windows normalmente e desconecte o dispositivo após o desligamento completo. Se o problema se repetir, investigue a causa antes de aplicar alterações avançadas.

80. Conclusão geral: Windows 11 informa que o pendrive está em uso

Quando o Windows 11 informa que um pendrive está em uso mesmo com tudo fechado, o problema pode envolver aplicativos, serviços, referências abertas ou operações de armazenamento.

A investigação deve começar pelas atividades mais simples: documentos abertos, transferências, backups e janelas do Explorador.

Se o bloqueio persistir, o Monitor de Recursos e o Process Explorer ajudam a identificar processos que mantêm handles relacionados ao dispositivo.

O PowerShell permite consultar discos e volumes, enquanto o Visualizador de Eventos pode apresentar informações sobre tentativas de remoção e problemas de armazenamento.

Componentes como Microsoft Defender, Windows Search e filtros Minifilter também podem participar de operações de acesso a arquivos. Entretanto, sua presença não comprova que sejam responsáveis pelo bloqueio.

A política de Remoção rápida reduz determinados riscos relacionados ao cache do Windows, mas não autoriza desconectar dispositivos durante gravações.

A solução definitiva consiste em identificar a operação ou o processo responsável, liberar os recursos corretamente e preservar a integridade dos arquivos.

Evite formatações desnecessárias, encerramento indiscriminado de processos e ferramentas desconhecidas que prometem desbloquear dispositivos automaticamente.

Com um diagnóstico organizado, é possível resolver grande parte dos bloqueios de software sem comprometer o funcionamento do Windows ou os dados armazenados.

81. Precisa de ajuda com pendrives e dispositivos USB? Conheça a VMIA

A VMIA – Manutenção e Configuração oferece suporte técnico para problemas com Windows 10 e 11, pendrives, HDs externos, SSDs USB, drivers e dispositivos de armazenamento.

Se o computador não permite remover um pendrive com segurança, apresenta erros de leitura ou mantém dispositivos USB ocupados sem motivo aparente, podemos ajudar a investigar a causa.

O atendimento pode ocorrer remotamente ou presencialmente, conforme o tipo de problema.

VMIA – Manutenção e Configuração

Diagnóstico de Windows, dispositivos USB e armazenamento.

Rua Prof. Sud Menucci, 291 — Vila Mariana — São Paulo — SP — 04017-080

(11) 99779-7772

suporte@vmia.com.br

Atendimento mediante agendamento.