Corrigir captura do pktmon enchendo o disco C em segundo plano no Windows 11

Seu disco C está perdendo espaço mesmo sem instalar nada novo. Ao verificar o uso do disco, você descobre um arquivo .etl enorme na pasta do sistema Windows. Esse arquivo é criado pelo pktmon, a ferramenta de monitoramento de pacotes integrada que roda em segundo plano.

O pktmon captura o tráfego de rede e grava os dados em um arquivo de log. Quando um processo ou uma tarefa agendada inicia o pktmon sem um comando de parada, o arquivo de log cresce até encher o disco. Este artigo mostra como encontrar e excluir o arquivo de captura do pktmon e como interromper a captura permanentemente para que não volte.

Por que o pktmon captura dados em segundo plano e enche o disco C

O pktmon é uma ferramenta de diagnóstico de rede de linha de comando incluída no Windows 11. Ele captura pacotes de rede e os grava em um arquivo de log de rastreamento de eventos com extensão .etl. A ferramenta é normalmente usada por administradores de TI para solucionar problemas de rede. Quando um usuário ou uma tarefa agendada executa pktmon start sem especificar um tamanho máximo de arquivo ou um comando de parada, a captura roda indefinidamente.

O arquivo de log é armazenado em C:\Windows\System32\LogFiles por padrão. Em uma rede movimentada, o pktmon pode gravar centenas de megabytes ou até gigabytes de dados por hora. O arquivo cresce até o disco ficar cheio porque não há limite de tamanho embutido, a menos que você configure um. As causas mais comuns são um início manual esquecido, um script que não incluiu um comando de parada ou uma tarefa agendada que inicia o pktmon na inicialização.

Cenários comuns que disparam capturas do pktmon em segundo plano

Um usuário pode executar pktmon start durante uma sessão de solução de problemas de rede e esquecer de pará-lo. Uma ferramenta de monitoramento de rede de terceiros pode chamar o pktmon internamente e não conseguir pará-lo. O Windows em si não inicia o pktmon automaticamente, mas uma configuração de Política de Grupo ou um script de inicialização pode ativá-lo sem o conhecimento do usuário.

Passos para parar o pktmon e excluir o arquivo de captura

Você precisa de privilégios de administrador para parar o pktmon e excluir o arquivo de log. O processo envolve três etapas: parar a captura, remover o arquivo e impedir reinícios automáticos.

1. Abra o Prompt de Comando como Administrador
   Clique em Iniciar, digite cmd, clique com o botão direito em Prompt de Comando nos resultados da pesquisa e selecione Executar como administrador. Clique em Sim no prompt de Controle de Conta de Usuário.
2. Verifique se o pktmon está em execução
   Digite pktmon status e pressione Enter. A saída mostra se uma captura está ativa. Se disser “Status: Running”, prossiga para a próxima etapa. Se disser “Status: Not running”, a captura já parou, mas o arquivo de log ainda pode existir no disco.
3. Pare a captura
   Digite pktmon stop e pressione Enter. O comando interrompe a captura ativa e fecha o arquivo .etl. Nenhuma saída significa que o comando foi bem-sucedido.
4. Exclua o arquivo de log
   Digite del C:\Windows\System32\LogFiles\PktMon.etl e pressione Enter. Se aparecer “Access Denied”, o arquivo ainda está em uso. Reinicie o computador e tente novamente imediatamente após fazer login. Alternativamente, use o Explorador de Arquivos para navegar até C:\Windows\System32\LogFiles, localize PktMon.etl, clique com o botão direito e selecione Excluir. Forneça permissão de administrador se solicitado.
5. Verifique se o espaço em disco foi recuperado
   Abra o Explorador de Arquivos, clique com o botão direito no disco C e selecione Propriedades. O espaço livre deve aumentar no tamanho do arquivo .etl excluído. Você também pode executar dir C:\Windows\System32\LogFiles no Prompt de Comando para confirmar que o arquivo sumiu.

Impeça o pktmon de iniciar automaticamente

Se o pktmon iniciar novamente após uma reinicialização, uma tarefa agendada ou um script de inicialização é o responsável. Desabilite a tarefa agendada para interromper a captura automática.

1. Abra o Agendador de Tarefas
   Clique em Iniciar, digite Agendador de Tarefas e abra o aplicativo.
2. Navegue até a tarefa do pktmon
   No painel esquerdo, expanda Biblioteca do Agendador de Tarefas > Microsoft > Windows > Network. Procure por uma tarefa chamada PktMon ou Packet Monitor. Se não encontrar, expanda outras pastas como Diagnostics ou Performance.
3. Desabilite a tarefa
   Clique com o botão direito na tarefa e selecione Desabilitar. Uma tarefa desabilitada não é executada em nenhum gatilho.
4. Verifique a Política de Grupo
   Digite gpedit.msc na caixa de diálogo Executar e pressione Enter. Navegue até Configuração do Computador > Modelos Administrativos > Rede > Diagnóstico de Rede. Procure por uma política chamada “Configurar Monitor de Pacotes de Rede” ou similar. Se estiver definida como Habilitado, altere para Não Configurado ou Desabilitado.

Se o pktmon ainda encher o disco após a correção principal

Às vezes, o arquivo de captura reaparece mesmo depois de excluí-lo e desabilitar a tarefa agendada. Esses cenários explicam por que e como resolvê-los.

“Access Denied” ao tentar excluir PktMon.etl

O arquivo está bloqueado por um processo em execução. O próprio serviço pktmon mantém o arquivo aberto durante a captura. Execute pktmon stop primeiro. Se o arquivo permanecer bloqueado, reinicie o computador e exclua o arquivo imediatamente após fazer login, antes que aplicativos pesados de rede iniciem. Se o problema persistir, inicialize no Modo de Segurança e exclua o arquivo de lá.

pktmon inicia novamente após uma Atualização do Windows

Uma Atualização do Windows pode reabilitar a tarefa agendada ou redefinir a configuração da Política de Grupo. Após a atualização, repita as etapas para desabilitar a tarefa no Agendador de Tarefas. Para tornar a alteração persistente, crie uma Política de Grupo local que desabilite explicitamente o diagnóstico do Monitor de Pacotes de Rede.

Antivírus ou software de monitoramento de terceiros aciona o pktmon

Alguns softwares de segurança ou monitoramento de rede chamam o pktmon para capturar tráfego. Verifique a documentação do seu pacote de segurança instalado. Se você identificar o software, desabilite o recurso de captura de pacotes dentro dessa ferramenta ou desinstale o software se não for necessário.

Comparação de eficácia: Parada manual vs. Desabilitar tarefa agendada

Item	Parada manual do pktmon	Desabilitar tarefa agendada
Descrição	Interrompe a captura ativa imediatamente e fecha o arquivo de log	Impede que o pktmon inicie em qualquer gatilho futuro
Efeito no arquivo existente	Libera o arquivo para que possa ser excluído	Não afeta um arquivo existente
Efeito em capturas futuras	Captura para até que pktmon start seja executado novamente	Captura nunca inicia automaticamente
Persistência após reinicialização	Captura não reinicia a menos que uma tarefa ou script a inicie	Captura não reinicia porque a tarefa está desabilitada
Quando usar	Recuperação imediata de espaço em disco	Prevenção permanente de capturas em segundo plano

Agora você sabe por que o pktmon enche o disco C e como pará-lo. Execute pktmon stop e exclua o arquivo .etl para recuperar espaço imediatamente. Em seguida, desabilite a tarefa agendada no Agendador de Tarefas para evitar que a captura reinicie. Para controle avançado, use pktmon start –etw -p 0 para executar uma captura com um buffer circular de tamanho zero que nunca grava no disco.