手動偵測與清除偽裝系統進程木馬（以WmiPrvSE.exe為例）

駭客常將木馬偽裝成合法系統進程（如WmiPrvSE.exe、svchost.exe、lsass.exe）以逃避查殺。殺毒軟體若未更新特徵碼或遭繞過，手動排查成為必要技能。本文以偽裝WmiPrvSE.exe木馬為例，示範完整排查清除流程。

正常與異常特徵對比

手動清除步驟

1. 識別可疑進程：Ctrl+Shift+Esc開啟工作管理器 → 「詳細資料」分頁 → 右鍵可疑進程 → 「開啟檔案位置」。
2. 驗證檔案屬性：右鍵檔案 → 「內容」 → 「數位簽章」頁籤，確認簽發者為「Microsoft Windows」。
3. 終止進程：工作管理器右鍵進程 → 「結束工作」。若拒絕存取，使用taskkill /f /pid 或Process Explorer。
4. 刪除檔案：進入檔案所在資料夾刪除。若提示「檔案正在使用」，重啟進安全模式刪除，或使用Unlocker工具。
5. 清理登機自啟：檢查註冊表HKLM\Software\Microsoft\Windows\CurrentVersion\Run、HKCU\...\Run、排程任務、服務（services.msc）、啟動資料夾。
6. 掃描殘留：以更新至最新特徵碼的殺毒軟體全盤掃描，清除關聯惡意程式。
7. 驗證修復：重啟系統，觀察工作管理器無異常同名進程，系統行為恢復正常。

預防建議

• 保持系統與殺毒軟體自動更新。
• 啟用UAC、Windows Defender應用程式防護、受控資料夾存取。
• 避免以系統管理員身分執行日常操作。
• 定期備份重要資料（3-2-1原則）。

掌握手動排查技能，能在自動化防護失效時成為最後防線，但日常仍應以完善的自動化防護為主。