Win7 系統 smss.exe 是什麼程序？能否結束？病毒偽裝辨識指南

在工作管理員發現 smss.exe（Session Manager SubSystem），嘗試結束卻提示「作業系統即將關閉」。這是 Windows 核心系統程序，負責建立環境變數、啟動 Win32 子系統、處理登入流程。本文解析其功能、不可結束原因、病毒偽裝特徵與處理方式。

一、正版 smss.exe 核心功能

• 全名：Session Manager SubSystem（對話管理子系統）。
• 路徑：C:\Windows\System32\smss.exe（唯一合法路徑）。
• 啟動時機：系統開機極早期（Kernel 初始化後）即啟動，持續運行至關機。
• 主要職責：
  • 建立系統環境變數。
  • 載入核心裝置驅動程式。
  • 啟動 csrss.exe (Client/Server Runtime SubSystem) 與 winlogon.exe (登入程序)。
  • 管理 DOS 裝置名稱映射（如 COM1、LPT1）。
  • 處理 Windows 登入/登出/關機流程。

二、為什麼不能結束 smss.exe？

• 屬關鍵系統程序，結束即觸發系統致命錯誤（Bugcheck），強制藍畫面重開機以防資料損毀。
• 任務管理員預設隱藏「系統程序」分頁，需勾選「顯示所有使用者的程序」才可見，防止誤操作。
• 任何嘗試強制終止的行為（Taskkill、Process Explorer 等）皆會導致系統立即崩潰。

三、病毒/木馬偽裝 smss.exe 辨識清單

符合任一條件即為惡意程式偽裝：

• ❌ 檔案不在 C:\Windows\System32 目錄（如在 Temp、AppData、Windows\ 根目錄）。
• ❌ 系統開機後未啟動 cmd.exe 卻有多個 smss.exe 同時運行（正版僅一個實例）。
• ❌ CPU/記憶體佔用率異常持續偏高（正版幾乎零佔用）。
• ❌ 檔案數位簽章非「Microsoft Windows Publisher」或無簽章。
• ❌ 使用 sigcheck / Process Explorer 驗證映像雜湊值與微軟官方不符。