Win7 判斷 Svchost.exe 是否為病毒：路徑驗證、命令列 tasklist/wmic 深度排查、屬性詳情核對

Svchost.exe (Service Host Process) 是 Windows 核心系統進程，負責載入 DLL 形式的服務。正常系統會運行多個 Svchost.exe (各載入不同服務群組)。病毒/木馬常偽裝同名進程。本文提供四重驗證法快速辨識真偽。

驗證方法一：任務管理員屬性檢視路徑

1. Ctrl+Shift+Esc 開啟任務管理員 →「進程」索引標籤。
2. 右鍵任一 Svchost.exe →「屬性」/「開啟檔案位置」。
3. 正常路徑：**C:\Windows\System32\svchost.exe**。若在 C:\Windows\Temp、C:\ProgramData、用戶目錄等非系統目錄 → **極大概率為病毒**。
4. 64 位系統下 C:\Windows\SysWOW64\svchost.exe 為 32 位相容層，**正常**。

驗證方法二：詳細資訊索引標籤核對簽名

屬性視窗 →「詳細資料」索引標籤，檢查：

• 著作權：Microsoft Corporation
• 產品名稱：Microsoft® Windows® Operating System
• 檔案版本：與系統版本對應 (如 6.1.7601.17514)
• 若上述欄位**空白、亂碼、非微軟簽名** → 可疑。

驗證方法三：CMD tasklist /svc 查看服務載入狀態

1. Win+R → cmd。
2. 輸入 tasklist /svc → 列出每個 Svchost.exe (PID) 載入的具體服務名稱。
3. 若某 PID 對應服務欄顯示 「暫缺」 (N/A) 或服務名稱異常 (隨機字串、拼音縮寫) → 可疑。

驗證方法四：WMIC 一鍵列出所有 Svchost 路徑與命令列

1. Win+R → wmic 進入互動模式。
2. 輸入 process where "name='svchost.exe'" get ExecutablePath,CommandLine,ProcessId。
3. 輸出表格包含：完整路徑、啟動命令列參數 (如 -k netsvcs)、PID。快速掃描路徑是否全為 System32/SysWOW64。

發現可疑怎麼辦？

1. 立即斷網，防止資料外洩/遠端控制。
2. 更新殺毒軟體病毒碼至最新 → 全盤深度掃描。
3. 必要時進入安全模式掃描、使用專殺工具 (如 Malwarebytes、HitmanPro)。
4. 檢查啟動項、排程工作、服務 (services.msc) 是否有異常項目。