Winlogon.exe 是病毒嗎？Win7 核心登入程序辨識與防偽完整指南

工作管理員看到 Winlogon.exe 就以為中毒？它其實是 Windows 核心登入管理程序，負責使用者登入/登出、安全注意序列（Ctrl+Alt+Del）、桌面載入。但病毒極愛偽裝成它，本文教您三步驟精準辨識真偽。

正常 Winlogon.exe 特徵

• 路徑：C:\Windows\System32\winlogon.exe
• 執行帳戶：SYSTEM
• 啟動時機：系統開機、使用者登入、鎖定工作站
• 子程序：正常僅載入 logonui.exe 與 6 個特定 DLL
• 網路行為：不會主動連網

三大辨識病毒偽裝鐵則

1. 檔名細節：字母 O vs 數字 0（如 Winlog0n.exe 即為偽裝）
2. 路徑帳戶：非 System32 目錄、非 SYSTEM 帳戶執行 → 100% 中毒
3. 網路連線：TCPView 發現其監聽連接埠/主動連外 → 被木馬劫持

進階檢查：Autoruns 驗證啟動項

執行 Sysinternals Autoruns → 篩選 Winlogon → 正常僅應有：
logonui.exe + *.dll (共 6 個已知合法 DLL)
若出現不明 .exe/.dll → 高度可疑，請送毒碼分析。

結論：Winlogon.exe 本身非病毒，但為高價值偽裝目標。定期驗證路徑、帳戶、網路行為，配合 Autoruns 深度檢查，才能確保系統純淨。