Windows 7 發現隱藏後台程序：msinfo32 系統資訊揭露工作管理員看不到的進程

工作管理員僅顯示使用者層級進程，大量系統服務、驅動程式、核心執行緒隱藏不見。Windows 7 內建 msinfo32 (系統資訊) 可列出完整「執行中工作」清單，包含 PID、執行緒數、優先權、模組路徑、啟動時間，揭露潛在流氓軟體、惡意後門。本文實測對比展示操作方法。

工作管理員 vs 系統資訊 對比

工作管理員 (taskmgr)：
- 僅顯示目前登入使用者的進程 (含系統進程但無詳細模組)
- 無法看見無視窗服務、驅動、核心執行緒
- 刷新間隔較長，易漏掉短命進程

系統資訊 (msinfo32)：
- 列出 所有 執行中工作 (系統/使用者/服務/驅動)
- 顯示完整映像路徑、PID、父進程 ID、執行緒數、CPU 時間、啟動時間、命令列參數
- 靜態快照，適合深度分析

操作步驟

1. Win+R → msinfo32 → Enter。
2. 左側樹狀結構展開：
   系統摘要 → 軟體環境 → 執行中工作
3. 右側欄位說明：

實戰：識別可疑後台程序

1. 路徑異常：非 C:\Windows\System32、C:\Program Files、C:\Program Files (x86)、使用者 AppData 下的已知程式 → 高度可疑。
2. 無數位簽章/簽章無效：右鍵檔案 → 內容 → 數位簽章 → 檢查簽發者。
3. 命令列含編碼/下載參數：如 -exec、powershell -enc、wget、curl → 可能為惡意腳本載入器。
4. 高 CPU/記憶體但無視窗：挖礦程式、後門持久化模組特徵。

進階工具推薦

• Process Explorer (Sysinternals)：即時樹狀檢視、DLL/控制代碼列表、病毒總檢查 (VirusTotal 整合)。
• Process Hacker：開源、核心模組檢視、網路連線對應進程。
• Autoruns：開機自啟動項完整掃描 (登錄/排程/服務/驅動/Winlogon)。

定期稽核建議

• 每月執行 msinfo32 匯出報告 (檔案 → 匯出) 存檔比對。
• 配合 netstat -ano 對應 PID 檢查不明網路連線。
• 異常進程 → 上傳 VirusTotal → 確認惡意 → 完整掃描 → 移除持久化機制 (註冊表/排程/服務/啟動資料夾)。

善用 msinfo32 這把「X 光鏡」，穿透工作管理員的表象，掌握系統真實運行狀態，讓隱藏後台程序無所遁形。