識破偽裝成系統進程的木馬：以 Wmiprvse.exe 為例的手動查殺實戰

駭客入侵後常上傳木馬並偽裝成合法系統進程（如 Wmiprvse.exe），殺毒軟體往往難以察覺。本文以實戰案例示範如何透過工作管理員、檔案搜尋、登錄檔分析，手動識別並徹底清除偽裝木馬。

案例回顧：可疑的雙重 Wmiprvse.exe

1. 工作管理員發現兩個 Wmiprvse.exe 進程，分別以不同使用者權限執行。
2. 搜尋硬碟發現兩個同名檔案：
    • C:\Windows\System32\wbem\Wmiprvse.exe（正常路徑）
    • C:\Windows2\System32\wbem\Wmiprvse.exe（殘留的舊系統資料夾）
3. 檔案大小相同，但 Windows2 資料夾建立時間符合上次重灌系統時間，推測為舊系統殘留未刪乾淨。

判斷關鍵：正確路徑與簽章驗證

• 合法 Wmiprvse.exe 僅存在於 %SystemRoot%\System32\wbem\，且具備 Microsoft 數位簽章。
• 其他路徑（如 Windows2、Temp、System32 根目錄）出現的同名檔，極大機率為木馬偽裝。

手動清除步驟

1. 結束進程：工作管理員 → 右鍵可疑進程 → 「結束程序樹」。
2. 刪除檔案：進入檔案所在資料夾（如 Windows2\System32\wbem），刪除木馬檔案；若提示權限不足，啟用 Administrator 權限或進入安全模式操作。
3. 清理登錄檔：執行 regedit，搜尋木馬檔名或路徑，刪除相關啟動鍵值（常見位置：Run、RunOnce、Winlogon\Userinit、服務項目等）。
4. 檢查排程工作/服務：確認無殘留的排程任務或偽裝服務會重新生成木馬。
5. 重開機驗證：重新啟動後觀察工作管理員，確認可疑進程不再出現，系統自動重啟現象消失。

防範建議

• 保持系統與殺毒軟體更新，啟用即時掃描與雲端查殺。
• 定期檢查啟動項目（msconfig、Autoruns）、服務列表、排程工作。
• 下載軟體優先選官方網站，避免執行來源不明的執行檔。
• 重要資料定期離線備份，遭遇勒索軟體亦能快速復原。

木馬偽裝手法層出不窮，但核心邏輯不變：路徑錯誤、無效簽章、異常啟動。掌握手動排查思路，配合工具輔助，才能在殺毒軟體失靈時守住最後防線。