alg.exe (Application Layer Gateway Service) 是 Windows 连接共享/防火墙的 ALG 组件，正常位于 C:\Windows\System32\，内存占用约 4MB。**不可随意结束**，否则导致 ICS/共享上网失效。
一、如何判断是病毒伪装
| 特征 | 正常 alg.exe | 病毒伪装 |
|---|
| 路径 | C:\Windows\System32\alg.exe | C:\Windows\alg.exe 或其他非标准路径 |
| 大小写 | 小写 alg.exe | 大写 ALG.EXE / Alg.exe |
| 行为 | 静默运行 | 占用 135/445 端口外联、导致报错重启、调用 winlogon 无法结束 |
| 网络 | 仅本地服务 | 向外通信、影响局域网 |
二、病毒手工清除流程（高危操作，建议先全盘杀毒）
- 清理注册表（Win+R →
regedit）：
删除 HKLM\System\CurrentControlSet\Services\Application Layer Gateway Services（指向 C:\Windows\alg.exe）
修改 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCDisable = dword:00000000
删除 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCScan
删除 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\v7b5x2s1i4h3
- 重启 → 显示隐藏文件 → 删除
C:\Windows\alg.exe。
- 修复系统文件：
C:\WINDOWS\system32\Microsoft\backup.ftp → 重命名为 ftp.exe 覆盖 System32\ftp.exe；同理 backup.tftp → tftp.exe。
三、服务恢复
服务管理器（services.msc）找到 Application Layer Gateway Service，启动类型设为"自动"，启动服务。
特殊现象： 进程名显示大写 ALG.EXE 时会导致无法上网（多见无线网络），注销重新登录即可恢复小写正常状态。
