Windows 系統進程辨識指南：常見進程名稱、功能與病毒偽裝對照

為什麼要認識進程？

電腦變慢、風扇狂轉、網路不明連線，往往是某個進程佔用資源或惡意程式偽裝成系統進程。透過工作管理員（Ctrl + Shift + Esc）或 Process Explorer 觀察進程名稱、路徑、簽章，能快速判斷正常與異常。

常見合法進程速查（A-F 節錄）

判斷進程正邪的三大原則

1. 路徑驗證： 合法系統進程通常位於 C:\Windows\System32\ 或 C:\Windows\；第三方合法程式位於 C:\Program Files\ 或 C:\Program Files (x86)\。若在 Temp、AppData、Windows\Temp 等臨時目錄，極大機率為惡意程式。
2. 數位簽章： 右鍵進程 → 開啟檔案位置 → 右鍵 .exe → 內容 → 數位簽章。合法軟體通常有受信任簽章（Microsoft、Adobe、Intel 等）。無簽章或簽章無效需警惕。
3. 資源行為： 正常閒置時 CPU < 1%、記憶體佔用合理。若某進程持續高 CPU、高磁碟 I/O、大量網路連線，且名稱可疑（如 svchost.exe 拼寫錯誤、隨機字串.exe），應深入調查。

常見偽裝手法

• 名稱相似：svch0st.exe（數字 0 替代 o）、explore.exe（少一個 r）、lsass.exe → lsasss.exe。
• 放置於系統目錄但無簽章。
• 透過登錄 Run、RunOnce、服務、排程工作實現持久化。

推薦工具

• Process Explorer (Sysinternals)： 顯示完整路徑、命令列、簽章、TCP 連線、DLL 載入、父子關係。
• Autoruns (Sysinternals)： 全面掃描所有自動啟動點（登錄、排程、服務、啟動資料夾、WMI 等）。
• Process Hacker： 開源替代品，功能相近 Process Explorer。
• VirusTotal 上傳： 可疑檔案上傳多引擎掃描。

結語

認識進程不是背誦清單，而是建立「路徑、簽章、行為」三維判斷模型。平時多觀察乾淨系統的基準快照，異常時才能一眼識別「不屬於這裡的進程」。