Win7 判斷 svchost.exe 是否為病毒：三大偵測法完整教學

背景知識

svchost.exe (Service Host Process) 為 Windows 核心系統程序，負責載入 DLL 形式的系統服務。正常情況下位於 C:\Windows\System32\，且會有多個實例同時運行。病毒常偽裝同名檔案置於其他目錄，或掛載惡意服務於合法 svchost 進程中。

方法一：工作管理員檢查檔案路徑與簽章

1. Ctrl + Shift + Esc 開啟工作管理員 → 「詳細資料」頁籤
2. 找到所有 svchost.exe 進程
3. 右鍵單一進程 → 「開啟檔案位置」
4. 若非 C:\Windows\System32\ 目錄 → 高度可疑
5. 右鍵 → 「內容」 → 「詳細資料」頁籤，檢查「產品名稱」為「Microsoft Windows Operating System」、「著作權」含「Microsoft Corporation」→ 合法簽章
6. 若版本資訊為空白 → 極度可疑

方法二：命令列查詢服務對應關係

以系統管理員身分開啟命令提示字元：

tasklist /svc

• 輸出表格中「服務」欄顯示該 svchost 實例載入的服務名稱
• 若顯示「N/A」或無法辨識的服務名稱 → 可疑
• 合法 svchost 通常載入：wuauserv、DcomLaunch、RpcSs、AudioSrv、WinDefend 等標準服務

方法三：WMIC 深度掃描所有進程路徑

wmic
process get name,executablepath,processid
exit

• 列出所有進程完整路徑與 PID
• 篩選 name="svchost.exe" 的項目，逐一核對 executablepath
• 可發現隱藏在非標準路徑的偽裝進程

特殊情況：svchost.exe *32 與 SysWOW64

64 位元 Windows 下，32 位元系統檔案存放於 C:\Windows\SysWOW64\。若 svchost.exe *32 指向此目錄屬正常現象，非病毒。

發現可疑進程後的處理流程

1. 立即斷網隔離
2. 使用 Windows Defender 或可信防毒軟體執行「完整掃描」
3. 檢查啟動項、排程工作、登錄表 Run 鍵值是否有異常啟動項
4. 必要時離線掃描 (Windows Defender 離線掃描) 或重灌系統

相關延伸閱讀

• 開機報錯 svchost.exe 處理方法
• svchost.exe 佔用記憶體過高解決辦法
• svchost.exe 應用程式錯誤修復