「千防萬防，病毒難防」。與其事後補救，不如建立標準化排查流程，在病毒落地執行前發現異常。本文提煉實戰經驗，構建「進程→啟動項→網絡→安全模式→映像劫持→CPU時間」六維診斷模型，附工具鏈與判斷邏輯。
第一維：進程審計——「看見不可見」
🔍 標準流程
- 乾淨啟動基線：開機後不啟動任何第三方程序，直接 `Ctrl+Shift+Esc` 打開任務管理器；
- 白名單比對：建立個人/組織常見進程白名單（系統進程+授權軟件），異常項標記；
- 路徑驗證：系統進程必須運行於標準路徑（`C:\Windows\System32\`、`C:\Windows\SysWOW64\`），異常路徑（用戶目錄、Temp、AppData、ProgramData 非預期子目錄）高度可疑；
- 簽名驗證：右鍵進程→打開文件位置→屬性→數字簽名，驗證發布者可信度；
- 隱藏進程檢測：使用 Process Hacker / System Informer（現代替代冰刃）查看紅色高亮隱藏進程；
- 線程注入檢測：Process Hacker → 進程屬性 → 線程，檢查 `Start Address` 是否指向非模塊地址空間，或使用 HollowsHunter/MalUnpack 自動化掃描。
⚠️ 即時判斷紅線
- 任務管理器閃退/被禁用 → 極高概率中毒（病毒自我保護/破壞管理工具）；
- Process Hacker 無法運行/驅動加載失敗 → 內核級 Rootkit；
- 系統進程（svchost.exe/lsass.exe/csrss.exe/winlogon.exe/services.exe）路徑異常或多實例 → 偽裝進程；
- 線程注入目標為關鍵系統進程 → APC注入/進程空洞化/早鳥注入 等高級技術。
第二維：啟動項全景掃描——「堵住持久化之門」
| 檢查點 | 工具/命令 | 關注重點 |
|---|
| 服務 | services.msc / `sc query state= all` / Autoruns → Services | 非Microsoft服務、無描述/描述異常、路徑指向臨時目錄、啟動類型為自動 |
| Run/RunOnce 鍵值 | regedit / `reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run` / Autoruns → Logon | 指向可疑腳本/可執行文件、參數含下載執行命令 |
| 計劃任務 | taskschd.msc / `schtasks /query /fo LIST /v` / Autoruns → Scheduled Tasks | 高權限運行、觸發器為登錄/閒置/事件、操作調用腳本/下載器 |
| WMI 事件訂閱 | WMIC / PowerShell `Get-WmiObject -Namespace root\subscription -Class __EventFilter` / Autoruns → WMI | 永久性事件消費者，極難清除的無文件持久化 |
| IE BHO / Shell 擴展 | Autoruns → Explorer / IE | 無簽名/簽名無效、CLSID 指向異常 DLL |
| 啟動文件夾 | `shell:startup` / `shell:common startup` | 快捷方式/腳本/可執行文件 |
| 註冊表映像劫持 (IFEO) | `HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\` | Debugger 值指向惡意程序，劫持合法程序啟動 |
神器推薦：Autoruns (Sysinternals) — 一鍵全景展示所有持久化點，支持 VirusTotal 在線查殺、白名單篩選、跳轉註冊表/文件位置。
第三維：網絡連接審計——「順藤摸瓜找C2」
- 建立基線：關閉所有已知聯網程序（瀏覽器、下載器、自動更新、同步盤、郵件客戶端）；
- `netstat -ano` / `TCPView` / Process Hacker → Network 列出所有 ESTABLISHED/LISTENING 連接；
- 異常判定：
— 進程無數字簽名/簽名無效；
— 連接遠端 IP 為已知惡意 IP 段（威脅情報平台查詢：VirusTotal、AbuseIPDB、ThreatFox、AlienVault OTX）；
— 非常用端口（非 80/443/53/25/110/143/993/995/587/465/3389/22/21/3306/5432/6379/27017 等）；
— 大量連接嘗試（掃描/爆破/反彈 Shell）。
- 溯源：PID 反查進程完整路徑 → 文件哈希上傳 VirusTotal / Hybrid Analysis / ANY.RUN 沙箱分析。
第四維：安全模式驗證——「剝離干擾見真章」
重啟進入安全模式（最小驅動/服務）：
✅ 若無法進入/藍屏/自動重啟 → 引導區感染/內核驅動損壞/Rootkit 對抗；
✅ 若能進入，在安全模式下重複前三維檢查，對比差異——正常模式存在而安全模式消失的項，多為用戶態持久化/注入；
✅ 安全模式下運行殺毒全盤掃描，清除率顯著提升。
第五維：映像劫持 (IFEO) 專項排查——「劫持合法程序的隱形手」
註冊表路徑：`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<目標程序>\Debugger`
- 合法用途：調試器（VS、WinDbg、GFlags）、應用兼容性修補；
- 惡意特徵：Debugger 指向 `C:\Temp\evil.exe`、`C:\ProgramData\xxx\malware.exe`、腳本解析器（`wscript.exe //B //E:jscript malicious.js`）、系統工具（`cmd.exe /c ...`、`powershell.exe -enc ...`）；
- 清除：刪除對應子項或清空 Debugger 值。
第六維：CPU 時間異常分析——「靜默挖礦/後台計算的暴露」
- 任務管理器 → 詳情 → 右鍵列標題 → 勾選「CPU 時間」；
- 按 CPU 時間降序排列；
- 排除 `System Idle Process`、`System`、`Registry`、`Memory Compression`；
- 關注：
— 非預期進程累積 CPU 時間遠超同類基線（如 `notepad.exe` 運行 1 小時 CPU 時間 > 10 分鐘）；
— 進程名偽裝系統進程但路徑/簽名異常；
— 進程命令行參數含挖礦特徵（`--algo`、`--pool`、`--wallet`、`-o`、`-u`、`-p`）。
實戰工具鏈總結（全免費/開源）
- 🔧 Process Hacker / System Informer：進程/線程/模塊/句柄/網絡/服務/令牌深度檢視；
- 🔧 Autoruns：持久化全景掃描；
- 🔧 TCPView / CurrPorts：網絡連接詳情；
- 🔧 HollowsHunter / MalUnpack / ScyllaHide：進程注入/空洞化/解包分析；
- 🔧 Velociraptor / OSQuery：企業級端點可視化查詢；
- 🔧 VirusTotal / Hybrid Analysis / ANY.RUN / Joe Sandbox：文件/URL/行為雲端分析。
從「被動查殺」到「主動狩獵」
病毒診斷非一次性動作，而應建立：
📅 日常：EDR/AV 實時防護 + 登錄審計告警；
📅 周度：關鍵資產 Autoruns 基線比對；
📅 月度：全盤掃描 + 威脅情報比對；
📅 事件驅動：異常觸發上述六維深度溯源。
知己知彼，百戰不殆。將診斷能力內化為肌肉記憶，才是真正的「高手」。
