任務管理員看不出異常？三大病毒偽裝手法與進程偵測實戰

病毒/木馬必依附進程生存，即使隱藏技術再高，仍可從進程清單發現蛛絲馬跡。掌握三大偽裝手法，配合進程管理工具，即可識別惡意進程。

手法一：以假亂真——字元替換/增減

判斷原則：逐字比對拼寫，任何差異即為可疑。

手法二：偷樑換柱——同名異路徑

• 正常 svchost.exe 路徑：C:\Windows\System32\（Win2000 為 C:\WINNT\System32\）。
• 病毒將自身複製至 C:\Windows\ 或其他目錄並命名 svchost.exe，工作管理員顯示相同名稱。
• 破解：使用 Process Explorer、Windows 優化大師進程管理 等工具查看「映像路徑」，非 System32 目錄即為偽裝。

手法三：掛載正常系統服務（DLL 注入/服務劫持）

惡意程式透過註冊表 AppInit_DLLs、Services 鍵值，將惡意 DLL 注入 svchost.exe、winlogon.exe 等合法進程，進程名稱、路徑皆正常，但行為異常（高 CPU、網路連線不明）。

實戰偵測流程

1. 開啟 Process Explorer（微軟官方免費工具），啟用「驗證簽章」欄位。
2. 無簽章/簽章無效者標紅優先檢查。
3. 查看進程屬性 → 「映像」分頁確認完整路徑、命令列參數。
4. 「TCP/IP」分頁檢查可疑網路連線（遠端 IP、非標準埠）。
5. 「字串」分頁搜尋可疑網址、指令碼特徵。
6. 結合 Autoruns 檢查開機自啟項、服務、排程任務、WMI 事件訂閱。

常見合法進程基準（Windows 10/11）

• svchost.exe：通常 10-20 個，皆在 System32，命令列含 -k 服務群組參數。
• explorer.exe：單一實例，路徑 C:\Windows\。
• RuntimeBroker.exe、SearchIndexer.exe、YourPhone.exe 等現代系統元件均屬正常。

建立基準認知，定期巡檢，異常即刻隔離掃毒。