病毒/木馬常偽裝成關鍵系統進程隱匿。掌握 6 大高危進程的正常特徵（路徑、參數、數量、簽章），即可快速識別偽裝體。
1. svchost.exe — 服務宿主進程
- 正常路徑：
C:\Windows\System32\svchost.exe
- 命令列參數：含
-k 服務群組名（如 -k netsvcs, -k LocalService）。
- 正常數量：Win10/11 通常 10-20 個；XP/Win7 4-8 個。
- 偽裝特徵：
svch0st.exe、scvhost.exe、路徑非 System32、無 -k 參數、無 Microsoft 簽章。
- 驗證：Process Explorer →「驗證簽章」欄位顯示「Verified: Microsoft Windows」。
2. explorer.exe — 檔案總管/桌面殼層
- 正常路徑：
C:\Windows\explorer.exe
- 單一實例：僅 1 個進程（除非多使用者切換）。
- 偽裝特徵：
iexplorer.exe、explore.exe、路徑非 Windows 目錄。
- 重啟方法：工作管理員結束 →「檔案」→「執行新工作」→
explorer.exe。
3. iexplore.exe — Internet Explorer 瀏覽器
- 正常路徑：
C:\Program Files\Internet Explorer\iexplore.exe（64 位）或 C:\Program Files (x86)\Internet Explorer\iexplore.exe（32 位）。
- 偽裝特徵：
iexplorer.exe、路徑非 IE 目錄、未開啟 IE 卻有進程常駐（可能為惡意程式啟用 IE COM 物件後台下載/掛馬）。
4. rundll32.exe — DLL 執行器
- 正常路徑：
C:\Windows\System32\rundll32.exe
- 命令列：
rundll32.exe ,<入口點>（如 user32.dll,LockWorkStation）。
- 偽裝特徵：
rundl132.exe、rundl32.exe、路徑非 System32、命令列含可疑 DLL/網址。
5. spoolsv.exe — 列印佇列服務
- 正常路徑：
C:\Windows\System32\spoolsv.exe
- 服務依賴：Print Spooler 服務啟動時才出現；停用服務進程消失。
- 偽裝特徵：
spoo1sv.exe、spolsv.exe、無印表機環境卻常駐、路徑異常。
6. lsass.exe — 本機安全性授權伺服器
- 正常路徑：
C:\Windows\System32\lsass.exe
- 極高權限：SYSTEM 權限，處理認證、權杖、安全性原則。
- 偽裝特徵：
lsasss.exe、lsass.exe 路徑非 System32、記憶體傾印嘗試（Mimikatz 等工具會攻擊此進程）。
- 防護：啟用「Windows Defender Credential Guard」（虛擬化隔離 LSASS）、設定「保護程序輕量化」（PPL）。
通用識別三步驟
- 拼寫逐字比對：任何字元差異即可疑。
- 路徑驗證：必須在標準系統目錄（System32/Windows/Program Files）。
- 數位簽章：Process Explorer/Autoruns 啟用驗證，無簽章/非 Microsoft 簽章優先調查。
進階檢測工具鏈
- Process Explorer（微軟官方）：即時進程樹、簽章驗證、TCP/IP 連線、字串搜尋。
- Autoruns：開機自啟、服務、排程、WMI、Shell 擴充全掃描。
- TCPView：進程級網路連線監控。
- Process Hacker / System Informer：開源替代，功能更強（記憶體檢視、Token 檢視）。
建立基準認知，定期巡檢，異常即刻隔離掃毒。
