Word 開啟極慢 5 分鐘？木馬建立偽裝服務 pangu_service_display 為禍

同事電腦 Word 文件開啟需等待 5 分鐘、視窗移動卡頓。排查發現非 Office 本身問題，而是木馬在系統服務中植入惡意項目導致資源耗盡。

故障現象

• Word 開啟極慢 (5 分鐘以上)。
• 視窗拖動/操作嚴重卡頓。
• 系統整體響應緩慢。

排查過程

1. 嘗試執行 Office 修復工具 SRENG (Office 2003) / Office Diagnostics，一掃描即重開機，無法完成。
2. 檢查服務 (services.msc) 發現異常服務：
   顯示名稱： pangu_service_display
   服務名稱： pangu_service_display
   啟動路徑： C:\WINDOWS\system32\winlogin.exe (注意：正規系統檔為 winlogon.exe，此處為 winlogin.exe，拼寫偽裝)。
3. 該服務啟動類型為「自動」，狀態「已啟動」。

解決方案

1. services.msc → 找到 pangu_service_display → 右鍵「內容」→「啟動類型」改為「已停用」→ 「停止」服務 → 確定。
2. 重新開機。
3. Word 開啟速度恢復正常，系統流暢。

後續清理建議

• 刪除偽裝檔案：C:\WINDOWS\system32\winlogin.exe (非系統檔，安全刪除)。
• 登錄編輯器搜尋 pangu_service_display 刪除殘留鍵值 (特別是 HKLM\SYSTEM\CurrentControlSet\Services\pangu_service_display)。
• 完整掃毒 (安全模式 + 最新病毒碼)，清除可能殘留的下載器/後門。
• 檢查啟動項 (msconfig)、排程工作、瀏覽器增益集是否有殘留惡意項目。

特徵標記 (IOC)

• 服務名/顯示名：pangu_service_display
• 偽裝執行檔：winlogin.exe (正確為 winlogon.exe)
• 路徑：%SystemRoot%\system32\winlogin.exe

木馬偽裝系統服務 + 拼寫偽裝系統檔 (winlogin vs winlogon)，佔用資源導致 Office 假死。services.msc 一鍵停用偽服務即可快速止血，配合檔案/登錄清理徹底根除。遇到 Office 極慢、掃描即重開機，優先查服務異常。