Svchost.exe 正常作用

Svchost.exe 是從動態連結庫（DLL）載入服務的通用宿主進程。啟動時檢查註冊表 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost 構建服務清單，因此可同時運行多個實例，每個實例載入一組服務，便於控管與除錯。

• 檔案位置：%systemroot%\System32\svchost.exe（唯一合法路徑）。
• 註冊表鍵值類型：REG_MULTI_SZ，包含服務名；各服務參數含 ServiceDLL 值指向 DLL 路徑。

病毒偽裝辨識

1. 檢查路徑：搜尋 C:\Windows 下所有 svchost.exe，正常僅 1 個（System32）。
2. 查看命令列：使用 tlist -s 或 Process Explorer 等帶路徑的進程檢視工具。
3. 檢查啟動參數：正常帶 -k 參數（如 -k netsvcs）；無參數或異常參數可疑。
4. 網路行為：異常對外連線、高頻傳輸需警惕。

常見服務群組

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
  netsvcs      → 網路相關服務
  LocalService → 本地服務
  NetworkService → 網路服務
  ...等

若發現非 System32 路徑的 svchost.exe，或行為異常，請立即全盤殺毒並檢查啟動項與服務。