核心結論：一眼分辨
| 項目 | 正常 System 進程 | 惡意 system.exe |
|---|
| 進程名稱 | System (無副檔名) | system.exe (有 .exe) |
| PID | 永遠是 4 (Windows NT 核心慣例) | 任意非 4 的數字 |
| 路徑 | 無映像路徑 (核心模式駐留) | C:\Windows\system.exe、C:\Windows\System32\system.exe、%TEMP%\system.exe 等異常路徑 |
| 描述 | NT Kernel & System / 系統 | 常偽裝為「Microsoft Windows System Process」等欺騙性描述 |
| 父進程 | 無 (系統啟動最早進程之一) | explorer.exe、svchost.exe、cmd.exe、用戶啟動程式 |
| 簽名 | Microsoft Windows Publisher (核心模組無檔案簽名) | 無效/偽造/自簽/無簽名 |
| 權限 | SYSTEM (最高) | 通常也是 SYSTEM (透過服務/計劃任務/註冊表 Run 鍵提權) |
正常 System 進程 (PID 4) 是什麼？
- Windows 核心 (ntoskrnl.exe) 在使用者模式的代表進程
- 負責：記憶體管理 (頁面檔案、快取)、執行緒排程、硬體中斷處理 (DPC)、系統執行緒 (Worker Threads)、電源管理、Plug & Play、WMI、登錄、安全參考監視器
- 不可結束、不可暫停、不可刪除，結束會導致即時藍屏 (CRITICAL_PROCESS_DIED)
- CPU 佔用偶爾飆升通常由：驅動程式 DPC 延遲 (網卡/顯卡/儲存驅動)、防毒掃描、系統壓縮記憶體、Windows Update、搜尋索引器引起
system.exe 病毒常見家族與行為
| 家族/別名 | 特徵 |
|---|
| NetController / Gaobot / Agobot | IRC 機器人、DDoS、掃描弱點、竊取鍵盤記錄、開啟後門埠 |
| Trojan/PSW.WyHunt | 竊取遊戲帳號 (傳奇、WoW 等)、網銀密碼 |
| Worm_Bagle / Beagle / Netsky | 大量郵件傳播、關閉防毒/防火牆、下載執行任意碼 |
| GreyPigeon (灰鴿子) / Huigezi / pcShare | 國產遠控木馬、全功能遠端控制 (螢幕、檔案、程序、註冊表、CMD、鍵盤記錄、攝影頭、麥克風) |
| Ransomware loader | system.exe 作為載入器，釋放加密勒索模組 |
手動查殺步驟 (進階使用者)
- 斷網： 拔網線/關 Wi-Fi，防止數據外洩/下載二階段載荷
- 進入安全模式 (帶網路)： 設定 → 系統 → 復原 → 進階啟動 → 重新啟動 → 疑難排解 → 進階選項 → 啟動設定 → 重新啟動 → 按 5 (F5)
- 終止惡意進程：
- 任務管理器 → 詳細資料 → 找 PID≠4 的 system.exe → 右鍵「結束工作」
- 或管理員 PowerShell:
Stop-Process -Name "system" -Force (僅殺 system.exe，不影響 System)
- 刪除惡意檔案：
- 依路徑刪除：
del /f /a "C:\Windows\system.exe"、del /f /a "C:\Windows\System32\system.exe"、del /f /a "%TEMP%\system.exe"
- 清空回收站、
C:\$Recycle.Bin
- 清理持久化機制：
regedit 搜尋/檢查：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SYSTEM\CurrentControlSet\Services (可疑服務名、ImagePath 指向 system.exe)
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (應為 C:\Windows\system32\userinit.exe, 逗號結尾)- 工作排程器
taskschd.msc → 檢查可疑任務
- 啟動資料夾：
shell:startup、shell:common startup
- 檢查 LSP/Winsock/防火牆規則/主機檔案：
- 管理員 CMD:
netsh winsock reset (重置 LSP)
netsh advfirewall reset (重置防火牆)- 檢查
C:\Windows\System32\drivers\etc\hosts 是否被竄改
- 全盤掃描： Windows Defender 離線掃描 + Malwarebytes 免費版 + HitmanPro (第二意見)
- 修復系統檔案： 管理員 CMD/PowerShell 依序執行：
DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow
- 修改重要密碼： 銀行、郵箱、社交、遊戲、路由器管理密碼 (假設已被鍵盤記錄竊取)
預防勝於治療
- ✅ Windows Defender 即時保護 + 雲端保護 + 範例提交 全開
- ✅ 定期 Windows Update (含驅動程式)、瀏覽器/Office/Adobe/7-Zip 等常用軟體更新
- ✅ 使用標準使用者帳號日常操作，UAC 保持預設 (不關閉)
- ✅ 不執行來源不明的 .exe/.scr/.bat/.ps1/.msi/.jar，解壓縮先掃描
- ✅ 瀏覽器安裝 uBlock Origin、HTTPS Everywhere，啟用增強保護模式
- ✅ 重要資料 3-2-1 異地備份 (OneDrive/Google Drive/NAS/離線硬碟)
- ✅ 企業環境部署 AppLocker/WDAC/EDR 限制可執行檔案路徑/簽名
警告： 若不確定操作風險，直接備份資料重灌系統 是最乾淨、最省時、風險最低的方案。安全無小事，重灌一小時，省去數天隱患。