svchost.exe 正體：服務宿主進程

Windows 大量使用 DLL（動態連結庫）實作服務，svchost.exe 是這些 DLL 服務的通用宿主進程。每個 svchost 實例以「群組」方式載入一組相關服務（如網路、RPC、Windows Update），因此正常系統會同時運行多個 svchost.exe。

如何查看每個 svchost 具體載入哪些服務

• CMD 執行 tasklist /svc：列出 PID、服務名稱縮寫。
• CMD 執行 tasklist /m：顯示載入的 DLL。
• 資源監視器 / Process Explorer：圖形化查看服務樹狀結構。

病毒偽裝 svchost.exe 的典型特徵

• 路徑不在 C:\Windows\System32\（如 C:\SysDayN6\svchost.exe、C:\Windows\Temp\）。
• 檔案名稱大小寫異常（如 Svch0st.exe、svchosts.exe）。
• 啟動參數異常、無服務描述、數位簽章無效。
• 註冊表 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run 或 HKLM\...\Run 有數字命名鍵值指向可疑路徑。

手動清除步驟（針對典型變種）

1. 刪除惡意資料夾：使用 Unlocker 或安全模式刪除 C:\Sys* 類隨機命名資料夾（特徵：Sys + 3-5 位隨機字元）。
2. 清理註冊表啟動項：

   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

   刪除所有「純數字名稱」的鍵值（如 <66> "C:\SysDayN6\svchost.exe"）。
3. 重新開機驗證是否復發。

預防與防護建議

• 保持系統修補程式最新（特別是 RPC、SMB 漏洞）。
• 啟用 Windows Defender 即時防護或企業級 EDR。
• 限制標準使用者寫入系統目錄、註冊表 Run 鍵。
• 定期稽核 tasklist /svc 基準線，異常即警報。