病毒木馬無法脫離進程存在，即使使用隱藏技術，仍會在進程留下蛛絲馬跡。查看系統活動進程是檢測惡意程式最直接方法。但進程眾多，如何辨別正常系統進程、木馬進程、偽裝系統進程？本文揭秘病毒三大隱藏手法，逐一解析核心系統進程特徵，助你練就火眼金睛。

病毒進程隱藏三大絕技

絕技一：以假亂真 —— 同形異構的視覺欺騙

利用字元相似度極高的偽裝名稱，混淆視覺辨識：

辨識關鍵：仔細逐字母比對，關注路徑與簽名驗證（詳見後文）。

絕技二：偷梁換柱 —— 路徑劫持的路徑欺騙

進程名稱完全相同（如 `svchost.exe`），但可執行檔路徑不同：

• 正規：`C:\Windows\System32\svchost.exe` (Win2K: `C:\WINNT\System32\`)
• 偽裝：`C:\Windows\svchost.exe`、`C:\Temp\svchost.exe`、`C:\Program Data\svchost.exe`、`用戶配置檔\AppData\Roaming\svchost.exe`

任務管理器預設不顯示路徑，**必須啟用「映像路徑名稱」欄位** 或使用 Process Explorer/Process Hacker 等進階工具查看完整路徑與命令列參數。

絕技三：借屍還魂 —— 進程注入/空心化的終極偽裝

惡意代碼注入合法進程記憶體空間（DLL 注入、Process Hollowing、Process Doppelgänging、Early Bird APC、Thread Execution Hijacking）：

• 表面：進程名稱、路徑、簽名、父進程全正常
• 實質：進程記憶體已被惡意代碼接管，執行竊密、加密、C&C 通訊等惡意行為
• 檢測難度極高，需專業工具：Process Hacker (檢查記憶體區域權限、模組異常)、Volatility 記憶體取證、EDR 行為監控

核心系統進程身份檔案（Windows 10/11 基準）

進程驗證四步驟法（實戰操作）

1. 路徑驗證：任務管理器 → 詳細資料 → 右鍵欄位 → 勾選「映像路徑名稱」→ 確認在 `C:\Windows\System32\` 或 `C:\Windows\` (僅 explorer.exe/taskhostw.exe 等)
2. 數位簽章驗證：右鍵進程 → 開啟檔案位置 → 右鍵 .exe → 內容 → 數位簽章 → 確認簽名者為「Microsoft Windows」/「Microsoft Corporation」、憑證有效、信任鏈完整
3. 命令列參數檢視：Process Explorer (Sysinternals) → 雙擊進程 → Image 頁籤 → Command Line。系統進程參數通常固定/可預期（如 `svchost.exe -k netsvcs`）
4. 網路連線關聯：`netstat -ano` / `Get-NetTCPConnection -OwningProcess ` 檢查進程網路連線是否合理（如 `lsass.exe` 不應有對外連線）

推薦進階分析工具箱

• Process Explorer (Sysinternals) - 進程樹、DLL、控制代碼、TCP/IP、GPU、簽名驗證
• Process Hacker / System Informer - 開源、記憶體編輯、模組分析、服務管理
• Autoruns (Sysinternals) - 全自動啟動項掃描、簽名驗證、跳躍列表
• Windows Defender / Microsoft Defender for Endpoint - 行為監控、記憶體掃描、雲端查殺
• Volatility 3 - 記憶體取證框架、離線分析進程隱藏/注入
• HijackThis / FRST - 登錄/啟動項/瀏覽器附加元件深度掃描

發現可疑進程的應急處置

1. 斷網隔離（拔網線/關無線/防火牆封鎖）
2. 掛起進程（Process Explorer 右鍵 → Suspend），防止繼續破壞/外洩
3. 導出進程完整記憶體傾印（Process Explorer → Create Dump → Full）供分析
4. 記錄：PID、名稱、路徑、命令列、父進程、啟動時間、網路連線、簽名狀態
5. 全盤深度掃毒 + 記憶體掃描
6. 修改所有重要帳號密碼、檢查自動啟動項、排程任務、服務、WMI 訂閱
7. 必要時重灌系統（唯一徹底清除 Rootkit/UEFI Bootkit 的方法）