萬盛學電腦網

瀏覽器 Windows 10 WPS Office 防毒軟體 資料庫 Excel 教學 檔案管理 Word 教學 網頁製作 裝機必備軟體 Linux 教學

您现在的位置： 萬盛學電腦網 >> 網路安全 >  >> 資訊安全防護

從進程視角識別病毒木馬：三大偽裝手法與核心系統進程解析

病毒進程三大偽裝術

  1. 以假亂真 (同形異義)： 利用字符相似度欺騙肉眼
    svchost.exe → svch0st.exe (o→0)
    explorer.exe → explore.exe (少字母)
    iexplore.exe → iexplorer.exe (多字母)
    winlogon.exe → winlogin.exe (n→ni)
  2. 偷梁換柱 (路徑劫持)： 同名可執行文件放置於非系統目錄
    正常: C:\Windows\System32\svchost.exe
    病毒: C:\Windows\svchost.exe → 任務管理器顯示同名無法區分
  3. 借屍還魂 (進程注入/空心化)： 將惡意 DLL 注入合法系統進程 (lsass.exe, svchost.exe, explorer.exe 等)，表面進程正常，實則被控制。需專業工具(Process Hacker, Process Explorer, Volatility)檢測模塊/線程/內存異常

核心系統進程身份卡片 (辨偽參考)

進程名合法路徑核心功能常見異常判斷
System內核對象 (無磁盤路徑)內核線程容器，PID 4有磁盤路徑即偽造
smss.exeC:\Windows\System32\會話管理器，啟動 csrss/winlogon多實例、非標準路徑、父進程非 System
csrss.exeC:\Windows\System32\客戶端/服務器運行時子系統每會話一實例，無簽名/路徑異常即可疑
winlogon.exeC:\Windows\System32\登入/登出/安全注意序列僅一實例，父進程 smss.exe，注入極高危
services.exeC:\Windows\System32\服務控制管理器 (SCM)父進程 wininit.exe，啟動服務進程
lsass.exeC:\Windows\System32\本地安全認證子系統，存儲憑證極高價值目標，Mimikatz 等工具首選注入目標
svchost.exeC:\Windows\System32\服務宿主進程，載入 DLL 服務合法多實例，查看命令行參數(-k 組名)與服務列表對應
explorer.exeC:\Windows\Shell 界面，用戶交互用戶上下文運行，父進程為 userinit.exe
spoolsv.exeC:\Windows\System32\打印後台處理程序常被利用提權 (CVE-2010-2729)
taskhost.exe / taskhostw.exeC:\Windows\System32\任務宿主，運行計劃任務/COM 物件檢查命令行載入的 DLL/任務

實戰排查口訣

  1. 看 路徑：非標準目錄 → 高危
  2. 看 簽名：無數字簽名/簽名無效/簽名主體不匹配 → 可疑
  3. 看 父進程：邏輯不符(如 svchost 父進程非 services.exe) → 注入/偽造
  4. 看 命令行/載入模塊：異常參數、非預期 DLL → 分析
  5. 看 網絡連接/文件句柄：不明外連、敏感文件讀寫 → 溯源
  6. 善用 Process Explorer / Process Hacker / Sysinternals Suite 深度分析

資訊安全防護排行

推薦文章

萬盛學電腦網| 日本語版 | 設為首頁 | 加入收藏

copyright © 萬盛學電腦網 all rights reserved