Windows 工作管理器不只是看 CPU/記憶體用量的工具，善用 PID (進程識別碼) 、I/O 讀寫位元組、命令列、完整路徑 等隱藏欄位，即可在無額外軟體情況下，精準鎖定雙進程木馬、瘋狂讀寫硬碟的 P2P/挖礦程式。

案例一：獵殺「互相守護」的雙進程木馬

現象

• 工作管理器出現 system.exe (非系統原生 System PID 4)，結束後秒級重生。
• 安全模式刪除檔案，正常開機又自動復原。

溯源步驟

1. 工作管理器 → 檢視 → 選擇欄位 → 勾選 PID (進程識別碼)。
2. 命令提示字元 (管理員) 執行：taskkill /im system.exe /f 強制終止。
3. 觀察新生成的 system.exe PID (假設 1536)，記下其 父進程 PID (PPID) (假設 676)。
   💡 wmic process where ProcessId=1536 get ParentProcessId 或使用 Process Explorer (Sysinternals) 直接查看父子關係。
4. 在工作管理器依 PID 找到 PPID 676 對應進程：internet.exe。
5. 進入安全模式，搜尋並刪除 C:\Windows\internet.exe 及其啟動登錄值，再刪除 C:\Windows\System32\system.exe，問題徹底解決。

核心邏輯

木馬 A 監控木馬 B，B 死則 A 重生；打斷父進程 (守護者) → 子進程無法重生 → 同時刪除兩者檔案與持久化點 才能斬草除根。

案例二：揪出瘋狂讀寫硬碟的 P2P/挖礦程式

現象

• 開機上網後硬碟指示燈狂閃、硬碟聲音大、系統回應變慢。
• 全盤掃毒無毒、CPU/記憶體佔用正常。

溯源步驟

1. 工作管理器 → 進程頁籤 → 檢視 → 選擇欄位 → 勾選 I/O 讀取位元組、I/O 寫入位元組、I/O 其他位元組。
2. 依「I/O 寫入位元組」遞減排序，發現陌生進程 hidel.exe 寫入量驚人 (GB 級)。
3. 右鍵 → 開啟檔案位置 → 發現位於 C:\Program Files\Unknown\，簽章無效、描述空白。
4. 右鍵結束進程，硬碟狂轉立即停止。進一步檢查啟動項、服務、排程任務移除持久化，刪除程式資料夾。

進階欄位推薦：一鍵加入「偵探工具欄」

工作管理器 → 詳細資料 → 右鍵標題列 → 選擇欄位，建議常駐勾選：

• PID、狀態、使用者、CPU 時間、記憶體 (作業集/私人/共用)、I/O 讀取/寫入/其他位元組、命令列、映像路徑、描述、數位簽章狀態、平台 (32/64 位元)。

進階工具：Process Explorer / Process Hacker / Sysmon

工作管理器畢竟是「觀察者」，需更深度分析 (DLL 載入、執行緒堆疊、TCP 連線、登錄檔操作、ETW 事件) 時，請改用：

• Process Explorer (Sysinternals)：樹狀父子關係、病毒總整合查毒、字串搜尋、Handle/DLL 搜尋。
• Process Hacker：開源、核心模組、網路/磁碟/登錄檔即時圖表、服務管理。
• Sysmon (System Monitor)：事件記錄服務，記錄 Event ID 1(進程建立)、3(網路連線)、7/8/10/11/12/13/14/15/17/18/19/20/22/23/24/25/26，配合 SIEM 做長期威脅狩獵。

結語

「工欲善其事，必先利其器。」Windows 內建工作管理器加上幾個隱藏欄位，已具備初級威脅狩獵能力。養成「異常先看 I/O、重生查父 PID、可疑查命令列/簽章」的肌肉記憶，配合 Process Explorer/Sysmon 深度分析，讓木馬、挖礦、異常程式無處遁形。