惡意程式常偽裝成系統關鍵進程 (smss.exe、csrss.exe、winlogon.exe、services.exe、lsass.exe、svchost.exe) 混淆視聽。本文以 SMSS.EXE 變種為例，說明辨識與清除全流程。

辨識偽裝進程關鍵指標

• 路徑異常：正版 smss.exe 僅存在於 C:\Windows\System32\。若出現 %Windir%\smss.exe、%Temp%\smss.exe、C:\Program Files\smss.exe 即為偽裝。
• 多重實例：正常僅有一個 smss.exe (Session 0)。多個實例極度可疑。
• 父進程異常：正常由 System (PID 4) 啟動。若父進程為 explorer.exe、cmd.exe、wscript.exe 等用戶模式程式，即為惡意啟動。
• 命令列參數：正常無參數。惡意常帶參數或路徑。
• 數位簽章：正版擁有 Microsoft Windows Publisher 有效簽章。偽裝檔通常無簽章或簽章無效。
• 資源異常：CPU/記憶體/網路/磁碟 I/O 持續高佔用。

工具輔助分析

• Process Explorer / Process Hacker：查看完整路徑、命令列、父進程、簽章、網路連線、載入 DLL、字串。
• Autoruns：檢查所有持久化點 (登錄、排程、服務、WMI、啟動資料夾)。
• Sigcheck：驗證檔案簽章 sigcheck -v C:\Windows\System32\smss.exe。
• VirusTotal 上傳：多引擎查殺、行為報告、關聯 IOC。

手動清除實戰步驟 (針對 SMSS 偽裝變種)

1. 終止惡意進程：Process Explorer → 右鍵進程 →「Kill Process Tree」。若無法終止，安全模式/WinPE 處理。
2. 刪除惡意檔案 (典型路徑)：

   C:\Windows\smss.exe
   C:\Windows\ExERoute.exe
   C:\Windows\explorer.com
   C:\Windows\finder.com
   C:\Windows\Debug\DebugProgram.exe
   C:\Windows\System32\command.pif
   C:\Windows\System32\dxdiag.com
   C:\Windows\System32\MSCONFIG.COM
   C:\Windows\System32\regedit.com
   C:\Windows\System32\rundll32.com
   C:\Program Files\Internet Explorer\iexplore.com
   C:\Program Files\Common Files\iexplore.pif
   C:\MSCONFIG.SYS
   

3. 恢復檔案關聯 (關鍵)：
   • 刪除 HKCR\winfiles 鍵。
   • 命令列執行 assoc .exe=exefile。
   • 修復 HKCR\.exe\shell\open\command 預設值為 "%1" %*。
4. 清除啟動項：

   reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Torjan Program" /f
   reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices" /v "TProgram" /f
   reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /d "explorer.exe" /f
   

5. 修復被竄改的登錄命令關聯：
   • HKCR\...\command.pif / finder.com / rundll32.com → 改為 rundll32.exe
   • HKCR\...\explorer.com → 改為 explorer.exe
   • HKCR\...\iexplore.com → 改為 iexplore.exe
   • HKCR\...\iexplore.pif → 改為 C:\Program Files\Internet Explorer\iexplore.exe
6. 重啟驗證：正常模式啟動，檢查進程、啟動項、檔案關聯、系統行為。

通用防護原則

• 建立系統乾淨狀態基線 (進程、服務、啟動項、開放埠、檔案雜湊)。
• 部署 EDR 持續監控進程異常 (路徑、父進程、命令列、簽章、網連)。
• 啟用 Windows 核心隔離 (HVCI/VBS) 阻擋未簽章核心驅動與進程注入。
• 定期離線備份關鍵資料與系統映像。

進程偽裝是惡意碼基本功，辨譽關鍵在於「路徑、父進程、簽章、行為」四維交叉驗證。工具輔助下，人工分析仍是處理高階威脅的核心能力。