前言

病毒趨勢先殺毒軟體，手動查殺成必修課。前提是認清哪些是系統核心進程，哪些是病毒偽裝。本文列出核心進程清單、常見病毒偽裝手法與判斷技巧。

一、系統核心進程白名單（缺一不可）

進程	功能說明
smss.exe	會話管理子系統，系統服務
csrss.exe	客戶/伺服器執行子系統，管理圖形任務
winlogon.exe	登入管理器，處理登入/登出
services.exe	服務控制管理器，啟動/停止服務
lsass.exe	本地安全授權，管理安全策略、Token 簽發
svchost.exe	DLL 宿主進程，通常 4-5 個同時運行
spoolsv.exe	列印佇列服務（非核心，可停用）
explorer.exe	Windows 殼：開始功能表、工作列、桌面、檔案管理
rundll32.exe	執行 DLL 函數
ctfmon.exe	Office 語言列/輸入法支援
...（其餘系統服務進程見文中完整列表）

二、非必要系統服務（建議停用減少攻擊面）

tcpsvcs.exe、ismserv.exe、ups.exe、wins.exe、llssrv.exe、ntfrs.exe、msdtc.exe、faxsvc.exe、cisvc.exe、dmadmin.exe、mnmsrvc.exe、netdde.exe、smlogsvc.exe、rsvp.exe、RsEng.exe、RsFsa.exe、grovel.exe、SCardSvr.exe、snmp.exe、snmptrap.exe、UtilMan.exe、msiexec.exe 等。

三、病毒最愛偽裝的高危進程

explorer.exe、svchost.exe、spoolsv.exe、winlogon.exe、rundll32.exe（除 spoolsv 外皆為核心）。病毒常用兩招：

1. 相似命名欺騙：如 rundl132.exe（雙 l → l+1）、exp10rer.exe（l→1, o→0）、svch0st.exe（o→0）。
2. DLL 注入：將惡意模組注入真正的系統進程，進程名正確但行為異常。

四、實戰判斷口訣

• 路徑驗證：核心進程通常在 C:\Windows\System32\，他處出現高度可疑。
• 簽名驗證：右鍵屬性→數位簽章，Microsoft 簽名較可信（但可被竊取/偽造）。
• 行為分析：用 Process Explorer / HijackThis 觀察 CPU、網路、檔案存取異常。
• 多引擎掃描：可疑檔上傳 VirusTotal。

結語

熟背核心進程名稱與路徑，是手動查殺的「照妖鏡」。結合行為分析與多引擎掃描，讓病毒無所遁形。