病毒程序三大隱藏術

1. 以假亂真：模仿系統程序名，將 o→0、l→i、i→j 或增減字母。例：svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。
2. 偷樑換柱：同名程序但路徑不同。正版 svchost.exe 在 C:\WINDOWS\system32，病毒置於 C:\WINDOWS。任務管理器預設不顯示路徑，易混淆。
3. 借屍還魂：進程注入技術，將惡意 DLL 注入合法系統程序（如 svchost.exe），表面正常，實則被控。需專業程序檢測工具才能發現。

關鍵系統程序解析：svchost.exe

Windows 為節省資源，將多項服務以 DLL 形式共享載入 svchost.exe。服務管理工具中可見對應路徑含參數（如 -k LocalService、-k netsvcs）。

• Win2000：通常 2 個 svchost.exe（RPCSS + 共享服務）。
• WinXP：通常 4 個以上。
• Vista/Win7：8–12 個屬正常。
• 判斷準則：用程序管理工具（如 Vista 優化大師）查看映像路徑，若不在 C:\WINDOWS\system32 即為病毒。

其他常被冒充程序

• explorer.exe（桌面殼）、iexplore.exe（IE）、winlogon.exe（登入）、csrss.exe、smss.exe、System（核心）。

熟知正常程序路徑與數量，即可破解「以假亂真」與「偷樑換柱」。