病毒木馬無法脫離進程存在，即便採用隱藏技術仍留痕跡。查看活躍進程是最直接檢測手段，但系統進程眾多，如何分辨正常與偽裝？本文揭秘三大隱藏術與核心進程辨識要訣。

病毒進程三大隱藏術

1. 以假亂真——同形異義偽裝

常見系統進程：svchost.exe、explorer.exe、iexplore.exe、winlogon.exe。
病毒偽裝變體：svch0st.exe（o→0）、explore.exe（少 r）、iexplorer.exe（多 r）、winlogin.exe（o→i）。
鑑別： 仔細比對拼字，一字之差即是破綻。

2. 偷樑換柱——路徑偽裝

病毒將自身複製至 C:\Windows 命名為 svchost.exe 執行。任務管理器僅顯示進程名，無法直接看路徑。
鑑別： 使用進程管理工具（如 Windows 優化大師）查看進程對應的完整可執行檔路徑。正規 svchost.exe 必須位於 C:\Windows\System32（Win2000 為 C:\WINNT\System32），其他路徑即為病毒。

3. 借屍還魂——進程注入（終極隱藏）

病毒以 DLL 注入技術，將惡意代碼植入正常系統進程（如 svchost.exe、explorer.exe）。表面進程名與路徑皆正常，實則已被控制。
鑑別： 僅能靠專業進程檢測工具（如卡卡助手）發現異常模組載入。

核心系統進程深度解析與辨識要點

svchost.exe —— 服務宿主進程

• 常見偽裝： svch0st.exe、schvost.exe、scvhost.exe
• 原理： 為節省資源，微軟讓多項服務共享 svchost.exe 載入（服務以 DLL 形式實現，指向 svchost.exe -k 參數）。
• 正常數量： Win2000 通常 2 個；XP 通常 4 個以上。超過 5 個需高度警惕。
• 驗證： 檢查所有 svchost.exe 路徑是否均在 System32 目錄。

explorer.exe —— 資源管理器（桌面、工作列、檔案總管）

• 常見偽裝： iexplorer.exe、expiorer.exe、explore.exe
• 特徵： 結束進程會導致桌面/工作列消失，重新執行 explorer.exe 可恢復。
• 正確路徑： C:\Windows 目錄，其他路徑即為病毒。

iexplore.exe —— Internet Explorer 瀏覽器進程

• 常見偽裝： iexplorer.exe、iexploer.exe
• 辨識： 開頭 ie 代表 IE。正確路徑：C:\Program Files\Internet Explorer（除非使用者手動移動安裝目錄）。
• 異常： 未開啟 IE 卻有 iexplore.exe 進程 → 1) 病毒偽裝 2) 病毒背景利用 IE 做壞事。需立即查殺。

rundll32.exe —— DLL 內部函數執行器

• 常見偽裝： rundl132.exe、rundl32.exe
• 功能： 執行 DLL 內部函數。進程數量 = 載入的 DLL 數量。例：rundll32.exe user32.dll,LockWorkStation 快速切換至登入畫面。
• 正確路徑： C:\Windows\System32，其他目錄即為病毒。

spoolsv.exe —— 列印佇列服務

• 常見偽裝： spoo1sv.exe、spolsv.exe
• 功能： 管理本地/網路列印佇列。停用服務後進程應消失。
• 無印表機環境： 建議關閉服務節省資源。服務關閉後若仍有 spoolsv.exe 進程，必為病毒偽裝。

進程檢查雙鐵律： 1) 逐字逐字核對進程名稱拼字；2) 驗證可執行檔完整路徑。掌握核心系統進程特徵，配合工具輔助，一般病毒進程無所遁形。