任何惡意程式在系統中運行都會留下進程痕跡，但病毒木馬常以「以假亂真」、「偷樑換柱」、「借屍還魂」三大手法隱藏。掌握核心系統進程（svchost.exe、explorer.exe 等）的正常行為與路徑特徵，配合進程管理工具查看映像路徑，即可有效拆穿偽裝並發現進程注入型威脅。

病毒進程三大隱藏術

1. 以假亂真：同形異義檔名

• 正常：svchost.exe、explorer.exe、iexplore.exe、winlogon.exe
• 偽裝：svch0st.exe（o→0）、explore.exe（少 r）、iexplorer.exe（多 r）、winlogin.exe（少 o）
• 對策：仔細核對拼字，善用「顯示副檔名」與檔案屬性查看簽章。

2. 偷樑換柱：同名異路徑

• 正常 svchost.exe 必須位於 C:\Windows\System32\（Win2K 為 C:\WINNT\System32\）。
• 病毒將自身複製到 C:\Windows\ 或其他目錄並同名，工作管理員無法顯示路徑而混淆視聽。
• 對策：使用「Windows 優化大師」等進程工具查看「映像路徑」，非 System32 目錄即為偽裝。

3. 借屍還魂：DLL 注入正常進程

• 病毒將惡意 DLL 注入 svchost.exe、explorer.exe 等合法進程記憶體空間。
• 進程名稱、路徑、簽章皆正常，唯行為異常（異常網路連線、檔案讀寫、登錄修改）。
• 對策：需專業進程分析工具（Process Explorer、Process Hacker）檢視載入模組、執行緒堆疊、網路連線，發現異常 DLL 或執行緒。

核心系統進程身分解析

svchost.exe —— 服務宿主進程

• 功能：載入 DLL 形式的系統服務（RPC、Windows Update、音訊、網路等），共享進程節省資源。
• 正常數量：Win2K 通常 2 個；XP 通常 4~6 個。超過 5~6 個需警惕。
• 路徑鑑定：必須在 System32 目錄。啟動參數如 -k netsvcs、-k LocalService 區分服務群組。

explorer.exe —— Windows 殼程式

• 功能：提供桌面、工作列、開始選單、資源管理器視窗等圖形介面。
• 路徑鑑定：必須在 C:\Windows\（非 System32）。
• 行為：結束後桌面消失；「新增工作」輸入 explorer.exe 可重啟。

其他常見系統進程速查

進程名	功能	正常路徑
winlogon.exe	登入/登出、安全性對話框	System32
csrss.exe	用戶端/伺服器執行階段子系統	System32
lsass.exe	本機安全性授權服務	System32
services.exe	服務控制管理器	System32
spoolsv.exe	列印佇列服務	System32

熟記核心進程特徵，配合工具驗證路徑與模組，即可建立高效的進程級威脅狩獵能力。