怎么从进程判断是否是病毒木马？

 1.以假乱真　 系统中的正常进程有：svchost.exe、explorer.exe、泪蹲iexplore.exe、winlogon.exe等，可能你发现过系统中存在这样的裹蚊屈进程：svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下，发现区别了么？这是病毒经常使用的伎俩，目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0，l改为i，i改为j，然后成为自己的进程名，仅仅一字之差，意义诉侨却完全不同。又或者多一个字母或少一个字母，例如explorer.exe和iexplore.exe本来就容易搞混，再出现个 iexplorer.exe就更加混乱了。

 svchost.exe 常被病毒冒充的进程名有：svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由svchost.exe进程来启动。

而系统服务是以动态链接库(DLL)形式实现的，它们把可执行程序指向 scvhost，由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务，双击其中“ClipBook”服务，在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务，可以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”，而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用，可以省下不少系统资源，因此系统中出现多个svchost.exe，其实只是系统的服务而已。 在Windows2000系统中正常存在svchost.exe进程，一个是RPCSS(RemoteProcedureCall)服务进程，另外一个则是由很多服务共享的一个svchost.exe；而在WindowsXP中，则一般有4个以上的svchost.exe服务进程。如果在xp和之前的系统中svchost.exe进程的数量多于5个，就要小心了，很可能是病毒假冒的。但是到了Vista和Windows7时代，8-12个 svchost进程都是正常的！是否为系统正常进程的检测方法也很简单，使用一些进程管理工具，例如Vista优化大师的进程管理功能，查看 svchost.exe的可执行文件路径，如果在“C:WINDOWSsystem32”目录外，那么就可以判定是病毒了。