Windows发现可疑的svchost程序

svchost创建WmiPrvSE进程

已创建新进程。

原始报文：已创建新进程。 创建者主题: 安全 ID: S-1-5-18 帐户名: 10FBACK$ 帐户域: WORKGROUP 登录 ID: 0x3E7 目标主题: 安全 ID: S-1-0-0 帐户名: - 帐户域: - 登录 ID: 0x0 进程信息: 新进程 ID: 0x2764 新进程名称: C:\Windows\System32\wbem\WmiPrvSE.exe 令牌提升类型: TokenElevationTypeDefault (1) 强制性标签: S-1-16-16384 创建者进程 ID: 0x79c 创建者进程名称: C:\Windows\System32\svchost.exe 进程命令行: “令牌提升类型”表示根据用户帐户控制策略分配给新进程的令牌类型。 类型 1 是未删除特权或未禁用组的完全令牌。完全令牌仅在禁用了用户帐户控制或者用户是内置管理员帐户或服务帐户的情况下使用。 类型 2 是未删除特权或未禁用组的提升令牌。当启用了用户帐户控制并且用户选择使用“以管理员身份运行”选项启动程序时，会使用提升令牌。当应用程序配置为始终需要管理特权或始终需要最高特权并且用户是管理员组的成员时，也会使用提升令牌。 类型 3 是删除了管理特权并禁用了管理组的受限令牌。当启用了用户帐户控制，应用程序不需要管理特权并且用户未选择使用“以管理员身份运行”选项启动程序时，会使用受限令牌。

根据日志逐步分析

解析

创建者主题:  
  安全 ID:  S-1-5-18             → NT AUTHORITY\SYSTEM
  帐户名:  10FBACK$              → 计算机账户（SYSTEM 的别名）
  登录 ID:  0x3E7                → SYSTEM 的登录会话 (999)
目标主题:  
  安全 ID:  S-1-0-0              → 新进程的安全占位符（尚未d）
进程信息:  
  新进程名称: C:\Windows\System32\wbem\WmiPrvSE.exe  → WMI 服务宿主
  创建者进程名称: C:\Windows\System32\svchost.exe     → 服务宿主（父进程）

• 创建者身份：S-1-5-18 (NT AUTHORITY\SYSTEM)
  → 最高权限系统账户，不受 UAC 限制。

• 令牌类型结果：Type 1 (Default)
  → 符合预期，因为：

  1. SYSTEM 账户本身拥有完整权限。
  2. WmiPrvSE.exe 是系统关键服务（WMI 提供程序宿主），需要完全权限访问硬件、配置等资源。

• 合法性：系统进程（如 svchost.exe, services.exe）启动的子进程通常使用此令牌，属于正常行为。

• 风险关注点：

  • 若 普通用户进程 出现 Type 1 令牌，可能表示 UAC 被绕过或配置错误。
  • 恶意软件可能伪装系统进程（如伪造 wbem\WmiPrvSE.exe 路径）获取完全权限。

安全标识符（SID）无效或未初始化

当日志中的账户名显示为 - 时，几乎总是伴随以下特征：

令牌提升类型：表示根据用户帐户控制策略分配给新进程的令牌类型。

• 类型 1 ：是未删除特权或未禁用组的完全令牌。完全令牌仅在禁用了用户帐户控制或者用户是内置管理员帐户或服务帐户的情况下使用。
• 类型 2 ：是未删除特权或未禁用组的提升令牌。当启用了用户帐户控制并且用户选择使用“以管理员身份运行”选项启动程序时，会使用提升令牌。当应用程序配置为始终需要管理特权或始终需要最高特权并且用户是管理员组的成员时，也会使用提升令牌。
• 类型 3 ：是删除了管理特权并禁用了管理组的受限令牌。当启用了用户帐户控制，应用程序不需要管理特权并且用户未选择使用“以管理员身份运行”选项启动程序时，会使用受限令牌。

登录ID：是系统为每次成功的身份验证生成的唯一临时标识符（LUID）。它关联一个安全主体（用户/服务）在系统上的活动会话。在 Windows Server（以及所有 Windows 系统）中，登录 ID：0x3E7（十六进制，十进制为 999） 是一个高度特殊且重要的标识符，它代表 NT AUTHORITY\SYSTEM 帐户的默认登录会话。

0x3E7 = 999 (十进制):

• 这是 SYSTEM 帐户的专属登录会话 ID。
• 它是在系统启动时由内核创建的第一个登录会话，拥有最高权限。
• 关键点：几乎所有核心操作系统进程和服务都运行在此登录会话下。

SYSTEM 帐户与登录会话 0x3E7

与其他登录会话的对比

令牌类型对比

命令提示备注

结论

应该正常

排查：

1. 检查 WmiPrvSE.exe 的签名和路径，是否还是系统应用
   1. WmiPrvSE.exe是有微软的签名
   2. WmiPrvSE.exe是正常路径
   3. WmiPrvSE.exe还是系统应用
2. 用户程序（如 powershell.exe）或未知进程使用此会话（可能表示提权攻击）
   1. svchost进程运行的是SYSTEM身份，即登录ID是0x3E7（十进制999）
3. 检查 WmiPrvSE.exe 的网络连接，netstat -ano | findstr “:2764”，是否外联恶意地址 （2764是新进程ID）

文档：

1. 微软解释SID：安全标识符 | Microsoft Learn
2. 令牌提升类型：TOKEN_ELEVATION_TYPE (winnt.h) - Win32 apps | Microsoft Learn
3. 强制性标签：强制性标签
4. 安全标识符表查询：在 Windows 操作系统中的公认的安全标识符_用户“s-1-5-4-CSDN博客
5. Windows 用户账户控制 (UAC)：用户帐户控制 | Microsoft Learn
6. WmiPrvSE：WmiPrvSE.exe是什么进程？WMI Provider Host占用很高CPU怎么办？ - 系统之家
7. Svchost.exe：Svchost.exe进程详解及Svchost.exe病毒清除方法_svchost.exe -k rpcss-CSDN博客