指南

如何检查可执行文件路径和数字签名

识别实际运行的文件，检查其签名者和版本，并将签名证据与恶意软件判定区分开来。

识别确切的文件

从“任务管理器”中正在运行的进程开始，打开其文件位置或属性。记录完整路径、可执行文件名称和版本。相似的文件名可能属于不相关的产品，并且同一产品的不同安装可能会合规地使用不同的目录。如果进程已退出，请将磁盘上的文件与先前的进程实例区分开。

将程序与其安装来源和发布者文档进行比对。文件描述中的产品名称属于可编辑的元数据。仅凭文件名无法确认进程是安全的。

在 Windows 显示“数字签名”选项卡的位置，检查签名者和签名详细信息。某些 Windows 文件使用编录签名而不是嵌入式签名，因此缺少该选项卡并不能明确判定为恶意软件。将签名者与预期的发布者进行比对，同时考虑已记录的公司或证书变更。

Microsoft Sysinternals Sigcheck 可报告版本、哈希和签名信息，包括证书链。请使用官方下载渠道并查看命令帮助。本地检查（例如 sigcheck -h -i 后跟带引号的完整文件路径）会检查所选文件。在比对有关该版本的证据时，请保留确切的哈希值。

有效的签名支持已签名内容的发布者身份和完整性。它不能保证该软件是适用的、无错误的或无害的。未签名的文件可能是合法的内部工具。无效的签名可能反映出篡改或需要调查的验证问题。请将这些视为需要解决的证据，而不是自动判定的结论。

在线信誉评估是一个独立的步骤。Sigcheck 提供了与 VirusTotal 相关的选项，其中某些选项可以提交文件。未经许可，请勿上传机密的可执行文件或文档。本地签名检查不需要公开发布或上传文件。

如果路径、签名者或安装来源异常，请避免再次启动该文件。使用 Windows 安全中心或您所在组织的安全工具，并保留相关证据。当需要删除时，请使用该产品支持的卸载程序。

不要仅仅因为 Windows 系统二进制文件的名称出现在搜索结果中，或者单次资源采样看起来偏高，就将其删除。如果您需要帮助，请提供确切的路径、签名者状态、文件版本、哈希以及观察到的症状。在共享日志之前，请删除个人身份信息。

编辑归属：Feex。未记录独立审核日期。我们的研究方式.

Microsoft Sysinternals: Sigcheck · 主要文档。诊断流程为 Feex 编辑指导方案；并非针对您个人电脑的定制化诊断。
Microsoft Sysinternals: Process Explorer · 主要文档。诊断流程为 Feex 编辑指导方案；并非针对您个人电脑的定制化诊断。

回答"是"或"否"即可。如果您愿意，可以选择一个原因，或添加一段简短附言。