系统提示一个程序正在被另一个程序调用，如何知道是被哪个程序调用

今天在处理一个病毒时，发现病毒文件无法复制。于是利用processxp找到了病毒文件是被哪个文件调用，然后用md关闭了调用句柄后成功复制文件。具体情况如下：

为了找到是哪个程序调用了befsvc.exe，打开processexplorer.exe，点击工具栏中的望眼镜图标进行查找：

从上图可以看出是csrss.exe调用了befsvc.exe。于是直接使用md挂起csrss.exe进程，于是屏幕不再动弹，才反应过来csrss.exe是系统关键进程，不能随便挂起。正确的方法应该是用md关闭csrss.exe调用的befsvc.exe句柄，如下图：

关闭句柄后，在资源管理器后成功复制befsvc.exe。