阿里云国际站官网开户 清理木马程序手册
你有没有经历过这种人生高光时刻：
凌晨两点，正激情开黑，鼠标突然自己往右上角飘——不是手抖，是它真·自己动；
浏览器首页被改成「www.888-健康加油站.com」，点进去全是“三秒硬如铁”的广告图；
微信发个“在吗”，对方回：“你电脑是不是中毒了？刚收到你发来的‘点击领红包’链接……”
而你，盯着任务管理器里那个叫「svch0st_update.exe」（注意：数字0不是字母o）的进程，内心OS：这玩意儿姓啥？跟微软有亲戚吗？
别慌。你不是第一个，也绝不会是最后一个。本手册不收你998，不让你下载“终极杀毒大师Pro版”，更不推荐你重装系统——除非你真把C盘当U盘用了，存了三年没备份的毕业论文+猫片合集。
第一章：先别急着格式化，确认你中的是「木马」，不是「幻觉」
很多人一见弹窗就喊“中木马了！”，结果查半天发现是某宝购物车自动刷新、或者Chrome更新时抽风弹出的灰色小窗口。所以第一步：冷静3秒，做道选择题：
- ✓ 突然出现陌生软件图标（尤其名字带「加速」「清理」「卫士」「助手」，还爱用蓝白红三色渐变）
- ✓ 浏览器主页/搜索引擎被篡改，且改不回来（设置里明明选了百度，打开还是「hao123.7777.xyz」）
- ✓ 电脑变卡，但CPU占用率不高——等等，你点开任务管理器看了吗？没看？现在就按
Ctrl+Shift+Esc！ - ✗ 仅是网速慢：可能只是你家WiFi被隔壁老王蹭了，他正用4K看《甄嬛传》全集
- ✗ 某个网站打不开：大概率是该网站服务器今天也在请假
如果前三条中了两条以上，恭喜，你的电脑大概率已喜提「木马体验卡」一张，有效期：直到你手动注销它。
第二章：断网！断网！断网！（重要的事说三遍，且不加标点）
木马不是宅男，它很外向，特别爱社交。一旦联网，它可能正在：
- 把你微信聊天记录打包发给远在东南亚的“数据经纪商”
- 用你家宽带挖矿（顺带让你电费单多出50块）
- 把你摄像头变成“24小时直播频道”，标题都起好了：《中国某小区客厅实况·无滤镜·高清》
所以立刻行动：
→ 笔记本：拔掉网线（如果有），再关Wi-Fi（右下角网络图标→关闭）
→ 台式机：直接拔网线，比拔充电线还果断
→ 手机？这篇不聊手机，手机中木马请烧香拜佛并卸载所有「免费WiFi钥匙」「超级省电王」
划重点：断网后别点任何东西！尤其别手贱去点那个弹出来的“您的系统存在高危漏洞，请立即修复”——那是木马本人发的温馨提示。
第三章：进安全模式——木马的“禁言直播间”
正常模式下，木马和你一样，会开机自启、后台挂机、假装自己是系统服务。但安全模式不同：它只加载最核心的驱动和程序，相当于给木马发了张“禁止入场”的VIP单程票。
Windows 10/11 进安全模式（不靠重启狂按F8——那招早过期了）：
① 按Win+R → 输入msconfig → 回车
② 切到「引导」选项卡 → 勾选「安全引导」→ 选「最小」→ 点「确定」→「重新启动」
③ 重启后，桌面右下角会出现「安全模式」水印，字体丑得很有安全感
进不去？试试另一招：
设置 → 更新与安全 → 恢复 → 高级启动 → 立即重启 → 疑难解答 → 高级选项 → 启动设置 → 重启 → 按F4（安全模式）或F5（带网络的安全模式）
⚠️ 注意：带网络的安全模式慎用！除非你确定要在线查资料，否则默认选F4——断网才是安全模式的灵魂。
第四章：揪出真凶——从进程、启动项、服务三路包抄
安全模式下，打开任务管理器（Ctrl+Shift+Esc），切到「详细信息」页：
🔍 进程排查口诀：“三看一删”
- 一看名字：凡是含「update」「helper」「agent」「sys」「tool」等词，且拼写怪异（如svch0st、winlog0n、expl0rer）的，90%是伪装者。微软官方进程全用英文小写字母，不含数字0、l（L的小写）、1混用。
- 二看路径：右键进程 → 「打开文件所在的位置」。正经系统进程都在
C:\Windows\System32或C:\Windows\SysWOW64。如果跳到C:\Users\Admin\AppData\Roaming\Temp\xxx.exe，快截图发朋友圈配文：“这货不是我家户口本上的”。 - 三看CPU/磁盘占用：某个进程常年占满CPU却啥也不干？它可能在偷偷挖矿，或者正把你的硬盘当搓衣板使。
- 一删：确认可疑后，右键 → 「结束任务」。别怕，安全模式下它大概率起不来第二次。
🚀 启动项：木马的“每日打卡地”
任务管理器 → 「启动」页签。这里列着所有开机自动运行的程序。重点关注：
- 名称诡异（如「WindowsUpdateHelper_v2.1」）
- 发布者显示「未知」或空着
- 上次启动时间是昨天半夜3:17
右键 → 「禁用」。记住：禁用≠删除，先让它失业，后面再清算。
⚙️ 服务：木马最爱藏身的“国企编制岗”
按Win+R → 输入services.msc → 回车。
找那些名字像模像样但描述为空、或写着“提供系统支持服务”这种万金油文案的。右键 → 属性 → 启动类型改为「禁用」→ 停止服务。
小技巧：排序点击「描述」栏，空描述的会自动扎堆，一眼认出。
第五章：注册表 & 文件层——木马的“房产证”和“老窝”
木马喜欢在注册表里办“假身份证”，还爱在隐蔽角落建“违章建筑”。别怕，我们只动它俩地方：
🔑 注册表关键路径（复制粘贴，别手敲）：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run（64位系统专用）
打开注册表编辑器（regedit），逐个点开，看右边有没有不认识的字符串值。比如叫「UpdateCheck」，数值数据指向C:\ProgramData\tmp\loader.exe——删！右键 → 删除。
⚠️ 警告：别乱删「Explorer」「Shell」这类名字，它们真是你亲儿子。不确定就跳过，宁可多留一个，也不误杀全家。
📁 文件层清理：扫清“违章建筑”
去这些地址手动翻翻（地址栏直接粘贴）：
%AppData%（通常指向C:\Users\用户名\AppData\Roaming）%LocalAppData%（C:\Users\用户名\AppData\Local）%Temp%（C:\Users\用户名\AppData\Local\Temp）C:\ProgramData\（隐藏文件夹！需在资源管理器选项里勾选“显示隐藏的项目”）
重点搜后缀：.exe、.vbs、.js、.scr（屏幕保护？不，是木马马甲）。文件名带「updater」「loader」「patch」的，一律请出群聊。
删之前右键 → 属性 → 查看「创建时间」。如果全是上周五下午2:15批量生成的，基本可断定：这是木马搞的团建活动。
第六章：善后 & 防复发——比谈恋爱还讲究的长期主义
清理完别急着欢呼，木马最喜欢玩“诈尸”。请严格执行以下仪式：
- 恢复常规启动：再进
msconfig→ 引导 → 取消勾选「安全引导」→ 重启 - 全盘扫描：用Windows Defender（自带！别卸载！）→ 设置 → 病毒和威胁防护 → 快速扫描 → 完了再点「全面扫描」。耗时久？边等边煮泡面，面熟了，报告也出了。
- 密码大换血：微信、支付宝、邮箱、所有带钱/隐私的账号，密码全换！且别用“123456abc”+“123456abc1”。推荐：一句烂诗首字母+年份+感叹号，比如“春眠不觉晓2024！”→
cmbjxs2024! - 浏览器归零：Chrome/Firefox → 设置 → 重置设置 → 恢复默认设置（不删书签！放心）
最后送你三条人间清醒法则
① 天下没有白吃的午餐，也没有白点的链接。“恭喜您中奖iPhone15！”“点击领取国家补贴！”“老公/老婆发来一段语音”——点之前默念三遍：“我是韭菜，但我今天不想被割。”
② 所谓“正规杀毒软件”，不是名字带「安全」「卫士」「管家」就靠谱。真正靠谱的，是Windows Defender（免费、轻量、更新快）、Malwarebytes（免费版够用）、火绒（国产之光，不流氓）。其余？名字越浮夸，后台越热闹。
③ 重装系统不是失败，是给电脑放个带薪假。如果你清理三遍仍反复中招，或根本找不到木马在哪——别硬刚。备份文档照片，U盘启动重装。就像家里蟑螂成灾，不如请专业消杀，而不是每天拿拖鞋追着拍。
最后，祝你电脑干净，钱包饱满，猫主子健康，以及……下次看到「点击领红包」时，手指能条件反射般按下Alt+F4。
阿里云国际站官网开户 ——写于一个刚帮邻居阿姨删掉「金山毒霸全家桶」的周四下午
