电脑病毒与木马清除防范：排查、重装与备份

电脑病毒和木马的清除与防范，说到底是两件事：一件是“中招之后怎么把损失摁住、把机器救回来”，另一件是“怎么让自己压根不进入那个救火流程”。我做过不少次上门救机的活，也见过太多人一发现电脑不对劲，第一反应就是装个杀毒软件全盘扫一遍，扫完发现还在，再扫一遍，最后把系统折腾得比中毒前还乱。这篇东西写给两类人：一类是机器已经出现异常、想自己动手排查的；另一类是想把日常防护做扎实、别等出事再补课的系统管理员或者普通办公用户。

1. 先把对手分清楚：病毒、木马和“看起来像中毒”的三类东西

1.1 行为差异决定了处置顺序完全不同

很多人把“病毒”当成一个筐，什么都往里装。实际上这几类东西的作恶方式差别很大，处置手法也不一样。传统病毒的核心特征是寄生和自我复制，它要挂在一个可执行文件或者引导区上，靠你运行那个文件来传播，现在纯正的病毒反而少了；木马不复制自己，它做的事是给你开一扇门，让外面的人能进来偷东西、下指令，隐蔽性是它的第一优先级；蠕虫是自己在网络里跑，不需要你点任何东西，靠系统漏洞一个网段一个网段地扫过去；勒索程序目标最直接，就是把你文件加密了要钱；还有一大类是流氓推广程序，严格说不算病毒，但它改主页、装插件、弹广告，体验上比中毒还烦。

打个比方，病毒像流感，会从这台机器“传染”到那台；木马像有人在你家后门配了把钥匙，平时你看不出任何异样；蠕虫像会自己走路的搬运工，见到没锁的门就进去；勒索程序像绑匪，进来就把你抽屉全锁上。搞清楚是哪一类，你才知道该先干什么——木马要先断外联，勒索要先断电源保数据，蠕虫要先隔离网段。

1.2 误判的代价：为什么很多人越“杀”越乱

我见过最典型的翻车场景，是一个用户觉得机器卡，直接上了三个不同的查杀工具同时全盘扫，扫完把一批系统文件当成可疑对象处理掉了，结果开机进不了桌面，最后不得不重装。误判的成本往往比感染本身高。常见的误判有这么几类：

• 把硬盘坏道或内存条接触不良导致的卡顿、蓝屏、文件打不开，当成病毒处理，反复重装系统，问题依旧；
• 把风扇积灰、散热硅脂干涸导致的降频卡顿，当成木马占用资源；
• 把正常软件的自启动和后台更新服务当成可疑进程结束掉，导致输入法、打印机、公司内网客户端全部失灵；
• 把浏览器主页被改这种单一配置问题，升级成“整机中毒”，把浏览器配置、证书、网络设置全清了。

注意：在没有拿到确凿证据（异常外联、可疑自启动项、文件被异常修改）之前，不要对系统目录做批量删除。清理动作要可回退，删之前先备份到外部存储。

1.3 感染入口盘点：绝大多数中招都从这几个口子进来

复盘我处理过的案例，入口高度集中。第一是来路不明的软件安装包，尤其是那种“绿色版”“破解补丁”“激活工具”，安装包本身就是投毒载体，你在装软件的同时把门钥匙递出去了。第二是邮件附件和文档宏，一个伪装成报价单、简历、快递通知的压缩包，里面是带宏的表格或者伪装成文档的可执行文件。第三是移动存储，U盘在打印店、会议室、客户现场来回插。第四是浏览器扩展和下载站的“高速下载器”，真正的安装包没下到，下到的是一个捆绑器。第五是远程协助通道和弱口令远程桌面，这条最容易被忽略，攻击者压根不需要你点任何东西。

还有一类越来越常见：共享目录和内部办公系统。一台机器中招后，通过映射的网络盘把同名文件替换掉，其他同事一打开就跟着中招，整个部门一天之内全躺下。这种场景下，只清单机是没用的，必须把共享盘一起处理。

2. 清除之前先做对三件事：保现场、划范围、定策略

2.1 断网与留证：第一反应不该是“先扫一遍”

发现异常后，最该做的是断开网络——拔网线、关无线，动作要快。原因很实在：木马要靠外联接收指令，断了它就动不了；勒索程序有些变种在加密的同时往外传数据，断了能减少外泄；蠕虫断了就没法继续横向扩散。断网之后不要立刻重启，因为内存里的进程信息、网络连接记录、还没落盘的行为痕迹，一重启就全没了。你可以在断网状态下先把这些东西记下来：异常进程名和路径、它连向哪些地址和端口、最近修改过哪些文件。

如果这台机器上有重要数据，而且已经怀疑是勒索类，那就更要谨慎，直接长按电源强制断电，不要走正常关机流程，正常关机会让加密程序有机会处理更多文件。断电后把硬盘拆下来挂到另一台干净的机器上做只读读取，先把还能救的文件复制出来，再谈清除。

留证这件事还有个现实价值：如果这台机器涉及公司数据或者资金账号，你需要知道到底丢了什么，才能决定后续改哪些密码、通知哪些人。我一般会让用户回忆并记录一个时间线：什么时候开始不对劲、之前装过什么、插过谁的U盘、点过什么链接。这个时间线后面判断感染范围非常有用。

2.2 划定范围：单机、局域网还是账号层面

一台机器出问题，绝大概率不止一台。判断范围有几个抓手：看同网段其他机器有没有类似症状（文件被改名、莫名其妙的快捷方式、共享盘里出现异常文件）；看路由器和交换机的连接记录，有没有内网机器在扫描其他主机的常见端口；看共享目录的修改时间，如果一批文件的修改时间集中在某个时间点，基本可以确定是批量替换；看账号侧，邮箱有没有异地登录提醒、聊天软件有没有给陌生人发过消息。

2.3 三种处置策略：清除、修复还是重装

这一步的选择直接决定你后面要花多少时间，也决定安不安全。我的原则很简单：涉及资金、账号、公司核心数据的机器，一律重装，不要心存侥幸。因为手工清除永远无法百分之百保证没有残留，攻击者只要留了一个不起眼的持久化点，你后面所有操作都在别人眼皮底下。

重装也有个坑要提前说：备份数据这一步本身会带走感染。正确的做法是把要保留的文档、图片、代码复制到外部存储后，在干净环境里对这些文件做一次扫描，重点检查可执行文件和办公文档，确认没问题再往新系统里放。别把整个用户目录原样搬过去，那等于把马一起搬进新家。

3. 手工清除实录：从进程到持久化的逐层剥离

3.1 第一步：抓现行——进程、连接与文件占用

这一步的目的不是马上杀，而是看清楚它在干什么。打开任务管理器看详细信息，重点关注几类异常：路径落在临时目录、下载目录、用户目录深处的进程；名称故意模仿系统进程的（用数字1代替字母l、大小写混排、多个空格）；没有数字签名或者签名者信息明显不对的；CPU或网络占用长期异常的。同时用命令行把网络连接拉出来看：

netstat -ano | findstr ESTABLISHED tasklist /svc /fo table

把 ESTABLISHED 状态的记录和进程 PID 对上，看看哪个进程在往外连、连的是哪些地址。正常的软件外联对象一般是固定的服务端，如果一个陌生进程在连一堆不相干的地址，或者连的端口是很冷门的，基本可以锁定。还可以用系统自带的资源监视器看“关联的句柄”，搜一下可疑进程名，能直接看到它打开了哪些文件，这一步对后面删文件非常关键——你不知道它抓着哪个文件，删的时候就会一直提示被占用。

提示：记录下来的信息先复制到记事本或者拍照留存，再动手。结束进程之前想清楚，有些木马被结束后会触发自删除或者触发破坏动作，稳妥做法是先断网、先备份可疑文件副本，再结束。

3.2 第二步：拆持久化——不复活的关键在这

杀了进程它又起来，问题一定出在持久化。Windows 上常见的藏身点有这些，我按出现频率排：

1. 注册表启动项：当前用户和本机两个位置的 Run、RunOnce，还有 Winlogon 下的 Shell、Userinit 被改写；
2. 启动文件夹：当前用户和所有用户的启动目录，很多人只查注册表忘了这里；
3. 计划任务：这个是重灾区，触发器设置成登录时、空闲时、每隔几分钟，名称伪装成系统更新类任务；
4. 系统服务：服务名伪装成正常组件，启动类型设为自动，路径指向用户目录；
5. 映像劫持：注册表里把正常程序的执行路径重定向到恶意文件，你点正常程序其实跑的是它；
6. 浏览器扩展与输入法、字体等加载项；
7. WMI 事件订阅：这个最隐蔽，普通工具看不到，需要专门查询。

命令行核查比图形界面更可靠，因为很多图形工具本身会被劫持：

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" schtasks /query /fo LIST /v sc query type= service state= all

计划任务输出很长，重点看“任务要运行的程序”这一栏，路径如果在用户目录、临时目录，或者指向一个脚本解释器加一段乱码参数，基本可以确定。服务的可执行路径同理。查到之后不要直接删，先把启动类型改成禁用，重启验证系统是否正常，确认没问题再删除条目。这个顺序能救你——万一你误判了某个正常组件，禁用还能改回来，删了就得重装软件。

3.3 第三步：文件层清理与权限修复

持久化拆完之后再动文件。删除前先确认文件没有被占用，被占用就先结束对应进程或者重启到安全模式。系统目录下的可疑文件，正确的处理方式是先改名再观察，比如把xxx.exe改成xxx.exe.bak，重启看系统是否报错，稳定运行几天再删。这样做的原因是，有些恶意文件会替换掉正常的系统组件，直接删会导致某些功能失效甚至无法开机。

清理范围建议覆盖这几个位置：用户目录下的临时目录、下载目录、AppData下的各个子目录、ProgramData、回收站、以及各个盘根目录下莫名其妙的可执行文件和同名快捷方式（U盘感染最爱干这个）。同时检查一下文件权限有没有被改坏，有些恶意程序会给自己加隐藏属性或者改权限让你删不掉：

attrib -h -s -r "文件路径" icacls "文件路径" /reset

如果系统文件已经被替换或者损坏，用系统自带的修复命令做一次校验修复，比手工一个个比对靠谱：

sfc /scannow dism /online /cleanup-image /restorehealth

还有一个容易被忽略的点：卷影副本和系统还原点。有些勒索类程序会把还原点一起删掉，也有些恶意文件藏在还原点里，你清理完主系统它还能从还原点回来。确认不需要回滚的情况下，把旧的还原点清掉再重建，是更干净的做法。

3.4 第四步：收尾——浏览器、账号与网络配置

文件清干净不代表事情结束了。浏览器是信息泄露的主要出口，必须做一次彻底检查：主页和搜索引擎有没有被改、扩展列表里有没有你不认识的、新标签页有没有被接管、保存的密码有没有被读过（很多浏览器能看“最近使用”记录）。最省事的做法是重置浏览器设置，然后手动把需要的扩展装回来，别图省事从旧配置里恢复。

账号侧的动作要同步做：所有在这台机器上登录过的账号全部改密码，包括邮箱、聊天工具、网盘、办公系统、购物和支付类。改密码的顺序是先改邮箱（因为大部分账号的找回都走邮箱），再改其他。改完之后检查一下这些账号的登录设备和登录记录，有陌生的就踢掉并开启二次验证。

网络配置也要过一遍：网络连接设置有没有被改动、DNS 有没有被换成陌生地址、hosts 文件里有没有多出来的条目、系统证书里有没有来路不明的根证书。最后这一项很多人不看，但它是中间人劫持的常用手法，多一个陌生根证书，你访问的所有加密网站都可能被看光。

type C:\Windows\System32\drivers\etc\hosts certutil -hashfile "可疑文件路径" SHA256

那个哈希命令的用途是：当你不确定一个文件是不是原版时，算个哈希去和官方公布的值对一下，比看文件名可靠得多。

4. 防范体系：把成本花在“不中招”上

4.1 账户与权限：日常使用不开管理员

这一条是性价比最高的防护，没有之一。日常上网、办公、看视频，用标准用户账户；需要装软件、改系统设置时，再输入管理员密码提权。这样做的意义在于，绝大多数恶意程序的安装动作需要写系统目录和注册表，标准用户权限下它写不进去，攻击链在第一步就断了。系统自带的账户控制提示不要习惯性点“是”，看清楚弹窗里是哪个程序在请求提权，这一秒钟的犹豫能挡掉很多事。

远程桌面和远程协助是另一条必须收紧的口子。不用就关掉，用就限制来源地址、改成非常规端口、设置强口令加失败锁定。我见过太多案例，攻击者既没投毒也没钓鱼，就是拿一个弱口令直接远程登录进来的，全程不需要用户配合。共享目录同理，默认关闭，需要时按人授权、设置只读、用完就撤。

4.2 补丁与软件来源：一条不能破的铁律

软件只从官方渠道拿，这条铁律没有任何例外。所谓“破解版”“绿色版”“内部激活工具”，本质上都是把执行任意代码的权限交给了一个你不认识的打包者。省下的那点授权费用，和后面重装系统、改密码、处理数据泄露的时间成本比，完全不值。如果确实预算有限，优先找官方提供的免费版、教育版、开源替代品，而不是去找“资源”。

补丁要跟上，尤其是浏览器、办公套件、压缩软件、PDF 阅读器、开发工具链这些天天接触外部文件的东西。设置成自动更新，别拖。办公文档的宏是最经典的入口之一，如果不做文档自动化相关工作，直接把宏功能关掉，或者设置为“禁用所有宏并给出提示”。打开来路不明的文档时，看到“启用内容”的黄色提示条，先想清楚这份文件是谁发的、你为什么要开宏。

4.3 备份的落地：算清楚容量，做一次恢复演练

防范体系里唯一能兜底的只有备份。勒索类攻击面前，备份是唯一不依赖“能不能清干净”的解决方案。落地方法用 3-2-1 原则：至少 3 份数据、2 种不同介质、1 份放在异地或者离线。我这里说的“离线”是关键——备份盘平时不要挂载在系统上，用完就拔，因为勒索程序会主动搜索并加密所有能访问到的盘符，你把备份盘一直插着，等于给它准备了一份。

容量怎么算：先统计你要保护的数据量，假设是 200 GB 的工作文档加照片。做一份全量备份占 200 GB，之后每周做一次增量，按每周变化 5% 算，一次增量大约 10 GB。保留 8 周全量加增量，总占用大约 200 + 200×5%×8 ≈ 280 GB，再留 30% 余量，一块 500 GB 的移动硬盘足够。如果数据量在 TB 级，就用“每月一份全量、每天增量”的策略分层存放。

比备份本身更重要的是恢复演练。我见过备份做了三年、真出事时发现备份文件全是损坏的、或者备份里压根没包含那个关键目录。建议每季度抽一次，把备份恢复到另一台机器上，随便打开几个文件确认能正常读。演练要记录两件事：完整恢复需要多长时间、哪些数据不在备份范围内。这两个数字决定了你出事那天的损失上限。

4.4 行为红线：几条不用记太多但必须守住

第一条，任何要你“先关掉安全软件再运行”的东西，直接扔垃圾桶，没有正当软件会提这种要求。第二条，收到附件先看扩展名，把系统设置成显示已知文件类型的扩展名，因为发票.pdf.exe这种伪装在隐藏扩展名的情况下看起来就是发票.pdf。第三条，任何要你远程协助的来电，先挂掉，用官方渠道回拨核实，冒充客服、冒充公检法、冒充平台退款的话术核心都是让你装一个远控软件。第四条，二维码和短链接不扫不点，尤其是短信里来的“快递异常”“账户异常”。第五条，U盘先扫再用，插到机器上先别急着打开，扫一遍再动。

注意：这几条红线的价值不在于技术含量，而在于执行率。防护体系失效的原因几乎从来不是技术不够，而是某一次“就这一次应该没事”。

5. 常见问题与排查技巧实录

5.1 杀不干净、反复复发的六种典型原因

第一种，持久化没清干净，最常见。你杀了进程、删了文件，但计划任务或者服务条目还在，重启就复活。第二种，感染源还在，比如共享盘里的感染文件没处理，你清完本机，一打开共享盘又中。第三种，U盘成了搬运工，本机清干净了，U盘插回来又感染一次。第四种，多个变种共存，清掉一个，另一个下载器把它重新下回来，需要先把下载器找出来。第五种，漏洞没补，蠕虫类不需要你操作，补丁不打就是无限重来。第六种，账号已经被控，攻击者用远程桌面或者合法远控软件正大光明登进来，你清多少次都没用，因为他有合法凭证。

排查思路其实很朴素：先断外联，再找源头，最后才清。断网状态下清理，清完观察一段时间再联网，联网后如果很快复发，基本可以确定还有外联或者凭证泄露的问题。

5.2 “电脑变慢”不一定是中毒：一份误判清单

这张表我经常发给用户，因为一半以上被当成“中毒”的机器，实际问题在硬件或者软件冲突上。搞清楚再动手，能省下大量时间，也避免误删。

5.3 排查速查表：症状、验证与处置

最后分享一个我自己一直在用的习惯：给每台机器建一个**“基线记录”**，把干净的启动项列表、服务列表、安装的软件清单导出来存一份。以后怀疑中招时，把当前状态和基线一比，多出来的东西一眼就能看到，比凭记忆判断快得多，也准得多。这个动作做一次十分钟，后面每次排查都能省下半小时。