必须进入安全模式切断远程控制链路：先断网，长按电源键10秒关机，重启时反复按F8（新机型按住Shift）→选“疑难解答”→“高级选项”→“启动设置”→“重启”→按F4或4进入安全模式；未断网则远程程序仍可能回传数据。
电脑出现鼠标乱动、程序乱启或网络持续高占用，又无法在正常模式下排查时，必须进入安全模式切断远程控制链路再检查；安全模式只加载核心驱动与服务，能屏蔽绝大多数远程木马的自启动和通信模块，让隐藏进程暴露出来。
先断网并强制进入安全模式
按下电源键长按10秒强制关机→再次开机，在Windows标志出现前反复按F8（部分新机型需在重启时按住Shift键不放）→待出现“选择一个选项”界面，选“疑难解答”→“高级选项”→“启动设置”→“重启”→重启后按F4或数字键4进入安全模式。这一步不可跳过，【若未断网就进安全模式，远程控制程序仍可能通过残留网络通道回传数据】。
用任务管理器筛可疑进程
按下Ctrl+Shift+Esc打开任务管理器→切换到“详细信息”选项卡→点击“CPU”列标题排序，重点看占用率长期高于30%且名称异常的进程，比如“winmgr.exe”“sysupdt.exe”“svch0st.exe”（注意是数字0而非字母o）。
右键任一可疑进程→选择“打开文件所在的位置”→若路径落在C:\Users\XXX\AppData\Local\Temp、D:\Download、C:\ProgramData这类非系统目录，立即记录全路径；再右键同一进程→“属性”→“数字签名”页签，若显示“此文件没有有效的数字签名”，基本可判定为恶意远控组件。
查远程服务是否仍在后台运行
按下Win+R，输入services.msc回车→在服务列表中滚动查找含以下关键词的服务：Remote Desktop、Remote Registry、Telnet、SSH、AnyDesk、TeamViewer、Sunlogin、Oray、ToDesk、RustDesk。
方法一：对名称明显可疑的服务（如“RemoteServiceHost”“DesktopControlAgent”），双击打开属性→将“启动类型”改为“禁用”，点击“停止”按钮→确认状态变为“已停止”。
方法二：对名称看似系统但描述模糊的服务（如“Windows Management Instrumentation”），右键→“属性”→查看“可执行文件路径”，若指向非C:\Windows\System32目录，或签名发行者不是Microsoft Corporation，也应禁用。
快速核验远程桌面开关状态
按下Win+R，输入sysdm.cpl回车→切换到“远程”选项卡→观察两个复选框：“允许远程协助连接这台计算机”和“允许远程桌面连接到这台计算机”。
若其中任一被勾选，且你从未主动开启，说明攻击者可能已篡改系统设置。此时不要直接取消勾选，先截图保存当前状态，再点击“确定”退出→随后回到services.msc中确认Remote Desktop Services服务是否已被你上一步禁用，避免设置与服务状态冲突导致系统异常。
用命令行扫监听端口
以管理员身份运行Windows Terminal（右键开始菜单→“Windows Terminal(管理员)”）→输入以下命令：
netstat -ano | findstr ":3389 :5900 :5938 :7070 :4899"
若返回结果中存在LISTENING状态行，记下末尾PID→回到任务管理器“详细信息”页，按PID列排序找到对应进程→右键→“打开文件所在的位置”，路径若不在C:\Windows\System32或正规软件安装目录，该进程即为远程控制入口点。
