应立即物理断联并锁定设备，拔电源或闭合物理遮挡滑块；再禁用可疑启动项、清除应用权限、重置摄像头服务栈；最后卸载非官方驱动、安装官网可信驱动、启用驱动签名验证，并用微软Safety Scanner全面扫描。
当电脑摄像头出现自动开启、指示灯常亮、画面异常跳转、设置被莫名修改，或在未操作时弹出陌生登录提醒，说明设备可能已被远程控制或植入恶意配置，必须立即执行隔离→凭证重置→固件清理的闭环操作。
立即物理断联并锁定设备
先拔掉USB摄像头电源线，或对内置摄像头长按笔记本侧边物理遮挡滑块至闭合位；若无物理开关，直接长按 Fn + F8/F9/F10（带摄像头图标的键） 直到屏幕右下角弹出“摄像头已禁用”提示。这一步不能只靠关闭软件，因为恶意进程可能绕过应用层控制继续调用硬件。
断联后立刻检查任务管理器：按 Ctrl+Shift+Esc → 切换到【启动】选项卡 → 找出名称含 camsvc、vcauth、webcamdrv、camerad 的可疑项 → 右键【禁用】。不立即结束进程，是防止恶意模块触发自毁逻辑或反向注入。
清除远程控制残留与非法授权
方法一：通过Windows安全中心强制清权
打开“设置”→“隐私和安全性”→“账户权限”→“管理其他权限”，点击【清除所有应用权限】按钮。该操作会抹除所有第三方应用对摄像头、麦克风、位置等敏感权限的缓存记录，包括已被隐藏的恶意授权条目。
方法二：用PowerShell重置摄像头服务栈
以管理员身份运行PowerShell → 依次执行：
Stop-Service -Name “Camera” -Force →
Remove-Item -Path “HKLM:\SYSTEM\CurrentControlSet\Services\usbvideo\Parameters” -Recurse -Force →
sc.exe delete “camsvc”。
【执行前请确认已备份注册表】，删除后重启电脑，系统将重建干净的服务结构。
重装可信驱动并验证固件签名
第一步：卸载全部非品牌官方驱动
右键“开始”→“设备管理器”→ 展开“照相机”→ 右键每个设备 → “卸载设备” → 勾选【删除此设备的驱动程序软件】→ 点击卸载。不要点“禁用”，禁用状态仍可被恶意代码唤醒。
第二步：从厂商官网下载驱动
访问联想/戴尔/HP等官网支持页，输入机身底部贴纸上的**完整型号编号（如 82LH0006CH）**，下载标有“Certified for Windows 10/11”且发布日期在2026年6月之后的驱动包。切勿使用Windows Update自动推送的通用驱动，它可能携带未经验证的中间层模块。
第三步：启用驱动强制签名验证
开机时连续按F8进入高级启动 → “疑难解答”→“高级选项”→“启动设置”→ 重启后按7键启用“禁用驱动程序强制签名”。完成驱动安装后，必须返回此处按7键**关闭该选项**，否则系统无法加载任何未签名驱动，包括后续更新的正版驱动。
扫描并清除持久化后门
① 使用微软Safety Scanner离线扫描：从另一台可信电脑下载 msert2.exe → 复制到U盘 → 插入受感染电脑 → 断网 → 以管理员身份运行 → 选择【全面扫描】→ 完成后勾选【删除检测到的项目】→ 重启。
② 检查计划任务中隐藏的摄像头唤醒项：
Win+R 输入 taskschd.msc → 左侧展开“任务计划程序库”→ 在右侧空白处右键 → “按需创建基本任务” → 在弹出窗口中点击“下一步” → 当看到“触发器”页面时，观察列表中是否存在名称为“CamWake”“VideoSync”“AutoLight”等非系统命名的任务 → 若存在，右键→“禁用”，再右键→“删除”。
③ 清理浏览器中劫持性扩展：
打开 Edge/Chrome → 地址栏输入 chrome://extensions 或 edge://extensions → 关闭所有来源不明的扩展，尤其名称含 “capture”、“view”、“mirror”、“livecam” 的插件 → 点击【移除】→ 重启浏览器。
