发现电脑异常卡顿、CPU持续满载、浏览器跳转、杀软被禁用或任务管理器中出现路径非System32的svchost.exe进程，说明系统很可能已被植入后门木马，须立即手工排查：检查可疑用户与影子账户、扫描启动项与注册表自启位置、核查计划任务与服务项、定位异常网络连接与进程、审计系统关键目录最新文件。
当你发现电脑异常卡顿、CPU持续满载、浏览器自动跳转、杀软被莫名禁用，或任务管理器里出现名字像svchost.exe但路径不在System32的进程时，说明系统很可能已被植入后门木马，必须立即启动手工排查流程。
检查可疑用户与影子账户
打开命令提示符（管理员权限），执行：net user，记录所有可见用户名；再执行：net localgroup administrators，确认管理员组成员是否异常增多。
按 Win+R 输入 regedit，定位到 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names。若提示“无法访问”，右键 SAM 项 → “权限” → 勾选 Administrators 的“完全控制” → 确定 → 刷新。右侧列表中显示的所有用户名，与 net user 输出比对：【多出来的名称极大概率是影子用户，不可删除前先导出该键值备份】。
影子用户常以 $ 结尾（如 admin$），在图形界面完全不可见，却是攻击者长期驻留的核心凭证。
扫描启动项与注册表自启位置
方法一：直接检查两大启动目录
打开文件资源管理器，分别粘贴并访问以下两个路径：%appdata%\Microsoft\Windows\Start Menu\Programs\StartupC:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
查看是否有非你安装的 .bat、.exe、.vbs 文件。
方法二：注册表深度扫描
在 regedit 中依次检查以下 6 个键值，重点看右侧“数值数据”是否指向临时目录（如 %TEMP%）、用户下载目录或路径含随机字符：
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001
注意：RunOnceEx 下的项一旦触发即删除，若此处存在条目，说明木马近期刚完成一次自启加载。
核查计划任务与服务项
第一步：导出全部活动计划任务
以管理员身份运行 PowerShell，执行：schtasks /query /fo LIST /v > C:\tasks_full.txt
这会生成完整清单，重点筛查“触发器”为“登录时”“启动时”“空闲时”的任务，“操作”列是否调用可疑路径的 .bat 或 .exe，“安全选项”是否设为 SYSTEM 权限。
第二步：筛选非微软签名的服务
执行：Get-Service | Where-Object {$_.Status -eq 'Running'} | ForEach-Object { $svc = $_; $path = (Get-WmiObject Win32_Service | Where-Object {$_.Name -eq $svc.Name}).PathName; Write-Host "$($svc.Name) : $path" }
逐行检查输出中的 PathName：凡路径不在 C:\Windows\System32\ 或 C:\Windows\SysWOW64\ 的，或含空格未加引号包裹的（如 c:\bad\svch0st.exe），均需手动验证文件签名。
第三步：确认服务描述真实性
对可疑服务名（如 WSearcher、SysHelper）执行：sc qc "服务名"
观察“DESCRIPTION”字段——木马常伪造成“Windows Search Extension”之类，但实际文件根本不是微软签名。
定位异常网络连接与进程
执行：netstat -ano | findstr ":4444\|:8080\|:3389\|:21\|:22\|:6666"，这些是远控木马高频端口。若返回 PID，立刻用 tasklist | findstr "PID号" 匹配进程名。
对匹配出的进程，右键任务管理器 → “打开文件所在的位置”，检查路径是否为 C:\Windows\System32\svchost.exe —— 若是 C:\Users\Public\svch0st.exe 或 D:\Temp\a.exe，则【立即结束进程并删除该文件，不要右键“属性”查看，避免触发恶意代码】。
若进程名与系统进程完全一致（如 explorer.exe、lsass.exe），但路径异常，说明可能已被注入 DLL。此时需使用 PCHunter 工具扫描该进程的模块列表，查找无签名或签名颁发者为 Unknown 的 .dll 文件。
审计系统关键目录最新文件
打开 PowerShell（管理员），逐条执行：
dir C:\Windows\System32\*.exe -File | Sort-Object LastWriteTime -Descending | Select-Object Name,LastWriteTime,Length -First 5
dir C:\Windows\SysWOW64\*.exe -File | Sort-Object LastWriteTime -Descending | Select-Object Name,LastWriteTime,Length -First 5
dir $env:TEMP -File | Sort-Object LastWriteTime -Descending | Select-Object Name,LastWriteTime,Length -First 5
重点关注三类文件：① 修改时间在你不知情时段（如凌晨2点）；② 文件名模仿系统进程但大小写错乱（EXPLORER.exe）；③ 长度小于100KB却声称是“系统工具”。这类文件十有八九是木马释放器或下载器。
