必须创建出站规则阻断svchost.exe联网并启用默认出站拦截策略：先在wf.msc中为C:\Windows\System32\svchost.exe建阻止规则，再执行PowerShell命令Set-NetFirewallProfile -DefaultOutboundAction Block并添加仅放行微软签名程序的允许规则。
要阻止未知木马程序在Windows系统中偷偷联网外传数据，必须绕过其伪装行为，直接从网络连接权限层面卡死——不是等杀毒软件识别后才响应，而是让可疑进程根本发不出一个数据包。
用Windows防火墙创建出站规则拦截所有未知程序
第一步：按 Win + R 输入 wf.msc → 回车打开高级安全 Windows 防火墙。
第二步：左侧点击「出站规则」→ 右侧点击「新建规则…」→ 在向导中选择「程序」→ 点击「下一步」。
第三步：选择「此程序路径」→ 点击「浏览程序」→ 定位到 C:\Windows\System32\svchost.exe（关键：这是大多数木马注入后借壳运行的宿主）→ 下一步。
第四步：选择「阻止连接」→ 下一步 → 勾选「域」「专用」「公用」全部三个配置文件 → 下一步 → 输入名称如「阻断非签名svchost联网」→ 完成。
这一步不能跳过签名验证：仅靠路径拦截会误伤系统服务，所以必须配合下一步启用强制签名检查。
启用防火墙的“仅允许已签名程序出站”策略
方法一：组策略强制执行（适用于专业版/企业版）
按 Win + R 输入 gpedit.msc → 依次展开「计算机配置 → 管理模板 → 网络 → 网络连接 → Windows 防火墙 → 域配置文件」→ 双击「Windows 防火墙：定义入站连接默认筛选器」→ 设为「已启用」→ 在「配置文件设置」下拉菜单中选「阻止」→ 同样设置「专用配置文件」和「公用配置文件」。
方法二：PowerShell一键启用强出站控制（所有版本均可用）
以管理员身份运行 PowerShell → 粘贴执行：
Set-NetFirewallProfile -Profile Domain,Private,Public -DefaultOutboundAction Block
→ 再执行：
New-NetFirewallRule -DisplayName "只放行微软签名程序" -Direction Outbound -Program "%SystemRoot%\System32\*" -Enabled True -Action Allow -Profile Domain,Private,Public -Description "仅放行系统目录下带有效微软数字签名的程序"
⚠️ 注意：执行后浏览器、微信等第三方软件首次联网会弹窗提示被阻止，需手动为其单独创建放行规则——这是预期行为，说明机制已生效。
用任务管理器实时冻结可疑联网进程
当发现某个进程CPU占用高且网络活动异常（如 svch0st.exe、explorerx.exe、wmiprvse.exe 等非常规拼写）：
右键开始按钮 → 「任务管理器」→ 切换到「详细信息」选项卡 → 找到该进程 → 右键 → 「转到服务」→ 查看关联服务名是否为空或含随机字符；
若确认可疑，右键该进程 → 「分析网络活动」→ 在弹出窗口中点击「阻止此应用的所有网络访问」→ 系统将立即调用防火墙临时封禁其所有TCP/UDP出站连接。
这一步操作起来很简单，直接点击即可生效，无需重启或确认对话框。
后续若需恢复，回到同一界面点击「允许」，或在防火墙「出站规则」中找到以「临时阻止_」开头的规则并禁用。
