作者親歷某網吧機器出現 6 個 SVCHOST.EXE 進程，一個佔用大量記憶體。經排查發現 C:\Windows\SVCHOST.EXE 為偽裝木馬 (正常路徑在 System32)。

溯源過程

1. 卡巴斯基全盤掃描無報毒 → 疑為免殺木馬。
2. 刪除啟動項、禁用註冊表編輯器，重啟仍復發。
3. 安全模式下木馬文件消失，正常模式又出現 → 確認為啟動型掛馬。
4. 防火牆發現 1.EXE~7.EXE 異常連線，進程表無對應 → 判斷由 SVCHOST 釋放。
5. 卡巴防火牆日誌定位路徑：F:\Documents and Settings\Administrator\Local Settings\Temp\ck3.exe.exe。
6. 該目錄為數日前觀看的動畫教程解壓路徑 → 動畫教程捆綁木馬。
7. 清理啟動項、註冊表、臨時目錄木馬體，警報解除。

教訓與建議

• 下載的教程、破解工具、外掛極易捆綁木馬，執行前必過多引擎掃描。
• 關注 SVCHOST.EXE 路徑：非 System32 下即為可疑。
• 防火牆出站連線監控是發現隱蔽木馬關鍵。
• 安全模式下文件消失是啟動項掛馬典型特徵。
• 定期清理 Local Settings\Temp 等臨時目錄。

幸運避開重裝系統，記錄下來提醒同行：免費資源背後往往藏著代價。