流氓軟件捆綁安裝、竄改主頁、植入插件、彈窗廣告，常規殺毒軟件查不殺不了。System Safety Monitor (SSM) 這把「屠龍寶刀」通過內核級實時監控程序啟動、模塊加載、註冊表寫入、IE設置變更、窗口創建，讓一切「不請自來」的行為無處遁形。

SSM核心監控能力

監控對象	攔截行為示例
程序啟動/關閉	捆綁安裝程序靜默運行、惡意自啟項
模塊加載(DLL/驅動)	Rootkit掛鉤、瀏覽器劫持插件、AppInit_DLLs注入
註冊表寫入	修改主頁/搜索引擎、添加啟動項、關鍵鍵值篡改
IE設置/插件/工具欄	強行添加BHO/Toolbars/ActiveX
窗口創建	隱藏窗口/透明窗口/彈窗廣告

安裝與首次配置

1. 百度搜索「SSM下載」獲取最新版(官網已停更，備用站點仍可下載)
2. 安裝後默認所有監控關閉，需手動開啟
3. 右鍵系統托盤圖標 → 「監控程序活動」
4. 首次開啟彈窗：選「是」建立當前已運行程序的信任規則(白名單)

實戰場景演示

安裝某「全家桶」軟件時：
1. SSM彈窗：「setup.exe 嘗試啟動 adware_installer.exe」→ 選 阻止
2. SSM彈窗：「setup.exe 嘗試寫入註冊表 HKCU\Software\Microsoft\Internet Explorer\Main\Start Page」→ 選 阻止
3. SSM彈窗：「setup.exe 嘗試加載 BrowserHelper.dll」→ 選 阻止
4. 主程序安裝完成，流氓組件全軍覆沒

進階規則管理

• 規則列表：查看/編輯/刪除已建立的允許/阻止規則
• 導出/導入規則集：跨機器部署標準化基線
• 學習模式：新環境部署前開啟學習模式運行一周，自動生成白名單，再切防護模式

替代工具：流氓軟件清理大師

專項掃描/清理常見流氓軟件(2345/hao123/百度全家桶/騰訊電腦管家捆綁組件等)，掃描速度快、誤報低，適合作為SSM之外的補充掃描工具。

注意事項

• SSM屬HIPS(主機入侵防禦系統)，需要用戶具備判斷進程合法性的基本能力，誤阻系統關鍵進程會導致藍屏/功能失效
• Win10/11下可能兼容性問題，建議虛擬機/測試機驗證後再投產
• 現代EDR(360天擎/火綿/微步/安恒端點)已集成同類行為防護能力，企業環境優先部署EDR

SSM雖老，但「全行為實時監控+用戶決策」的設計思想至今仍是對抗未知流氓/惡意代碼的終極形態之一。