「肉雞」指被駭客植入後門/木馬、納入僵尸網絡、可被遠程控制的電腦。金山毒霸專家總結六大典型徵兆，配合四大檢測工具，教你快速自查。

六大「肉雞」徵兆

#	徵兆	解讀	立即行動
1	QQ/MSN 異地登入提醒	登入 IP/地點與實際不符 (如人在上海，提示瀋陽)	立即修改密碼、啟用裝置鎖/二次驗證、檢查授權裝置
2	網遊裝備消失/位置異常/密碼正確卻無法登入	賬號被盜、角色被轉移、密碼被修改	官網申訴凍結、修改密碼、綁定手機/令牌、檢查郵箱安郵
3	鼠標自主移動/點擊	遠程控制木馬 (TeamViewer 隱藏模式、RDP 劫持、VNC、自定義 RAT)	立即斷網 (拔網線/禁用網卡)、全盤掃描、檢查遠程桌面/助手服務
4	上網極慢、硬盤燈狂閃、大量讀寫	攻擊者正在批量複製文件/上傳數據/加密勒索/挖礦	斷網 → 任務管理器/Resource Monitor 定位高 I/O 進程 → 結束進程 → 全盤掃描
5	攝像頭被佔用 (提示設備正在使用)	遠程開啟攝像頭偷拍/監視	物理遮蓋攝像頭、禁用攝像頭驅動/設備管理器、檢查哪個進程占用 (Process Explorer)
6	無業務操作時網卡燈狂閃/流量異常	C2 通信、數據外洩、DDoS 攻擊跳板、挖礦流量	斷網 → 檢查防火牆日誌/TCPView/資源監視器網絡標籤 → 定位進程 → 查殺

四大檢測工具實戰

1. 防火牆狀態頁 (如金山網鏢)：查看「當前活動連接」，排查未授權程式建立遠程連接 (陌生進程名、非常用端口、境外 IP)。
2. TCPView (Sysinternals)：實時顯示所有 TCP/UDP 端點、進程名、PID、狀態、發送/接收字節。**最直觀發現木馬連接**，但 Rootkit 級隱藏連接可繞過。
3. 金山清理專家在線診斷 (全面診斷 → 進程項)：對每個進程安全評分，未知/可疑項重點排查。
4. 清理專家百寶箱 → 進程管理器：一鍵查找可疑文件、數位簽名驗證、路徑異常、啟動項關聯，輔助手動查殺。

進階自查清單 (疑難雜症)

• 計劃任務：Win+R → taskschd.msc / `schtasks /query /fo LIST /v` → 檢查非常用任務、SYSTEM 權限任務、觸發條件異常。
• WMI 事件訂閱：`Get-WmiObject -Namespace root\subscription -Class __EventFilter,__EventConsumer,__FilterToConsumerBinding` → 異常消費者 (命令執行/腳本)。
• 啟動文件夾/註冊表/服務/驅動/Winlogon/Userinit/映像劫持/側載/瀏覽器擴展/Shell 擴展/COM 劫持：用 Autoruns 全掃描，黃/紅項逐一驗證。
• Rootkit 掃描：GMER、RKUnhooker、TDSSKiller、Malwarebytes Anti-Rootkit。
• 內存鏡像分析：WinPMEM 獲取內存鏡像 → Volatility3 分析隱藏進程/連接/注入/鍵盤記錄/加密金鑰。

確認中招後的黃金處置流程

1. 斷網隔離 (物理斷網/防火牆封鎖模式)，阻止數據外洩/橫向移動/遠程控制。
2. 保存證據：內存鏡像、磁盤鏡像、關鍵日誌 (事件日誌/防火牆/EDR)、可疑文件打包加密 (7z -p)。
3. 徹底清除：
   ① 進入安全模式/WinPE。
   ② 依據證據定位文件/註冊表/計劃任務/服務/WMI/驅動。
   ③ 刪除文件、清理持久化點、修復系統文件 (`sfc /scannow` / `DISM /RestoreHealth`)。
   ④ 必要時重裝系統 (唯一 100% 乾淨方案)，恢復乾淨備份。
4. 修復加固：修改所有密碼/金鑰/憑證 (含銀行/郵箱/VPN/代碼倉庫/雲控制台)、打補丁、收緊權限、部署 EDR、更新防火牆規則、複盤報告。

**「肉雞」不一定有明顯癥狀，定期主動排查才是常態。** 將上述工具納入月度自查清單，守住終端安全底線。