今天想跟大家唠唠我研究木马轨迹的事儿，这事儿折腾了我一下午，挺费劲但又挺有意思。
电脑突然变拖拉机
昨儿晚上我正搁B站刷视频，电脑突然就卡成了幻灯片，风扇嗷嗷叫，跟直升机起飞似的。鼠标指针慢悠悠地挪，点啥都没反应。我当时心里就咯噔一下，这感觉太熟悉了，八成又中招了。赶紧按Ctrl+Alt+Del想开任务管理器，好家伙，硬是等了小半分钟才蹦出来。任务管理器一开，满眼红彤彤，CPU占用快飙到100%了，一个叫"system_*"的玩意儿在列表里特别显眼，我压根不记得我装过这鬼东西。
手动抓鬼，步步惊心
我顺手就想把它“结束任务”，点完它倒是消失了，可还没等我喘口气儿，它又自己冒出来了！ 跟打不死的小强一样。我意识到这不是普通卡顿，是惹上脏东西了。 我麻溜地断开了网线，可不能让它继续偷东西或者祸害别人。
然后我上网（用的手机热点，电脑网线断着）搜这个"system_*"，一查吓一跳，好几个安全论坛都说这名字是个典型的木马马甲，专门用来迷惑人。
我就盯着任务管理器里那堆进程看，看到有个进程名字有点眼熟，后面跟了一长串乱七八糟的字符，路径指向一个我八百年没用过的软件文件夹。我记得我早把那个软件卸载干净了！赶紧右键“打开文件所在位置”，好家伙，里面藏着一个伪装成配置文件的玩意儿，名字长得要命，混在一堆文件里，不仔细找根本看不出来。
搞明白这“轨迹”到底是啥
喜欢刨根问底。这木马咋跑进来的？进来以后干了为啥能赖着不走？折腾这一通，我大概捋顺了它的“作案路线”，也就是标题说的“轨迹”：
- 溜进来：估计是我昨天不小心点了个所谓“破解工具”的压缩包（手贱），可能就是那时候带进来的。进来后，它悄咪咪复制了一堆自己到几个犄角旮旯的文件夹里，还改头换面用不同文件名（比如那个"system_*"）。
- 藏起来：它把自己添加到了系统启动项里（我后来用工具查启动项才发现的），所以每次开机它都能自动复活。
- 干坏事：运行起来后，这货疯狂联网（所以我才断网），后台肯定在扫描我电脑里的东西或者偷数据，还偷偷挖矿或者搞别的占用资源的勾当（不然CPU不会爆满）。
- 玩潜伏：任务管理器里关掉它一个分身，它在别处的“兄弟”程序马上又偷偷启动一个新的补位（有点像毒液的感觉），特别恶心。
简单来说，木马这轨迹，就是它从钻进来、到处藏身、开始干活搞破坏、到想方设法赖着不走的一整套动作流程。 就跟间谍潜入一样，有组织有预谋。
彻底打扫战场
知道它套路后，解决起来目标就明确了：必须把所有分身和它的根一起挖出来！ 我不敢指望普通杀毒软件了（之前就没报毒）。
- 先用专门的安全扫描工具，深度扫了一遍，揪出来好几个藏在不同文件夹的木马文件。
- 然后启动安全模式，确保那些赖皮程序启动不了。
- 进安全模式后，手动按之前找到的路径，去那几个文件夹里，把扫描工具漏掉的或者报可疑的文件全删了（删之前仔细确认过名字和位置）。
- 再用清理启动项的软件，把那个木马偷偷加进去的自启动项彻底清除掉。
- 为了安心，还是重装了一次系统（正好也清理下电脑垃圾），重装完第一件事就是检查之前那几个可疑文件夹，确定空空如也。
弄完这全套，电脑终于又安静得像小猫一样了。这回可真是给我上了一课：来历不明的玩意儿千万别点，还有，发现电脑不对劲儿，第一时间断网、排查进程和启动项，太重要了。 希望我这折腾经历，能让大家对“木马的轨迹”是咋回事儿有个直观的体会。
