上周帮一个做电商的木马朋友清理电脑，他的检测浏览器主页被改成某导航站，桌面上多了三个没见过的工具图标。用任务管理器一看，木马有个叫"svchost.exe"的检测进程占了40%的CPU，但路径指向AppData\Local\Temp。工具这基本就是木马木马了。他问我装什么杀毒软件能查出来，检测我说别急，工具先搞清楚你面对的木马是什么。

木马和病毒不是检测一回事。病毒会自我复制、工具感染文件，木马恨不得让全世界知道它来了。检测木马的工具核心逻辑是"别被发现"——它伪装成正常程序，在后台开个端口，等控制端发指令。2023年暗网论坛上流通的远控木马样本里，超过六成会主动检测沙箱环境，发现虚拟机就休眠。这意味着你拿个普通杀毒软件扫一遍，很可能什么都扫不出来。

市面上木马检测工具分几种路子。特征码扫描是最老牌的，卡巴斯基、火绒都靠这个吃饭。原理是把已知木马的二进制片段做成签名库，扫到匹配就报毒。问题是新木马改几个字节就能绕过，所以现在主流工具都加了启发式分析——看程序行为像不像木马。比如一个记事本程序试图修改注册表启动项，这就不正常。

但行为分析也有软肋。我见过一个案例，某财务软件被加了后门，它确实会写启动项、会连外网，可这些行为跟正版软件更新模块的行为一模一样。杀毒软件纠结了半天，最后放行了。真正发现问题的是网络流量分析——那台机器每天凌晨三点准时向一个越南IP发送2KB的数据包，持续了四个月。

所以单靠一个工具不够。我的习惯是组合用：火绒管日常防护，它的HIPS（主机入侵防御系统）能拦住大部分可疑操作；Process Explorer看进程树，重点检查那些没有数字签名、路径奇怪的进程；再配一个Wireshark或者GlassWire看网络连接。木马要干活，总得联网，这是它的死穴。

有个免费工具叫Autoruns，微软自家的，比任务管理器详细得多。它能列出所有自启动项——注册表、计划任务、服务、驱动。木马最喜欢藏在这些地方。打开Autoruns，按"Publisher"排序，没有签名或者签名奇怪的项，右键查一下文件路径。我上次就是这么揪出一个伪装成Intel驱动的木马，文件在C:\Windows\System32\drivers\，名字叫iqvw64e.sys，跟正版Intel网卡驱动只差一个字母。

手机上的木马检测更麻烦。安卓木马现在流行"无文件攻击"，不落地，直接在内存里跑。装个Malwarebytes能查出来一部分，但根治得靠恢复出厂设置。iOS相对安全，除非越狱，否则木马很难拿到系统权限。不过有一种情况例外：企业证书签名的应用。去年有个新闻，某款看似正常的健身App通过企业证书分发，安装后要求无障碍权限，然后就开始偷短信验证码。

说回我朋友那台电脑。我用Autoruns查到那个svchost.exe的启动项指向一个计划任务，任务名是"Microsoft\Windows\UpdateOrchestrator"下的一个子项，但实际执行的是Temp目录下的脚本。手动删掉计划任务和文件，重启，CPU降回正常。整个过程没用杀毒软件——因为那木马是专门针对国内几款主流杀软做过免杀的。

木马检测这件事，工具只是辅助。真正管用的是你知道正常系统长什么样。进程列表里多出个陌生名字，网络连接里有个不认识的IP在监听，注册表启动项里有个拼写错误的键值——这些细节比任何扫描报告都可靠。装十个杀毒软件不如花十分钟看看任务管理器。