木马通过挂钩或写入内核关键区域篡改smss.exe、csrss.exe等进程或nvlddmkm.sys等驱动，破坏代码完整性，触发windows内核保护机制强制蓝屏；典型线索包括0x0000003b/0x0000007e错误码、陌生.sys文件、事件查看器中集中出现驱动加载失败错误。
木马病毒篡改系统核心进程或驱动文件，直接触发Windows内核保护机制，强制蓝屏以阻止进一步破坏。
木马如何引发蓝屏
木马程序常通过挂钩（Hook）或直接写入系统关键区域（如内核内存、驱动目录、注册表启动项）来实现持久化。一旦它修改了smss.exe、csrss.exe等会话管理进程，或向nvlddmkm.sys、dxgkrnl.sys等显卡/图形驱动注入恶意代码，系统在加载或调用这些组件时就会校验失败，立即触发BSOD。
这一步不是偶然崩溃——是Windows检测到内核模式代码完整性被破坏后，主动终止运行。
典型蓝屏现象与线索
出现以下任一情况，高度提示木马致蓝屏：
• 蓝屏错误代码为0x0000003B（SYSTEM_SERVICE_EXCEPTION）、0x0000007E（SYSTEM_THREAD_EXCEPTION_NOT_HANDLED），且错误模块名显示为非常规.sys文件（如winstar64.sys、vsysdrv.sys）；
• 蓝屏前系统异常：浏览器自动跳转、任务管理器无法打开、杀软图标消失、C:\Windows\System32\drivers下出现陌生日期的.sys文件；
【关键证据】在事件查看器→Windows日志→系统中，筛选“错误”级别事件，若发现大量“Service Control Manager”来源的“服务未响应”或“驱动加载失败”，且时间集中在某次网页浏览或U盘插入之后，基本可锁定木马行为。
验证是否为木马所致
第一步：开机按F8进入安全模式（Win10/11需强制关机3次触发恢复环境）→登录后立即打开任务管理器→切换到“启动”选项卡→禁用所有第三方启动项；
第二步：打开命令提示符（管理员），执行：sfc /scannow → 等待扫描完成，若报告“Windows资源保护找到了损坏文件但无法修复”，说明系统文件已被木马覆盖；
第三步：使用sigcheck -i C:\Windows\System32\drivers\*.sys（需提前下载Sysinternals套件）→ 检查驱动签名状态，凡显示“Unsigned”且公司名为空或为“Unknown”，即为高危可疑驱动。
快速定位木马文件的方法
方法一：用Process Explorer（微软官方工具）替换任务管理器→点击“Find”→“Find Handle or DLL”→输入关键词“mimikatz”“powershell -ep bypass”“regsvr32 /s”等常见木马加载特征→直接定位恶意进程；
方法二：打开PowerShell（管理员）→执行：Get-ChildItem C:\ -Recurse -Name "*virus*","*trojan*","*backdoor*" -ErrorAction SilentlyContinue 2>$null → 扫描全盘命名可疑文件（注意：此命令不查隐藏文件，仅作初筛）；
方法三：检查计划任务→运行taskschd.msc→展开“任务计划程序库”→重点查看名称含“Update”“Sync”“Cloud”但作者为空或为“System”的任务→右键“属性”→“操作”页签中若存在powershell.exe -c或cmd.exe /c start路径，立即禁用并导出XML分析。
