必须立即用系统原生防火墙切断恶意程序全部网络通路：先通过wf.msc创建出站阻止规则拦截其主动外连，再同步配置入站阻止规则防监听反弹，或用netsh命令行一次性部署双向拦截，最后通过netstat和行为验证确认生效。
当你发现某个程序在后台偷偷上传数据、连接可疑IP或触发反病毒软件告警，又无法卸载或信任其行为时，必须立即用系统原生防火墙切断它全部网络通路，防止进一步泄露隐私或执行远程指令。
用高级安全防火墙创建出站阻止规则
这一步直接拦截该程序向外发起的任何TCP/UDP连接，是阻断恶意行为的第一道防线。所有Win32程序都适用，无需安装第三方工具。
按下 Win + R，输入 wf.msc 并回车，打开高级安全 Windows Defender 防火墙管理控制台。
在左侧面板中点击“出站规则”，右侧操作区点击“新建规则…”启动向导。
选择“程序”类型 → 点击“下一步” → 选中“此程序路径” → 点击“浏览”。
【必须精确定位到主执行文件】：恶意软件常伪装成正常名称（如 svchost.exe、update.exe），请通过任务管理器“详细信息”页右键→“打开文件所在的位置”，复制完整路径（例如 C:\Users\Public\Temp\malware.exe），再粘贴进浏览对话框中确认。
点击“下一步” → 在“操作”页明确选择“阻止连接” → 点击“下一步”。
配置文件页务必全选“域”、“专用”、“公用”三项，否则在家庭Wi-Fi或移动热点下规则会失效。
命名为“阻断恶意进程_出站_20261009”，点击“完成”。
同步添加入站阻止规则防监听反弹
很多恶意软件不主动外连，而是监听本地端口等待C2服务器指令（比如开8080端口接收远程shell），只设出站规则毫无作用。
方法一：图形界面补全拦截
回到 wf.msc 控制台 → 左侧点击“入站规则” → 右侧点“新建规则…” → 类型仍选“程序” → 浏览路径与出站规则完全一致 → 操作页选“阻止连接” → 配置文件三项全勾 → 名称改为“阻断恶意进程_入站_20261009” → 完成。
方法二：命令行一次性双向部署（推荐）
右键“开始”按钮 → 选择“Windows PowerShell（管理员）” → 粘贴并执行以下两行（将路径替换为你实际定位到的恶意程序绝对路径）：
netsh advfirewall firewall add rule name="阻断恶意进程_出站_20261009" dir=out action=block program="C:\Users\Public\Temp\malware.exe" enable=yes
netsh advfirewall firewall add rule name="阻断恶意进程_入站_20261009" dir=in action=block program="C:\Users\Public\Temp\malware.exe" enable=yes
执行后无提示即成功，规则立即生效，无需重启。
验证拦截是否真正生效
第一步：打开任务管理器 → 切换到“详细信息”页 → 找到该进程 → 右键 → “转到服务” → 查看是否有相关服务正在运行。若有，记下服务名。
第二步：按 Win + R → 输入 services.msc → 回车 → 在服务列表中找到对应服务 → 右键 → “属性” → “登录”选项卡 → 确认“此账户”不是“LocalSystem”或“NetworkService”，否则它可能绕过用户级防火墙规则。
第三步：在PowerShell（管理员）中执行：netstat -ano | findstr :端口号（若你知道它常用端口）或直接运行：netstat -abno | findstr malware.exe（需管理员权限）。若返回为空，说明进程已无法建立任何网络连接。
第四步：手动双击运行该程序 → 尝试触发其联网动作（如点击“检查更新”、“登录”按钮）→ 观察是否弹出“连接超时”“拒绝连接”等错误提示，或进程CPU占用长期为0%且无网络活动图标闪烁。
