银河麒麟安全中心“发现木马病毒”提示仅表示KYSEC引擎触发告警，实际威胁可能未清除：需先通过【详情】确认事件类型（文件/进程/网络），再查日志定位规则ID；图形界面清除后须验证隔离路径是否为/var/lib/kysec/quarantine/下有效子目录；命令行需执行全盘扫描、强制清理、终止可疑进程、清理自启项；最后验证进程残留、隔离文件完整性及网络阻断规则是否生效。
银河麒麟安全中心弹出“发现木马病毒”提示时，不能仅点击“立即清除”就认为处理完成——该提示仅表示KYSEC引擎触发了可疑行为告警，实际文件可能未被隔离、进程仍在内存运行、启动项未清理、或存在隐藏的持久化后门，必须执行多层验证与清除动作才能确保系统真正干净。
确认告警来源与真实威胁等级
安全中心界面右下角弹窗只显示“发现木马病毒”，但未说明是文件扫描命中、进程行为拦截还是网络连接告警。需先定位原始事件类型，避免误删系统文件或漏掉内存驻留型恶意代码。
点击弹窗右上角【详情】→ 查看【事件类型】字段：若为“文件扫描”则对应磁盘路径；若为“进程防护”则记录PID和进程名；若为“网络防护”则关注目标IP与端口。
打开终端，执行：sudo kysec-log --last 10 | grep -E "(malware|trojan|alert)"，筛选最近10条原始日志，确认告警时间戳、规则ID（如rule_id: KYSEC-TRJ-2023-07）及匹配路径。【规则ID决定处置方式，KYSEC-TRJ类必须走白名单清除流程，而KYSEC-BEHAVIOR类需结合ps aux分析进程树】
图形界面一键清除+隔离验证
在安全中心主界面，左侧导航栏点击【病毒防护】→ 右侧切换至【威胁记录】标签页。
找到对应告警条目，勾选左侧复选框 → 点击上方【清除威胁】按钮 → 弹出确认框时选择【彻底删除并隔离】而非【仅清除】。
清除完成后，不要直接关闭窗口，点击该条目右侧的【查看详情】→ 检查【隔离路径】是否为/var/lib/kysec/quarantine/下的带时间戳子目录。若路径显示为空或指向/tmp，则说明隔离失败，需手动介入。
命令行深度清理残留项
方法一：强制扫描全盘并导出结果
终端执行：sudo kysec-scan --full --report /tmp/scan-full-$(date +%s).json。此命令绕过图形界面缓存，调用底层引擎重新扫描所有挂载分区，耗时约8–15分钟。
扫描结束后，检查报告中"infected_files"数组是否为空。若仍有条目，执行：sudo kysec-clean --force --path $(jq -r '.infected_files[0]' /tmp/scan-full-*.json)，逐个强制清理（jq需提前安装：sudo apt install jq）。
方法二：终止可疑进程并清除启动项
若告警类型为“进程防护”，先查进程：ps aux | grep -v "grep" | grep -E "$(kysec-log --last 1 | awk -F'"' '{print $4}')"，获取完整进程路径。
终止进程：sudo kill -9 PID（PID从上步输出中提取）→ 删除对应二进制：sudo rm -f /path/to/malware-bin → 清理开机自启：sudo systemctl --user disable malware-service.service 2>/dev/null || true，同时检查~/.config/autostart/和/etc/xdg/autostart/下是否有伪装成systemd的.desktop文件。
验证木马是否真正清除
第一步：检查进程残留
执行：sudo lsof -i -P -n | grep -i "listen\|established" | grep -E "(python|perl|sh|bash)" | awk '{print $2}' | xargs -r ps -o pid,ppid,comm,args -p 2>/dev/null，列出所有监听或外连的脚本类进程及其父进程。若发现PPID为1且无对应systemd unit，则极可能是木马守护进程。
第二步：验证文件级清除
进入隔离目录：ls -la /var/lib/kysec/quarantine/，确认最新子目录内包含被清除文件的硬链接（非空文件）。若该目录为空或只有0字节文件，说明清除操作未写入隔离区，需回退到命令行深度清理步骤重试。
第三步：确认网络连接阻断
执行：sudo kysec-net-control --status | grep -E "(blocked|drop)"，应返回至少3行含"tcp"或"udp"的DROP规则。若无输出，说明网络层防护未生效，需重启KYSEC服务：sudo systemctl restart kysec-engine。
