发现电脑卡顿、杀毒软件失效、主页被改、文件异常或Word打不开，即表明可能已感染病毒或木马；应立即用任务管理器查可疑进程、netstat查异常外联、msconfig和注册表查启动项、sfc/DISM修复系统文件、ipconfig/displaydns排查DNS劫持。
当你发现电脑突然变卡、杀毒软件打不开、浏览器主页被改、文件莫名消失或无法打开Word文档时，这些都不是偶然现象，而是系统可能已被病毒或木马侵入的明确信号。不需要等全盘崩溃，现在就可以用系统自带工具快速定位异常。
看进程：任务管理器里揪出可疑程序
按下 Ctrl + Shift + Esc 直接打开任务管理器，切到“详细信息”选项卡。
右键点击列标题空白处→勾选“命令行”和“启动时间”——这两项不默认显示，但能直接暴露伪装成系统进程的病毒路径和非正常唤醒时刻。
重点观察 CPU 占用长期高于 70% 且名称生僻的进程，比如 svchost.exe 如果右键→“打开文件所在位置”后跳转到 C:\Users\Public\svchost.exe，那它100%不是系统原装，而是病毒仿冒的假货。
对任何路径不在 C:\Windows\System32\ 或 C:\Windows\SysWOW64\ 的 svchost.exe，直接记下 PID，下一步要查它连了什么网站。
查网络：netstat 找出偷偷外联的进程
以管理员身份运行命令提示符（Win+X → A），输入：
netstat -abno | findstr :443
这条命令只筛选 HTTPS 流量，避开大量干扰项。如果看到某个陌生 PID（比如 12893）正连接着 api-xxx-tracking.com 或 cdn-ads[.]net 这类域名，立刻回到任务管理器按 PID 找到对应进程，它大概率是广告木马或数据窃取程序。
注意：netstat -abno 必须用管理员权限运行，否则看不到进程名；普通用户权限下只会显示“拒绝访问”，白跑一趟。
扫启动项：msconfig 和注册表双线排查
方法一：图形化速查
按下 Win+R，输入 msconfig → 回车 → 切到“启动”选项卡 → 点击“打开任务管理器”。这里列出的全是开机自启程序，凡名称含“update”“helper”“optimizer”且厂商栏为空的，90%是流氓软件加装的启动项。
方法二：注册表深挖
Win+R 输入 regedit → 导航至：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
右侧值中，凡是路径指向 %AppData%、%Temp% 或 %LocalAppData% 的可执行文件，全部标记为高危——系统绝不会把核心服务放在这里启动。
验系统文件：sfc 和 DISM 两步锁定被篡改痕迹
第一步：运行系统文件校验
管理员命令提示符中输入：
sfc /scannow
等待扫描完成。若输出中出现“发现损坏文件但无法修复”或“已替换 XX 个损坏文件”，说明病毒已动过系统底层文件，必须继续第二步。
第二步：修复 Windows 映像
接着输入：
DISM /Online /Cleanup-Image /RestoreHealth
这一步会从 Windows 更新服务器下载原始系统组件覆盖本地被污染的映像，耗时较长但不可跳过——只跑 sfc 而不跑 DISM，很多深层感染根本清不干净。
翻 DNS 缓存：ipconfig /displaydns 揭露劫持行为
在普通命令提示符（无需管理员）中输入：
ipconfig /displaydns
滚动查看返回结果，重点找那些解析目标 IP 是 127.0.0.1 或私有地址段（如 10.x.x.x、192.168.x.x）的域名条目。例如：
www.microsoft.com —— 127.0.0.1
这代表 hosts 文件或 DNS 劫持模块已生效，你点微软官网实际打开的是本地伪造页面，典型钓鱼病毒特征。
此时立刻检查 C:\Windows\System32\drivers\etc\hosts 文件，用记事本打开，删掉所有非 # 开头且指向 127.0.0.1 的行。
