摄像头指示灯异常亮起是被黑客木马劫持的明确信号，需立即通过任务管理器查进程、设备管理器验驱动路径、services.msc核Camera Frame Server服务、wevtutil查PowerShell审计日志（EventID 4104）定位恶意行为，并物理断开摄像头隔离风险。
发现电脑摄像头指示灯在没打开视频软件时突然亮起，或系统托盘出现陌生进程图标频繁调用摄像头，需要立即排查是否被黑客木马劫持。这不是偶然故障，而是设备权限已被恶意程序绕过系统防护强行启用的明确信号。
检查摄像头实时调用进程
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到“性能”选项卡 → 点击左侧“摄像头” → 右侧会显示当前正在使用该设备的进程名称和PID。
如果此处显示 Chrome、Teams、Zoom 等你正在使用的应用，属正常；但若显示 【unknown.exe、svchost32、wscript.exe 或空白名称进程】，说明有未授权程序正后台调用摄像头。
记下该进程PID，回到“详细信息”页签，右键→“打开文件所在位置”，观察路径是否在 C:\Windows\System32、临时文件夹或用户下载目录——后两者极大概率是伪装进程。
验证摄像头驱动与服务状态
方法一：通过设备管理器确认硬件层是否被篡改
右键“此电脑”→“管理”→“设备管理器”→ 展开“照相机”，双击你的摄像头设备 → 切换到“驱动程序”选项卡 → 点击“驱动程序详细信息”。
重点核对列出的 .sys 文件路径是否全部位于 C:\Windows\System32\drivers\ 内。若出现任何指向 AppData、Program Files (x86) 或桌面路径的驱动文件，立即断网并截图留证。
方法二：检查 Windows Camera Frame Server 服务是否被劫持
按 Win + R 输入 services.msc → 找到“Camera Frame Server” → 双击打开 → 查看“可执行文件路径”是否为 %SystemRoot%\System32\svchost.exe -k LocalSystemNetworkRestricted。任何其他路径都属于异常配置。
扫描隐藏的摄像头挂钩程序
第一步：启动命令提示符（管理员）→ 输入 wevtutil qe Security /q:"*[System[(EventID=4104)]]" /f:text 回车。
这条命令直接调取 Windows 审计日志中所有 PowerShell 脚本执行记录，黑客常用 PowerShell 绕过杀软启动摄像头监听，而 EventID 4104 正是其唯一可靠痕迹。
第二步：逐行查看输出结果，重点关注含 “-ExecutionPolicy Bypass”、“Add-Type -AssemblyName System.Drawing”、“[System.Drawing.Bitmap]::FromScreenCapture” 的行——这些是典型屏幕/摄像头捕获代码片段，一旦出现，基本可判定已中招。
第三步：若发现可疑行，复制其时间戳 → 返回事件查看器 → Windows 日志 > 安全 → 右侧“筛选当前日志”→ 输入对应时间范围及事件ID 4688（进程创建），定位该 PowerShell 进程父进程，顺藤摸瓜找到源头程序。
快速隔离与取证操作
立刻拔掉USB摄像头物理线缆，或合上笔记本内置摄像头遮盖片——这一步必须在完成前述检查前执行，否则黑客可能持续获取画面。
打开浏览器，访问微软官方安全响应中心页面（https://www.microsoft.com/en-us/wdsi/threats），输入你查到的可疑进程名或驱动文件名，确认是否为已知恶意样本。
使用 Microsoft Safety Scanner（离线版）进行无干扰扫描：下载后断开网络 → 以管理员身份运行 → 选择“全面扫描” → 完成后勿重启，先导出日志文件保存至U盘备用。
