银河麒麟清除恶意开机自启项须进安全模式：先按Shift调出GRUB，编辑启动行添加systemd.unit=rescue.target init=/bin/bash，挂载根分区为可读写后，彻底删除可疑systemd服务文件、清空用户级autostart目录、冻结系统级autostart写入，并注释rc.local非注释行，最后重启验证进程与注册点是否消失。
银河麒麟系统中潜伏的恶意开机自启项可能绕过图形界面设置、伪装成合法服务、写死在/etc/rc.local或注入~/.config/autostart/，常规方法无法清除——必须进入安全模式切断其加载链，再逐层定位并移除注册点，否则重启后立即复活。
进入银河麒麟安全模式（单用户模式）
开机时在银河麒麟Logo出现前反复按Shift键调出GRUB菜单→用方向键选中默认启动项→按e进入编辑模式→找到以linux开头的行→在该行末尾空格后添加systemd.unit=rescue.target init=/bin/bash→按Ctrl+X启动。此时系统不加载任何图形界面、网络服务和用户级自启项，直接获得root shell权限。
执行mount -o remount,rw /重新挂载根文件系统为可读写状态，否则后续所有修改都会失败。
定位并清除恶意 systemd 服务
第一步：列出所有启用但未被图形界面显示的服务：
sudo systemctl list-unit-files --type=service --state=enabled | grep -E "(malware|trojan|backdoor|unknown)"
第二步：对可疑服务名（如kysec-guardian.service、netmon-helper.service）执行彻底卸载：
sudo systemctl stop 服务名称.service → sudo systemctl disable 服务名称.service → sudo rm -f /usr/lib/systemd/system/服务名称.service
【必须删除.service文件本体】仅disable无法阻止恶意程序下次复制重建该文件，删源文件才能断根。
清空隐蔽的自启动注册点
方法一：暴力清空用户级.desktop注册目录
rm -f ~/.config/autostart/*.desktop
方法二：冻结系统级autostart写入能力
sudo chattr +i /etc/xdg/autostart/
方法三：注释掉rc.local中所有非注释行（保留exit 0）
sudo sed -i '/^[^#].*$/s/^/# /' /etc/rc.local
验证恶意项是否已消失
执行reboot -f强制重启→正常进入桌面后，打开终端运行：
ps aux | grep -E "(malware|trojan|backdoor|\/tmp\/.*\.sh|\/dev\/shm\/.*\.py)"
若无任何输出，说明进程未复活；再检查：
ls ~/.config/autostart/ /etc/xdg/autostart/ | grep -E "(malware|trojan|backdoor)"
若两个目录下均无匹配文件，且systemctl list-unit-files --type=service | grep enabled输出中不再出现可疑服务名，则清除完成。
