什么是木马病毒？识别伪装、排查感染并安全清除的完整指南

木马病毒是伪装成有用文件或应用的恶意软件。日常说法中带有“病毒”，但木马并不像病毒那样通过感染其他文件来复制自己。它的核心特征是欺骗性投递：看似正常的安装包、附件或下载内容，实际上带来你没有授权的功能。Microsoft 将木马与能够自行传播的恶意软件区分开来。［1］

怀疑感染时，先停止在可疑设备上使用重要账号，保留警告或检测详情，再使用可信安全工具。电脑变慢、浏览器弹出吓人的提示，都不足以证明木马感染。排查的目的，是弄清发生了什么，而不是从同一个可疑网页再下载一个所谓的清理工具。

关键要点

• 木马强调伪装进入的方式；其载荷可能窃密、下载其他恶意软件或允许远程控制。
• 症状只是线索。已安装安全工具的检测详情，比网页自称发现感染更有价值。
• 隔离、可信扫描、账号恢复和选择性还原，是四项不同的工作。
• VPN 无法清除已安装的恶意软件，也不能让失陷设备重新可信。

木马病毒到底能做什么？

这个名称描述恶意软件进入设备的入口，不代表唯一的后果。你可能运行了假更新，打开伪装成文档的附件，或在安装所需软件时接受了捆绑组件。其他恶意程序也可能安装木马。熟悉的文件名和精美的下载页面，不证明文件来自真正的开发者。

Microsoft 列出的能力包括下载其他恶意软件、记录活动、窃取登录信息、制造广告点击欺诈，以及让攻击者远程操控设备。［1］这些是可能的功能，不是每个木马必备的清单。下载器和密码窃取程序同样可以属于木马，却留下完全不同的痕迹。

功能	攻击者可能获得什么	恢复时要考虑什么
下载器	安装更多恶意程序	删除最初的安装包，可能仍留下后续载荷
信息窃取	凭据或浏览活动信息	清理设备不能收回已经被复制的信息
远程访问	控制受影响设备	切断访问，并检查账号和配置变动
欺诈活动	借设备执行未授权操作	检查相关账号活动，保留检测详情

远程访问本身不等于恶意行为。正规技术支持软件也有这类能力；关键是安装、访问和实际操作是否经过授权。不要因为用途相似就删除单位的支持工具。如果无法确认软件归谁管理、为何存在，应询问管理员。

同名的 Trojan 代理协议是另一个话题。网络配置中出现协议名，本身不是恶意软件检测结果。先弄清语境，不能把搜索结果或文件名中出现的一个词当成诊断。

木马与病毒的区别是什么？

木马与病毒的区别，主要在于伪装投递和感染文件复制这两种机制。计算机蠕虫可以沿传播路径复制自己，而木马不需要复制，也能造成严重损害。一台设备可能同时存在多种恶意软件；某个组件的分类，不代表整起事件只有一种威胁。

木马可能投递间谍软件，后者强调监视和收集信息；也可能借助 rootkit隐藏活动。广告软件关注不受欢迎的广告行为，但并非所有带广告的应用都是木马。这些区别有助于选择恢复任务，不能反过来从一个表面症状推断完整载荷。

例如，移除不需要的浏览器工具栏，只处理了那条工具栏。它不证明密码从未被收集、没有安装其他程序，或所有浏览器配置都干净。把检测报告与事件时间线放在一起：你下载和打开了什么，安全工具检测到什么，之后使用过哪些账号。

哪些迹象值得排查？

FTC 列出的迹象包括意外跳转、新工具栏、频繁弹窗、异常变慢，以及未经你操作就发出的消息。［2］它们也可能有非恶意软件原因。新扩展、磁盘空间不足和账号被盗，各自需要调查，而不是立即贴上“木马”的标签。

观察到什么	能证明什么	合理的下一步
网页声称“发现木马”	网页展示了一个说法	关闭网页，独立打开已安装的安全工具
可信安全工具给出威胁名称	工具识别出可疑项目	保存名称、文件路径、时间和处理结果
首页变化或网页跳转	浏览器行为发生变化	检查近期扩展、应用和设置
账号发送了你没发的消息	可能有未授权活动	从另一台可信设备恢复账号
设备变慢或崩溃	存在性能问题	检查近期变化并扫描，不凭速度确诊

不要拨打警告网页提供的电话，也不要安装它推荐的软件。FTC 提醒，假技术支持消息和下载广告可能把你引向恶意软件或骗局。［2］需要帮助时，自行进入安全工具厂商或设备制造商的网站。

怎样按安全顺序进行木马清除？

以下流程适用于你有权管理的个人设备。单位管理的电脑，应先联系事件响应人员，避免删除证据或直接重置。如果有人可能正在监视你，突然改变设置又可能带来人身危险，先参考间谍软件指南中的安全优先做法。

1. 停止敏感操作并限制访问。 不要在可疑设备上输入更多密码或付款信息。发现正在进行的未授权访问，或可信的恶意软件检测时，可以断开网络，用另一台可信设备求助。保留设备以便调查，不要反复打开可疑文件。
2. 记录已知信息。 写下下载来源、大致时间、警告内容、威胁名称和文件路径；有安全日志就保留。不要为了“验证”重新运行文件，也不要把可执行文件转发给朋友随便测试。
3. 使用可信且已更新的防护。 直接打开系统安全应用。安全条件允许时，通过正常可信渠道更新检测库，再扫描并遵循隔离或移除指引。FTC 建议更新安全软件并执行扫描。［2］清理失败应升级求助，不是无限重复点击删除。
4. 评估恢复结果。 按工具要求重启，查看最终报告，确认同一检测是否再次出现。如果安全控制仍被禁用，或感染持续，联系制造商或合格技术人员。普通修复无法恢复信任时，可考虑可信重装，但先保护必要数据和恢复密钥。
5. 单独恢复账号。 从可信设备更改可能暴露的密码，结束服务允许你撤销的可疑登录会话，并启用多因素认证。检查恢复邮箱和重要交易。干净的扫描结果无法收回已窃取的凭据或文档。
6. 选择性还原并减少再次感染。 从真正的开发者重新安装应用；从合适备份恢复必要文档，扫描恢复的文件，不要还原同一个可疑安装包。安装系统和应用更新，再检查最初那次下载是怎样进入设备的。

隔离成功只说明工具处理了那个项目，不保证整起事件没有其他后果。如果在可能暴露期间使用过重要账号，即使设备的可见故障消失，账号恢复仍有必要。

如何避免再次安装伪装程序？

先分清来源与广告。网页要求安装编解码器、更新或安全修复时，改用对应应用的官方更新机制。谨慎对待意外附件，以及索取大量权限的免费下载。FTC 也建议扫描可移动介质，并保持安全软件更新。［2］

批准安装前，想一想是否主动需要它、发布者是否符合预期、请求的权限是否与用途一致。这是初步筛选，不是技术保证：漂亮图标、文件签名或熟悉名称，单独一项都不能完成可信判断。

保留能够单独恢复文档的备份，避免只能还原整个可疑环境。设备恢复与账号恢复要分别处理：重装笔记本不会自动结束攻击者在在线账号中的会话；更改在线密码也不会移除笔记本上的恶意软件。

更广泛的习惯可参考数字隐私指南。设备恢复可信之后，VPN 防范黑客的能力边界帮助区分网络暴露与设备感染；VPN 与病毒防护的分工则解释为什么加密传输不是恶意软件清理工具。

总结

把木马视为伪装进入的入口，再分别调查它可能造成的后果。先限制访问并取得可信检测报告，再判断清理或重装能否恢复设备信任。从可信环境恢复可能暴露的账号，重建时避免重新引入最初的下载文件。

常见问题

木马在技术上属于病毒吗？

通常不属于。“木马病毒”是常用搜索说法，但木马以伪装为特征，并不像病毒那样感染文件来复制。分类描述不同机制，一起事件中可以同时存在多种机制。

iPhone 也可能出现木马吗？

移动设备也面临恶意软件和账号风险，但浏览器声称“iPhone 有木马”不等于诊断。应检查实际应用、账号活动和平台安全说明，不要安装警告网页推荐的清理工具。

删除下载文件就算清除了吗？

未打开的恶意下载被删除，可能只是移除了那个文件。如果已经运行，其他组件或被盗凭据可能仍然存在。使用可信扫描并评估报告，不要假定原文件就是全部事件。

每个木马都会偷密码吗？

不会。木马可能用于下载其他恶意软件、远程操控等不同任务。如果检测指出信息窃取，或暴露期间使用过敏感账号，应优先恢复账号，而不是断言每个木马都收集所有密码。

恢复出厂设置能解决一切吗？

重置或可信重装是否有帮助，取决于平台与受影响层级。它不会撤销信息泄露、结束所有远端账号会话，也不会让不安全备份自动适合恢复。

杀毒扫描能证明木马从未运行过吗？

不能。阴性结果表示工具在当前条件下没有检测到威胁，不证明每个文件或账号的历史。应结合安装历史、检测记录和账号证据判断。

VPN 能清除木马吗？

不能。VPN 改变网络流量的传输方式，不会隔离恶意程序或修复失陷系统。先恢复设备和账号的可信性，再考虑额外的网络保护。

免责声明: 本文提供一般安全判断方法，不代替对具体设备的诊断。受单位管理的设备应遵循所属组织的事件响应要求。

来源

1. Trojans — https://learn.microsoft.com/en-us/defender-endpoint/malware/trojans-malware
2. Malware: How To Protect Against, Detect, and Remove It — https://consumer.ftc.gov/articles/malware-how-protect-against-detect-and-remove-it

Sources checked 2026 年 10 月 5 日

延伸阅读

• 间谍软件与安全恢复
• 广告软件与浏览器清理
• Rootkit 与系统可信性
• 计算机蠕虫与传播隔离